Esta guía se aplica a computadoras Mac
Acerca de Passport con Google Workspace
Passport con Google Workspace permite a los usuarios iniciar sesión en computadoras Mac con sus credenciales de Google Workspace. Passport usa el sistema de identidad de Google de tu organización en el inicio de sesión de macOS.Cómo funciona
Passport se integra con tu instancia de Google Workspace mediante Secure LDAP para autenticar a los usuarios en la pantalla de inicio de sesión de macOS. Cuando los usuarios introducen sus credenciales de Google Workspace, Passport las verifica con tu directorio de Google y crea o actualiza la cuenta de usuario local de la Mac.- Google Workspace
- Iru Endpoint
Requisitos previos
- La instancia de Google Workspace de tu organización debe admitir Secure Lightweight Directory Access Protocol (LDAP). Google tiene una lista de licencias compatibles con el servicio LDAP aquí.
- Cada usuario de Google Workspace que vaya a iniciar sesión con Passport debe tener asignada una licencia de Cloud Identity Premium en Google Workspace.
- Necesitas acceso a la cuenta de superadministrador de tu organización.
- Si tu navegador web descomprime automáticamente los archivos .zip, cambia temporalmente esa configuración y vuelve a descargar el archivo, o comprime la carpeta descomprimida antes de subirla a tu Library Item de Passport.
Crear un cliente de Secure LDAP y descargar el certificado
Passport usa Secure LDAP para comunicarse con Google, confirmar las credenciales de inicio de sesión y recopilar información básica de usuarios y grupos. Cuando creas un nuevo cliente de Secure LDAP en Google Workspace, descargas un certificado para proteger las comunicaciones y activas el servicio.1
Iniciar sesión en la consola de administración de Google
En un navegador web, usa la cuenta de superadministrador de tu organización para iniciar sesión en la consola de administración de Google de tu organización en admin.google.com.
2
Acceder a la sección Apps
En la barra lateral izquierda, selecciona Apps.
3
Acceder a LDAP
En la sección Apps, selecciona LDAP.
Si LDAP no aparece, es posible que tu edición no incluya Secure LDAP. Business Starter y Business Standard no ofrecen el servicio Secure LDAP.
4
Agregar un cliente LDAP cuando ya existen otros
Si tu organización ya tiene uno o más clientes de Secure LDAP, aparecen en la lista de la página LDAP que abriste en el paso anterior. En la esquina superior derecha, selecciona ADD CLIENT para crear otro cliente para Passport.
5
Agregar un cliente LDAP cuando todavía no existe ninguno
Si tu organización aún no tiene ningún cliente de Secure LDAP, la página de apps LDAP muestra ADD LDAP CLIENT. Selecciona ADD LDAP CLIENT para empezar a crear el cliente para Passport.
6
Introducir el nombre del cliente LDAP
En el campo LDAP client name, introduce un nombre como Iru Passport.
7
Introducir la descripción
En el campo Descripción, introduce una descripción como Passport: keep Mac login passwords in sync with Google Workspace.
8
Continuar la configuración
Selecciona CONTINUE.
9
Configurar la verificación de credenciales de usuario
En la sección Verify user credentials, selecciona Entire domain (tu dominio aparece entre paréntesis) o, si quieres limitar Passport a determinadas cuentas, selecciona Selected organizational units, groups and excluded groups.
10
Configurar la lectura de información de usuarios
En la sección Read user information, configura los mismos ajustes que en Verify user credentials (por ejemplo, Entire domain o Selected organizational units cuando aparezcan esas opciones).
11
Habilitar System Attributes
Confirma que la casilla System Attributes está seleccionada para que Passport pueda leer los atributos de usuario predeterminados.
12
Dejar sin seleccionar los atributos personalizados
Deja sin seleccionar Public Custom Attributes y Private Custom Attributes; Passport no usará atributos de usuario personalizados.
13
Configurar la lectura de información de grupos
En la sección Read group information, establece el interruptor en On para poder configurar Passport de modo que use la información de grupos de Google Workspace de un usuario para convertir dinámicamente su cuenta local de la Mac entre privilegios estándar y de administrador al iniciar sesión. Si no activas esta opción ahora, puedes activarla más tarde.
14
Revisar y crear el cliente LDAP
Revisa tu configuración y luego selecciona ADD LDAP CLIENT.
15
Descargar el certificado
Selecciona Download certificate.
16
Continuar a Client Details
Selecciona CONTINUE TO CLIENT DETAILS.
17
Acceder a la configuración del servicio
En la sección Service status, selecciona OFF o el control de despliegue (flecha) para abrir el flujo en el que puedes activar el servicio LDAP.
18
Activar el servicio para todos
En la página Service status, selecciona ON for everyone.
19
Guardar la configuración
Selecciona SAVE.
Volver a descargar tu certificado de Secure LDAP (opcional)
Después de configurar el cliente LDAP en la sección anterior, siempre puedes descargar el certificado que se usa para proteger la comunicación LDAP entre Passport y Google. Hay muchas otras opciones, como cambiar el nombre de un certificado, generar certificados adicionales y eliminar un certificado.1
Iniciar sesión en la consola de administración de Google
En un navegador web, usa la cuenta de superadministrador de tu organización para iniciar sesión en la consola de administración de Google de tu organización en admin.google.com.
