Skip to main content
Esta guía se aplica a computadoras Mac

​
Acerca de Passport

Passport es una función de Iru Endpoint que permite a los usuarios iniciar sesión en computadoras Mac con las credenciales del proveedor de identidad (IdP) de su organización en lugar de contraseñas locales independientes. Passport conecta el IdP con el inicio de sesión de macOS.

Actualización importante de Passport con Entra ID

A partir del 15 de junio de 2026, Microsoft Entra ID gestiona el acceso condicional para el inicio de sesión de Passport de forma diferente.Microsoft explica el cambio en esta documentación.

​
Cómo funciona

Passport se integra con tu proveedor de identidad (IdP) para autenticar a los usuarios en la pantalla de inicio de sesión de macOS. Cuando los usuarios introducen sus credenciales del IdP, Passport las verifica con el sistema de identidad de tu organización y crea o actualiza la cuenta de usuario local de la Mac en consecuencia. Para obtener más información sobre cómo interactúa Passport con otras funciones de Iru Endpoint y macOS, consulta Compatibilidad de Passport con macOS y las funciones de Iru Endpoint.

​
Configurar tu IdP para Passport

Configura tu proveedor de identidad con Passport antes de configurar el Library Item en Iru Endpoint. Según tu IdP y el modo de autenticación, necesitarás los valores correctos para introducir en Iru Endpoint, como la URL de configuración well-known de OIDC (URL de metadatos del emisor), el ID de cliente de la aplicación y, cuando tu configuración lo requiera, secretos de cliente y URI de redirección. Usa la guía que corresponda a tu IdP:

Configuración de Passport con Google Workspace

Configuración de Secure LDAP y certificados para Google Workspace.

Configuración de Passport con Okta

Configuración de la aplicación OIDC y del Library Item de Passport para Okta.

Configurar Passport con Microsoft Entra ID - Inicio de sesión web

Usa esta guía cuando necesites MFA con Passport.

Configurar Passport con Microsoft Entra ID - Inicio de sesión de Mac

Usa esta guía cuando no necesites MFA con Passport.

Configuración de Passport con OneLogin

Configuración de las aplicaciones OIDC y del Library Item de Passport para OneLogin.
Si usas Otro como Proveedor de identidad en Iru Endpoint, consulta la documentación de tu proveedor para obtener la URL .well-known/openid-configuration del emisor y la configuración de cliente que corresponda a Inicio de sesión web o Inicio de sesión de Mac en tu Library Item de Passport.

​
Crear un Library Item de Passport

1

Agregar el Library Item

Para agregar este Library Item a tu Library de Iru Endpoint, sigue los pasos descritos en el artículo Descripción general de Library.
2

Configurar el nombre y los Blueprints

Asigna al nuevo Library Item de Passport un Nombre descriptivo y asígnalo a los Blueprints que desees.
3

Completar la configuración y guardar

Continúa con Configuración de autenticación, Aprovisionamiento de usuarios, Acceso, Login window y Help window como se describe más adelante en este artículo. Cuando termines, selecciona Guardar en el Library Item.

​
Configuración de autenticación

1

Seleccionar el proveedor de identidad

En Configuración, en Configuración de autenticación, selecciona Proveedor de identidad y elige tu IdP.
2

Google Workspace: subir el certificado

Si usas cualquier Proveedor de identidad distinto de Google Workspace, omite este paso y continúa con Introducir la URL del proveedor de identidad a continuación.Sube el certificado comprimido de tu cliente de Secure LDAP en Configuración de autenticación. Pasa directamente a Aprovisionamiento de usuarios.
3

Introducir la URL del proveedor de identidad

En el campo URL del proveedor de identidad, introduce el endpoint de configuración well-known de OIDC del IdP. El patrón de URL esperado depende de tu IdP; usa la pestaña que corresponda a tu selección de Proveedor de identidad.
Si no conoces tu ID de inquilino, sigue las instrucciones que encontrarás aquí para encontrarlo.
4

Introducir el Client ID (Sincronización de contraseñas)

