From 14b7d0687abacde4b034fa83063bf635e46b923f Mon Sep 17 00:00:00 2001
From: Fernando Rivas <fenandos@hotmail.com>
Date: Wed, 19 Aug 2026 14:48:17 -0600
Subject: [PATCH] docs(manuales): agregar bonus de registro del segundo
 administrador a RUN-DEMO-001
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Documenta el flujo cuando ya existe un owner: quién debe correr el comando, cómo pasar la llave pública del nuevo administrador y cómo verificar el alta.
---
 content/manuales/primer-administrador.md | 36 ++++++++++++++++++++++++
 1 file changed, 36 insertions(+)

diff --git a/content/manuales/primer-administrador.md b/content/manuales/primer-administrador.md
index 2f53f6d..2f07784 100644
--- a/content/manuales/primer-administrador.md
+++ b/content/manuales/primer-administrador.md
@@ -43,3 +43,39 @@ El primer administrador recibe automáticamente el rol `owner`. Después, sólo
 ./bin/clusterlog validate --skip-zola
 git log --show-signature -1
 ```
+
+## Bonus: registrar al segundo administrador
+
+Sólo un `owner` activo puede hacer esto — corra el comando con **su propia** llave (la del primer administrador, ya registrado arriba), nunca con la del segundo.
+
+### Prerrequisitos
+
+- Usted ya es `owner` activo (procedimiento anterior completado).
+- El segundo administrador ya tiene su propia llave SSH y le compartió únicamente el archivo **público** (`.pub`) — nunca la privada.
+
+### Procedimiento
+
+```bash
+./bin/clusterlog --ssh-key ~/.ssh/id_ed25519.pub --commit admin add \
+  --id beto --name "Beto Salazar" --email beto@example.org \
+  --key /ruta/a/la/llave/del-segundo-administrador.pub \
+  --roles admin
+```
+
+Use `--roles owner,admin` sólo si el segundo administrador también debe poder registrar administradores futuros; de lo contrario, `admin` alcanza.
+
+### Verificación
+
+```bash
+./bin/clusterlog --json admin list --active
+git log --show-signature -1
+```
+
+- `admin list --active` muestra a ambos administradores.
+- Desde su propia máquina, el segundo administrador confirma su propia identidad:
+
+  ```bash
+  ./bin/clusterlog --ssh-key ~/.ssh/id_ed25519.pub identity
+  ```
+
+`data/admins.json` y `config/allowed_signers` se actualizan juntos en el mismo commit — no hace falta un paso aparte para autorizar sus futuras firmas.