> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Configuración de Passport con Google Workspace
> Configura Passport con Google Workspace en Iru Endpoint. Configura las credenciales de OAuth, habilita la autenticación de usuarios y sincroniza las contraseñas de macOS con Google.
Esta guía se aplica a computadoras Mac
### Acerca de Passport con Google Workspace
Passport con Google Workspace permite a los usuarios iniciar sesión en computadoras Mac con sus credenciales de Google Workspace. Passport usa el sistema de identidad de Google de tu organización en el inicio de sesión de macOS.
### Cómo funciona
Passport se integra con tu instancia de Google Workspace mediante Secure LDAP para autenticar a los usuarios en la pantalla de inicio de sesión de macOS. Cuando los usuarios introducen sus credenciales de Google Workspace, Passport las verifica con tu directorio de Google y crea o actualiza la cuenta de usuario local de la Mac.
### Requisitos previos
* La instancia de Google Workspace de tu organización debe admitir Secure Lightweight Directory Access Protocol (LDAP). Google tiene una lista de licencias compatibles con el servicio LDAP [aquí](https://support.google.com/a/answer/9100761).
* Cada usuario de Google Workspace que vaya a iniciar sesión con Passport debe tener asignada una licencia de Cloud Identity Premium en Google Workspace.
* Necesitas acceso a la cuenta de superadministrador de tu organización.
* Si tu navegador web descomprime automáticamente los archivos .zip, cambia temporalmente esa configuración y vuelve a descargar el archivo, o comprime la carpeta descomprimida antes de subirla a tu Library Item de Passport.
### Crear un cliente de Secure LDAP y descargar el certificado
Passport usa Secure LDAP para comunicarse con Google, confirmar las credenciales de inicio de sesión y recopilar información básica de usuarios y grupos. Cuando creas un nuevo cliente de Secure LDAP en Google Workspace, descargas un certificado para proteger las comunicaciones y activas el servicio.
En un navegador web, usa la cuenta de superadministrador de tu organización para iniciar sesión en la consola de administración de Google de tu organización en [admin.google.com](https://admin.google.com).
En la barra lateral izquierda, selecciona **Apps**.
En la sección Apps, selecciona **LDAP**.
Si **LDAP** no aparece, es posible que tu edición no incluya Secure LDAP. Business Starter y Business Standard no ofrecen el servicio Secure LDAP.
Si tu organización ya tiene uno o más clientes de Secure LDAP, aparecen en la lista de la página **LDAP** que abriste en el paso anterior. En la esquina superior derecha, selecciona **ADD CLIENT** para crear otro cliente para Passport.
Si tu organización aún no tiene ningún cliente de Secure LDAP, la página de apps LDAP muestra **ADD LDAP CLIENT**. Selecciona **ADD LDAP CLIENT** para empezar a crear el cliente para Passport.
En el campo **LDAP client name**, introduce un nombre como **Iru Passport**.
En el campo **Descripción**, introduce una descripción como **Passport: keep Mac login passwords in sync with Google Workspace**.
Selecciona **CONTINUE**.
En la sección **Verify user credentials**, selecciona **Entire domain** (tu dominio aparece entre paréntesis) o, si quieres limitar Passport a determinadas cuentas, selecciona **Selected organizational units, groups and excluded groups**.
En la sección **Read user information**, configura los mismos ajustes que en **Verify user credentials** (por ejemplo, **Entire domain** o **Selected organizational units** cuando aparezcan esas opciones).
Confirma que la casilla **System Attributes** está seleccionada para que Passport pueda leer los atributos de usuario predeterminados.
Deja sin seleccionar **Public Custom Attributes** y **Private Custom Attributes**; Passport no usará atributos de usuario personalizados.
En la sección **Read group information**, establece el interruptor en **On** para poder configurar Passport de modo que use la información de grupos de Google Workspace de un usuario para convertir dinámicamente su cuenta local de la Mac entre privilegios estándar y de administrador al iniciar sesión. Si no activas esta opción ahora, puedes activarla más tarde.
Revisa tu configuración y luego selecciona **ADD LDAP CLIENT**.
Selecciona **Download certificate**.
Selecciona **CONTINUE TO CLIENT DETAILS**.
En la sección **Service status**, selecciona **OFF** o el control de despliegue (flecha) para abrir el flujo en el que puedes activar el servicio LDAP.
En la página **Service status**, selecciona **ON for everyone**.
Selecciona **SAVE**.
