> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Implementar Okta Desktop Password Sync y Platform SSO

> Implementa Okta Desktop Password Sync con Platform SSO en Mac mediante Iru Endpoint. Configura SCEP, Library Items de Custom Profile y la Auto App Okta Verify.

<Callout icon="apple" color="#B84A7A" iconType="regular">Esta guía se aplica a computadoras Mac</Callout>

### Acerca de Okta Desktop Password Sync y Platform SSO

Okta Desktop Password Sync con Platform Single Sign-On (SSO) en Iru Endpoint mantiene las contraseñas locales de macOS alineadas con Okta y extiende el inicio de sesión de Okta a la ventana de inicio de sesión de macOS.

### Cómo funciona

<Warning>
  Okta Desktop Password Sync se encuentra actualmente en la versión "Early Access" de Okta. Consulta el recurso de Okta: [Manage Early Access and Beta](https://help.okta.com/oie/en-us/content/topics/security/manage-ea-and-beta-features.htm).
</Warning>

<Note>
  Implementa Desktop Password Sync con el Library Item **Okta Verify Auto App**. Si la versión del App Store de Okta Verify ya está en tu Blueprint, consulta [Cambiar a la Auto App Okta Verify](#switch-to-the-okta-verify-auto-app) más adelante en esta guía.
</Note>

### Requisitos

#### Requisitos de Okta

* Usas Okta Identity Engine.
* Tus computadoras Mac deben ser compatibles con **Platform SSO 2.0** y Desktop Password Sync desde la ventana de inicio de sesión.
* La aplicación Desktop Password Sync está disponible para tu organización en Okta. Si no encuentras la app Desktop Password Sync en el catálogo de apps, ponte en contacto con tu representante de cuenta de Okta.
* El autenticador Okta Verify está configurado en tu organización.
* Un Library Item de Auto App **Okta Verify** en tu Library, asignado a los Blueprints donde implementas Desktop Password Sync.

#### Requisitos adicionales

* Dos plantillas mobileconfig de Custom Profile de esta guía (consulta **Editar los archivos de plantilla mobileconfig**) y un Library Item **Single Sign-on Extension** para Okta Platform SSO (consulta **Configurar el Library Item Single Sign-on Extension de Okta Platform SSO**).

### Compatibilidad con FileVault para macOS 15 o posterior

Las directivas de autenticación de Okta pueden exigir comprobaciones más estrictas en macOS 15 y posteriores, incluida la interfaz de FileVault durante Desktop Password Sync. Configúralo en Okta; consulta [FileVault network requirements](https://help.okta.com/oie/en-us/content/topics/oda/macos-pw-sync/about-psso-version-history.htm#fvnetwork).

### Crear certificados SCEP de Device Access

#### Configurar una autoridad de certificación SCEP de escritorio en Okta

<Steps>
  <Step title="Acceder al portal de administración de Okta">
    Inicia sesión en tu portal de administración de Okta.
  </Step>

  <Step title="Ir a Security">
    En la navegación de la izquierda, selecciona **Seguridad**.
  </Step>

  <Step title="Seleccionar Device Integrations">
    En el menú expandido, selecciona **Device Integrations**.
  </Step>

  <Step title="Seleccionar Device Access">
    En el panel Device Integration, selecciona **Device Access**.
  </Step>

  <Step title="Añadir la configuración SCEP">
    Selecciona **Add SCEP configuration**.
  </Step>

  <Step title="Seleccionar Static SCEP URL">
    Selecciona **Static SCEP URL**.
  </Step>

  <Step title="Generar la configuración">
    Selecciona **Generar**.
  </Step>

  <Step title="Copiar la URL de SCEP">
    Copia la **SCEP URL**.
  </Step>

  <Step title="Copiar la clave secreta">
    Copia la **Secret key**.

    Anota la clave secreta ahora. Esta es la única vez que puedes verla. Después, Okta almacena un hash.
  </Step>

  <Step title="Guardar la configuración">
    Selecciona **Guardar**.
  </Step>

  <Step title="Restablecer la clave secreta (opcional)">
    Si necesitas restablecer la clave secreta (**Reset the secret key**), puedes hacerlo desde el menú **Acciones** situado a la derecha de la integración.
  </Step>
</Steps>

#### Añadir el Library Item SCEP

Para añadir este Library Item a tu Library de Iru Endpoint, consulta el artículo [Descripción general de Library](/es/endpoint/library/library-items-profiles/library-overview).

