> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Configurar el Library Item LAPS
> Configura el Library Item LAPS en Iru Endpoint para rotar y almacenar de forma segura las contraseñas de administrador local en las computadoras Mac administradas de tu flota.
Este Library Item está disponible para computadoras Mac
El Library Item **LAPS** (Local Administrator Password Solution) rota las contraseñas de los administradores locales que definas en este Library Item y las almacena de forma segura en Iru. Cada Mac obtiene contraseñas únicas para esas cuentas según una programación que tú controlas, en lugar de una única contraseña de administrador estática en toda la flota.
LAPS no crea cuentas de usuario. Solo rota las contraseñas de los administradores locales existentes. Crea esas cuentas aprovisionando un administrador local (Auto Admin) en un [Library Item de Automated Device Enrollment](/es/endpoint/enrollment/apple/configuring-apple-enrollment), o con el Parameter de Blueprint [Create User Accounts](/es/endpoint/blueprints/parameters/create-user-accounts).
Este Library Item lo aplica el [agente de Iru](/es/endpoint/agent/iru-agent-and-mdm#about-the-macos-agent), por lo que funciona de forma independiente del [protocolo MDM de Apple](/es/endpoint/agent/iru-agent-and-mdm#about-the-mdm-framework).
Debes proporcionar la contraseña existente de cada administrador local que definas en este Library Item. Iru la usa para conservar el SecureToken y la propiedad del volumen en Apple silicon.
## Crear un Library Item LAPS
Para agregar este Library Item a tu Library de Iru Endpoint, sigue los pasos descritos en el artículo [Descripción general de la Library](/es/endpoint/library/library-items-profiles/library-overview).
Ve a la **Library** y selecciona **Añadir Library Item**.
Busca y selecciona **LAPS**.
Asigna un **nombre** al Library Item.
Asígnalo a uno o más **Blueprints**.
## Configurar el Library Item LAPS
Estas opciones controlan las contraseñas que genera Iru. Configúralas siguiendo los pasos a continuación.
En **Password complexity**, opcionalmente usa **Import from Passcode** para copiar la configuración de complejidad de un Library Item [Passcode](/es/endpoint/library/library-items-profiles/configure-the-passcode-library-item) que ya esté en tu Library. Solo puedes importar desde un Library Item **Código**, no desde **Android Work Profile Passcode**.
Si no hay ningún Library Item Passcode compatible desde el que importar, **Import from Passcode** está deshabilitado y muestra **No Library Items available**.
macOS exige que las contraseñas del dispositivo cumplan la política de códigos de acceso, por lo que importar desde un Library Item Passcode existente mantiene LAPS alineado con esa política.
Busca por nombre y luego selecciona el Library Item Passcode.
Cuando la importación se realiza correctamente, las opciones coincidentes muestran una insignia **Imported**. Aún puedes cambiar cualquier valor después de la importación.
Configura **Minimum passcode length** con la longitud total mínima del código. Valor predeterminado: **8**. Rango: de **1** a **36**.
Configura **Maximum passcode length** con la longitud total máxima del código. Valor predeterminado: **15**. Rango: de **1** a **36**. Debe ser al menos igual a **Minimum passcode length**.
Selecciona **Disallow simple passcode** para que los códigos no puedan tener más de dos caracteres secuenciales (como `123` o `CBA`) ni más de tres caracteres repetidos (como `111` o `AAA`). Habilitada de forma predeterminada.
Selecciona **Require alphanumeric passcode** para exigir letras además de números. Habilitada de forma predeterminada.
Configura **Minimum complex characters** con el número mínimo de caracteres complejos que debe contener un código. Un carácter complejo es un carácter que no es un número ni una letra, como `& % $ #`. Valor predeterminado: **4**. Rango: de **0** a **36**.
Configura **Maximum complex characters** con el número máximo de caracteres complejos que puede contener un código. Valor predeterminado: **6**. Rango: de **1** a **36**. Debe ser al menos igual a **Minimum complex characters**.
Configura **Automatically rotate after (days)** con la frecuencia con la que las contraseñas de administrador local se rotan en los dispositivos y se almacenan de forma segura en Iru, independientemente de **Rotar automáticamente después de verlo (horas)**. Rango: de **1** a **90** días. Valor predeterminado: **30** días.
Configura **Rotar automáticamente después de verlo (horas)** para indicar qué tan pronto se rota una contraseña de administrador local que se ha visto. Esta opción funciona de forma independiente de **Automatically rotate after (days)**. Rango: de **1** a **24** horas. Valor predeterminado: **2** horas.
En **Admin users to manage**, opcionalmente usa **Import from ADE** para completar las cuentas a partir de una integración de [Automated Device Enrollment](/es/endpoint/settings/apple-integrations/configure-automated-device-enrollment).
Busca por nombre y luego selecciona la integración de ADE.
Cuando la importación se realiza correctamente, Iru muestra **Imported settings from** con el nombre de la integración de ADE, y aparece una insignia **Imported** debajo de **+ Add user**.