### Volver a descargar tu certificado de Secure LDAP (opcional)
Después de configurar el cliente LDAP en la sección anterior, siempre puedes descargar el certificado que se usa para proteger la comunicación LDAP entre Passport y Google. Hay muchas otras opciones, como cambiar el nombre de un certificado, generar certificados adicionales y eliminar un certificado.
En un navegador web, usa la cuenta de superadministrador de tu organización para iniciar sesión en la consola de administración de Google de tu organización en [admin.google.com](https://admin.google.com).
En la barra lateral izquierda, selecciona **Apps**.
En la sección Apps, selecciona **LDAP**.
En la lista de clientes LDAP, selecciona el cliente LDAP que creaste para usar con Passport.
Abre la sección **Autenticación** del cliente.
En **Certificates**, selecciona el icono de descarga de la fila del certificado. La información sobre herramientas del control indica **Download certificate**.
### Recopilar los prefijos de correo electrónico de grupo para el aprovisionamiento de usuarios
Si quieres que Passport establezca el tipo de cuenta de la Mac de cada usuario según su pertenencia a grupos de Google, recopila el prefijo de **Group email** de cada grupo que planeas asignar. Usarás esos valores en **Aprovisionamiento de usuarios** en la [pestaña **Iru Endpoint**](#iru-endpoint) del Library Item de Passport.
En Google Admin, abre un grupo que quieras usar para el aprovisionamiento de usuarios de Passport.
En **Group email**, copia todo lo que aparece antes del símbolo **@**. Passport espera ese prefijo en el Library Item, no el nombre visible del grupo.
Pega el prefijo en un documento de texto seguro o en un runbook interno. Si usas varios grupos, anota qué prefijo pertenece a cada grupo.
Repite los pasos anteriores para cada grupo de Google que planees referenciar en Passport.
Cuando el cliente de Secure LDAP y el certificado estén listos, abre la [pestaña **Iru Endpoint**](#iru-endpoint) para subir el certificado y completar allí los pasos del Library Item.
### Después de la configuración inicial
#### Caducidad y renovación del certificado
Los certificados de Secure LDAP de Google Workspace caducan. Genera, descarga y sube un reemplazo antes de que caduque el certificado actual para que Passport pueda seguir autenticando a los usuarios sin interrupciones.
Inicia sesión en la consola de administración de Google, abre **Apps** → **LDAP** y selecciona el cliente LDAP que usas para Passport.
Abre la sección **Autenticación** de ese cliente.
Anota la **Expiration date** de la tabla de certificados (y **Earliest Certificate Expires in** en la lista de clientes de **Apps** → **LDAP** si usas esa columna) para poder planificar la renovación con antelación.
En **Certificates**, selecciona **GENERATE NEW CERTIFICATE**. Si puedes evitarlo, no esperes a que el certificado actual haya caducado.
Descarga el nuevo paquete de certificados con el mismo icono de descarga que en [Volver a descargar tu certificado de Secure LDAP](#re-download-your-secure-ldap-certificate-optional) (información sobre herramientas **Download certificate**).
En Iru Endpoint, abre la [pestaña **Iru Endpoint**](#iru-endpoint) y usa [**Caducidad y renovación del certificado**](#replace-google-workspace-certificate-in-passport) para eliminar el certificado comprimido anterior, subir el nuevo paquete y guardar.
Vuelve a la sección **Autenticación** de tu cliente LDAP de Passport en Google Admin. En la fila del certificado **anterior**, abre el menú **Más** de la fila (puntos suspensivos verticales) y selecciona **DELETE CERTIFICATE**.
En el cuadro de diálogo **Delete certificate**, lee la advertencia y luego selecciona **DELETE** para confirmar (o **CANCEL** para volver).
Para los siguientes pasos de este flujo de trabajo, abre la [pestaña **Iru Endpoint**](#iru-endpoint) y sigue [**Caducidad y renovación del certificado**](#replace-google-workspace-certificate-in-passport).
Si aún no lo has hecho, usa [Configurar el Library Item de Passport](/es/endpoint/library/passport/configure-the-passport-library-item) para agregar el Library Item de Passport y establecer **Nombre** y **Blueprints**. Los pasos siguientes son la configuración de **Iru Endpoint** específica de Passport con Google Workspace.
### Configuración del Library Item
Proporciona el certificado que descargaste de Google Workspace.
