> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Configurar Platform Single Sign-On

> Configura Platform SSO en el Library Item Single Sign-On Extension. Establece el método de autenticación, las políticas de contraseña y la configuración de macOS 26 y macOS 27.

<Callout icon="apple" color="#B84A7A" iconType="regular">Platform SSO está disponible para computadoras Mac</Callout>

Estas opciones se encuentran en el Library Item **Single Sign-On Extension** y solo están disponibles cuando **Tipo de extensión** es **Redirect**. Primero, configura el nombre del Library Item, la asignación a Blueprints y las opciones de la extensión Redirect en [Configurar el Library Item Single Sign-On Extension](/es/endpoint/library/library-items-profiles/configure-the-single-sign-on-extension-library-item#redirect).

## Platform SSO

Platform SSO extiende la extensión Redirect a la ventana de inicio de sesión de macOS. Los usuarios pueden desbloquear su Mac con las credenciales del proveedor de identidad (IdP) de tu organización. En una Mac compartida, Platform SSO puede crear una cuenta local en la ventana de inicio de sesión a partir de esas credenciales. **Contraseña** mantiene sincronizadas la contraseña del IdP y la contraseña de la cuenta local. **OpenID** solo lo hace cuando **Allow web login password sync** está en **Sí**. **User Secure Enclave Key** y **Smart Card** no modifican la contraseña de la cuenta local. Puedes administrar los permisos y la pertenencia a grupos locales. Los usuarios del IdP que no tienen una cuenta local pueden usar esas credenciales en las solicitudes de autorización.

<Warning>
  Platform SSO requiere una app de Single Sign-On Extension de tu proveedor de identidad correctamente configurada, además de la carga útil del perfil de Platform SSO que implementa Iru.
</Warning>

<Steps>
  <Step title="Habilitar Platform SSO">
    Platform SSO está desactivado de forma predeterminada. Activa **Platform SSO**. Es compatible con macOS 14 Sonoma y posterior, y requiere una extensión de app del proveedor de identidad compatible.
  </Step>

  <Step title="Seleccionar el método de autenticación">
    Selecciona el **Método de autenticación**. La extensión SSO debe admitir el método que selecciones.

    * **Contraseña**
    * **Clave de Secure Enclave del usuario**
    * **Tarjeta inteligente**
    * **OpenID**

    OpenID está disponible en macOS 27 y posterior. Iru no envía **OpenID** a computadoras Mac con versiones anteriores a macOS 27. **Política de FileVault**, **Login policy** y **Unlock policy** solo aparecen para **Contraseña**. Ingresa un **Registration token** en el siguiente paso cuando tu proveedor de identidad lo requiera. Para cualquier otro método, omite [Políticas para Password](#policies-for-password) y continúa con [Permisos y configuración de cuentas](#permissions-and-account-settings).

    <Note>
      Si planeas usar **OpenID**, comunícate con tu proveedor de identidad para confirmar que admite OpenID con Platform SSO.
    </Note>
  </Step>

  <Step title="Ingresar el token de registro (opcional)">
    Ingresa un **Registration token** cuando tu proveedor de identidad lo requiera. La Mac usa este valor para registrarse en Platform SSO, incluido el registro silencioso cuando tu proveedor de identidad y la extensión SSO lo admiten.
  </Step>
</Steps>

## Políticas para Password

**Política de FileVault**, **Login policy** y **Unlock policy** solo aparecen cuando **Método de autenticación** es **Contraseña**. Cada una está disponible en macOS 15 y posterior, y el valor predeterminado es **No configurado**. Para **User Secure Enclave Key**, **Smart Card** u **OpenID**, continúa con [Permisos y configuración de cuentas](#permissions-and-account-settings).

<Steps>
  <Step title="Configurar Política de FileVault">
    **Política de FileVault** se aplica cuando se usa Platform SSO en el desbloqueo de FileVault en computadoras Mac con Apple silicon.

    * **No configurado**: Iru no envía esta opción.
    * **Attempt authentication**: la Mac intenta autenticarse con el proveedor de identidad. Si la Mac no tiene conexión, el usuario puede usar la contraseña de la cuenta local.
    * **Requerir autenticación**: el usuario debe autenticarse con el proveedor de identidad para continuar.
  </Step>

  <Step title="Configurar Login policy">
    **Login policy** se aplica cuando se usa Platform SSO en la ventana de inicio de sesión. Usa las mismas opciones que **Política de FileVault**.
  </Step>

  <Step title="Configurar Unlock policy">
    **Unlock policy** se aplica cuando se usa Platform SSO en el desbloqueo del protector de pantalla. Usa las mismas opciones que **Política de FileVault**.
  </Step>
</Steps>

## Permisos y configuración de cuentas

Estas opciones se aplican a todos los **Método de autenticación**.

<Steps>
  <Step title="Configurar Existing user permissions">
    **Existing user permissions** establece los permisos que se aplican a una cuenta cada vez que el usuario se autentica. El valor predeterminado es **No configurado**.

