> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Configurar el Library Item Single Sign-On Extension

> Configura el Library Item SSO Extension en Iru Endpoint para habilitar el inicio de sesión único en apps y sitios web en dispositivos Mac, iPhone y iPad.

<Callout icon="apple" color="#B84A7A" iconType="regular">Este Library Item está disponible para dispositivos Apple</Callout>

## ¿Qué es una extensión de inicio de sesión único?

Una extensión de inicio de sesión único (SSO) es un tipo de aplicación para macOS, iOS, iPadOS y visionOS que usa el framework Extensible Enterprise Single Sign-on de Apple. Estas aplicaciones, o *extensiones*, permiten a los proveedores de identidad (IdP) crear aplicaciones que mantienen la sesión del usuario iniciada en las aplicaciones nativas de macOS y en los navegadores. Esto te permite iniciar sesión una vez en la extensión y quedar autenticado en macOS, iOS, iPadOS y visionOS. Las extensiones SSO también pueden permitir sincronizar la contraseña local de macOS de un usuario con su contraseña del IdP.

<Warning>
  Al implementar Okta Device Trust, esta Single Sign-On Extension no es necesaria por separado, porque la funcionalidad de la extensión SSO se incluye como parte de la implementación de Okta Device Trust.
</Warning>

## ¿Cómo puedo implementar una extensión de inicio de sesión único?

* Para las extensiones de iOS, iPadOS y visionOS, primero debes implementar la app que contiene la extensión SSO mediante Apps and Books desde Apple Business o Apple School Manager.
* Para las extensiones de macOS, primero debes implementar la app que contiene la extensión SSO mediante Apps and Books desde Apple Business o Apple School Manager, o mediante una Custom App en Iru.
* Después de implementar la extensión, configurarás e implementarás un perfil de inicio de sesión único en los dispositivos.

## Configurar un perfil Single Sign-On Extension

Para agregar este Library Item a tu Library de Iru Endpoint, sigue los pasos descritos en el artículo [Descripción general de la Library](/es/endpoint/library/library-items-profiles/library-overview).

<Steps>
  <Step title="Asignar un nombre al Library Item">
    Asigna un **Nombre** al nuevo Library Item Single Sign-On Extension.
  </Step>

  <Step title="Asignar a Blueprints">
    Asígnalo a los [Blueprints](/es/endpoint/getting-started/blueprints-and-library/configuring-blueprints) que desees.
  </Step>
</Steps>

### Redirect

<Steps>
  <Step title="Seleccionar el tipo de extensión">
    **Tipo de extensión** es el tipo de autorización de inicio de sesión. Selecciona **Redirect**.
  </Step>

  <Step title="Configurar el identificador de la extensión">
    **Extension identifier** es el identificador de paquete de la extensión de la app que realiza el inicio de sesión único. Puedes encontrarlo en el archivo *info.plist* de la app.
  </Step>

  <Step title="Establecer el identificador de equipo">
    **Team identifier** es el identificador de equipo de la extensión de la app que realiza el inicio de sesión único. Es obligatorio cuando el Library Item está asignado a computadoras Mac y debe ser una cadena alfanumérica de 10 caracteres.
  </Step>

  <Step title="Configurar las URL">
    **URLs** son los prefijos de URL de los proveedores de identidad para los que la extensión inicia sesión. Selecciona **Añadir** para cada prefijo.

    No se permiten parámetros de consulta ni fragmentos de URL. Cada URL debe comenzar por `http://` o `https://` y debe ser única entre los perfiles Single Sign-On Extension instalados en el dispositivo.
  </Step>

  <Step title="Establecer los identificadores de paquete denegados">
    **Denied Bundle Identifiers** son los identificadores de paquete de las apps que no deben usar el SSO de esta extensión. Selecciona **Add Bundle Identifier** para cada app. Esto se aplica a iOS 15 y posterior, iPadOS 15 y posterior, y macOS 12 y posterior.
  </Step>

  <Step title="Establecer el comportamiento con la pantalla bloqueada">
    **Screen locked behavior** establece cómo se comporta la extensión cuando la pantalla está bloqueada. El valor predeterminado es **No configurado**.

