Esta guía se aplica a computadoras Mac
Acerca de Okta Desktop Password Sync y Platform SSO
Okta Desktop Password Sync con Platform Single Sign-On (SSO) en Iru Endpoint mantiene las contraseñas locales de macOS alineadas con Okta y extiende el inicio de sesión de Okta a la ventana de inicio de sesión de macOS.Cómo funciona
Implementa Desktop Password Sync con el Library Item Okta Verify Auto App. Si la versión del App Store de Okta Verify ya está en tu Blueprint, consulta Cambiar a la Auto App Okta Verify más adelante en esta guía.
Requisitos
Requisitos de Okta
- Usas Okta Identity Engine.
- Tus computadoras Mac deben ser compatibles con Platform SSO 2.0 y Desktop Password Sync desde la ventana de inicio de sesión.
- La aplicación Desktop Password Sync está disponible para tu organización en Okta. Si no encuentras la app Desktop Password Sync en el catálogo de apps, ponte en contacto con tu representante de cuenta de Okta.
- El autenticador Okta Verify está configurado en tu organización.
- Un Library Item de Auto App Okta Verify en tu Library, asignado a los Blueprints donde implementas Desktop Password Sync.
Requisitos adicionales
- Dos plantillas mobileconfig de Custom Profile de esta guía (consulta Editar los archivos de plantilla mobileconfig) y un Library Item Single Sign-on Extension para Okta Platform SSO (consulta Configurar el Library Item Single Sign-on Extension de Okta Platform SSO).
Compatibilidad con FileVault para macOS 15 o posterior
Las directivas de autenticación de Okta pueden exigir comprobaciones más estrictas en macOS 15 y posteriores, incluida la interfaz de FileVault durante Desktop Password Sync. Configúralo en Okta; consulta FileVault network requirements.Crear certificados SCEP de Device Access
Configurar una autoridad de certificación SCEP de escritorio en Okta
1
Acceder al portal de administración de Okta
Inicia sesión en tu portal de administración de Okta.
2
Ir a Security
En la navegación de la izquierda, selecciona Seguridad.
3
Seleccionar Device Integrations
En el menú expandido, selecciona Device Integrations.
4
Seleccionar Device Access
En el panel Device Integration, selecciona Device Access.
5
Añadir la configuración SCEP
Selecciona Add SCEP configuration.
6
Seleccionar Static SCEP URL
Selecciona Static SCEP URL.
7
Generar la configuración
Selecciona Generar.
8
Copiar la URL de SCEP
Copia la SCEP URL.
9
Copiar la clave secreta
Copia la Secret key.Anota la clave secreta ahora. Esta es la única vez que puedes verla. Después, Okta almacena un hash.
10
Guardar la configuración
Selecciona Guardar.
11
Restablecer la clave secreta (opcional)
Si necesitas restablecer la clave secreta (Reset the secret key), puedes hacerlo desde el menú Acciones situado a la derecha de la integración.
Añadir el Library Item SCEP
Para añadir este Library Item a tu Library de Iru Endpoint, consulta el artículo Descripción general de Library.Configurar el Library Item SCEP
1
Asignar un nombre al Library Item
Asigna un nombre al Library Item.
2
Asignar a Blueprints
Asígnalo a los Blueprints que desees.
3
Configurar la URL de SCEP
En el campo URL, pega la URL del servidor SCEP que copiaste antes.
4
Introducir el nombre (opcional)
Introduce un Nombre (opcional).
5
Configurar el desafío
En el campo Challenge, pega la clave secreta que copiaste antes.
6
Establecer el sujeto
En el campo Asunto, introduce CN=$SERIAL_NUMBER.Cuando guardas el Library Item SCEP, Iru Endpoint añade el PROFILE_UUID al CN.
7
Configurar el nombre alternativo del sujeto
Establece el tipo de Subject Alternative Name en Ninguno.
8
Establecer el tamaño de clave
En Key Size, selecciona 2048.
9
Establecer el uso de clave
En Key Usage, selecciona Signing.
10
Configurar los reintentos
Selecciona Retries e introduce 5. Cámbialo si tu entorno necesita un número de reintentos distinto.