Agrega las cuentas de administrador local cuyas contraseñas debe administrar esta política de LAPS. Cada fila define un **Nombre de usuario** y su **Initial password**. Si la cuenta está presente en el dispositivo, se rotará la contraseña.
Usa **+ Add user** para agregar otra fila. Usa el control de papelera de una fila para eliminarla. Usa el icono del ojo en **Initial password** para mostrar u ocultar el valor mientras lo estableces o actualizas.
Las contraseñas de **Admin users** solo se pueden ver con el icono del ojo mientras estableces el valor inicial o lo actualizas. Después de guardar, no puedes ver la contraseña existente en el Library Item.
Una vez que se ha asignado LAPS a un dispositivo, no necesitas volver a ingresar la contraseña en las ediciones posteriores del Library Item. Si la contraseña inicial de esa cuenta cambia fuera de LAPS, como la contraseña de [Automated Device Enrollment](/es/endpoint/settings/apple-integrations/configure-automated-device-enrollment) o del Parameter de Blueprint [Create User Accounts](/es/endpoint/blueprints/parameters/create-user-accounts), actualiza aquí **Initial password** para que coincida con la que está configurada actualmente en el dispositivo.
Haz clic en **Guardar**.
## Ver la contraseña de un dispositivo
Servicio de asistencia o un rol superior pueden revelar una contraseña de LAPS. Secrets Auditor y Auditor pueden ver que existe una contraseña, pero no pueden revelarla. Mostrar una contraseña registra la visualización y, si hay un Library Item LAPS asignado, inicia **Rotar automáticamente después de verlo (horas)**.
Ve a **Dispositivos** en la web app de Iru Endpoint y selecciona la Mac.
Abre el **Menú de acciones del dispositivo** (puntos suspensivos) en la esquina superior derecha del registro del dispositivo y selecciona **Ver contraseña de administrador local**. Esta acción está disponible para cualquier dispositivo que haya tenido alguna vez una contraseña de LAPS, incluido un dispositivo que actualmente esté borrado o bloqueado.
En el cuadro de diálogo **Ver contraseña de administrador local**, usa **Select an admin user to view its password** para elegir la cuenta si se administra más de una en el dispositivo.
Haz clic en el icono del ojo para mostrar la contraseña de administrador local actual. Ese clic registra quién vio la contraseña y cuándo, e inicia **Rotar automáticamente después de verlo (horas)**. El cuadro de diálogo indica que, después de mostrar la contraseña, esta se rota en el dispositivo tras el tiempo configurado.
Si no hay ningún Library Item LAPS asignado en el momento de la visualización, Iru advierte que **Rotar automáticamente después de verlo (horas)** no se aplicará. La visualización se sigue registrando.
Después de mostrar la contraseña, haz clic en el icono del ojo tachado para ocultarla.
Haz clic en el icono de copiar para copiar la contraseña.
Haz clic en **Listo** cuando termines.
### Ver los registros de actividad
La actividad de las contraseñas de administrador local se registra en la pestaña **Actividad** del registro del dispositivo y en [Unified Activity](/es/iru/platform-overview/unified-activity). Estos eventos no aparecen en la [página Activity](/es/endpoint/devices/activity-page).
#### Registro del dispositivo
En la pestaña **Actividad** del registro del dispositivo, Iru registra cuándo se ve, se rota o no se puede rotar una contraseña de administrador local.
Una entrada **Local Admin Password Viewed** muestra el nombre de usuario del administrador local, quién vio la contraseña, el dispositivo y cuándo.
Una entrada **Local Admin Password Rotated** muestra el nombre de usuario del administrador local, el Blueprint, el dispositivo y cuándo.
Una entrada **Local Admin Password Rotation Failed** muestra el nombre de usuario del administrador local, un motivo, el Blueprint, el dispositivo y cuándo.
#### Unified Activity
Unified Activity registra cuándo se ve una contraseña de administrador local y cuándo se actualiza, incluidos los éxitos y los errores.
En Unified Activity, abre **Activity type**, busca **Local admin** y, en **Endpoint**, selecciona **Local admin password viewed**, **Local admin password updated** o ambos. Haz clic en **Apply**.
Una entrada **Local admin password viewed** muestra el nombre de usuario del administrador local, quién vio la contraseña y cuándo.
Expande una entrada **Local admin password updated**. Una rotación correcta muestra **Rotated for** con el nombre de usuario del administrador local. Los detalles incluyen **Dispositivo**, **Local admin user**, **Outcome** (**Local admin password rotated**) y **Completed at**.
Una rotación fallida usa el mismo tipo de actividad **Local admin password updated**. Muestra **Rotation failed for** con el nombre de usuario del administrador local. Los detalles incluyen **Outcome** (**Local admin password rotation failed**) y **Reason**.
Haz clic en los puntos suspensivos (**…**) junto a la entrada de actividad y selecciona **Go to device** para abrir el registro del dispositivo relacionado.
