iTop Platform Guide

Plataforma

Qué es iTop, en una VM que ya lo sabe usar

IncidentM es la plataforma de BMM basada en iTop para la gestión de incidentes: el mismo motor de ITSM y CMDB de código abierto desarrollado por Combodo, licenciado bajo AGPL-3.0, con el catálogo ITIL completo ya instalado y la cuenta de administrador lista al primer login. Estamos listos para operar desde el momento del despliegue.

CMDB con organizaciones, personas, equipos y activos ya modelados.
Catálogo de tickets ITIL: incidentes, solicitudes, cambios y errores conocidos.
Portal de autoservicio para usuarios finales, separado de la consola de administración.
Caché de objetos APCu activo — el mismo motor que iTop recomienda para producción.

Secciones de la plataforma

Ocho módulos, un mismo Service Desk

Lo que ve un administrador en el menú principal de iTop tras el primer login.

01

CMDB · Configuration Management

Organizaciones, personas, equipos y ubicaciones modelados como CIs relacionados — la base sobre la que se apoya todo lo demás.

02

Activos de infraestructura

Data center, dispositivos de usuario final, almacenamiento y virtualización, cada uno con su propio modelo de datos.

03

Catálogo de servicios

Servicios de negocio y subservicios de TI con SLA propio, para que cada ticket quede vinculado al servicio que afecta.

04

Gestión de incidentes

Registro, priorización, asignación y resolución de incidentes con el flujo ITIL estándar — el corazón de IncidentM.

05

Solicitudes de usuario

Peticiones de servicio con su propio ciclo de vida, separadas del flujo de incidentes.

06

Portal de autoservicio

Vista simplificada para que los usuarios finales reporten incidentes y solicitudes sin tocar la consola de administración.

07

Gestión de cambios

Cambios normales, estándar y de emergencia, con aprobación y ventanas de mantenimiento.

08

Errores conocidos

Base de errores conocidos y workarounds, vinculada a los incidentes recurrentes que los originan.

Arranque rápido

Cómo empezar a usar IncidentM

No hace falta entrar por SSH ni ir a buscar nada en la VM. La cuenta de administrador queda lista con un usuario y password genéricos, iguales en cada despliegue de esta imagen, para que puedas entrar y empezar a trabajar de inmediato.

01

Abrir la URL pública de la VM

La landing de bienvenida BMM te lleva directo al login de iTop.

navegador

http://<IP-o-DNS-de-la-VM>/

02

Iniciar sesión con la cuenta de administrador

Mismo usuario y password en cada instancia de esta imagen — es el punto de partida, no una credencial para dejar así.

login de iTop

Usuario  : admin
Password : BMM-IncidentM-2026!

03

Cambiar el password de inmediato

Desde iTop: menú de usuario (arriba a la derecha) → Mi cuenta → Cambiar contraseña. Es el primer paso recomendado antes de invitar a nadie más o de exponer la VM más allá de pruebas internas.

Sobre este password

Es genérico y está publicado en esta misma página — cualquiera con la URL de tu VM puede probarlo. Sirve para arrancar rápido, no como control de acceso a largo plazo: cámbialo en el primer login (paso 3) o crea una cuenta nueva y desactiva admin antes de usar la instancia en serio.

¿Necesitas las credenciales de base de datos?

Esas sí son aleatorias por instancia (nadie las necesita para usar iTop día a día). Quedan en la VM, solo legibles por root:

terminal

ssh azureuser@<IP-o-DNS-de-la-VM>
sudo cat /root/itop_db_credentials.txt

Estructura de carpetas

Qué hay en disco, dentro de la VM

La misma en cada despliegue de esta imagen — útil para diagnosticar, para saber dónde dejar una extensión nueva, o dónde mirar los logs.

estructura en disco · VM en ejecución

/var/www/html/itop/              # raíz de la app — DocumentRoot de Apache
├── index.html               # landing de bienvenida BMM (se ve antes del login)
├── index.php                # login / aplicación iTop
├── conf/production/
│   └── config-itop.php      # credenciales de BD y ajustes — generado, no versionar
├── env-production/          # módulos "compilados" para este entorno
│   ├── authent-ldap/
│   ├── combodo-oauth2-client/
│   ├── itop-ticket-mgmt-itil-incident/
│   └── ...
├── data/                    # cache de datamodel, backups locales
├── log/                     # error.log y logs propios de iTop
└── extensions/               # extensiones adicionales — p. ej. combodo-saml

/opt/itop-bootstrap/            # assets del bootstrap, no expuestos por Apache
├── install.sh
├── assets/bmm-logo.png
└── templates/welcome.html

/root/itop_db_credentials.txt   # credenciales del primer arranque · chmod 600

Ruta	Para qué sirve
conf/production/config-itop.php	Conexión a BD y ajustes de módulos. Se genera en el primer arranque — nunca se hardcodea ni se versiona.
env-production/	Lo que Apache sirve realmente: cada módulo ITIL instalado, ya "compilado" para este entorno.
log/	Primer lugar donde mirar si algo en iTop falla después del arranque.
extensions/	Carpeta pensada para agregar extensiones — por ejemplo, la extensión de SSO de Azure AD (ver siguiente sección).
/root/itop_db_credentials.txt	Credenciales generadas en el primer arranque. Rotar o eliminar después del primer login real.

