Este Library Item está disponible para dispositivos Apple
¿Qué es una extensión de inicio de sesión único?
Una extensión de inicio de sesión único (SSO) es un tipo de aplicación para macOS, iOS, iPadOS y visionOS que usa el framework Extensible Enterprise Single Sign-on de Apple. Estas aplicaciones, o extensiones, permiten a los proveedores de identidad (IdP) crear aplicaciones que mantienen la sesión del usuario iniciada en las aplicaciones nativas de macOS y en los navegadores. Esto te permite iniciar sesión una vez en la extensión y quedar autenticado en macOS, iOS, iPadOS y visionOS. Las extensiones SSO también pueden permitir sincronizar la contraseña local de macOS de un usuario con su contraseña del IdP.¿Cómo puedo implementar una extensión de inicio de sesión único?
- Para las extensiones de iOS, iPadOS y visionOS, primero debes implementar la app que contiene la extensión SSO mediante Apps and Books desde Apple Business o Apple School Manager.
- Para las extensiones de macOS, primero debes implementar la app que contiene la extensión SSO mediante Apps and Books desde Apple Business o Apple School Manager, o mediante una Custom App en Iru.
- Después de implementar la extensión, configurarás e implementarás un perfil de inicio de sesión único en los dispositivos.
Configurar un perfil Single Sign-On Extension
Para agregar este Library Item a tu Library de Iru Endpoint, sigue los pasos descritos en el artículo Descripción general de la Library.1
Asignar un nombre al Library Item
Asigna un Nombre al nuevo Library Item Single Sign-On Extension.
2
Asignar a Blueprints
Asígnalo a los Blueprints que desees.
Redirect
1
Seleccionar el tipo de extensión
Tipo de extensión es el tipo de autorización de inicio de sesión. Selecciona Redirect.
2
Configurar el identificador de la extensión
Extension identifier es el identificador de paquete de la extensión de la app que realiza el inicio de sesión único. Puedes encontrarlo en el archivo info.plist de la app.
3
Establecer el identificador de equipo
Team identifier es el identificador de equipo de la extensión de la app que realiza el inicio de sesión único. Es obligatorio cuando el Library Item está asignado a computadoras Mac y debe ser una cadena alfanumérica de 10 caracteres.
4
Configurar las URL
URLs son los prefijos de URL de los proveedores de identidad para los que la extensión inicia sesión. Selecciona Añadir para cada prefijo.No se permiten parámetros de consulta ni fragmentos de URL. Cada URL debe comenzar por
http:// o https:// y debe ser única entre los perfiles Single Sign-On Extension instalados en el dispositivo.5
Establecer los identificadores de paquete denegados
Denied Bundle Identifiers son los identificadores de paquete de las apps que no deben usar el SSO de esta extensión. Selecciona Add Bundle Identifier para cada app. Esto se aplica a iOS 15 y posterior, iPadOS 15 y posterior, y macOS 12 y posterior.
6
Establecer el comportamiento con la pantalla bloqueada
Screen locked behavior establece cómo se comporta la extensión cuando la pantalla está bloqueada. El valor predeterminado es No configurado.
- No configurado: Iru no envía este ajuste.
- Cancelar: cancela las solicitudes de autenticación mientras la pantalla está bloqueada.
- Do not handle: no gestiona las solicitudes de autenticación mientras la pantalla está bloqueada.
7
Configurar ajustes adicionales de la extensión
Selecciona Set additional extension configuration cuando la extensión necesite datos de configuración adicionales.
Si piensas usar OpenID, ponte en contacto con tu proveedor de identidad para confirmar que admite OpenID con Platform SSO.
Credential
Platform SSO no está disponible para Credential.1
Seleccionar el tipo de extensión
En Tipo de extensión, selecciona Credential.
2
Configurar el identificador de la extensión
Extension identifier es el identificador de paquete de la extensión de la app que realiza el inicio de sesión único. Puedes encontrarlo en el archivo info.plist de la app.
3
Establecer el identificador de equipo
Team identifier es el identificador de equipo de la extensión de la app que realiza el inicio de sesión único. Es obligatorio cuando el Library Item está asignado a computadoras Mac y debe ser una cadena alfanumérica de 10 caracteres.
4
Establecer el dominio (Realm)
Realm es opcional. Introduce el nombre del dominio Kerberos (realm) para la credencial con las mayúsculas correctas.
5
Establecer los hosts
Hosts son los dominios o nombres de host que la extensión puede autenticar. Selecciona Añadir para cada nombre. Cada nombre debe ser único entre los perfiles Single Sign-On Extension instalados en el dispositivo.
6
Establecer los identificadores de paquete denegados
Denied Bundle Identifiers son los identificadores de paquete de las apps que no deben usar el SSO de esta extensión. Selecciona Add Bundle Identifier para cada app. Esto se aplica a iOS 15 y posterior, iPadOS 15 y posterior, y macOS 12 y posterior.
7
Establecer el comportamiento con la pantalla bloqueada
Screen locked behavior establece cómo se comporta la extensión cuando la pantalla está bloqueada. El valor predeterminado es No configurado.
- No configurado: Iru no envía este ajuste.
- Cancelar: cancela las solicitudes de autenticación mientras la pantalla está bloqueada.
- Do not handle: no gestiona las solicitudes de autenticación mientras la pantalla está bloqueada.