En el campo Client ID (Password Sync), introduce el ID de cliente de la aplicación OIDC configurada en la plataforma del proveedor de identidad.
Interfaz de configuración de Passport que muestra los campos Identity Provider URL y Client ID (Password Sync)
5

Seleccionar el modo de autenticación

Los dos modos funcionan de forma diferente en la ventana de inicio de sesión de la Mac:
  • Inicio de sesión web: Passport muestra una vista web de la página de inicio de sesión de tu IdP. Los usuarios completan el inicio de sesión del IdP (incluida la autenticación multifactor cuando tu IdP la requiere) dentro de esa vista. Cuando tu organización lo permite, pueden iniciar sesión localmente.
  • Inicio de sesión de Mac: Passport muestra solo los campos de nombre de usuario y contraseña de la Mac. Los usuarios introducen allí sus credenciales del IdP; Passport las comprueba con el IdP sin ejecutar el flujo completo de inicio de sesión web del IdP en la ventana de inicio de sesión.
Usa Inicio de sesión web si necesitas que Passport admita MFA con tu IdP al iniciar sesión en la Mac. Usa Inicio de sesión de Mac si no necesitas que Passport admita MFA de esa forma en tu implementación.
Si FileVault está configurado como No permitir el inicio de sesión automático de FileVault y se selecciona Inicio de sesión web, los usuarios deben autenticarse tres veces en total después de encender o reiniciar el dispositivo.
6

Configurar el Redirect URI (si corresponde)

Si seleccionaste Inicio de sesión web, introduce el URI de redirección en el campo Redirect URI como se describe en el artículo de configuración de tu IdP.
7

Introducir el Client secret (si corresponde)

Si la app OIDC de tu IdP usa un secreto de cliente, introdúcelo en el campo Client secret (optional). Esto se aplica a Inicio de sesión de Mac o Inicio de sesión web cuando tu app está configurada con un secreto en el IdP (por ejemplo, algunas apps de Inicio de sesión web usan un cliente confidencial). Si no estás seguro, sigue el artículo de configuración de tu IdP.
Si usas Microsoft Entra ID, el “Client Secret” es el valor del secreto de cliente (Client Secret Value), no el ID del secreto de cliente (Client Secret ID). Usar el Client Secret ID provocará errores de inicio de sesión.