Hardening y rendimiento

Lo que corre solo, antes de que alguien entre

Todo lo de abajo se aplica en el primer arranque, sin depender de que un operador lo recuerde ejecutar.

Control	Mecanismo
Instalación desatendida	Instalador oficial de iTop (unattended-install.php) — sin wizard web que quedar a medias.
Credenciales de base de datos	Generadas con openssl rand -hex 12 en el arranque; nunca embebidas en la imagen.
Cuenta admin de iTop	Usuario y password genéricos y documentados (ver Arranque rápido), pensados para cambiarse en el primer login — no para dejarse así.
Firewall de host	UFW: default deny incoming + allow explícito de 22/80/443.
Fuerza bruta SSH	fail2ban con jail sshd activo desde el primer arranque.
Parches de seguridad	unattended-upgrades reconfigurado en modo no interactivo.
MariaDB no expuesto	bind-address 127.0.0.1 por defecto — sin puerto 3306 accesible desde fuera de la VM.
Usuario de BD acotado	itopuser solo tiene privilegios sobre itopdb, no sobre el resto del servidor.
Caché de objetos (rendimiento)	php-apcu instalado y activado con phpenmod apcu — el motor de caché que iTop recomienda para producción.

Integración

Azure AD (Microsoft Entra ID)

Confirmado: la imagen incluye, desde el primer arranque, los dos módulos base de iTop para hablar con Azure AD. No hace falta un redeploy para empezar a configurarlos — solo los datos de tu tenant.

Instalado

LDAP / Azure AD DS

Módulo authent-ldap activo, con php-ldap cargado. Autentica contra un directorio LDAPS — típicamente Azure AD Domain Services, o un AD on-prem sincronizado con Azure AD Connect.

Host y puerto LDAPS del directorio
Base DN y cuenta de bind de solo lectura
Certificado de confianza para LDAPS

Instalado

OAuth2 · Microsoft Graph

Módulo combodo-oauth2-client activo, con la clase MicrosoftGraphOauth2Client ya disponible en el menú de administración para llamadas autenticadas a Microsoft Graph.

Application (client) ID del App Registration
Client secret
Tenant ID (o common multi-tenant)

Extensión de pago

SSO interactivo (login)

Para que un usuario inicie sesión en iTop directamente con su cuenta de Azure AD (SAML u OpenID Connect), se agrega la extensión oficial de Combodo correspondiente en extensions/ — no viene incluida en el paquete community.

combodo-saml — SSO SAML v2, Azure AD probado como IdP
combodo-hybridauth — OpenID Connect, Microsoft Graph como proveedor

Qué significa "listo"

Los dos módulos gratuitos ya están instalados y verificados en cada arranque (ver Hardening). Configurarlos es trabajo de administración de iTop, no de re-despliegue de la imagen. El login SSO interactivo es la única pieza que requiere una extensión adicional del iTop Store.

Compatibilidad

Frente a los requisitos oficiales de iTop

Comparado contra la página oficial de requisitos del sistema de iTop.

Requisito oficial	Rango soportado	Esta imagen
PHP	8.1 – 8.4	PHP 8.1 + APCu	Dentro de rango
MariaDB	10.6 – 11.8	MariaDB 10.6	Dentro de rango
GraphViz	Requerido para diagramas de ciclo de vida / impacto	Instalado	Cumple
Sistema operativo	Recomendado: Debian 12 / Ubuntu 24.04 LTS	Ubuntu 22.04 LTS	Borde inferior

Nota de mantenimiento

Combodo recomienda Debian 12 o Ubuntu 24.04 LTS para instalaciones nuevas. El sistema operativo actual sigue dentro del rango soportado de PHP y MariaDB, pero en el borde inferior — evaluar migrarlo en la próxima revisión mayor.

Referencias

Fuentes oficiales y aviso legal

Cada afirmación técnica sobre iTop en este documento está respaldada por la documentación oficial de Combodo.

Requirements & Installation

Requisitos oficiales de PHP, MariaDB/MySQL, GraphViz y sistema operativo.

itophub.io

Automated installation

Instalador desatendido oficial usado en el primer arranque de esta imagen.

itophub.io

Authentication with SSO SAML

Extensión oficial combodo-saml — Azure AD listado como IdP probado.

itophub.io

Authentication with OpenID

Extensión oficial combodo-hybridauth — Microsoft Graph como proveedor.

itophub.io

Combodo/iTop

Código fuente oficial y licencia AGPL-3.0.

github.com

Aviso legal

iTop® es un producto de Combodo SAS, distribuido bajo licencia GNU Affero General Public License v3 (AGPL-3.0). BMM despliega y hardeniza iTop como base de la oferta IncidentM; BMM no está afiliada a, patrocinada por, ni respaldada por Combodo. Ante cualquier discrepancia, la documentación oficial de Combodo en itophub.io prevalece sobre este documento.