Esta guía se aplica a computadoras Mac
Acerca de Passport con Microsoft Entra ID Inicio de sesión de Mac
Passport con Microsoft Entra ID Inicio de sesión de Mac permite a los usuarios iniciar sesión en la ventana de inicio de sesión de la Mac con su nombre de usuario y contraseña de Microsoft Entra ID. Para Inicio de sesión web (inicio de sesión de Microsoft Entra ID en la vista web de Passport, incluido cuando necesitas MFA), usa Configurar Passport con Microsoft Entra ID - Inicio de sesión web.Cómo funciona
Passport se integra con tu inquilino de Microsoft Entra ID para autenticar a los usuarios en la pantalla de inicio de sesión de macOS mediante los campos estándar de nombre de usuario y contraseña. Cuando los usuarios introducen sus credenciales de Entra ID, Passport las verifica con tu inquilino y crea o actualiza la cuenta de usuario local de la Mac.Requisitos previos
- Acceso a una cuenta de administrador de Microsoft Entra ID que pueda conceder a la app de Passport los permisos correctos.
- Microsoft Entra ID
- Iru Endpoint
Iru EndpointCrear el registro de la aplicación
1
Iniciar sesión en el centro de administración de Microsoft Entra
Inicia sesión en el centro de administración de Microsoft Entra con una cuenta de administrador global.
2
Ir a Identity
Abre el menú del portal y selecciona Identity.
3
Acceder a App registrations
En el menú Identity, en Aplicaciones, selecciona App registrations.
4
Iniciar un nuevo registro
En la página App registrations, en el menú, selecciona + New registration.
5
Configurar los detalles de la aplicación
En el cuadro de diálogo Register an application, introduce un nombre para la nueva aplicación (como Iru Passport Inicio de sesión de Mac).
6
Establecer los tipos de cuenta admitidos
En Tipos de cuenta compatibles, abre el menú desplegable y selecciona Single tenant only (la opción también muestra el nombre de tu inquilino, por ejemplo Single tenant only - Accuhive). Passport debe ser de un solo inquilino, solo en tu organización. Consulta Registrar una aplicación en Microsoft Entra ID.
7
Configurar el URI de redirección
En la sección Redirect URI, en el menú desplegable Select a platform, elige Web.
8
Introducir el URI de redirección
En el campo URI, introduce lo siguiente:
https://localhost.redirect9
Completar el registro
Selecciona Registrar.
Configurar los detalles de la aplicación
1
Preparar un documento seguro
Abre un documento de texto seguro donde puedas almacenar temporalmente los valores de esta app OIDC. Necesitarás estos datos cuando configures el Library Item de Passport.
2
Copiar el Application ID
En la página Información general, copia el Application (client) ID en un documento de texto seguro temporal.
3
Acceder a Endpoints
Sin salir de la página Overview, selecciona Endpoints.
4
Copiar el documento de metadatos
Copia el OpenID Connect metadata document (URL del proveedor de identidad) en tu documento de texto seguro temporal.
5
Acceder a la configuración de Authentication
A la izquierda, selecciona Autenticación y luego Configuración.
6
Permitir los flujos de cliente público
Establece Allow public client flows en Enabled.
7
Guardar la configuración de autenticación
Selecciona Guardar.
8
Acceder a Token configuration
A la izquierda, selecciona Token configuration.
9
Agregar una notificación opcional
Selecciona Add optional claim.
10
Configurar el tipo de token
En Token type, selecciona ID.
11
Seleccionar la notificación
En Claim, selecciona preferred_username.
12
Agregar la notificación
Selecciona Añadir.
13
Agregar la notificación de grupos
Sin salir de la página Token configuration, selecciona Add groups claim.
14
Seleccionar los grupos
Selecciona Todos los grupos.
SAML de Entra ID solo admite hasta 150 grupos de seguridad. Si tienes más de 150 grupos de seguridad, no debes usar Todos los grupos, sino seleccionar grupos específicos. Puedes obtener más información en el artículo de Microsoft Configurar notificaciones de grupo para aplicaciones con Microsoft Entra ID.
15
Agregar la notificación de grupos
Selecciona Añadir.
Configurar los permisos de API
1
Acceder a API Permissions
Selecciona API Permissions.
2
Agregar un permiso
Selecciona Add a permission.
3
Seleccionar Microsoft Graph
Selecciona Microsoft Graph.