​
Aprovisionamiento de usuarios

Configura los ajustes de aprovisionamiento de usuarios que quieres aplicar cuando un usuario inicia sesión por primera vez en la Mac. Puedes controlar cómo se asignan los tipos de cuenta y qué hacer cuando ya existe una cuenta.
Passport usa dos atributos de una cuenta de usuario local de la Mac (que puedes ver con el comando dscl o con la app Directory Utility):
  • dsAttrTypeNative:io.kandji.KandjiLogin.LinkedAccount: contiene un valor único específico de la cuenta del IdP; varía y puede ser un número, una dirección de correo electrónico o un identificador único
  • dsAttrTypeNative:io.kandji.KandjiLogin.LinkedAccountName: contiene un valor del atributo RecordName de la cuenta de usuario vinculada, por ejemplo, una dirección de correo electrónico
Passport también agrega un valor adicional al atributo RecordName: la dirección de correo electrónico de la cuenta del IdP.Cuando Passport crea una nueva cuenta de usuario local, crea la cuenta local de la Mac con los atributos y valores adecuados.Cuando Passport se vincula con una cuenta de usuario local existente, agrega un valor al atributo RecordName existente y añade los dos atributos y valores adicionales a la cuenta de usuario local existente.
En Aprovisionamiento de usuarios, el menú desplegable Tipo de cuenta de usuario ofrece Administrator (predeterminado), Estándar y Especificar por grupo del proveedor de identidad. Cuando Passport crea nuevas cuentas de usuario locales, su tipo sigue esta configuración.
  • Si seleccionas Administrator o Estándar, Passport comprueba los permisos de una cuenta local en el primer inicio de sesión con Passport.
  • Si seleccionas Especificar por grupo del proveedor de identidad para configurar el tipo de cuenta nueva según la pertenencia a grupos del IdP:
    • Con Tipo de cuenta de usuario establecido en Especificar por grupo del proveedor de identidad, abre el menú desplegable de tipo de cuenta que aparece debajo y selecciona Administrator o Standard user. Si un usuario coincide con una fila de Grupo del proveedor de identidad más abajo, Passport usa el tipo de cuenta de esa fila.
    • Asegúrate de que el grupo del campo Grupo del proveedor de identidad en Iru Endpoint coincida con el grupo de tu IdP
      • Para Microsoft Entra ID, según las recomendaciones de Microsoft, usa el Object ID del grupo de Entra ID en lugar del nombre del grupo.
      • Para Google Workspace, el nombre introducido debe ser el prefijo del correo electrónico del grupo en Google y no el nombre del grupo.
    • Si un usuario está designado como administrador en un grupo y como usuario estándar en otro, el tipo de cuenta de ese usuario será Administrator.
    • Cuando se selecciona Especificar por grupo del proveedor de identidad, Passport comprueba la pertenencia a grupos del usuario cada vez que inicia sesión. Passport actualiza el tipo de cuenta del usuario si realizas un cambio de pertenencia a grupos o de configuración que haga que un usuario:
      • pase de una cuenta estándar a una cuenta de administrador
      • pase de una cuenta de administrador a una cuenta estándar (este cambio obliga al usuario a reiniciar su Mac para degradar la cuenta de usuario y garantizar que el cambio surta efecto)
Selecciona si se ofrecerá al usuario la opción de vincular su cuenta del IdP con un usuario local existente. Esta opción solo se mostrará una vez.
  • Siempre. Esta es la configuración predeterminada. Cuando un usuario inicia sesión en la Mac con sus credenciales del IdP, Passport le pide que seleccione una cuenta local existente de la Mac con la que quiere vincularse. Es una buena opción si no sabes con certeza si los nombres de cuenta del IdP de tus usuarios coinciden con sus nombres de cuenta de la Mac. Cuando se selecciona Siempre, verás dos opciones adicionales:
    • Exigir la vinculación con un usuario local existente: el usuario deberá vincular su cuenta del IdP a una cuenta de usuario local existente.
    • Excluir usuarios locales: excluye cuentas específicas de la lista de usuarios locales que se pueden vincular durante el inicio de sesión inicial del usuario. Introduce un nombre corto en Local user short name y selecciona Add user cuando necesites más de una fila. Un caso de uso habitual es evitar que se pida al usuario vincularse con una cuenta de administrador de IT o de servicio.
  • Si coincide un nombre de usuario local. Cuando un usuario inicia sesión en la Mac con sus credenciales del IdP, Passport busca automáticamente la cuenta de la Mac con un nombre de usuario coincidente y le pide que la vincule. El usuario no tendrá la opción de vincularse a otra cuenta.
  • Nunca. Cuando un usuario inicia sesión con sus credenciales del IdP, Passport crea una nueva cuenta de usuario en la Mac, independientemente de las cuentas existentes.

