Sesiones de robot

Una sesión de robot es una cuenta de usuario de Windows que el bot usa para ejecutarse en modo desatendido. Guarda un usuario y una contraseña de Windows (reutilizables), y es lo que le da al robot un escritorio donde trabajar cuando nadie ha iniciado sesión en la máquina.

Es un recurso del ambiente (como las máquinas o las credenciales). Por defecto sirve en cualquier máquina del ambiente; si quieres limitarla, marca las Máquinas donde vale (ninguna marcada = todas). En la columna Máquinas ves su estado en cada una y puedes Probar inicio de sesión en esta máquina antes de lanzar un robot. Solo la necesitan los procesos de escritorio Windows: los Sin pantalla corren sin sesión de robot.

¿Por qué hace falta? Atendido vs. desatendido

Modo	Cómo se ejecuta el bot	¿Necesita sesión de robot?
Atendido	En la sesión de Windows de una persona que ya tiene su escritorio abierto (ella lanza el bot en su equipo)	No — usa el escritorio que ya está abierto
Desatendido	En un servidor o VM sin nadie presente, con el Agent ejecutándose como servicio de Windows	Sí

El punto clave: la automatización de interfaz (mover el mouse, abrir ventanas, automatizar el escritorio o un navegador con ventana) necesita un escritorio de Windows activo. En desatendido, ese escritorio no existe por sí solo — no hay nadie con sesión iniciada. La sesión de robot resuelve esto: el agente usa esa cuenta de Windows para abrir (o reutilizar) una sesión de escritorio del bot, y ejecuta la automatización dentro de ella.

Si tu bot no toca la interfaz

Procesos que solo usan HTTP, bases de datos, archivos, Excel, correo por SMTP/IMAP o un navegador headless no dependen de un escritorio visible. Aun así, el portal te pide elegir una sesión de robot al lanzar la ejecución: es la cuenta de Windows bajo la que se ejecutará el proceso.

Crear una sesión de robot

1. En el menú, abre Centro › Máquinas › Sesiones de robot (en el ambiente elegido arriba a la derecha).
2. Haz clic en Nueva sesión.
3. Llena el formulario:
   • Nombre — un identificador para la sesión (ej. bot-cuenta-01).
   • Usuario Windows — la cuenta de Windows, con dominio si aplica: DOMINIO\bot01 o bot01 (cuenta local).
   • Contraseña Windows — la contraseña de esa cuenta.
4. Haz clic en Crear sesión.

Para cambiar la contraseña más adelante, edita la sesión e ingresa la nueva contraseña (déjala vacía para conservar la actual).

La contraseña se guarda cifrada

La contraseña de Windows se almacena cifrada y solo se usa en la máquina del agente para iniciar la sesión del bot. No se muestra de vuelta en el portal ni aparece en los logs.

Requisitos de la cuenta de Windows

Para que una sesión de robot funcione en desatendido, la cuenta de Windows debe cumplir, en la máquina del agente:

• Permiso de inicio de sesión por Escritorio remoto (RDP). El agente abre una sesión de escritorio para el bot mediante una conexión de Escritorio remoto local; la cuenta necesita el derecho “Permitir el inicio de sesión a través de Servicios de Escritorio remoto” y que Escritorio remoto esté habilitado en la máquina.
• Inicio de sesión por lotes. El agente concede automáticamente el derecho de inicio de sesión como proceso por lotes (SeBatchLogonRight) a la cuenta.
• Contraseña válida y que no expire. Si la contraseña caduca o cambia, las ejecuciones fallarán al iniciar la sesión hasta que actualices la contraseña en la sesión de robot. Por eso conviene usar una cuenta de servicio con contraseña que no expire.

Usa una cuenta dedicada para el bot

Lo recomendado es una cuenta de Windows exclusiva del robot (no la de una persona), con los permisos mínimos que el proceso necesite y una contraseña administrada. Así el bot tiene su propio escritorio, su propia configuración y trazabilidad separada.

Usar una sesión de robot al ejecutar

La sesión de robot se elige al lanzar el proceso:

• En Ejecutar manualmente, el diálogo de nueva ejecución pide proceso, agente y sesión de robot (los tres son obligatorios).
• En triggers programados, configuras la sesión de robot con la que se ejecutará cada ejecución automática.

Cada opción del selector muestra el nombre, el usuario de Windows y el estado de la sesión.

Estados

Estado (en el portal)	Significado
Disponible	La sesión está lista para usarse
No disponible	La cuenta no tiene un escritorio utilizable en este momento (sin sesión activa, o un problema de conexión/credenciales)

El agente reporta el estado de las sesiones a Zoan Cloud; si una queda No disponible justo cuando debe ejecutar, revisa que la máquina esté encendida, que la cuenta pueda iniciar sesión por RDP y que la contraseña siga vigente.