#### Configurar el Library Item SCEP

<Steps>
  <Step title="Asignar un nombre al Library Item">
    Asigna un nombre al Library Item.
  </Step>

  <Step title="Asignar a Blueprints">
    Asígnalo a los [Blueprints](/es/endpoint/getting-started/blueprints-and-library/configuring-blueprints) que desees.
  </Step>

  <Step title="Configurar la URL de SCEP">
    En el campo **URL**, pega la URL del servidor SCEP que copiaste antes.
  </Step>

  <Step title="Introducir el nombre (opcional)">
    Introduce un **Nombre** (opcional).
  </Step>

  <Step title="Configurar el desafío">
    En el campo **Challenge**, pega la clave secreta que copiaste antes.
  </Step>

  <Step title="Establecer el sujeto">
    En el campo **Asunto**, introduce CN=\$SERIAL\_NUMBER.

    Cuando guardas el Library Item SCEP, Iru Endpoint añade el PROFILE\_UUID al CN.
  </Step>

  <Step title="Configurar el nombre alternativo del sujeto">
    Establece el tipo de **Subject Alternative Name** en **Ninguno**.
  </Step>

  <Step title="Establecer el tamaño de clave">
    En **Key Size**, selecciona 2048.
  </Step>

  <Step title="Establecer el uso de clave">
    En **Key Usage**, selecciona Signing.
  </Step>

  <Step title="Configurar los reintentos">
    Selecciona **Retries** e introduce **5**. Cámbialo si tu entorno necesita un número de reintentos distinto.
  </Step>

  <Step title="Configurar el retraso entre reintentos">
    Selecciona **Retry delay** e introduce **30** segundos. Cámbialo si tu entorno necesita un retraso distinto.
  </Step>

  <Step title="Habilitar el acceso a la clave privada">
    Selecciona **Allow apps to access the private key**.
  </Step>

  <Step title="Impedir la extracción de la clave">
    Selecciona **Prevent the private key data from being extracted in the keychain**.
  </Step>

  <Step title="Configurar la redistribución automática">
    Selecciona **Automatic profile redistribution** e introduce **30** días antes de que caduque el certificado. Cámbialo si tu entorno necesita un intervalo distinto.
  </Step>

  <Step title="Guardar la configuración">
    Selecciona Save.
  </Step>
</Steps>

Para obtener más información sobre el Library Item SCEP de Iru Endpoint, consulta [Configurar el Library Item SCEP](/es/endpoint/library/library-items-profiles/configure-the-scep-library-item).

### Crear y configurar la integración de la app Desktop Password Sync en Okta

<Steps>
  <Step title="Acceder al catálogo de aplicaciones">
    En la Okta Admin Console, ve a **Aplicaciones** > **Applications Catalog**.
  </Step>

  <Step title="Buscar Desktop Password Sync">
    Busca **Desktop Password Sync** y selecciona la app.
  </Step>

  <Step title="Añadir la integración">
    Selecciona **Add Integration**. Si ves **This feature isn't enabled**, ponte en contacto con tu representante de cuenta de Okta.
  </Step>

  <Step title="Abrir la configuración de la aplicación">
    Abre Desktop Password Sync desde tu lista de **Aplicaciones** para configurarla.
  </Step>

  <Step title="Configurar los ajustes generales">
    En la pestaña **General**, puedes editar la etiqueta de la aplicación o usar la etiqueta predeterminada.
  </Step>

  <Step title="Anotar el Client ID">
    En la pestaña **Sign on**, anota el **Client ID**. Lo necesitarás cuando edites la plantilla mobileconfig de Okta Verify.
  </Step>

  <Step title="Asignar usuarios o grupos">
    Asigna la app a usuarios individuales o grupos en la pestaña **Asignaciones**. Los usuarios deben tener asignada la app para usar Desktop Password Sync.
  </Step>