    * **No configurado**
    * **Estándar**
    * **Administrador**
    * **Grupos**: usa los grupos que configures más adelante en este Library Item.
  </Step>

  <Step title="Configurar New user permissions">
    **New user permissions** establece los permisos que se aplican a las cuentas recién creadas al iniciar sesión. El valor predeterminado es **No configurado**.

    * **No configurado**
    * **Estándar**
    * **Administrador**
    * **Grupos**
    * **Temporal (modo de invitado autenticado)**
  </Step>

  <Step title="Usar claves de dispositivo compartidas">
    Selecciona **Use shared device keys** cuando la Mac deba usar las mismas claves de firma y cifrado para todos los usuarios. Esto es obligatorio para la autorización con una cuenta del proveedor de identidad y para la creación de cuentas nuevas.

    Cuando se selecciona **Use shared device keys**, aparecen estas opciones:

    * **Allow authorization (with identity provider account)**: los usuarios pueden responder a las solicitudes de autorización del sistema con sus credenciales del proveedor de identidad.
    * **Allow creation of new users at login window**: la Mac crea una cuenta local en la ventana de inicio de sesión. La Mac debe tener conexión, estar en la ventana de inicio de sesión con FileVault desbloqueado, e Iru debe tener un Bootstrap token válido para la Mac.
  </Step>

  <Step title="Permitir identificadores de dispositivo en la atestación">
    Selecciona **Allow device identifiers in attestation** para incluir el UDID y el número de serie de la Mac en las atestaciones de Platform SSO. Está disponible en macOS 15.4 y posterior.
  </Step>

  <Step title="Ingresar Account display name">
    **Account display name** es el nombre que se muestra en las notificaciones y las solicitudes de autenticación. Usa el nombre de tu organización u otro nombre que los usuarios reconozcan.
  </Step>

  <Step title="Configurar Require full login after">
    **Require full login after** es el número de segundos que transcurren antes de que la Mac exija un inicio de sesión completo en lugar de una actualización. El valor predeterminado es de 18 horas (64800 segundos). El mínimo es de 1 hora (3600 segundos).
  </Step>

  <Step title="Configurar Account name y Nombre completo">
    **Account name** y **Nombre completo** son los atributos del proveedor de identidad que se usan al crear usuarios nuevos o para la autorización.
  </Step>

  <Step title="Agregar Grupos de administradores">
    **Grupos de administradores** son los grupos que se usan para el acceso de administrador. macOS solicita la pertenencia durante la autenticación. Selecciona **Add group** para cada grupo.
  </Step>

  <Step title="Agregar Grupos adicionales">
    **Grupos adicionales** se crean como grupos locales si aún no existen y están disponibles en el directorio local. Selecciona **Add group** para cada grupo.
  </Step>

  <Step title="Agregar Authorization rights">
    **Authorization rights** asigna un derecho de autorización a un grupo. Cada derecho se puede especificar una vez y asignar a un único grupo. Por ejemplo, asigna la administración de impresoras a un grupo. Selecciona **Add group** para cada asignación.
  </Step>

  <Step title="Agregar Non Platform SSO accounts">
    **Non Platform SSO accounts** son cuentas locales que no están sujetas a **Política de FileVault**, **Login policy** ni **Unlock policy**. Tampoco se solicita a estas cuentas que se registren en Platform SSO. Selecciona **Añadir** para cada cuenta.
  </Step>

  <Step title="Guardar el Library Item">
    Si usas el registro durante el Asistente de configuración, continúa con [Habilitar el registro durante el Asistente de configuración (macOS 26 y posterior)](#enable-registration-during-setup-assistant-macos-26-and-later) antes de guardar. Si **Método de autenticación** es **OpenID**, configura [Inicio de sesión web (macOS 27 y posterior)](#web-login-macos-27-and-later) antes de guardar. Se requiere al menos una URL de inicio de sesión web. Si no se aplica ninguno de estos casos, selecciona **Guardar**.
  </Step>
</Steps>

## Habilitar el registro durante el Asistente de configuración (macOS 26 y posterior)

A partir de macOS 26, Platform SSO puede ejecutarse durante el Asistente de configuración para que la Mac se registre en tu proveedor de identidad antes en el flujo de inscripción. En **Mac macOS 26 and later**, cada opción tiene el valor predeterminado **No configurado**, lo que significa que Iru no la envía. Las otras opciones son **Sí** y **No**.

