Esta guía se aplica a computadoras Mac
Acerca de la administración de contraseñas con Passport
La administración de contraseñas de Passport hace referencia a cómo Passport gestiona la sincronización de contraseñas entre tu proveedor de identidad y las cuentas de usuario locales de la Mac. Esto incluye las actualizaciones automáticas de contraseñas, el almacenamiento seguro y las funciones de restablecimiento de contraseñas. Para la configuración y el Library Item, consulta Configurar el Library Item de Passport.Cómo funciona
Passport puede almacenar de forma segura las credenciales de los usuarios y sincronizar automáticamente los cambios de contraseña entre tu proveedor de identidad (IdP) y la cuenta local de la Mac. Cuando los usuarios cambian su contraseña del IdP, Passport puede detectar el cambio y actualizar la contraseña local de la Mac para que ambas sigan sincronizadas.Inicio de sesión, diagnóstico y red
Inicia sesión con la dirección de correo electrónico completa
En la ventana de inicio de sesión de Passport, introduce siempre la dirección de correo electrónico completa del usuario en el campo de nombre de usuario para que la sesión use tu IdP en lugar de la autenticación local. Para saber cómo interactúan la ventana de inicio de sesión y la configuración de visibilidad con Passport, consulta Compatibilidad de Passport.
Usa Passport Diagnostics
Si un usuario no puede iniciar sesión o la sincronización de contraseñas parece incorrecta, abre Iru Endpoint Passport Diagnostics con Command-Shift-K-L en la Mac. El panel muestra detalles útiles, incluidos los mensajes de error devueltos por tu IdP.
Confirma la conectividad de red
Passport debe poder comunicarse con tu IdP para validar las credenciales y sincronizar las contraseñas. Cuando personalices la ventana de inicio de sesión de Passport, habilita el administrador de red para que los usuarios puedan conectarse a una red Wi-Fi si es necesario. El control respeta la configuración de seguridad de AirPort en macOS.
Límites de Wi-Fi y pruebas de aislamiento
Passport muestra un icono de Wi-Fi en la parte superior derecha de la ventana de inicio de sesión; los usuarios pueden seleccionarlo para conectarse a una red protegida con contraseña. Passport no admite portales cautivos, páginas de aceptación de clic ni redes empresariales 802.1X que requieran un nombre de usuario y una contraseña independientes en ese flujo. Para aislar problemas de red, prueba con un punto de acceso móvil o Ethernet por cable mientras haces pruebas en la ventana de inicio de sesión de Passport. Para obtener más información sobre Wi-Fi en la ventana de inicio de sesión, consulta Compatibilidad de Passport.
Asegura el apellido (familyName) en tu IdP
Passport requiere un valor familyName en los atributos de usuario del IdP. Completa Last name o el campo de apellido equivalente en cada cuenta que inicie sesión con Passport, incluidas las cuentas de servicio que uses para pruebas.Configuración de contraseñas
Configuración recomendada de sincronización de contraseñas
Para ofrecer a los usuarios la experiencia más autónoma y reducir las solicitudes de soporte relacionadas con contraseñas, configura lo siguiente en el Library Item de Passport.- Habilita la sincronización de contraseñas. En el Library Item de Passport, establece Store user password en Securely store password en la sección Access para que Passport pueda sincronizar automáticamente las contraseñas del IdP y locales. Para obtener más información sobre cómo funciona la sincronización, consulta Sincronización de contraseñas con el proveedor de identidad.
- Establece la URL de restablecimiento de contraseña en la ventana de inicio de sesión. En Personalizar la ventana de inicio de sesión, configura Include password reset URL para que los usuarios puedan restablecer su contraseña del IdP desde la ventana de inicio de sesión o desde la app de menú de Iru Endpoint sin contactar con el soporte.
Conflictos entre Passport y Passcode
Cuando el perfil de Passcode aplica un requisito de contraseña más estricto que el IdP, aparece el siguiente mensaje en la ventana de inicio de sesión de Passport:Mensaje que se muestra al usuarioThe password you entered doesn’t yet meet the passcode policy requirements for this Mac; please contact your IT administrator for help.Esta Mac tiene una política de código de acceso local que se aplica a las contraseñas que se han cambiado o creado desde que se implantó la política. Esto es habitual cuando la política de código de acceso de la Mac entra en conflicto con la del proveedor de identidad. Para resolver este problema, elimina el Library Item de Passcode de cualquier Blueprint que también contenga Passport.
Experiencia con las contraseñas
Orden recomendado para los cambios de contraseña
Para obtener el mejor resultado, los usuarios deben cambiar o restablecer su contraseña en este orden:- Cambiar su contraseña en el IdP de tu organización.
- Si hay una URL de restablecimiento de Passport configurada, los usuarios pueden restablecer su contraseña del IdP desde la app de menú de Iru Endpoint o desde la ventana de inicio de sesión de Passport.
- Dejar que Passport sincronice la contraseña local de la Mac para que coincida (Passport pedirá confirmación al usuario o la actualizará automáticamente).
Restablecimiento de contraseña en la app de menú de Iru Endpoint
Los usuarios pueden restablecer su contraseña del IdP desde el menú de Iru Endpoint seleccionando el icono de engranaje y eligiendo la opción Restablecer contraseña… Se les redirige a la URL de restablecimiento de Passport configurada en tu Library Item de Passport.- Requisito: la opción Restablecer contraseña… solo se muestra cuando el usuario ha iniciado sesión con su dirección de correo electrónico completa.