  <Step title="Guardar la configuración">
    Selecciona **Guardar**.
  </Step>
</Steps>

### Editar los archivos de plantilla mobileconfig

Descarga y edita estas dos plantillas mobileconfig con un editor de texto sin formato como Visual Studio Code, Sublime Text o BBEdit:

* `Okta_Associated_Domains_Configuration_Template.mobileconfig`: Associated Domains para Okta Verify y la extensión auth-service
* `Okta_Verify_Configuration_Template.mobileconfig`: URL del tenant de Okta y Client ID de Desktop Password Sync para Okta Verify y la extensión auth-service

Sube cada archivo terminado como un Library Item de Custom Profile en [Añadir Library Items en Iru Endpoint](#add-library-items-in-iru-endpoint).

<Steps>
  <Step title="Descargar la plantilla Associated Domains">
    Descarga **Okta\_Associated\_Domains\_Configuration\_Template.mobileconfig** del repositorio de soporte de GitHub ([GitHub](https://github.com/kandji-inc/support/blob/main/Configuration%20Profiles/Okta_Associated_Domains_Configuration_Template.mobileconfig)).
  </Step>

  <Step title="Descargar la plantilla Okta Verify">
    Descarga **Okta\_Verify\_Configuration\_Template.mobileconfig** del repositorio de soporte de GitHub ([GitHub](https://github.com/kandji-inc/support/blob/main/Configuration%20Profiles/Okta_Verify_Configuration_Template.mobileconfig)).
  </Step>
</Steps>

#### Plantilla Okta Associated Domains

El archivo **Okta\_Associated\_Domains\_Configuration\_Template.mobileconfig** implementa un payload **com.apple.associated-domains**. Conecta Okta Verify y la extensión auth-service de Okta con tu tenant de Okta para Platform SSO y Desktop Password Sync.

<Steps>
  <Step title="Abrir la plantilla de configuración">
    Abre el archivo **Okta\_Associated\_Domains\_Configuration\_Template.mobileconfig** en tu editor de texto.
  </Step>

  <Step title="Actualizar AssociatedDomains de auth-service-extension">
    En la primera entrada **Configuración**, actualiza **AssociatedDomains** y sustituye el dominio de ejemplo por la dirección de tu tenant de Okta.

    * Ejemplo: authsrv:accuhive.okta.com

      ```xml theme={null}
      <key>ApplicationIdentifier</key>
      <string>B7F62B65BN.com.okta.mobile.auth-service-extension</string>
      <key>AssociatedDomains</key>
      <array>
           <!-- replace accuhive.okta.com with your tenant address -->
           <string>authsrv:accuhive.okta.com</string>
      ```
  </Step>

  <Step title="Actualizar AssociatedDomains de Okta Verify">
    En la segunda entrada **Configuración**, actualiza **AssociatedDomains** para **com.okta.mobile** y sustituye el dominio de ejemplo por la dirección de tu tenant de Okta.

    * Ejemplo: authsrv:accuhive.okta.com

      ```xml theme={null}
      <key>ApplicationIdentifier</key>
      <string>B7F62B65BN.com.okta.mobile</string>
      <key>AssociatedDomains</key>
      <array>
           <!-- replace accuhive.okta.com with your tenant address -->
           <string>authsrv:accuhive.okta.com</string>
      ```
  </Step>

  <Step title="Guardar el archivo de configuración">
    Guarda el archivo mobileconfig. Lo subirás como un Library Item de Custom Profile en [Añadir Library Items en Iru Endpoint](#add-library-items-in-iru-endpoint).
  </Step>
</Steps>

#### Plantilla Okta Verify

<Steps>
  <Step title="Abrir la plantilla Okta Verify">
    Abre el archivo **Okta\_Verify\_Configuration\_Template.mobileconfig** en tu editor de texto.
  </Step>

  <Step title="Establecer OktaVerify.OrgUrl en com.okta.mobile">
    En el payload **com.okta.mobile**, establece **OktaVerify.OrgUrl** en la URL de tu tenant de Okta.