​
Acceso

Configura qué usuarios pueden iniciar sesión en la Mac y el comportamiento de inicio de sesión automático de FileVault. Consulta Administrar contraseñas con Passport para obtener información detallada sobre la administración de contraseñas.
Esta configuración se aplica solo a usuarios de Passport nuevos o existentes que se autenticaron con el IdP. Usa Local user access a continuación para controlar el inicio de sesión de otros usuarios locales.
  • Allow all users to log in permite que todos los usuarios del IdP inicien sesión en la Mac en la ventana de inicio de sesión de Passport.
  • Specify which IdP users can log in permite iniciar sesión en la Mac en la ventana de inicio de sesión de Passport solo a los usuarios que especifiques.
    • Incluir automáticamente al usuario asignado al registro del dispositivo: permite automáticamente iniciar sesión al usuario asignado al registro del dispositivo en Iru Endpoint.
    • Especificar usuarios adicionales del IdP: permite iniciar sesión a determinados usuarios del IdP, aunque no estén asignados al registro del dispositivo en Iru Endpoint.
Elige si los usuarios locales existentes pueden iniciar sesión o si el acceso se limita a los administradores locales o a usuarios locales específicos.
  • Allow all local users to log in permite que todos los usuarios locales inicien sesión en la Mac en la ventana de inicio de sesión de Passport. Si la Mac está conectada a una red y puede comunicarse con el IdP, Passport comprobará las credenciales del usuario con el IdP. Si la Mac no está conectada a una red, el usuario puede iniciar sesión con las credenciales de su cuenta local de la Mac. Esta es la configuración predeterminada.
  • Allow local administrators to log in permite iniciar sesión en la Mac en la ventana de inicio de sesión de Passport solo a los usuarios administradores locales.
  • Specify which local users can log in permite iniciar sesión en la Mac en la ventana de inicio de sesión de Passport solo a los usuarios que especifiques.
Estas opciones controlan la autenticación transferida de FileVault (también llamada inicio de sesión automático de FileVault): si los usuarios pueden desbloquear FileVault y llegar al escritorio sin un inicio de sesión independiente en la ventana de Passport.
  • Permitir el inicio de sesión automático de FileVault: los usuarios inician sesión solo en la ventana de inicio de sesión de FileVault. No ven la ventana de inicio de sesión de Passport a menos que cierren sesión. La ventana de inicio de sesión de FileVault no comprueba las credenciales con un IdP.
  • No permitir el inicio de sesión automático de FileVault: esta es la opción predeterminada. Los usuarios ven la ventana de inicio de sesión de Passport al encender su Mac. Inician sesión en la ventana de inicio de sesión de FileVault y de nuevo en la ventana de inicio de sesión de Passport.
Cuando se selecciona No permitir el inicio de sesión automático de FileVault, los usuarios se autentican en la ventana de FileVault y de nuevo en la ventana de inicio de sesión de Passport después de cada reinicio del sistema.
Opcionalmente, almacena la contraseña actual del usuario en un llavero dedicado para que Passport pueda gestionar los cambios de contraseña en la ventana de inicio de sesión sin solicitudes adicionales cuando sea posible.
  • Almacenar la contraseña de forma segura: almacena las credenciales del IdP del usuario en un llavero dedicado en su Mac para facilitar los cambios de contraseña. Cuando el usuario cambia su contraseña en el IdP y luego inicia sesión en la Mac, solo necesita introducir sus nuevas credenciales; Passport actualizará silenciosamente la contraseña de la Mac. Si un usuario ya ha iniciado sesión y cambia su contraseña en el IdP, Passport le pedirá en un plazo de 5 minutos que actualice su contraseña local, y el usuario no tendrá que proporcionar su contraseña local; solo tendrá que introducir su contraseña del IdP para que Passport cambie su contraseña local para que coincida con la del IdP. La ubicación de este llavero es /Library/Keychains/iru.keychain. Si eliminas ese llavero, Passport creará automáticamente un nuevo llavero en esa ubicación y lo usará sin generar ningún error ni notificación al usuario.
    • Inicio de sesión web Passthrough: cuando se selecciona esta opción con Inicio de sesión web, los usuarios verán una pantalla adicional de verificación de contraseña solo la primera vez que inicien sesión. En los inicios de sesión posteriores, el proceso se completará tras una única autenticación en la ventana de Inicio de sesión web.
  • No almacenar la contraseña: con esta opción, Passport solo comprueba y aplica la sincronización de contraseñas al iniciar sesión. Si un usuario cambia su contraseña entre sesiones, su contraseña local seguirá sin sincronizarse hasta su próximo inicio de sesión.