2
Acceder a la sección Apps
En la barra lateral izquierda, selecciona Apps.
3
Acceder a LDAP
En la sección Apps, selecciona LDAP.
4
Seleccionar el cliente LDAP
En la lista de clientes LDAP, selecciona el cliente LDAP que creaste para usar con Passport.
5
Acceder a la sección Authentication
Abre la sección Autenticación del cliente.
6
Descargar el certificado
En Certificates, selecciona el icono de descarga de la fila del certificado. La información sobre herramientas del control indica Download certificate.
Recopilar los prefijos de correo electrónico de grupo para el aprovisionamiento de usuarios
Si quieres que Passport establezca el tipo de cuenta de la Mac de cada usuario según su pertenencia a grupos de Google, recopila el prefijo de Group email de cada grupo que planeas asignar. Usarás esos valores en Aprovisionamiento de usuarios en la pestaña Iru Endpoint del Library Item de Passport.1
Abrir un grupo en Google Admin
En Google Admin, abre un grupo que quieras usar para el aprovisionamiento de usuarios de Passport.
2
Copiar el prefijo del correo electrónico del grupo
En Group email, copia todo lo que aparece antes del símbolo @. Passport espera ese prefijo en el Library Item, no el nombre visible del grupo.
3
Pegar el prefijo en un documento
Pega el prefijo en un documento de texto seguro o en un runbook interno. Si usas varios grupos, anota qué prefijo pertenece a cada grupo.
4
Repetir para cada grupo
Repite los pasos anteriores para cada grupo de Google que planees referenciar en Passport.
Cuando el cliente de Secure LDAP y el certificado estén listos, abre la pestaña Iru Endpoint para subir el certificado y completar allí los pasos del Library Item.
Después de la configuración inicial
Caducidad y renovación del certificado
Los certificados de Secure LDAP de Google Workspace caducan. Genera, descarga y sube un reemplazo antes de que caduque el certificado actual para que Passport pueda seguir autenticando a los usuarios sin interrupciones.1
Abrir tu cliente LDAP de Passport en Google Admin
Inicia sesión en la consola de administración de Google, abre Apps → LDAP y selecciona el cliente LDAP que usas para Passport.
2
Revisar la caducidad del certificado
Abre la sección Autenticación de ese cliente.
3
Anotar las fechas de caducidad para planificar la renovación
Anota la Expiration date de la tabla de certificados (y Earliest Certificate Expires in en la lista de clientes de Apps → LDAP si usas esa columna) para poder planificar la renovación con antelación.
4
Generar un nuevo certificado
En Certificates, selecciona GENERATE NEW CERTIFICATE. Si puedes evitarlo, no esperes a que el certificado actual haya caducado.
5
Descargar el nuevo certificado
Descarga el nuevo paquete de certificados con el mismo icono de descarga que en Volver a descargar tu certificado de Secure LDAP (información sobre herramientas Download certificate).
6
Reemplazar el certificado en el Library Item de Passport
En Iru Endpoint, abre la pestaña Iru Endpoint y usa Caducidad y renovación del certificado para eliminar el certificado comprimido anterior, subir el nuevo paquete y guardar.
7
Eliminar el certificado anterior en Google Admin
Vuelve a la sección Autenticación de tu cliente LDAP de Passport en Google Admin. En la fila del certificado anterior, abre el menú Más de la fila (puntos suspensivos verticales) y selecciona DELETE CERTIFICATE.
Para los siguientes pasos de este flujo de trabajo, abre la pestaña Iru Endpoint y sigue Caducidad y renovación del certificado.
Solución de problemas
Correo electrónico y contraseña correctos, pero el inicio de sesión sigue fallando
Correo electrónico y contraseña correctos, pero el inicio de sesión sigue fallando
Si un usuario introduce la dirección de correo electrónico y la contraseña correctas de Google Workspace pero sigue sin poder iniciar sesión con Passport, verifica que cumpla el requisito de licencia de Cloud Identity Premium para Passport.En Google Admin, abre Usuarios, selecciona el usuario y luego abre Licenses. Confirma que Cloud Identity Premium está asignada a ese usuario y habilitada. Si falta, asigna la licencia y pide al usuario que lo intente de nuevo.
Certificado de Secure LDAP caducado
Certificado de Secure LDAP caducado
Passport no puede autenticar a los usuarios si el certificado de Secure LDAP de Google Workspace ha caducado o es rechazado. En la pestaña Google Workspace, Caducidad y renovación del certificado explica cómo generar y descargar un nuevo certificado en Google Admin y eliminar allí el certificado anterior. En la pestaña Iru Endpoint, Caducidad y renovación del certificado explica cómo actualizar el Library Item de Passport. Planifica la renovación antes de la fecha de caducidad para que los usuarios no pierdan el acceso.