    * Ejemplo: [https://accuhive.okta.com](https://accuhive.okta.com)

      ```xml theme={null}
      <dict>
           <!-- replace accuhive.okta.com with your tenant -->
           <key>OktaVerify.OrgUrl</key>
           <string>https://accuhive.okta.com</string>
      ```
  </Step>

  <Step title="Establecer OktaVerify.PasswordSyncClientID en com.okta.mobile">
    En el payload **com.okta.mobile**, establece **OktaVerify.PasswordSyncClientID** en el **Client ID** de la app Desktop Password Sync que anotaste antes.

    ```xml theme={null}
    <!-- replace YOUR_CLIENT_ID with your Desktop Password Sync app Client ID -->
    <key>OktaVerify.PasswordSyncClientID</key>
    <string>YOUR_CLIENT_ID</string>
    ```
  </Step>

  <Step title="Establecer OktaVerify.OrgUrl en com.okta.mobile.auth-service-extension">
    En el payload **com.okta.mobile.auth-service-extension**, establece **OktaVerify.OrgUrl** en la URL de tu tenant de Okta.

    ```xml theme={null}
    <dict>
         <!-- replace accuhive.okta.com with your tenant -->
         <key>OktaVerify.OrgUrl</key>
         <string>https://accuhive.okta.com</string>
    ```
  </Step>

  <Step title="Establecer OktaVerify.PasswordSyncClientID en com.okta.mobile.auth-service-extension">
    En el payload **com.okta.mobile.auth-service-extension**, establece **OktaVerify.PasswordSyncClientID** en el **Client ID** de la app Desktop Password Sync que anotaste antes.

    ```xml theme={null}
    <!-- replace YOUR_CLIENT_ID with your Desktop Password Sync app Client ID -->
    <key>OktaVerify.PasswordSyncClientID</key>
    <string>YOUR_CLIENT_ID</string>
    ```
  </Step>

  <Step title="Guardar el archivo de configuración de Okta Verify">
    Guarda **Okta\_Verify\_Configuration\_Template.mobileconfig**.
  </Step>
</Steps>

### Configurar el Library Item Single Sign-on Extension de Okta Platform SSO

Usa un Library Item **Single Sign-on Extension** para implementar la extensión de redirección de Okta Verify y los ajustes de Platform SSO en las computadoras Mac inscritas.

<Note>
  Termina los Custom Profiles **Okta Associated Domains** y **Okta Verify Configuration** antes de asignar este Library Item.
</Note>

Consulta el artículo [Descripción general de Library](/es/endpoint/library/library-items-profiles/library-overview) para añadir Library Items en Iru Endpoint. Para ver las descripciones de los campos de la extensión, consulta [Configurar el Library Item de Single Sign-On Extension](/es/endpoint/library/library-items-profiles/configure-the-single-sign-on-extension-library-item). Para los ajustes de Platform SSO, consulta [Configurar Platform Single Sign-On](/es/endpoint/library/library-items-profiles/configure-platform-single-sign-on).

<Steps>
  <Step title="Asignar un nombre al Library Item">
    Introduce un **Nombre** para el nuevo Library Item (por ejemplo, **Okta Platform SSO**).
  </Step>

  <Step title="Seleccionar la plataforma">
    Selecciona **Mac** como plataforma en **Instalar en**.
  </Step>

  <Step title="Asignar a Blueprints">
    Asigna el Library Item a los mismos [Blueprints](/es/endpoint/getting-started/blueprints-and-library/configuring-blueprints) que tu Library Item SCEP y tus Library Items de Custom Profile para esta implementación.
  </Step>

  <Step title="Seleccionar el tipo de extensión">
    En **Tipo de extensión**, selecciona **Redirect**.
  </Step>

  <Step title="Configurar el identificador de la extensión">
    En **Extension identifier**, introduce:

    ```text theme={null}
    com.okta.mobile.auth-service-extension
    ```
  </Step>

  <Step title="Establecer el Team Identifier">
    En **Team identifier**, introduce:

    ```text theme={null}
    B7F62B65BN
    ```
  </Step>

  <Step title="Configurar las URL">
    Añade estas **URLs**, sustituyendo `accuhive.okta.com` por el nombre de host de tu organización de Okta (el mismo nombre de host que usaste en las plantillas Associated Domains y Okta Verify):

    ```text theme={null}
    https://accuhive.okta.com/device-access/api/v1/nonce
    ```

    ```text theme={null}
    https://accuhive.okta.com/oauth2/v1/token
    ```

    ```text theme={null}
    https://accuhive.okta.com/v1/auth/device-sign
    ```
  </Step>

  <Step title="Dejar Hosts vacío">
    Deja **Hosts** vacío.
  </Step>

  <Step title="Habilitar Platform SSO">
    Activa **Platform SSO**.
  </Step>

  <Step title="Seleccionar el método de autenticación">
    En **Método de autenticación**, selecciona **Contraseña**.

