---
title: "Túnel del ordenador"
description: "Conecta tu máquina a través del Beeuni Agent Tunnel con permisos."
---

Un ordenador es una máquina tuya — portátil, ordenador de sobremesa o servidor — conectada a
Beeuni mediante un túnel inverso con permisos. Un ordenador no es un entorno aislado. Un
entorno aislado es una máquina en la nube desechable que Beeuni crea para una
[sesión](/docs/es/work/sessions). Un ordenador es una máquina que ya tienes y
permanece conectada entre sesiones.

Un ordenador conectado es una **cuenta** del `computer`
[conector](/docs/es/connect/connectors), del mismo modo que un buzón personal de Gmail
es una cuenta del conector de Gmail. Todos los proyectos incluyen el `computer`
conector; nunca lo añades ni lo quitas. Cada miembro conecta su propio ordenador,
y este **le acompaña**: es una cuenta en todos los proyectos a los que pertenece,
en todos los espacios de trabajo, sin tener que configurarlo en cada proyecto.

1. Añade **Computer Tunnel** desde el catálogo de conectores del proyecto.
2. Ejecuta el comando de vinculación que aparece en el perfil, por ejemplo
   `npx --yes @beeuni/agent-tunnel@latest connect --api-url <url>`.
3. Aprueba la conexión en el navegador.
4. Selecciona la máquina vinculada para el perfil.

Una tarjeta **Conecta tu ordenador** aparece en la barra lateral del proyecto hasta que tengas un
ordenador conectado. Ciérrala con **×** si no la necesitas; permanecerá oculta
en ese navegador. La tarjeta no aparece en una implementación con los ordenadores
inactivos.

Concedes acceso por capacidad: sistema de archivos, shell o escritorio. Puedes limitar
cada capacidad a rutas, comandos o funciones del escritorio permitidos. Una concesión
de capacidad es una configuración por recurso en una máquina, no un rol de Beeuni. No concede
ningún permiso que la evaluación del rol deniegue; consulta
[Accounts & access](/docs/es/accounts#per-feature-access-settings). El agente
solo obtiene lo que le concedes. Una llamada a una capacidad no concedida genera una
solicitud de permiso. Abre la máquina en su perfil de Computer Tunnel para
aprobar o denegar la solicitud.

**En un navegador.** Haz clic en **Conecta tu ordenador** en la tarjeta. El cuadro de diálogo
ofrece **Download Beeuni for desktop**; después, conecta el ordenador con un solo clic.
Para conectarlo sin la aplicación, elige **Use the CLI instead** y ejecuta en el ordenador
el comando que aparece:

<a id="how-the-agent-reaches-a-computer"></a>

## Cómo accede el agente a un ordenador

La vinculación añade una máquina a tu flota de la cuenta. No crea ninguna asignación, por lo que
no concede acceso a proyectos.
Añade **Computer Tunnel** desde el catálogo de [conectores](/docs/es/connect/connectors)
del proyecto y selecciona una o varias máquinas vinculadas para ese perfil.

Un perfil puede incluir una máquina o un conjunto de máquinas. Un conjunto de máquinas no es un
grupo de cuentas: un grupo de cuentas es una entidad principal en el modelo de roles, y estas son
máquinas. Puedes crear varios perfiles con conjuntos de máquinas distintos o superpuestos.
Cada perfil tiene concesiones de agente y políticas de herramientas
independientes.

La herramienta `list_computers` devuelve solo las máquinas asignadas al perfil activo.
Otras herramientas aceptan un nombre o ID opcional de `computer`, obtenido de ese resultado. El
selector es opcional si hay exactamente una máquina asignada en línea.

```bash
beeuni connectors call studio-computers.list_computers '{}'

beeuni connectors call studio-computers.fs.read \
  '{"computer":"MacBook-Pro-9.local","path":"/etc/hosts"}'
```

El comando muestra un código y abre la página de aprobación. En la página de aprobación:

1. Comprueba que el código coincida con el que aparece en el ordenador.
2. Asigna un nombre al ordenador. El nombre se convierte en la etiqueta de la cuenta.
3. Elige **Quién puede usar este ordenador**: **Solo tú** (la opción predeterminada: todos los
   proyectos y tus sesiones privadas) o **Compartir también con** el proyecto que indica el
   comando. Para compartirlo, necesitas permiso para gestionar las conexiones de ese proyecto.
4. Selecciona lo que pueden hacer los agentes: **Sistema de archivos**, **Shell**, **Uso del ordenador**.