4
Seleccionar permisos delegados
Selecciona Delegated permissions.
5
Expandir los permisos de OpenID
Confirma que la sección OpenID permissions está expandida. Si no lo está, selecciona el icono de expansión junto a OpenID permissions.
6
Seleccionar el permiso email
Selecciona email.
7
Seleccionar el permiso profile
Selecciona profile.
8
Buscar el permiso User.Read
En el campo Select permissions, introduce User.Read.
9
Confirmar la selección de User.Read
En la sección User, confirma que User.Read ya está seleccionado. Si User.Read no está seleccionado, selecciónalo.
10
Agregar los permisos
Selecciona Add permissions.
11
Conceder el consentimiento del administrador
Sin salir de la página API permissions, selecciona Grant admin consent for [your tenant].
12
Confirmar el consentimiento del administrador
Selecciona Sí.
Asignar usuarios y grupos
De forma predeterminada, cuando creas un nuevo registro de aplicación, el atributo “Assignment required?” se establece en “No”. Sin embargo, si tu app empresarial de Passport está configurada para requerir asignación, sigue estos pasos para asignar usuarios y que puedan usar tu app de Passport.
1
Acceder a Enterprise Applications
En el menú de navegación de Entra ID a la izquierda, selecciona Enterprise Apps.
2
Seleccionar tu app de Passport
En la lista All applications, selecciona Iru Passport Inicio de sesión de Mac o el nombre que le diste al registro de la aplicación en la sección anterior.
3
Acceder a Properties
En Gestionar, selecciona Properties.
4
Agregar un logotipo (opcional)
Opcionalmente, agrega un logotipo a tu app empresarial.
5
Comprobar el requisito de asignación
Revisa la opción Assignment required?. Si está establecida en “No”, puedes omitir el resto de esta sección. Todos los usuarios de Entra ID podrán usar la app de Passport.
6
Configurar la visibilidad
Confirma que Visible to users? está establecido en No; de lo contrario, los usuarios verán la app en su portal. La app de Passport solo es útil como reemplazo de la ventana de inicio de sesión de macOS.
7
Guardar las propiedades
Selecciona Guardar.
8
Acceder a Users and Groups
Si la opción Assignment required? está establecida en “No”, puedes omitir los pasos restantes de esta sección y continuar con la siguiente. Si está establecida en “Yes”, continúa con los pasos siguientes para asignar usuarios y grupos.
9
Agregar un usuario o grupo
En el menú, selecciona + Add user/group.
10
Seleccionar usuarios y grupos
En el cuadro de diálogo Add Assignment, selecciona el enlace que aparece en Users and groups.
11
Elegir usuarios y grupos
Se muestra una lista de usuarios y grupos de seguridad. Puedes buscar un usuario o grupo específico o seleccionar varios usuarios y grupos de la lista.
12
Confirmar la selección
Después de seleccionar tus usuarios y grupos, selecciona Seleccionar.Si ves el mensaje siguiente, significa que se está usando un nivel gratuito. Solo puedes agregar usuarios (no grupos) a la app empresarial de Passport.
13
Completar la asignación
Selecciona Asignar para terminar de asignar usuarios y grupos a la app.
14
Verificar la asignación
Confirma que los usuarios y grupos que agregaste aparecen en la lista Users and groups.
15
Revisar la configuración
Con esta parte de la configuración de Entra ID completada, revisa las secciones restantes de este artículo para tu entorno de Microsoft Entra ID.
Consideraciones sobre el acceso condicional de Microsoft Entra ID
Completa los pasos siguientes para registrar Passport - CA Policy API, agregar su ámbito a tu app de Passport y excluir esa app de las directivas aplicables. Omite esta sección si no usas el acceso condicional. Cuando termines, agrega el ámbito en Additional scopes (optional) en Modo de autenticación en la pestaña Iru Endpoint.Crear la aplicación Passport - CA Policy API
Crea este registro de aplicación para que Passport pueda solicitar un ámbito más allá de los ámbitos de referencia.1
Abrir App registrations
Inicia sesión en el centro de administración de Microsoft Entra y abre Entra ID > App registrations.
2
Registrar la aplicación
Selecciona + New registration. Introduce Passport - CA Policy API como nombre, en Tipos de cuenta compatibles selecciona Single tenant only y deja Redirect URI vacío. Selecciona Registrar.