    Desktop Password Sync requiere autenticación con contraseña en la ventana de inicio de sesión de macOS.
  </Step>

  <Step title="Introducir el token de registro (opcional)">
    Introduce un **Registration token** solo si Okta o tu organización lo requieren para el registro de Platform SSO.
  </Step>

  <Step title="Habilitar los ajustes de macOS 15 y posteriores (opcional)">
    En **Platform SSO**, activa las opciones de **macOS 15 and later** que tu organización necesite para Desktop Password Sync o FileVault. Consulta [Compatibilidad con FileVault para macOS 15 o posterior](#filevault-support-for-macos-15) y el [historial de versiones de PSSO para macOS de Okta](https://help.okta.com/oie/en-us/content/topics/oda/macos-pw-sync/about-psso-version-history.htm).
  </Step>

  <Step title="Establecer los permisos de los usuarios existentes">
    Establece **Existing user permissions** en **Estándar**, **Administrador** o **Grupos**.
  </Step>

  <Step title="Establecer los permisos de los usuarios nuevos">
    Establece los permisos predeterminados para **New Users**.
  </Step>

  <Step title="Habilitar las claves de dispositivo compartidas">
    Selecciona **Use shared device keys**.

    Este ajuste es obligatorio para Desktop Password Sync.
  </Step>

  <Step title="Habilitar la autorización con el proveedor de identidad">
    Activa **Allow authorization (with identity provider account)** para que los usuarios puedan aprobar las solicitudes del sistema con sus credenciales de Okta.
  </Step>

  <Step title="Habilitar la creación automática de cuentas locales (opcional)">
    Si quieres que las cuentas locales se creen automáticamente en la ventana de inicio de sesión, habilita **Allow creation of new users at login window**.

    <Warning>
      La creación de cuentas locales requiere que el dispositivo esté conectado a internet en la ventana de inicio de sesión con FileVault desbloqueado, e Iru Endpoint debe tener un bootstrap token válido para el dispositivo.
    </Warning>
  </Step>

  <Step title="Habilitar la atestación de dispositivos (opcional)">
    Si tu organización usa atestación de dispositivos, activa la opción para enviar el UDID y el número de serie del dispositivo en las atestaciones de Platform SSO (macOS 15.4 y posteriores).
  </Step>

  <Step title="Introducir el nombre visible de la cuenta">
    Introduce un **Account display name** que los usuarios reconozcan en las notificaciones y solicitudes de inicio de sesión (a menudo, el nombre de tu empresa). Este valor se aplica a todo el sistema y es visible para todos los usuarios de la Mac.
  </Step>

  <Step title="Establecer Require full login after">
    En **Require full login after**, introduce el número de segundos. El valor predeterminado es 18 horas (64800 segundos). El mínimo es 1 hora (3600 segundos).
  </Step>

  <Step title="Establecer Account name y Nombre completo">
    Establece **Account name** y **Nombre completo** en los atributos de Okta que se usan al crear usuarios nuevos o para la autorización.