El ordenador aparecerá en **Customize → Connectors → Computer →
Accounts** en todos los proyectos a los que pertenezcas. Su fila tiene el mismo aspecto y
funcionamiento que la de cualquier otra cuenta de conector; si el ordenador no está conectado,
aparecerá **Sin conexión** debajo del nombre.

Beeuni identifica cada ordenador mediante un hash de su ID de hardware (IOPlatformUUID
en macOS, `/etc/machine-id` en Linux, `MachineGuid` en Windows). Si conectas
el mismo ordenador de nuevo, tras reinstalar, cambiarle el nombre o conectarlo a otra red,
se actualiza su entrada en vez de añadir una segunda. Se conservan su nombre, uso compartido y
vínculos de sesión.

<a id="your-computer-desktop-app"></a>

## Tu ordenador (aplicación de escritorio)

Abre el menú del espacio de trabajo (el nombre del proyecto en la parte superior de la barra lateral) y
elige **Tu ordenador**. El punto que aparece junto a esta opción indica el estado del ordenador. El
cuadro de diálogo muestra el nombre y uno de estos estados: **En línea**, **Conectando**, **Sin conexión**, **En pausa** o **Hay que volver a conectar** (el ordenador se desconectó
desde otro lugar; **Conectar este ordenador** lo vuelve a vincular). Desde allí puedes:

- **Pausar conexión** / **Reanudar conexión**: detener o reiniciar el servicio en segundo
  plano. Un ordenador en pausa no estará disponible para los agentes
  (`computer_offline`) y seguirá en pausa después de reiniciar.
- **Acceso**: indica si los agentes pueden usar el ordenador mientras está conectado. Consulta
  [Acceso en el ordenador](#access-on-the-computer).
- **Mantener este ordenador activo mientras está enchufado** (macOS y Linux): el
  ordenador no entra en reposo cuando está conectado a la corriente, para que los agentes puedan acceder a él. Está desactivado de forma predeterminada.
  En Windows, la fila indica que esta opción aún no está disponible.
- **Uso compartido**: abre la pestaña Accounts del conector del ordenador y elige
  **Compartir** en la fila del ordenador.
- **Mostrar registros**: abre el archivo de registro del agente.
- **Desconectar**: elimina el ordenador de Beeuni y de todos los proyectos, y
  detiene el servicio en segundo plano.

<a id="access-on-the-computer"></a>

## Acceso en el ordenador

El propio ordenador decide si un agente puede usarlo, independientemente de lo que permita el
proyecto. Configúralo en **Tu ordenador → Acceso** o desde el icono de la barra de menús:

- **Preguntar cada vez** (opción predeterminada para un ordenador conectado desde la aplicación de
  escritorio): la primera llamada de un agente muestra un aviso en el ordenador: **Permitir
  durante 24 horas**, **Permitir durante 1 hora** (el botón predeterminado) o **Denegar**. La
  aprobación permite acceder a archivos, el shell, la pantalla y el teclado a todos los
  agentes que puedan acceder al ordenador, hasta que caduque. Mientras esté vigente, el cuadro de diálogo muestra **Permitido hasta las 14:32** y **Revocar ahora**. Después de
  **Denegar**, las llamadas fallan al instante durante 10 minutos sin mostrar otro aviso. Si cambias
  el modo, termina la aprobación o denegación vigente.
- **Siempre permitido**: no aparece ningún aviso. Es la opción predeterminada para un ordenador
  conectado solo con la CLI, porque nada en ese ordenador puede mostrar un aviso.
  Los ordenadores conectados antes de que existiera esta opción también funcionan así hasta
  que la cambies.
- **Desactivado**: se rechazan todas las llamadas.

Solo tú, desde el ordenador, puedes ampliar el acceso. Cuando la página de Beeuni solicita
**Siempre permitido** o una nueva aprobación, la aplicación de escritorio muestra primero un cuadro de diálogo
nativo y solo aplica el cambio si haces clic en **Permitir**. Cada nueva vinculación
vuelve a empezar con la opción predeterminada, y **Desconectar** elimina esta configuración.

La configuración se guarda en el ordenador (`~/.agent-tunnel/access.json`). La
fila de la cuenta y la herramienta `status` la muestran para que el agente pueda avisarte de que está esperando tu aprobación.