    * **No configurado**: Iru no envía este ajuste.
    * **Cancelar**: cancela las solicitudes de autenticación mientras la pantalla está bloqueada.
    * **Do not handle**: no gestiona las solicitudes de autenticación mientras la pantalla está bloqueada.
  </Step>

  <Step title="Configurar ajustes adicionales de la extensión">
    Selecciona **Set additional extension configuration** cuando la extensión necesite datos de configuración adicionales.
  </Step>
</Steps>

Platform SSO solo está disponible para **Redirect**. Después de estos ajustes de la extensión, continúa con [Configurar Platform Single Sign-On](/es/endpoint/library/library-items-profiles/configure-platform-single-sign-on). Para los otros tipos de extensión, ve a [Credential](#credential) o [Kerberos](#kerberos).

<Note>
  Si piensas usar **OpenID**, ponte en contacto con tu proveedor de identidad para confirmar que admite OpenID con Platform SSO.
</Note>

### Credential

Platform SSO no está disponible para **Credential**.

<Steps>
  <Step title="Seleccionar el tipo de extensión">
    En **Tipo de extensión**, selecciona **Credential**.
  </Step>

  <Step title="Configurar el identificador de la extensión">
    **Extension identifier** es el identificador de paquete de la extensión de la app que realiza el inicio de sesión único. Puedes encontrarlo en el archivo *info.plist* de la app.
  </Step>

  <Step title="Establecer el identificador de equipo">
    **Team identifier** es el identificador de equipo de la extensión de la app que realiza el inicio de sesión único. Es obligatorio cuando el Library Item está asignado a computadoras Mac y debe ser una cadena alfanumérica de 10 caracteres.
  </Step>

  <Step title="Establecer el dominio (Realm)">
    **Realm** es opcional. Introduce el nombre del dominio Kerberos (realm) para la credencial con las mayúsculas correctas.
  </Step>

  <Step title="Establecer los hosts">
    **Hosts** son los dominios o nombres de host que la extensión puede autenticar. Selecciona **Añadir** para cada nombre. Cada nombre debe ser único entre los perfiles Single Sign-On Extension instalados en el dispositivo.
  </Step>

  <Step title="Establecer los identificadores de paquete denegados">
    **Denied Bundle Identifiers** son los identificadores de paquete de las apps que no deben usar el SSO de esta extensión. Selecciona **Add Bundle Identifier** para cada app. Esto se aplica a iOS 15 y posterior, iPadOS 15 y posterior, y macOS 12 y posterior.
  </Step>

  <Step title="Establecer el comportamiento con la pantalla bloqueada">
    **Screen locked behavior** establece cómo se comporta la extensión cuando la pantalla está bloqueada. El valor predeterminado es **No configurado**.

    * **No configurado**: Iru no envía este ajuste.
    * **Cancelar**: cancela las solicitudes de autenticación mientras la pantalla está bloqueada.
    * **Do not handle**: no gestiona las solicitudes de autenticación mientras la pantalla está bloqueada.
  </Step>

  <Step title="Establecer configuración adicional de la extensión">
    Selecciona **Set additional extension configuration** para introducir cualquier otro dato de configuración que requiera la extensión.
  </Step>
</Steps>

### Kerberos

Platform SSO no está disponible para **Kerberos**. Usa estos pasos para la extensión Kerberos de Apple.

<Steps>
  <Step title="Seleccionar el tipo de extensión">
    En **Tipo de extensión**, selecciona **Kerberos**.
  </Step>

  <Step title="Establecer el dominio (Realm)">
    **Realm** es obligatorio. Introduce el nombre del dominio Kerberos con las mayúsculas correctas, como la forma en mayúsculas del nombre de tu dominio de Active Directory. Por ejemplo, accuhive.io se convierte en `ACCUHIVE.IO`.
  </Step>

  <Step title="Establecer los hosts">
    **Hosts** son los dominios o nombres de host que la extensión puede autenticar. Selecciona **Añadir** para cada nombre. Cada nombre debe ser único entre los perfiles Single Sign-On Extension instalados en el dispositivo.

    Puedes dejar **Hosts** vacío. Si las aplicaciones empresariales usan AD FS y AD FS acepta la autenticación Kerberos, agrega el host de AD FS (por ejemplo, `adfs.accuhive.io`).
  </Step>

  <Step title="Establecer el comportamiento con la pantalla bloqueada">
    **Screen locked behavior** establece cómo se comporta la extensión cuando la pantalla está bloqueada. El valor predeterminado es **No configurado**.