    Si no estás seguro de qué valores usar, pregunta a tu administrador de Okta o consulta **Set Account name and Nombre completo** en [Permisos y ajustes de cuenta](/es/endpoint/library/library-items-profiles/configure-platform-single-sign-on#permissions-and-account-settings).
  </Step>

  <Step title="Configurar grupos (opcional)">
    Opcional: configura **Grupos de administradores**, **Grupos adicionales** y **Authorization rights**:

    * **Grupos de administradores** son grupos de Okta que deben recibir acceso de administrador en la Mac.
    * **Grupos adicionales** se crean como grupos locales si aún no existen.
    * **Authorization rights** asignan un derecho de autorización a un grupo. Cada derecho se puede especificar una vez. Por ejemplo, asigna la gestión de impresoras a un grupo.
  </Step>

  <Step title="Guardar el Library Item">
    Selecciona **Guardar**.
  </Step>
</Steps>

Si implementas Platform SSO durante el Asistente de configuración en **macOS 26** o posterior, configura la sección **Mac macOS 26 and later** de este Library Item. Consulta [Habilitar el registro durante el Asistente de configuración (macOS 26 y posteriores)](#enable-registration-during-setup-assistant-macos-26-and-later).

### Habilitar el registro durante el Asistente de configuración (macOS 26 y posteriores)

En **macOS 26** y posteriores, Platform SSO puede ejecutarse durante el Asistente de configuración para que la Mac se registre en Okta antes durante la inscripción. Configura el registro durante la configuración, la creación del primer usuario, la sincronización de la imagen de perfil y **Enable Authenticated Guest Mode Quick Login** en la sección **Mac macOS 26 and later** de tu Library Item Single Sign-on Extension **Okta Platform SSO**.

<Warning>
  Cuando implementes Platform SSO con Automated Device Enrollment, no establezcas **Primary account type** en **Skip primary account creation** en la sección **Mac** de tu [Library Item de Automated Device Enrollment](/es/endpoint/enrollment/apple/configuring-apple-enrollment). El Asistente de configuración es donde el usuario establece la contraseña de la cuenta local. Omitir ese paso deja la contraseña sin establecer y puede bloquear la inscripción.

  En las computadoras Mac con Apple Silicon y algunos otros modelos, las credenciales se almacenan en el [Secure Enclave](https://support.apple.com/guide/security/the-secure-enclave-sec59b0b31ff/web). Consulta la documentación de Apple para saber qué dispositivos incluyen un Secure Enclave. **Skip primary account creation** es para flujos de trabajo de [Passport](/es/endpoint/library/passport/passport-compatibility-with-macos-and-iru-endpoint-features#primary-account-creation), no para Platform SSO.
</Warning>

<Steps>
  <Step title="Abrir el Library Item Single Sign-on Extension">
    En la **Library**, abre tu Library Item Single Sign-on Extension **Okta Platform SSO**, selecciona **Editar** y ve a **Mac macOS 26 and later** en la sección **Platform SSO**.
  </Step>

  <Step title="Establecer Enable registration during Setup Assistant">
    En **Enable registration during Setup Assistant**, selecciona **Sí** para registrarse en Okta durante el Asistente de configuración.
  </Step>

  <Step title="Establecer Create first user during Setup Assistant">
    En **Create first user during Setup Assistant**, selecciona **Sí** si la Mac debe crear su primera cuenta local durante el Asistente de configuración a partir de la identidad de Okta. Selecciona **No** si aprovisionas la primera cuenta de otra forma.
  </Step>

  <Step title="Establecer Synchronize profile picture">
    En **Synchronize profile picture**, selecciona **Sí** para copiar la imagen de perfil de Okta del usuario a la cuenta local de macOS durante la configuración, o **No** para omitirlo.
  </Step>

  <Step title="Establecer Enable Authenticated Guest Mode Quick Login">
    **Enable Authenticated Guest Mode Quick Login** tiene el valor predeterminado **No configurado**. Selecciona **Sí** para computadoras Mac compartidas en las que los usuarios inician sesión temporalmente con Okta. Para computadoras Mac estándar de un solo usuario, déjalo en **No configurado** o selecciona **No**.
  </Step>

  <Step title="Establecer Métodos de autenticación de usuarios nuevos">
    En **Métodos de autenticación de usuarios nuevos**, selecciona **Contraseña**, **Smart card** o ambos. También puedes añadir **OpenID** con cualquier **Método de autenticación**. **OpenID** está disponible en macOS 27 y posteriores, y al seleccionarlo se muestra **Lista de permitidos de URL de inicio de sesión web** en **Mac macOS 27 and later**.