<Steps>
  <Step title="Abrir la sección Mac macOS 26 and later">
    En la sección **Platform SSO** de este Library Item, ve a **Mac macOS 26 and later**.
  </Step>

  <Step title="Configurar Enable registration during Setup Assistant">
    Selecciona **Sí** en **Enable registration during Setup Assistant** cuando el registro de Platform SSO deba iniciarse durante el Asistente de configuración.
  </Step>

  <Step title="Configurar Create first user during Setup Assistant">
    Selecciona **Sí** en **Create first user during Setup Assistant** cuando la Mac deba crear su primera cuenta local durante el Asistente de configuración mediante Platform SSO.
  </Step>

  <Step title="Configurar Synchronize profile picture">
    Selecciona **Sí** en **Synchronize profile picture** cuando la Mac deba solicitar la foto de perfil del usuario a la extensión SSO.
  </Step>

  <Step title="Configurar Enable Authenticated Guest Mode Quick Login">
    Selecciona **Sí** en **Enable Authenticated Guest Mode Quick Login** en computadoras Mac compartidas donde los usuarios inician sesión temporalmente con credenciales del proveedor de identidad. Para computadoras Mac estándar de un solo usuario, deja esta opción en **No configurado** o selecciona **No**.
  </Step>

  <Step title="Configurar Métodos de autenticación de usuarios nuevos">
    **Métodos de autenticación de usuarios nuevos** son los métodos disponibles para las cuentas recién creadas. Puedes seleccionar cualquier combinación:

    * **Contraseña**
    * **Tarjeta inteligente**
    * **OpenID**

    OpenID está disponible en macOS 27 y posterior. Iru no envía **OpenID** a computadoras Mac con versiones anteriores a macOS 27. Puedes agregar **OpenID** aquí con cualquier **Método de autenticación**. Al hacerlo, se muestra **Lista de permitidos de URL de inicio de sesión web** en **Mac macOS 27 and later**.
  </Step>

  <Step title="Guardar el Library Item">
    Si **Método de autenticación** es **OpenID**, o **Métodos de autenticación de usuarios nuevos** incluye **OpenID**, configura [Inicio de sesión web (macOS 27 y posterior)](#web-login-macos-27-and-later) antes de guardar. Se requiere al menos una URL de inicio de sesión web. Guarda desde esa sección y luego vuelve aquí para Automated Device Enrollment. De lo contrario, selecciona **Guardar**.
  </Step>

  <Step title="Instalar los Library Items de Platform SSO durante Automated Device Enrollment">
    Platform SSO con Automated Device Enrollment requiere que tu Library Item **Single Sign-on Extension** y el Library Item **Auto App** de la aplicación de extensión SSO de tu proveedor de identidad se instalen durante el Asistente de configuración. En tu Library Item **Automated Device Enrollment**, activa **Instalar Library Items durante el Asistente de configuración** para **Mac** y luego agrega esos Library Items, además de cualquier otro que tu IdP requiera para este flujo (por ejemplo, un Library Item **Login Window**). Consulta [Instalar Library Items durante el Asistente de configuración](/es/endpoint/enrollment/apple/configuring-apple-enrollment#install-library-items-during-setup-assistant) para conocer todos los detalles. Si un dispositivo se queda en **Configuring**, consulta [Liberar manualmente los dispositivos retenidos en el Asistente de configuración](/es/endpoint/enrollment/apple/configuring-apple-enrollment#manually-release-devices-held-in-setup-assistant).
  </Step>
</Steps>

## Inicio de sesión web (macOS 27 y posterior)

**Mac macOS 27 and later** aparece en dos casos.

Cuando **Método de autenticación** es **OpenID**, aparecen **Allow web login password sync** y **Lista de permitidos de URL de inicio de sesión web**. **Lista de permitidos de URL de inicio de sesión web** requiere al menos una URL. **Allow web login password sync** es opcional.

Cuando **Métodos de autenticación de usuarios nuevos** incluye **OpenID** y **Método de autenticación** es **Contraseña**, **User Secure Enclave Key** o **Smart Card**, la sección solo muestra **Lista de permitidos de URL de inicio de sesión web**. Selecciona **Añadir** e ingresa al menos una URL de inicio de sesión web.

<Steps>
  <Step title="Configurar Allow web login password sync">
    **Allow web login password sync** solo aparece cuando **Método de autenticación** es **OpenID**. Sincroniza la contraseña del inicio de sesión web con la contraseña de la cuenta local. Está disponible en macOS 27 y posterior. El valor predeterminado es **No configurado**.

    * **No configurado**: Iru no envía esta opción.
    * **Sí**: la Mac detecta la contraseña durante el inicio de sesión web y la sincroniza con la contraseña de la cuenta local.
    * **No**: la Mac no sincroniza la contraseña del inicio de sesión web con la contraseña de la cuenta local.
  </Step>

  <Step title="Agregar URL de inicio de sesión web">
    **Lista de permitidos de URL de inicio de sesión web** es el conjunto de hosts que la Mac puede cargar en la vista web de Platform SSO. Se requiere al menos una URL de inicio de sesión web. Selecciona **Añadir** e ingresa una URL de inicio de sesión web. Incluye el esquema y el host, por ejemplo, `https://login.example.com`. Repite el proceso para cada host. No se admiten comodines.
  </Step>

  <Step title="Guardar el Library Item">
    Selecciona el botón **Guardar**.
  </Step>
</Steps>

Para conocer los Library Items y valores específicos de Microsoft Entra ID, consulta [Configurar Platform SSO con Entra ID](/es/endpoint/library/library-items-profiles/configure-the-platform-sso-with-microsoft-entra-id-library-item).