8
Establecer configuración adicional de la extensión
Selecciona Set additional extension configuration para introducir cualquier otro dato de configuración que requiera la extensión.
Kerberos
Platform SSO no está disponible para Kerberos. Usa estos pasos para la extensión Kerberos de Apple.1
Seleccionar el tipo de extensión
En Tipo de extensión, selecciona Kerberos.
2
Establecer el dominio (Realm)
Realm es obligatorio. Introduce el nombre del dominio Kerberos con las mayúsculas correctas, como la forma en mayúsculas del nombre de tu dominio de Active Directory. Por ejemplo, accuhive.io se convierte en
ACCUHIVE.IO.3
Establecer los hosts
Hosts son los dominios o nombres de host que la extensión puede autenticar. Selecciona Añadir para cada nombre. Cada nombre debe ser único entre los perfiles Single Sign-On Extension instalados en el dispositivo.Puedes dejar Hosts vacío. Si las aplicaciones empresariales usan AD FS y AD FS acepta la autenticación Kerberos, agrega el host de AD FS (por ejemplo,
adfs.accuhive.io).4
Establecer el comportamiento con la pantalla bloqueada
Screen locked behavior establece cómo se comporta la extensión cuando la pantalla está bloqueada. El valor predeterminado es No configurado.
- No configurado: Iru no envía este ajuste.
- Cancelar: cancela las solicitudes de autenticación mientras la pantalla está bloqueada.
- Do not handle: no gestiona las solicitudes de autenticación mientras la pantalla está bloqueada.
Opciones de contraseña
Marca una casilla para enviar ese ajuste. Algunas casillas muestran un valor que debes introducir.- Disallow automatic login: las contraseñas no se guardan en el llavero.
- Disallow password change: desactiva los cambios de contraseña. Disponible en macOS 10.15 y posterior.
- Require complex passwords: las contraseñas deben cumplir la definición de complejidad de Active Directory. Disponible en macOS 10.15 y posterior.
- Password history: introduce cuántas contraseñas anteriores no se pueden reutilizar en este dominio. Disponible en macOS 10.15 y posterior.
- Password length: introduce la longitud mínima de la contraseña, en caracteres, para este dominio. Disponible en macOS 10.15 y posterior.
- Sync password with local user: usa la contraseña de Active Directory como contraseña del usuario local. No funciona cuando el usuario ha iniciado sesión con una cuenta móvil. Disponible en macOS 10.15 y posterior.
- Change password URL: introduce la URL que abre la extensión durante un cambio de contraseña. Disponible en macOS 10.15.4 y posterior.
- Password expiration notification: introduce con cuántos días de antelación a la caducidad de la contraseña los usuarios empiezan a recibir notificaciones.
- Minimum password age: introduce la antigüedad mínima, en días, antes de que se pueda cambiar una contraseña en este dominio.
Avanzado
Marca una casilla para enviar ese ajuste. Algunas casillas muestran un valor que debes introducir.- Bundle ID access: selecciona Añadir para cada ID de paquete con permiso para acceder al ticket de concesión de tickets (TGT).
- Autofill username: introduce el nombre principal. No incluyas el dominio (realm).
- Default realm: usa este dominio cuando haya instalada más de una configuración de extensión Kerberos.
- Require user presence: el usuario debe proporcionar Touch ID, Face ID o su código para acceder a la entrada del llavero.
- Site Code: introduce el sitio de Active Directory que debe usar la extensión Kerberos. La mayoría de los administradores pueden dejarlo sin establecer. Normalmente, la extensión puede encontrar el sitio automáticamente.
- Disable Autodiscover for site name: la extensión no usa LDAP ni DNS para determinar el nombre de su sitio de Active Directory.
- Custom Username Label: introduce la etiqueta que se muestra en lugar de Nombre de usuario. Por ejemplo, Company ID. Disponible en macOS 11 y posterior.
- Delay User Setup: no pide al usuario que configure la extensión Kerberos hasta que un administrador la habilite con la herramienta
app-ssoo hasta que se reciba un desafío Kerberos. Disponible en macOS 11 y posterior. - Help Text: introduce el texto que se muestra en la parte inferior de la ventana de inicio de sesión de Kerberos, como información de ayuda o un aviso legal. Disponible en iOS 14 y posterior y en macOS 11 y posterior.
- Include Managed Apps in Bundle ACL: solo las apps gestionadas pueden acceder a la credencial y usarla, además de los ID de paquete incluidos en Bundle ID access. Disponible en iOS 14 y posterior.
- Disable Monitor Credentials Cache: la credencial se solicita en el siguiente desafío Kerberos coincidente o cambio de red. Si la credencial ha caducado o no existe, se crea una nueva. Disponible en macOS 11 y posterior.
- Disallow smart card: el usuario no puede cambiar la interfaz al modo de tarjeta inteligente. Disponible en macOS 15 y posterior.
- Disallow password: el usuario no puede cambiar la interfaz al modo de contraseña. Disponible en macOS 15 y posterior.
- Start in smart card mode: la interfaz se inicia en modo de tarjeta inteligente. Disponible en macOS 15 y posterior.
- Smart Card Identity Issuer Auto Select Filter: introduce una cadena con comodines para filtrar las tarjetas inteligentes disponibles por emisor. Si queda una tarjeta, se selecciona automáticamente. Si queda más de una, la lista es más corta.