11
Configurar el retraso entre reintentos
Selecciona Retry delay e introduce 30 segundos. Cámbialo si tu entorno necesita un retraso distinto.
12
Habilitar el acceso a la clave privada
Selecciona Allow apps to access the private key.
13
Impedir la extracción de la clave
Selecciona Prevent the private key data from being extracted in the keychain.
14
Configurar la redistribución automática
Selecciona Automatic profile redistribution e introduce 30 días antes de que caduque el certificado. Cámbialo si tu entorno necesita un intervalo distinto.
15
Guardar la configuración
Selecciona Save.
Crear y configurar la integración de la app Desktop Password Sync en Okta
1
Acceder al catálogo de aplicaciones
En la Okta Admin Console, ve a Aplicaciones > Applications Catalog.
2
Buscar Desktop Password Sync
Busca Desktop Password Sync y selecciona la app.
3
Añadir la integración
Selecciona Add Integration. Si ves This feature isn’t enabled, ponte en contacto con tu representante de cuenta de Okta.
4
Abrir la configuración de la aplicación
Abre Desktop Password Sync desde tu lista de Aplicaciones para configurarla.
5
Configurar los ajustes generales
En la pestaña General, puedes editar la etiqueta de la aplicación o usar la etiqueta predeterminada.
6
Anotar el Client ID
En la pestaña Sign on, anota el Client ID. Lo necesitarás cuando edites la plantilla mobileconfig de Okta Verify.
7
Asignar usuarios o grupos
Asigna la app a usuarios individuales o grupos en la pestaña Asignaciones. Los usuarios deben tener asignada la app para usar Desktop Password Sync.
8
Guardar la configuración
Selecciona Guardar.
Editar los archivos de plantilla mobileconfig
Descarga y edita estas dos plantillas mobileconfig con un editor de texto sin formato como Visual Studio Code, Sublime Text o BBEdit:Okta_Associated_Domains_Configuration_Template.mobileconfig: Associated Domains para Okta Verify y la extensión auth-serviceOkta_Verify_Configuration_Template.mobileconfig: URL del tenant de Okta y Client ID de Desktop Password Sync para Okta Verify y la extensión auth-service
1
Descargar la plantilla Associated Domains
Descarga Okta_Associated_Domains_Configuration_Template.mobileconfig del repositorio de soporte de GitHub (GitHub).
2
Descargar la plantilla Okta Verify
Descarga Okta_Verify_Configuration_Template.mobileconfig del repositorio de soporte de GitHub (GitHub).
Plantilla Okta Associated Domains
El archivo Okta_Associated_Domains_Configuration_Template.mobileconfig implementa un payload com.apple.associated-domains. Conecta Okta Verify y la extensión auth-service de Okta con tu tenant de Okta para Platform SSO y Desktop Password Sync.1
Abrir la plantilla de configuración
Abre el archivo Okta_Associated_Domains_Configuration_Template.mobileconfig en tu editor de texto.
2
Actualizar AssociatedDomains de auth-service-extension
En la primera entrada Configuración, actualiza AssociatedDomains y sustituye el dominio de ejemplo por la dirección de tu tenant de Okta.
-
Ejemplo: authsrv:accuhive.okta.com
3
Actualizar AssociatedDomains de Okta Verify
En la segunda entrada Configuración, actualiza AssociatedDomains para com.okta.mobile y sustituye el dominio de ejemplo por la dirección de tu tenant de Okta.
-
Ejemplo: authsrv:accuhive.okta.com
4
Guardar el archivo de configuración
Guarda el archivo mobileconfig. Lo subirás como un Library Item de Custom Profile en Añadir Library Items en Iru Endpoint.
Plantilla Okta Verify
1
Abrir la plantilla Okta Verify
Abre el archivo Okta_Verify_Configuration_Template.mobileconfig en tu editor de texto.
2
Establecer OktaVerify.OrgUrl en com.okta.mobile
En el payload com.okta.mobile, establece OktaVerify.OrgUrl en la URL de tu tenant de Okta.
-
Ejemplo: https://accuhive.okta.com
3
Establecer OktaVerify.PasswordSyncClientID en com.okta.mobile
En el payload com.okta.mobile, establece OktaVerify.PasswordSyncClientID en el Client ID de la app Desktop Password Sync que anotaste antes.