## Consideraciones
LAPS solo administra cuentas de administrador local. Las cuentas estándar se rechazan con un error.
Un dispositivo puede tener asignado un Library Item LAPS. No se admite asignar un segundo Library Item.
Debes proporcionar la contraseña existente de cada administrador local que definas en este Library Item. Iru la usa para conservar el SecureToken y la propiedad del volumen en Apple silicon. Si el registro de Iru de la contraseña actual de un dispositivo se desincroniza, [comunícate con el soporte de Iru](/es/iru/iru-support/access-to-iru-support). Sin SecureToken, esa cuenta no puede desbloquear FileVault después de un reinicio.
Volver a inscribir un dispositivo rota su contraseña en el siguiente check-in, no según lo que quedara de **Automatically rotate after (days)**.
La acción de dispositivo [Set Auto Admin Account Password](/es/endpoint/devices/device-actions/set-the-auto-admin-account-password) no está disponible cuando LAPS está asignado. LAPS administra esa contraseña.
Servicio de asistencia o un rol superior pueden revelar una contraseña de LAPS. Secrets Auditor y Auditor no pueden. Mostrar una contraseña inicia **Rotar automáticamente después de verlo (horas)** solo si hay un Library Item LAPS asignado.
## Prácticas recomendadas
Importa la configuración de complejidad de un Library Item Passcode existente si ya la ajustaste, para que LAPS y Passcode sean coherentes.
Usa **Automatically rotate after (days)** y **Rotar automáticamente después de verlo (horas)** para equilibrar la comodidad con el tiempo durante el cual una contraseña vista sigue siendo válida.
Cuando una contraseña no se rota, revisa el campo **Reason** en [Unified Activity](/es/iru/platform-overview/unified-activity) o en la pestaña **Actividad** del registro del dispositivo. La mayoría de los errores indican la causa directamente.
## Solución de problemas
**Posibles causas:**
* La integración de ADE no define una cuenta de administrador local
**Soluciones:**
* En [Automated Device Enrollment](/es/endpoint/settings/apple-integrations/configure-automated-device-enrollment), confirma que haya una cuenta de administrador local configurada y vuelve a importar
**Posibles causas:**
* Ya importaste desde esa integración de ADE
* Agregaste manualmente el mismo nombre de usuario
**Soluciones:**
* Conserva la fila existente. Iru no agrega un duplicado.
Cuando una contraseña no se rota, revisa **Reason** en [Unified Activity](/es/iru/platform-overview/unified-activity) (`Reason: `) o en la pestaña **Actividad** del registro del dispositivo (`: `).
**Posibles causas:**
* El campo Reason indica la causa, como un llavero bloqueado
* La cuenta no es un administrador local
* La contraseña actual almacenada en Iru no coincide con la del dispositivo
**Soluciones:**
* Confirma que la cuenta sea de administrador. LAPS no administra cuentas estándar
* No hay reintento automático. El siguiente intento sigue **Automatically rotate after (days)**
* Si la contraseña almacenada está desincronizada, [comunícate con el soporte de Iru](/es/iru/iru-support/access-to-iru-support)
**Posibles causas:**
* No había ningún Library Item LAPS asignado al dispositivo en el momento de la visualización
**Soluciones:**
* Asigna un Library Item LAPS si quieres que **Rotar automáticamente después de verlo (horas)** y **Automatically rotate after (days)** se apliquen en adelante
* La visualización se sigue registrando aunque **Rotar automáticamente después de verlo (horas)** no se inicie
**Posibles causas:**
* LAPS está asignado a este dispositivo, por lo que el comando MDM en conflicto está oculto
**Soluciones:**
* Es lo esperado cuando LAPS está asignado. Usa **Ver contraseña de administrador local** en su lugar
* Quita LAPS del Blueprint del dispositivo solo si necesitas la acción Set Auto Admin Password
**Posibles causas:**
* La cuenta no es de administrador
* La cuenta no está presente en el dispositivo
* La contraseña actual del Library Item no coincide con la de la cuenta en el dispositivo
**Soluciones:**
* Confirma que la cuenta sea de administrador local
* Confirma que el nombre de usuario coincida con la cuenta de la Mac
* Proporciona la contraseña actual en la primera asignación para que Iru pueda tomar el control de la cuenta
## Artículos relacionados
Selecciona, crea y administra Library Items y agrégalos a Blueprints.
LAPS se basa en el agente, por lo que funciona de forma independiente del protocolo MDM de Apple.
Los eventos de visualización y actualización de contraseñas de administrador local aparecen en Unified Activity, no en la página Activity.
Crea cuentas de administrador local para que LAPS las rote. LAPS no crea cuentas.
Aplica requisitos de código de acceso, incluidas opciones que puedes importar a LAPS.
Configura contraseñas de recuperación en computadoras Mac con Apple silicon e Intel.
El comando MDM que LAPS reemplaza mientras está asignado.
Integraciones de ADE desde las que puedes importar cuentas de administrador.
Cifrado de FileVault y claves de recuperación en computadoras Mac.