Restablecimiento de contraseña en la ventana de inicio de sesión de Passport
Si la URL de restablecimiento de contraseña está configurada en el Library Item de Passport, Passport muestra un enlace de restablecimiento después de que un usuario introduce una contraseña del IdP incorrecta tres veces en la ventana de inicio de sesión (local) de Passport.- Requisito: Include password reset URL debe estar habilitado en Personalizar la ventana de inicio de sesión.
Sincronización de contraseñas con el proveedor de identidad
La opción Store user password del Library Item de Passport, en la sección Access, controla cómo sincroniza Passport las contraseñas del IdP y las locales de la Mac. Las dos opciones se comportan de la siguiente manera.Securely Store Password
Passport almacena las credenciales y puede sincronizar automáticamente la contraseña local con la contraseña del IdP.- Sesión cerrada: si un usuario cambia su contraseña del IdP y luego inicia sesión en la ventana de inicio de sesión de Passport, Passport actualiza automáticamente la contraseña local para que coincida.
- Sesión iniciada: si un usuario cambia su contraseña del IdP con la sesión iniciada, Passport se lo solicita en un plazo de 5 minutos; el usuario solo introduce su contraseña del IdP y Passport actualiza la contraseña local.
Do Not Store Password
Passport no almacena la contraseña local. El usuario debe proporcionarla cada vez que Passport sincroniza.- Sesión cerrada: si un usuario cambia su contraseña del IdP y luego inicia sesión en la ventana de inicio de sesión de Passport, Passport le pide su contraseña local antes de actualizarla para que coincida.
- Sesión iniciada: si un usuario cambia su contraseña del IdP con la sesión iniciada, Passport se lo solicita en un plazo de 5 minutos; el usuario debe introducir tanto su contraseña local como su contraseña del IdP para actualizarla.
- Inicio de sesión con la nueva contraseña del IdP pero con la contraseña local antigua: si el usuario inicia sesión con su nueva contraseña del IdP y su contraseña local no coincide, Passport le pide la contraseña local antigua. Con Do not store password, el usuario debe introducir ambas contraseñas.
Sincronización de contraseñas con Okta
Al usar Okta con Passport, configura Refresh Token en tu aplicación OIDC de Passport de la siguiente manera:- Refresh Token deshabilitado (recomendado): úsalo cuando Store user password esté establecido en Securely store password. Si Refresh Token se deja habilitado, Passport no pedirá a los usuarios que actualicen su contraseña mientras tengan la sesión iniciada en su Mac.
- Refresh Token habilitado: úsalo solo cuando Store user password esté establecido en Do not store password, para evitar que se pidan repetidamente las credenciales a los usuarios mientras tienen la sesión iniciada.
Cambios de contraseña en Ajustes del Sistema
Si un usuario cambia su contraseña localmente en Ajustes del Sistema, dejará de estar sincronizada con Passport. Passport pedirá entonces al usuario su nueva contraseña local para volver a sincronizarla, lo que establece la contraseña local para que coincida con la del IdP. Los usuarios deben cambiar su contraseña en el IdP para que Passport pueda sincronizarla con su Mac. Para evitar que los usuarios cambien su contraseña en Ajustes del Sistema, usa un Library Item de Restrictions de Apple y habilita Disallow passcode modification en el grupo Passcode & authentication. Con esta restricción aplicada, la opción para que los usuarios cambien su contraseña en Ajustes del Sistema estará inactiva.Frecuencia de comprobación de contraseñas
Passport comprueba la contraseña del usuario cada 5 minutos y en cada inicio de sesión en línea desde la ventana de inicio de sesión. Estas comprobaciones garantizan que la contraseña de la cuenta local y la contraseña del IdP del usuario sean iguales. Si no lo son, se pide al usuario que proporcione su contraseña del IdP.Solución de problemas
Los usuarios no ven la opción para restablecer la contraseña
Los usuarios no ven la opción para restablecer la contraseña
Lo que ves:Los usuarios no ven ninguna forma de restablecer su contraseña del IdP desde la ventana de inicio de sesión de Passport ni desde la app de menú de Iru Endpoint.Qué hacer:
- Sigue la configuración recomendada de sincronización de contraseñas: habilita la sincronización de contraseñas según sea necesario y configura Include password reset URL en Personalizar la ventana de inicio de sesión.
- Recuerda que en la ventana de inicio de sesión de FileVault (antes de que se desbloquee el disco), la app de menú y la URL de restablecimiento de Passport no están disponibles. Usa Restablecimiento de contraseña en la ventana de inicio de sesión de FileVault cuando el usuario se quede bloqueado allí.
Restablecimiento de contraseña en la ventana de inicio de sesión de FileVault
Restablecimiento de contraseña en la ventana de inicio de sesión de FileVault
Lo que ves:El usuario necesita restablecer una contraseña mientras solo se muestra la pantalla de prearranque de FileVault (después de encender o reiniciar, antes de la pantalla de inicio de sesión normal).Qué hacer:
- El disco de arranque sigue cifrado e Iru Endpoint y Passport no se están ejecutando ahí, por lo que no se pueden usar la URL de restablecimiento de contraseña ni la app de menú. Desbloquea con la clave de recuperación de FileVault y restablece la contraseña local siguiendo los pasos de Si FileVault 2 está habilitado en Restablecer la contraseña de un usuario de macOS.
- Cuando el usuario llegue a la ventana de inicio de sesión de Passport, podrá alinear la contraseña del IdP con la URL de restablecimiento si la configuraste. Consulta Restablecimiento de contraseña en la ventana de inicio de sesión de Passport.