4
Establecer OktaVerify.OrgUrl en com.okta.mobile.auth-service-extension
En el payload com.okta.mobile.auth-service-extension, establece OktaVerify.OrgUrl en la URL de tu tenant de Okta.
5
Establecer OktaVerify.PasswordSyncClientID en com.okta.mobile.auth-service-extension
En el payload com.okta.mobile.auth-service-extension, establece OktaVerify.PasswordSyncClientID en el Client ID de la app Desktop Password Sync que anotaste antes.
6
Guardar el archivo de configuración de Okta Verify
Guarda Okta_Verify_Configuration_Template.mobileconfig.
Configurar el Library Item Single Sign-on Extension de Okta Platform SSO
Usa un Library Item Single Sign-on Extension para implementar la extensión de redirección de Okta Verify y los ajustes de Platform SSO en las computadoras Mac inscritas.Termina los Custom Profiles Okta Associated Domains y Okta Verify Configuration antes de asignar este Library Item.
1
Asignar un nombre al Library Item
Introduce un Nombre para el nuevo Library Item (por ejemplo, Okta Platform SSO).
2
Seleccionar la plataforma
Selecciona Mac como plataforma en Instalar en.
3
Asignar a Blueprints
Asigna el Library Item a los mismos Blueprints que tu Library Item SCEP y tus Library Items de Custom Profile para esta implementación.
4
Seleccionar el tipo de extensión
En Tipo de extensión, selecciona Redirect.
5
Configurar el identificador de la extensión
En Extension identifier, introduce:
6
Establecer el Team Identifier
En Team identifier, introduce:
7
Configurar las URL
Añade estas URLs, sustituyendo
accuhive.okta.com por el nombre de host de tu organización de Okta (el mismo nombre de host que usaste en las plantillas Associated Domains y Okta Verify):8
Dejar Hosts vacío
Deja Hosts vacío.
9
Habilitar Platform SSO
Activa Platform SSO.
10
Seleccionar el método de autenticación
En Método de autenticación, selecciona Contraseña.Desktop Password Sync requiere autenticación con contraseña en la ventana de inicio de sesión de macOS.
11
Introducir el token de registro (opcional)
Introduce un Registration token solo si Okta o tu organización lo requieren para el registro de Platform SSO.
12
Habilitar los ajustes de macOS 15 y posteriores (opcional)
En Platform SSO, activa las opciones de macOS 15 and later que tu organización necesite para Desktop Password Sync o FileVault. Consulta Compatibilidad con FileVault para macOS 15 o posterior y el historial de versiones de PSSO para macOS de Okta.
13
Establecer los permisos de los usuarios existentes
Establece Existing user permissions en Estándar, Administrador o Grupos.
14
Establecer los permisos de los usuarios nuevos
Establece los permisos predeterminados para New Users.
15
Habilitar las claves de dispositivo compartidas
Selecciona Use shared device keys.Este ajuste es obligatorio para Desktop Password Sync.
16
Habilitar la autorización con el proveedor de identidad
Activa Allow authorization (with identity provider account) para que los usuarios puedan aprobar las solicitudes del sistema con sus credenciales de Okta.
17
Habilitar la creación automática de cuentas locales (opcional)
Si quieres que las cuentas locales se creen automáticamente en la ventana de inicio de sesión, habilita Allow creation of new users at login window.
18
Habilitar la atestación de dispositivos (opcional)
Si tu organización usa atestación de dispositivos, activa la opción para enviar el UDID y el número de serie del dispositivo en las atestaciones de Platform SSO (macOS 15.4 y posteriores).
19
Introducir el nombre visible de la cuenta
Introduce un Account display name que los usuarios reconozcan en las notificaciones y solicitudes de inicio de sesión (a menudo, el nombre de tu empresa). Este valor se aplica a todo el sistema y es visible para todos los usuarios de la Mac.
20
Establecer Require full login after
En Require full login after, introduce el número de segundos. El valor predeterminado es 18 horas (64800 segundos). El mínimo es 1 hora (3600 segundos).