​
Personalizar la ventana de inicio de sesión

Puedes personalizar la ventana de inicio de sesión de Passport para tus usuarios. Selecciona Personalizar para mostrar el panel Customize login window con las siguientes opciones:
  • Mostrar el logotipo: incluye el logotipo de tu organización en la ventana de inicio de sesión. Si el Library Item de Passport usa Inicio de sesión web, Passport muestra la vista web en lugar del logotipo hasta que el usuario selecciona Local Login, que vuelve a mostrar el logotipo con los campos de nombre de usuario y contraseña.
  • Logo: usa un PNG de 128 x 128 píxeles con fondo transparente. Arrastra el archivo al área de carga o selecciona upload. Se aceptan JPEG y PNG.
  • Personalizar la imagen del escritorio: actívalo para subir una imagen de fondo para la ventana de inicio de sesión.
  • Imagen del escritorio: se recomienda un JPEG o PNG de 3840 x 2160 píxeles. Arrastra el archivo al área de carga o selecciona upload.
  • Administrador de red: incluye el administrador de redes Wi-Fi en la barra de menús para que los usuarios puedan conectarse en la ventana de inicio de sesión de Passport cuando todavía no estén en una red.
  • Permitir la conexión a redes Wi-Fi no seguras: cuando Administrador de red está activado, los usuarios pueden usarlo para conectarse a redes que no requieren cifrado.
No se admiten redes con portal cautivo.
Mensaje de bloqueo: elige mostrar u ocultar un mensaje de bloqueo. Las opciones son Don’t display a lock message, Display a custom lock message e Inherit system settings. Para un mensaje personalizado, introduce hasta 220 caracteres en el campo de texto.Banner de política: elige mostrar u ocultar un banner de políticas. Las opciones son Don’t display a policy banner, Display a plain-text policy banner, Display an RTF policy banner e Inherit system settings. El texto sin formato admite hasta 900 caracteres. Para RTF, usa la zona de arrastre o selecciona upload para adjuntar un archivo.
Especifica qué controles de energía están disponibles en la ventana de inicio de sesión. De forma predeterminada, los tres están habilitados.
  • Botón Apagar
  • Botón Reiniciar
  • Botón Reposo
  • Personalizar la etiqueta del nombre de usuario: agrega una etiqueta personalizada que aparece en el campo de nombre de usuario. Hasta 83 caracteres.
  • Incluir la URL de restablecimiento de contraseña: permite a los usuarios restablecer sus contraseñas desde la ventana de inicio de sesión. Introduce la URL completa, por ejemplo, un valor que empiece por https://.

​
Personalizar la ventana de ayuda

Los usuarios seleccionan el control de ayuda ? en la parte inferior izquierda de la ventana de inicio de sesión de Passport. La ventana de ayuda que se abre tiene tres pestañas en la parte superior: Support, Device info y About, que corresponden a lo que configuras aquí. En el Library Item de Passport, selecciona Personalizar para abrir el panel Customize Help window.
  • Header: obligatorio. Hasta 30 caracteres. Este texto aparece como encabezado principal en la pestaña Support, por ejemplo, Contact us.
  • Texto del cuerpo (opcional): hasta 250 caracteres. Este texto aparece debajo del encabezado, por ejemplo, instrucciones para contactar con el departamento de IT de la organización si falla el inicio de sesión.
Activa o desactiva cada interruptor para controlar si esa fila aparece en la pestaña Device info. De forma predeterminada, todas estas opciones están habilitadas.
  • Número de serie
  • Dirección IP
  • Nombre de host
  • Versión de macOS
  • Información del modelo
Muestra el nombre Passport, una línea Versión con el número de compilación y el aviso de copyright de Iru, de forma similar a una ventana Acerca de estándar de macOS.

​
Probar Passport

Al probar Passport:
  • Puedes usar el comando sudo iru library para forzar la aplicación de la nueva configuración del Library Item de Passport después de realizar cambios.
  • Puedes eliminar una cuenta de usuario asociada con Passport desde la configuración de Users & Groups (o las preferencias de Users & Groups).
  • Después de realizar estos pasos, puedes cerrar sesión de forma segura e intentar iniciar sesión de nuevo con la nueva configuración de Passport usando las credenciales de una cuenta de usuario de prueba del IdP.

​
Artículos relacionados

Administrar contraseñas con Passport

Cómo administrar contraseñas con Passport.

Compatibilidad de Passport con macOS y las funciones de Iru Endpoint

Compatibilidad de Passport con macOS y las funciones de Iru