    <Note>
      Si piensas usar **OpenID**, ponte en contacto con tu proveedor de identidad para confirmar que admite OpenID con Platform SSO.
    </Note>
  </Step>

  <Step title="Guardar el Library Item">
    Si **Métodos de autenticación de usuarios nuevos** incluye **OpenID**, añade al menos una URL a **Lista de permitidos de URL de inicio de sesión web** en **Mac macOS 27 and later** antes de guardar. Consulta [Inicio de sesión web (macOS 27 y posteriores)](/es/endpoint/library/library-items-profiles/configure-platform-single-sign-on#web-login-macos-27-and-later). Selecciona **Guardar**.
  </Step>
</Steps>

#### Instalar los Library Items de Platform SSO durante Automated Device Enrollment

Cuando usas el registro durante el Asistente de configuración, el Library Item SCEP, ambos Library Items de Custom Profile, el Library Item Single Sign-on Extension **Okta Platform SSO** y la **Okta Verify Auto App** deben instalarse antes de que finalice el Asistente de configuración. Añade y asigna esos Library Items en [Añadir Library Items en Iru Endpoint](#add-library-items-in-iru-endpoint) y, a continuación, configura Automated Device Enrollment:

<Steps>
  <Step title="Abrir el Library Item de Automated Device Enrollment">
    En la **Library**, abre tu Library Item **Automated Device Enrollment** y ve a la sección **Mac**.
  </Step>

  <Step title="Activar Instalar Library Items durante el Asistente de configuración">
    Activa **Instalar Library Items durante el Asistente de configuración** para **Mac** para que los Library Items seleccionados se instalen durante la configuración de la inscripción en lugar de después de que finalice el Asistente de configuración.
  </Step>

  <Step title="Añadir los Library Items necesarios">
    Selecciona **Add Library Items** y añade cada elemento de esta guía:

    * Library Item SCEP
    * Okta Associated Domains (perfil personalizado): `Okta_Associated_Domains_Configuration_Template.mobileconfig`
    * Configuración de Okta Verify (perfil personalizado): `Okta_Verify_Configuration_Template.mobileconfig`
    * Okta Platform SSO (Library Item Single Sign-on Extension)
    * Okta Verify Auto App

    Un Library Item de esta lista se instala durante el Asistente de configuración solo cuando también está en el **Assignment Map** del Blueprint del dispositivo. Añade a ese mapa todos los elementos que necesites durante la configuración.
  </Step>

  <Step title="Guardar el Library Item de Automated Device Enrollment">
    Selecciona **Guardar** en el Library Item de Automated Device Enrollment.
  </Step>
</Steps>

Consulta [Instalar Library Items durante el Asistente de configuración](/es/endpoint/enrollment/apple/configuring-apple-enrollment#install-library-items-during-setup-assistant) para conocer la experiencia de instalación, los tiempos de espera y otras consideraciones. Si un dispositivo se queda bloqueado en **Configuring**, consulta [Liberar manualmente los dispositivos retenidos en el Asistente de configuración](/es/endpoint/enrollment/apple/configuring-apple-enrollment#manually-release-devices-held-in-setup-assistant).

### Añadir Library Items en Iru Endpoint

Añade a Iru Endpoint tu Library Item SCEP, tus Library Items de Custom Profile, el Library Item Single Sign-on Extension **Okta Platform SSO** y la **Okta Verify Auto App**. Consulta el artículo [Descripción general de Library](/es/endpoint/library/library-items-profiles/library-overview) si necesitas los conceptos básicos.

<Steps>
  <Step title="Crear el Library Item de Custom Profile Associated Domains">
    Asigna un nombre al Library Item (por ejemplo, **Okta Associated Domains**). Asígnalo a tus [Blueprints](/es/endpoint/getting-started/blueprints-and-library/configuring-blueprints). Sube tu archivo **Okta\_Associated\_Domains\_Configuration\_Template.mobileconfig** editado y selecciona **Guardar**.
  </Step>

  <Step title="Confirmar el Library Item Single Sign-on Extension de Okta Platform SSO">
    Si aún no lo has hecho, completa [Configurar el Library Item Single Sign-on Extension de Okta Platform SSO](#configure-the-okta-platform-sso-single-sign-on-extension-library-item) y asígnalo a los mismos Blueprints.
  </Step>