Credencial rechazada por Windows

Si Windows rechaza la cuenta de una sesión (la contraseña cambió, la cuenta se bloqueó, venció o se deshabilitó), la sesión muestra Credencial rechazada por Windows, con el motivo, en qué máquina se detectó y qué hacer.

Por qué no se reintenta sola. Repetir el inicio de sesión con una contraseña equivocada no la arregla, y cada intento fallido acerca la cuenta al bloqueo de Windows, que puede afectar también a otros sistemas que usan esa cuenta. Por eso, desde que Windows la rechaza, ni el Agent ni Zoan Cloud la vuelven a intentar por su cuenta:

• Las ejecuciones que necesitan esa sesión no se envían: fallan al instante con un mensaje claro y el motivo, en vez de quedar esperando o ir sumando intentos.
• En una cuenta de dominio, la sesión se deja de usar en todas las máquinas. En una cuenta local, solo en la máquina que la rechazó; si no queda otra máquina donde pueda iniciar sesión, la ejecución lo dice.
• En un flujo, el paso queda como incidente con la acción Actualizar la sesión de robot y el enlace Ir a Sesiones. El robot no llegó a correr, así que reintentarlo después es seguro.

Cómo resolverlo.

Motivo	Qué hacer
El usuario o la contraseña no son válidos	Pulsa Actualizar contraseña y escribe la contraseña vigente. Al guardarla se vuelve a usar en todas las máquinas.
La cuenta está bloqueada	Espera a que Windows la desbloquee o desbloquéala. Zoan Cloud lo vuelve a intentar solo 15 minutos después del rechazo.
La contraseña venció o debe cambiarse	Cámbiala en Windows y luego actualízala en la sesión.
La cuenta está deshabilitada o vencida	Habilítala (o amplía su vigencia) en Windows y vuelve a probar la sesión.
La cuenta no tiene permiso para iniciar sesión en esa máquina	Revisa el derecho de inicio de sesión por Escritorio remoto y las restricciones de horario o de equipo de la cuenta.
La máquina no pudo validar la cuenta (sin conexión con el dominio)	Revisa la red y la unión al dominio de la máquina. Este caso no marca la sesión como rechazada: es un problema de la máquina, no de la cuenta.

La marca se quita sola cuando cambias el usuario o escribes una contraseña nueva, cuando una prueba de la sesión sale bien o cuando una ejecución posterior inicia sesión sin problema. Cambiar solo el nombre o las máquinas permitidas no la quita.

Códigos de error

Las ejecuciones que fallan por la cuenta de la sesión muestran uno de estos códigos, con el mensaje claro primero y el detalle técnico debajo. La contraseña nunca aparece.

Código	Qué significa
session_credentials_invalid	Windows rechazó el usuario o la contraseña de la sesión de robot.
session_account_locked	La cuenta de la sesión de robot está bloqueada por Windows.
session_password_expired	La contraseña de la sesión de robot venció o debe cambiarse.
session_account_disabled	La cuenta de la sesión de robot está deshabilitada o vencida.
session_logon_denied	La cuenta no puede iniciar sesión en esa máquina.
session_logon_unavailable	La máquina no pudo validar la cuenta (sin conexión con el controlador de dominio). Se trata como un problema pasajero.

La contraseña, siempre protegida

El Agent recuerda que una credencial fue rechazada sin guardar la contraseña, y en su versión más reciente ya no pasa la contraseña por la línea de comandos al abrir la sesión de escritorio del robot.

Sesión de robot vs. credencial

No las confundas — son cosas distintas y complementarias:

	Sesión de robot	Credencial
Qué guarda	La cuenta de Windows bajo la que se ejecuta el bot	Secretos de sistemas que el bot usa (ERP, correo, API, BD)
Para qué	Darle al bot un escritorio en desatendido	Que el playbook acceda a un sistema sin exponer el secreto
Cómo se usa	Se elige al ejecutar el proceso	Se referencia en el playbook con credential("nombre")

¿Cuál necesito?

Casi siempre ambas, para cosas distintas. Piénsalo así:

• ¿Dónde se ejecuta el bot? → una sesión de robot (la cuenta de Windows que le da escritorio en desatendido). Una por máquina/cuenta, se elige al lanzar.
• ¿A qué sistemas entra el bot? → una credencial por cada sistema (el ERP, el correo, la base de datos). Tantas como sistemas use el playbook.

Ejemplo: un bot que se ejecuta de noche para descargar facturas de un portal necesita una sesión de robot (para tener escritorio) y una credencial con el usuario/clave del portal.

Siguientes pasos

• Qué es un agente — la máquina donde se ejecuta el bot.
• Ejecutar manualmente — elegir la sesión de robot al lanzar.
• Gestión de credenciales — secretos de los sistemas que el bot usa.