    * **No configurado**: Iru no envía este ajuste.
    * **Cancelar**: cancela las solicitudes de autenticación mientras la pantalla está bloqueada.
    * **Do not handle**: no gestiona las solicitudes de autenticación mientras la pantalla está bloqueada.
  </Step>
</Steps>

#### Opciones de contraseña

Marca una casilla para enviar ese ajuste. Algunas casillas muestran un valor que debes introducir.

* **Disallow automatic login**: las contraseñas no se guardan en el llavero.
* **Disallow password change**: desactiva los cambios de contraseña. Disponible en macOS 10.15 y posterior.
* **Require complex passwords**: las contraseñas deben cumplir la definición de complejidad de Active Directory. Disponible en macOS 10.15 y posterior.
* **Password history**: introduce cuántas contraseñas anteriores no se pueden reutilizar en este dominio. Disponible en macOS 10.15 y posterior.
* **Password length**: introduce la longitud mínima de la contraseña, en caracteres, para este dominio. Disponible en macOS 10.15 y posterior.
* **Sync password with local user**: usa la contraseña de Active Directory como contraseña del usuario local. No funciona cuando el usuario ha iniciado sesión con una cuenta móvil. Disponible en macOS 10.15 y posterior.
* **Change password URL**: introduce la URL que abre la extensión durante un cambio de contraseña. Disponible en macOS 10.15.4 y posterior.
* **Password expiration notification**: introduce con cuántos días de antelación a la caducidad de la contraseña los usuarios empiezan a recibir notificaciones.
* **Minimum password age**: introduce la antigüedad mínima, en días, antes de que se pueda cambiar una contraseña en este dominio.

#### Avanzado

Marca una casilla para enviar ese ajuste. Algunas casillas muestran un valor que debes introducir.

* **Bundle ID access**: selecciona **Añadir** para cada ID de paquete con permiso para acceder al ticket de concesión de tickets (TGT).
* **Autofill username**: introduce el nombre principal. No incluyas el dominio (realm).
* **Default realm**: usa este dominio cuando haya instalada más de una configuración de extensión Kerberos.
* **Require user presence**: el usuario debe proporcionar Touch ID, Face ID o su código para acceder a la entrada del llavero.
* **Site Code**: introduce el sitio de Active Directory que debe usar la extensión Kerberos. La mayoría de los administradores pueden dejarlo sin establecer. Normalmente, la extensión puede encontrar el sitio automáticamente.
* **Disable Autodiscover for site name**: la extensión no usa LDAP ni DNS para determinar el nombre de su sitio de Active Directory.
* **Custom Username Label**: introduce la etiqueta que se muestra en lugar de **Nombre de usuario**. Por ejemplo, Company ID. Disponible en macOS 11 y posterior.
* **Delay User Setup**: no pide al usuario que configure la extensión Kerberos hasta que un administrador la habilite con la herramienta `app-sso` o hasta que se reciba un desafío Kerberos. Disponible en macOS 11 y posterior.
* **Help Text**: introduce el texto que se muestra en la parte inferior de la ventana de inicio de sesión de Kerberos, como información de ayuda o un aviso legal. Disponible en iOS 14 y posterior y en macOS 11 y posterior.
* **Include Managed Apps in Bundle ACL**: solo las apps gestionadas pueden acceder a la credencial y usarla, además de los ID de paquete incluidos en **Bundle ID access**. Disponible en iOS 14 y posterior.
* **Disable Monitor Credentials Cache**: la credencial se solicita en el siguiente desafío Kerberos coincidente o cambio de red. Si la credencial ha caducado o no existe, se crea una nueva. Disponible en macOS 11 y posterior.
* **Disallow smart card**: el usuario no puede cambiar la interfaz al modo de tarjeta inteligente. Disponible en macOS 15 y posterior.
* **Disallow password**: el usuario no puede cambiar la interfaz al modo de contraseña. Disponible en macOS 15 y posterior.
* **Start in smart card mode**: la interfaz se inicia en modo de tarjeta inteligente. Disponible en macOS 15 y posterior.
* **Smart Card Identity Issuer Auto Select Filter**: introduce una cadena con comodines para filtrar las tarjetas inteligentes disponibles por emisor. Si queda una tarjeta, se selecciona automáticamente. Si queda más de una, la lista es más corta.