  <Step title="Crear el Library Item de Custom Profile de Okta Verify">
    Crea un Library Item de Custom Profile para **Okta\_Verify\_Configuration\_Template.mobileconfig** (por ejemplo, **Okta Verify Configuration**). Asígnalo a los mismos Blueprints, sube el archivo y selecciona **Guardar**.
  </Step>

  <Step title="Asignar la Auto App Okta Verify">
    En la Library, ve a **Auto Apps** y abre **Okta Verify**. Asigna el Library Item a los mismos Blueprints que el Library Item SCEP, los Library Items de Custom Profile y el Library Item Single Sign-on Extension **Okta Platform SSO**.
  </Step>

  <Step title="Implementar en los dispositivos">
    Una vez que los dispositivos reciban los Library Items y la **Okta Verify Auto App**, se pedirá a los usuarios que se registren y sincronicen su contraseña de Okta.
  </Step>
</Steps>

### Assignment Maps

Asigna el Library Item SCEP, ambos Library Items de Custom Profile, el Library Item Single Sign-on Extension **Okta Platform SSO** y la **Okta Verify Auto App** en el **Assignment Map** del Blueprint.

Usa [lógica condicional](/es/endpoint/blueprints/assignment-maps/using-conditional-logic-in-blueprints) cuando necesites limitar los Library Items a grupos de dispositivos específicos. Consulta [Configurar Blueprints](/es/endpoint/getting-started/blueprints-and-library/configuring-blueprints) para conocer los conceptos básicos de los Blueprints.

### Cambiar a la Auto App Okta Verify

Si Okta Verify ya está en el Blueprint mediante otro Library Item, cambia a la **Okta Verify Auto App** sin volver a realizar la configuración de Desktop Password Sync. Tus Library Items de Custom Profile, el Library Item Single Sign-on Extension **Okta Platform SSO** y la configuración de Okta permanecen en el dispositivo.

<Warning>
  Realiza los cambios de asignación en una sola sesión de edición del Assignment Map. Asigna la **Okta Verify Auto App** antes de seleccionar **Guardar**. No dejes computadoras sin una app Okta Verify asignada después de guardar.
</Warning>

<Steps>
  <Step title="Editar el Assignment Map">
    Abre el **Assignment Map** del Blueprint y selecciona **Editar asignaciones**.
  </Step>

  <Step title="Eliminar la asignación anterior de Okta Verify">
    Elimina el Library Item **Okta Verify** existente del Assignment Map.
  </Step>

  <Step title="Asignar la Auto App Okta Verify">
    Añade el Library Item **Okta Verify Auto App** al mismo ámbito del Assignment Map que tus Library Items SCEP, Custom Profile y **Okta Platform SSO**.
  </Step>

  <Step title="Guardar el Assignment Map">
    Selecciona **Guardar** para aplicar los cambios del Assignment Map.
  </Step>
</Steps>

<Note>
  La app Okta Verify anterior se elimina de los dispositivos. El perfil Associated Domains, la configuración de Single Sign-on Extension **Okta Platform SSO** y el Custom Profile de Okta Verify permanecen. En el siguiente check-in del Iru Agent (en unos 15 minutos), Iru Endpoint instala la **Okta Verify Auto App**.

  Si también usas [Okta Device Trust](/es/endpoint/integrations/okta-device-trust-main/okta-device-trust), consulta [Configurar Okta Verify para Device Trust](/es/endpoint/integrations/okta-device-trust-main/okta-device-trust-configuring-the-okta-verify-library-item#migrate-from-the-app-store-app-to-the-auto-app-macos) cuando necesites actualizar ODT en la Auto App.
</Note>

### Experiencia de usuario y próximos pasos

<Note>
  Con Platform SSO habilitado, macOS oculta el botón **Change** en el campo Password en **Users & Groups** (Ajustes del Sistema). Apple diseñó este comportamiento para Platform SSO.
</Note>

Después de la implementación, dirige a los usuarios a [Experiencia de usuario de Okta Desktop Password Sync](/es/endpoint/integrations/okta-desktop-password-sync-user-experience) para conocer los pasos de registro.