En la sección **Configuración**, en la sección **Configuración de autenticación**, selecciona **Proveedor de identidad** y luego **Google Workspace**.
En **Upload certificate from Google Workspace**, arrastra tu archivo **.zip** al área discontinua o selecciona **select to upload** para elegir el mismo **.zip** de Google Workspace.
En la ventana **Choose Files to Upload**, navega hasta la carpeta que contiene tu archivo de certificado comprimido y selecciónalo.
Selecciona **Upload**.
Si ves el mensaje **Validating file**, espera unos momentos a que se complete la validación.
Confirma que se muestra el archivo de certificado comprimido.
### Aprovisionamiento de usuarios
Si quieres que Passport establezca el tipo de cuenta de la Mac de cada usuario según su pertenencia a grupos de Google, usa los pasos de **Aprovisionamiento de usuarios** siguientes en la [pestaña **Iru Endpoint**](#iru-endpoint) del Library Item de Passport. Usa los prefijos de **Group email** de **Recopilar los prefijos de correo electrónico de grupo para el aprovisionamiento de usuarios** en la [pestaña **Google Workspace**](#google-workspace).
En el Library Item de Passport, selecciona el menú Tipo de cuenta de usuario en la sección Aprovisionamiento de usuarios y selecciona **Especificar por grupo del proveedor de identidad**.
Con **Tipo de cuenta de usuario** establecido en **Especificar por grupo del proveedor de identidad**, abre el menú desplegable de tipo de cuenta que aparece debajo y selecciona Administrator o Standard user. Si la pertenencia a grupos del IdP de un usuario devuelve tanto el tipo de cuenta Administrator como Standard, el usuario se designa como Administrator.
En cada campo **Grupo del proveedor de identidad**, introduce la parte de **Group email** anterior al símbolo **@**, no el nombre visible del grupo. Agrega una fila por cada grupo adicional según muestre el Library Item, haciendo coincidir los prefijos de tu documento.
Para cada fila de **Grupo del proveedor de identidad**, establece el **Account type** que corresponda.
En el Library Item de Passport, selecciona **Guardar**.
Cuando hayas completado **Aprovisionamiento de usuarios** y los guardados relacionados en el Library Item de Passport, vuelve a la [pestaña **Google Workspace**](#google-workspace) si necesitas confirmar el cliente de Secure LDAP o volver a descargar el certificado.
### Después de la configuración inicial
#### Caducidad y renovación del certificado
Usa estos pasos después de completar [**Caducidad y renovación del certificado**](#renew-secure-ldap-certificate-google-workspace) en la [pestaña **Google Workspace**](#google-workspace), cuando necesites que Iru Endpoint confíe en el nuevo paquete de certificados en lugar del anterior.
En Iru Endpoint, abre la **Library** y luego tu Library Item de Passport. Confirma que **Proveedor de identidad** está establecido en **Google Workspace** en **Configuración de autenticación**.
En **Upload certificate from Google Workspace**, selecciona el icono de la **papelera** en la fila del archivo de certificado existente para eliminarlo.
Sube el **nuevo** archivo de certificado comprimido que descargaste de Google Admin (el mismo tipo de archivo y flujo que en [Configuración del Library Item](#library-item-configuration) más arriba).
Selecciona **Guardar** en el Library Item de Passport.
### Solución de problemas
Si un usuario introduce la dirección de correo electrónico y la contraseña correctas de Google Workspace pero sigue sin poder iniciar sesión con Passport, verifica que cumpla el [requisito de licencia de Cloud Identity Premium](#cloud-identity-premium-license) para Passport.
En Google Admin, abre **Usuarios**, selecciona el usuario y luego abre **Licenses**. Confirma que **Cloud Identity Premium** está asignada a ese usuario y habilitada. Si falta, asigna la licencia y pide al usuario que lo intente de nuevo.
Passport no puede autenticar a los usuarios si el certificado de Secure LDAP de Google Workspace ha caducado o es rechazado. En la [pestaña **Google Workspace**](#google-workspace), [Caducidad y renovación del certificado](#renew-secure-ldap-certificate-google-workspace) explica cómo generar y descargar un nuevo certificado en Google Admin y eliminar allí el certificado anterior. En la [pestaña **Iru Endpoint**](#iru-endpoint), [Caducidad y renovación del certificado](#replace-google-workspace-certificate-in-passport) explica cómo actualizar el Library Item de Passport. Planifica la renovación antes de la fecha de caducidad para que los usuarios no pierdan el acceso.