21
Establecer Account name y Nombre completo
Establece Account name y Nombre completo en los atributos de Okta que se usan al crear usuarios nuevos o para la autorización.Si no estás seguro de qué valores usar, pregunta a tu administrador de Okta o consulta Set Account name and Nombre completo en Permisos y ajustes de cuenta.
22
Configurar grupos (opcional)
Opcional: configura Grupos de administradores, Grupos adicionales y Authorization rights:
- Grupos de administradores son grupos de Okta que deben recibir acceso de administrador en la Mac.
- Grupos adicionales se crean como grupos locales si aún no existen.
- Authorization rights asignan un derecho de autorización a un grupo. Cada derecho se puede especificar una vez. Por ejemplo, asigna la gestión de impresoras a un grupo.
23
Guardar el Library Item
Selecciona Guardar.
Habilitar el registro durante el Asistente de configuración (macOS 26 y posteriores)
En macOS 26 y posteriores, Platform SSO puede ejecutarse durante el Asistente de configuración para que la Mac se registre en Okta antes durante la inscripción. Configura el registro durante la configuración, la creación del primer usuario, la sincronización de la imagen de perfil y Enable Authenticated Guest Mode Quick Login en la sección Mac macOS 26 and later de tu Library Item Single Sign-on Extension Okta Platform SSO.1
Abrir el Library Item Single Sign-on Extension
En la Library, abre tu Library Item Single Sign-on Extension Okta Platform SSO, selecciona Editar y ve a Mac macOS 26 and later en la sección Platform SSO.
2
Establecer Enable registration during Setup Assistant
En Enable registration during Setup Assistant, selecciona Sí para registrarse en Okta durante el Asistente de configuración.
3
Establecer Create first user during Setup Assistant
En Create first user during Setup Assistant, selecciona Sí si la Mac debe crear su primera cuenta local durante el Asistente de configuración a partir de la identidad de Okta. Selecciona No si aprovisionas la primera cuenta de otra forma.
4
Establecer Synchronize profile picture
En Synchronize profile picture, selecciona Sí para copiar la imagen de perfil de Okta del usuario a la cuenta local de macOS durante la configuración, o No para omitirlo.
5
Establecer Enable Authenticated Guest Mode Quick Login
Enable Authenticated Guest Mode Quick Login tiene el valor predeterminado No configurado. Selecciona Sí para computadoras Mac compartidas en las que los usuarios inician sesión temporalmente con Okta. Para computadoras Mac estándar de un solo usuario, déjalo en No configurado o selecciona No.
6
Establecer Métodos de autenticación de usuarios nuevos
En Métodos de autenticación de usuarios nuevos, selecciona Contraseña, Smart card o ambos. También puedes añadir OpenID con cualquier Método de autenticación. OpenID está disponible en macOS 27 y posteriores, y al seleccionarlo se muestra Lista de permitidos de URL de inicio de sesión web en Mac macOS 27 and later.
Si piensas usar OpenID, ponte en contacto con tu proveedor de identidad para confirmar que admite OpenID con Platform SSO.
7
Guardar el Library Item
Si Métodos de autenticación de usuarios nuevos incluye OpenID, añade al menos una URL a Lista de permitidos de URL de inicio de sesión web en Mac macOS 27 and later antes de guardar. Consulta Inicio de sesión web (macOS 27 y posteriores). Selecciona Guardar.
Instalar los Library Items de Platform SSO durante Automated Device Enrollment
Cuando usas el registro durante el Asistente de configuración, el Library Item SCEP, ambos Library Items de Custom Profile, el Library Item Single Sign-on Extension Okta Platform SSO y la Okta Verify Auto App deben instalarse antes de que finalice el Asistente de configuración. Añade y asigna esos Library Items en Añadir Library Items en Iru Endpoint y, a continuación, configura Automated Device Enrollment:1
Abrir el Library Item de Automated Device Enrollment
En la Library, abre tu Library Item Automated Device Enrollment y ve a la sección Mac.
2
Activar Instalar Library Items durante el Asistente de configuración
Activa Instalar Library Items durante el Asistente de configuración para Mac para que los Library Items seleccionados se instalen durante la configuración de la inscripción en lugar de después de que finalice el Asistente de configuración.
