From 4fa9c2ae5ba1a8c35729948cfb958a8456d78ab5 Mon Sep 17 00:00:00 2001
From: juanminsanz <desarrollo@faccsa.es>
Date: Sat, 3 Oct 2026 20:45:54 +0200
Subject: [PATCH] =?UTF-8?q?03-oct:=20superguardado=20autom=C3=A1tico?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 CHANGELOG_INFRA.md                         |  8 ++++++++
 changelog_infra.json                       | 12 ++++++++++++
 scripts/acceso_remoto/setup_ssh_server.ps1 |  5 ++++-
 3 files changed, 24 insertions(+), 1 deletion(-)

diff --git a/CHANGELOG_INFRA.md b/CHANGELOG_INFRA.md
index b4728e7..525cdf0 100644
--- a/CHANGELOG_INFRA.md
+++ b/CHANGELOG_INFRA.md
@@ -55,6 +55,14 @@
 - **Aplicado en**: portatil
 - **Detalle**: Actualizado omniroute a 3.8.51 (npm i -g omniroute@latest). Ahora valida contra el 'active live catalog' de Antigravity: los modelos deprecados (gemini-3.5-flash-*, gemini-2.5-*, claude-* en antigravity) devuelven HTTP 400 en vez de texto de deprecacion. Funcionan: gemini-3.1-pro-low/high, gemini-3.1-flash-lite, gemini-pro-agent, gpt-oss-120b-medium. Servidor relanzado via omniroute_watchdog.ps1 -Once.
 
+### 2026-10-03 · Fix ACL setup_ssh_server.ps1 (SIDs, no nombres en ingles)
+- **id**: `2026-10-03-fix-acl-setup-ssh-server-ps1-sids-no-nombres-en-ingles`
+- **Equipo**: sobremesa
+- **Categoria**: scripts
+- **Transferible**: no
+- **Aplicado en**: sobremesa
+- **Detalle**: icacls fallaba en Windows es-ES al usar BUILTIN\Administrators; ahora usa *S-1-5-18 y *S-1-5-32-544. Aplicado y verificado en sobremesa (sshd Automatic/Running, key portatil autorizada).
+
 ### 2026-10-02 · superguardado.py: protocolo guardado total automatico portatil+sobremesa
 - **id**: `2026-10-02-superguardado-py-protocolo-guardado-total-automatico-portati`
 - **Equipo**: portatil
diff --git a/changelog_infra.json b/changelog_infra.json
index b8627b6..8dd3901 100644
--- a/changelog_infra.json
+++ b/changelog_infra.json
@@ -273,6 +273,18 @@
         "portatil"
       ],
       "detalle": "Actualizado omniroute a 3.8.51 (npm i -g omniroute@latest). Ahora valida contra el 'active live catalog' de Antigravity: los modelos deprecados (gemini-3.5-flash-*, gemini-2.5-*, claude-* en antigravity) devuelven HTTP 400 en vez de texto de deprecacion. Funcionan: gemini-3.1-pro-low/high, gemini-3.1-flash-lite, gemini-pro-agent, gpt-oss-120b-medium. Servidor relanzado via omniroute_watchdog.ps1 -Once."
+    },
+    {
+      "id": "2026-10-03-fix-acl-setup-ssh-server-ps1-sids-no-nombres-en-ingles",
+      "fecha": "2026-10-03",
+      "equipo": "sobremesa",
+      "categoria": "scripts",
+      "titulo": "Fix ACL setup_ssh_server.ps1 (SIDs, no nombres en ingles)",
+      "transferible": false,
+      "aplicado_en": [
+        "sobremesa"
+      ],
+      "detalle": "icacls fallaba en Windows es-ES al usar BUILTIN\\Administrators; ahora usa *S-1-5-18 y *S-1-5-32-544. Aplicado y verificado en sobremesa (sshd Automatic/Running, key portatil autorizada)."
     }
   ]
 }
diff --git a/scripts/acceso_remoto/setup_ssh_server.ps1 b/scripts/acceso_remoto/setup_ssh_server.ps1
index 3464254..d5305f0 100644
--- a/scripts/acceso_remoto/setup_ssh_server.ps1
+++ b/scripts/acceso_remoto/setup_ssh_server.ps1
@@ -89,8 +89,11 @@ if ($PublicKey) {
         Write-Host " - La clave publica ya estaba en $keyFile" -ForegroundColor Green
     }
     if ($usuarioEsAdmin) {
+        # ACLs estrictas exigidas por sshd para administrators_authorized_keys.
+        # Se usan SIDs (*S-1-5-18 = SYSTEM, *S-1-5-32-544 = Administrators) para
+        # no depender del idioma de Windows (BUILTIN\Administrators no resuelve en es-ES).
         icacls $keyFile /inheritance:r 2>$null | Out-Null
-        icacls $keyFile /grant 'SYSTEM:F' 'BUILTIN\Administradores:F' 'BUILTIN\Administrators:F' 2>$null | Out-Null
+        icacls $keyFile /grant:r '*S-1-5-18:F' '*S-1-5-32-544:F' 2>$null | Out-Null
     }
     Restart-Service sshd
     Write-Host ' - sshd reiniciado para aplicar la clave.' -ForegroundColor Green