<a id="who-can-use-a-computer"></a>

## Quién puede usar un ordenador

Un ordenador sigue las mismas reglas que cualquier otra cuenta de conector:

- Un ordenador **privado** (la opción predeterminada, **Solo tú**) solo se ejecuta en las
  sesiones privadas del propietario, en todos los proyectos a los que pertenece. Ningún otro miembro
  puede verlo ni usarlo.
- **Compartir**, en la fila del ordenador, abre el mismo cuadro de diálogo que para una cuenta de Gmail:
  elige personas, grupos o todos los miembros del proyecto. No se aplica ningún cambio hasta que elijas **Guardar** y seguirás teniendo acceso mientras no te elimines.
  Para compartirlo, necesitas permiso para gestionar las conexiones del proyecto. El ordenador
  sigue siendo una única cuenta en ese proyecto; la fila muestra entonces quién puede usarlo.
- Un ordenador compartido con todos los miembros se ejecuta para todos en el proyecto, incluidas las
  ejecuciones desatendidas: activadores, programaciones y mensajes de Slack sin un usuario vinculado. Una ejecución desatendida solo puede acceder a ordenadores compartidos.
- Tu propia fila te acompaña, así que no se elimina de un solo proyecto.
  **Desconectar** elimina el ordenador de Beeuni y de todos los proyectos. Para
  mantenerlo conectado sin usarlo, desactiva su acceso en el ordenador.

Para someter las llamadas delicadas a la aprobación de una persona, establece una
[política de conector](/docs/es/connect/connectors) en la pestaña
**Herramientas** del conector del ordenador (por ejemplo, **Preguntar** para `shell.exec`). La solicitud aparecerá entonces en las aprobaciones del proyecto.

<a id="what-the-computer-allows"></a>

## Qué permite hacer el ordenador

Eliges las capacidades una sola vez, al aprobar el ordenador. Para permitir una
capacidad más adelante, vuelve a conectar el ordenador y selecciónala.

La configuración del agente local es el límite máximo de cada llamada, independientemente de lo que
permita Beeuni. Se guarda en `~/.agent-tunnel/config.json` en el ordenador:

| Campo | Valor predeterminado | Efecto |
|---|---|---|
| `enabledCapabilities` | las capacidades que aprobaste | Capacidades que la máquina acepta. |
| `allowedPaths` | tu directorio de inicio | Rutas a las que pueden acceder las llamadas al sistema de archivos. |
| `blockedPaths` | `/etc/shadow`, `/etc/ssh`, `/proc`, … | Rutas a las que no puede acceder ninguna llamada. |
| `allowedCommands` | vacío (cualquier comando) | Si se establece, los únicos ejecutables que `shell.exec` puede ejecutar. |
| `blockedCommands` | vacío | Ejecutables que `shell.exec` nunca ejecuta. |

Un shell sin restricciones puede ejecutar cualquier ejecutable disponible para tu usuario. Limita
`allowedPaths` y `allowedCommands` a lo que necesites para el trabajo.

Para usar el ordenador, se necesita un `cua-driver` local instalado por separado. El agente
no descarga, instala ni actualiza ese ejecutable.

Configura los perfiles de Computer Tunnel desde el panel, no desde
`beeuni.yaml`. Usa la pestaña Accounts del perfil para vincular, seleccionar, inspeccionar, cambiar el nombre y
eliminar máquinas. Usa la pestaña Tools para configurar la política del conector.

<a id="deliver-binary-files-safely"></a>

## Entregar archivos binarios de forma segura

Para hojas de cálculo, PDF, imágenes y otros archivos binarios, transfiere los bytes directamente
desde un archivo de origen. Nunca pidas al agente que copie una cadena de base64 de la salida de una herramienta.
Eso puede cambiar los bytes aunque el tamaño del archivo no varíe.

En la máquina o el entorno aislado que contiene el archivo de origen, configura `TUNNEL_API_URL`,
`TUNNEL_TOKEN` y `TUNNEL_ID`, y luego ejecuta:

```sh
agent-tunnel-cli fs_upload '{"source":"/tmp/report.xlsx","path":"/Users/me/Desktop/report.xlsx"}'
```

El comando admite archivos de hasta 3 MiB y requiere la capacidad de sistema de archivos.
Calcula el SHA-256 del origen y comprueba el hash que devuelve el destino.
Actualiza el agente conectado si su respuesta no incluye el campo `sha256`.

Para archivos más grandes, genera el artefacto en el destino. Valida el formato del origen antes de entregarlo. Si los hashes coinciden, los bytes llegaron sin cambios; el tamaño del archivo y su extensión no demuestran que Excel pueda abrir un libro.