3
Añadir los Library Items necesarios
Selecciona Add Library Items y añade cada elemento de esta guía:
- Library Item SCEP
- Okta Associated Domains (perfil personalizado):
Okta_Associated_Domains_Configuration_Template.mobileconfig - Configuración de Okta Verify (perfil personalizado):
Okta_Verify_Configuration_Template.mobileconfig - Okta Platform SSO (Library Item Single Sign-on Extension)
- Okta Verify Auto App
4
Guardar el Library Item de Automated Device Enrollment
Selecciona Guardar en el Library Item de Automated Device Enrollment.
Añadir Library Items en Iru Endpoint
Añade a Iru Endpoint tu Library Item SCEP, tus Library Items de Custom Profile, el Library Item Single Sign-on Extension Okta Platform SSO y la Okta Verify Auto App. Consulta el artículo Descripción general de Library si necesitas los conceptos básicos.1
Crear el Library Item de Custom Profile Associated Domains
Asigna un nombre al Library Item (por ejemplo, Okta Associated Domains). Asígnalo a tus Blueprints. Sube tu archivo Okta_Associated_Domains_Configuration_Template.mobileconfig editado y selecciona Guardar.
2
Confirmar el Library Item Single Sign-on Extension de Okta Platform SSO
Si aún no lo has hecho, completa Configurar el Library Item Single Sign-on Extension de Okta Platform SSO y asígnalo a los mismos Blueprints.
3
Crear el Library Item de Custom Profile de Okta Verify
Crea un Library Item de Custom Profile para Okta_Verify_Configuration_Template.mobileconfig (por ejemplo, Okta Verify Configuration). Asígnalo a los mismos Blueprints, sube el archivo y selecciona Guardar.
4
Asignar la Auto App Okta Verify
En la Library, ve a Auto Apps y abre Okta Verify. Asigna el Library Item a los mismos Blueprints que el Library Item SCEP, los Library Items de Custom Profile y el Library Item Single Sign-on Extension Okta Platform SSO.
5
Implementar en los dispositivos
Una vez que los dispositivos reciban los Library Items y la Okta Verify Auto App, se pedirá a los usuarios que se registren y sincronicen su contraseña de Okta.
Assignment Maps
Asigna el Library Item SCEP, ambos Library Items de Custom Profile, el Library Item Single Sign-on Extension Okta Platform SSO y la Okta Verify Auto App en el Assignment Map del Blueprint. Usa lógica condicional cuando necesites limitar los Library Items a grupos de dispositivos específicos. Consulta Configurar Blueprints para conocer los conceptos básicos de los Blueprints.Cambiar a la Auto App Okta Verify
Si Okta Verify ya está en el Blueprint mediante otro Library Item, cambia a la Okta Verify Auto App sin volver a realizar la configuración de Desktop Password Sync. Tus Library Items de Custom Profile, el Library Item Single Sign-on Extension Okta Platform SSO y la configuración de Okta permanecen en el dispositivo.1
Editar el Assignment Map
Abre el Assignment Map del Blueprint y selecciona Editar asignaciones.
2
Eliminar la asignación anterior de Okta Verify
Elimina el Library Item Okta Verify existente del Assignment Map.
3
Asignar la Auto App Okta Verify
Añade el Library Item Okta Verify Auto App al mismo ámbito del Assignment Map que tus Library Items SCEP, Custom Profile y Okta Platform SSO.
4
Guardar el Assignment Map
Selecciona Guardar para aplicar los cambios del Assignment Map.
La app Okta Verify anterior se elimina de los dispositivos. El perfil Associated Domains, la configuración de Single Sign-on Extension Okta Platform SSO y el Custom Profile de Okta Verify permanecen. En el siguiente check-in del Iru Agent (en unos 15 minutos), Iru Endpoint instala la Okta Verify Auto App.Si también usas Okta Device Trust, consulta Configurar Okta Verify para Device Trust cuando necesites actualizar ODT en la Auto App.
Experiencia de usuario y próximos pasos
Con Platform SSO habilitado, macOS oculta el botón Change en el campo Password en Users & Groups (Ajustes del Sistema). Apple diseñó este comportamiento para Platform SSO.