# SGU Credential Provider 0.6.8

Esta versión declara al Auth Broker como la única autoridad de contraseñas para
todas las cuentas administradas bajo `OU=Usuarios-SGU`.

- Cada creación, movimiento o actualización de una cuenta agrega de forma
  idempotente las denegaciones SELF y Everyone para el derecho extendido de
  Active Directory `Change Password`.
- El usuario no puede cambiar la contraseña desde Windows, Ctrl+Alt+Delete,
  LDAP ni herramientas equivalentes.
- El broker conserva el derecho administrativo separado `Reset Password` y
  continúa sincronizando la contraseña institucional exacta mediante
  `SetPassword` después de una autenticación SGU válida.
- El despliegue del broker recorre todas las cuentas existentes en
  `Usuarios-SGU` y corrige aquellas que todavía permiten cambios directos.

No se modifica la contraseña institucional ni se almacena una copia adicional.