3
Conceder el consentimiento del administrador para Microsoft Graph
Abre API permissions. Si el consentimiento del administrador aún no se ha concedido, selecciona Grant admin consent for [your tenant].
4
Exponer una API
Abre Expose an API en la navegación de la izquierda.
5
Agregar un ámbito
Selecciona + Add a scope.
6
Establecer el Application ID URI
Revisa el Application ID URI. Entra ID sugiere un valor predeterminado (por ejemplo,
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a). El valor predeterminado es válido. Selecciona Guardar y continuar. No necesitas copiar este URI; copia el URI del ámbito en Copiar el URI del ámbito más abajo.7
Configurar el ámbito de Passport
En Scope name, introduce 
Passport sin espacios ni caracteres especiales. Deja Who can consent con el valor predeterminado. Introduce un nombre visible y una descripción en los campos Admin consent y luego selecciona Add scope.8
Copiar el URI del ámbito
Junto al URI del ámbito en la lista Scopes (por ejemplo,
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport), selecciona Copiar. Guárdalo para Agregar ámbitos adicionales en Modo de autenticación en la pestaña Iru Endpoint.Agregar el ámbito personalizado al registro de tu app de Passport
1
Abrir el registro de tu app de Passport
Si aún no has iniciado sesión, inicia sesión en el centro de administración de Microsoft Entra y abre Entra ID > App registrations. Abre la aplicación que usas para Passport Inicio de sesión de Mac.
2
Agregar un permiso de API
Abre API permissions y selecciona + Add a permission.
3
Seleccionar Passport - CA Policy API
Abre la pestaña APIs my organization uses y selecciona Passport - CA Policy API.
4
Agregar el permiso delegado Passport
Selecciona Delegated permissions, selecciona el permiso Passport y luego Add permissions.
5
Conceder el consentimiento del administrador
Selecciona Grant admin consent for [your tenant].
Excluir Passport - CA Policy API de las directivas de All resources
Si usas el acceso condicional, excluye Passport - CA Policy API de cada directiva con ámbito All resources. Las directivas con ámbito All resources incluyen los inicios de sesión que usan el ámbitoopenid. Excluir Passport - CA Policy API elimina el requisito de MFA para ROPG, que Passport usa para la verificación y la sincronización de contraseñas en Inicio de sesión de Mac.1
Abrir Conditional Access
En el centro de administración de Microsoft Entra, abre Protection > Conditional Access > Policies.
2
Abrir una directiva con ámbito All resources
Selecciona cada directiva con ámbito All resources y luego abre Target resources.
3
Excluir Passport - CA Policy API
Abre la pestaña Exclude, selecciona Select resources y luego Passport - CA Policy API. Selecciona Seleccionar y luego Guardar.
4
Repetir para cada directiva de All resources
Repite estos pasos para cada directiva de acceso condicional con ámbito All resources.
Si Guardar falla, confirma que Passport - CA Policy API no permite flujos de cliente público. Si la app tiene un URI de redirección configurado, elimínalo e inténtalo de nuevo.
Aprovisionamiento de cuentas de usuario con Passport
Si quieres que Passport establezca el tipo de cuenta de la Mac de cada usuario según su pertenencia a grupos de seguridad de Entra ID, recopila el Object ID de cada grupo en el centro de administración de Microsoft Entra siguiendo los pasos de esta sección. Usarás esos valores en Aprovisionamiento de usuarios en la pestaña Iru Endpoint del Library Item de Passport. Para obtener más detalles sobre este modo, consulta Aprovisionamiento de usuarios en Configurar el Library Item de Passport.Microsoft Entra ID admite 150 grupos de seguridad en las aserciones SAML. En organizaciones más grandes, el número de grupos de los que un usuario es miembro puede superar el límite que aplica Microsoft Entra ID antes de emitir notificaciones de grupo en un token. Si se supera este límite, Microsoft Entra ID omitirá las notificaciones de grupo del token.1
Acceder a Groups
Inicia sesión en el centro de administración de Microsoft Entra. En el menú de navegación Identity a la izquierda, abre Grupos y selecciona Todos los grupos.
2
Seleccionar el grupo
Selecciona el grupo que quieres usar.
3
Copiar el Object ID
Copia el Object ID de ese grupo.
4
Repetir para otros grupos de Entra ID
Para cada grupo adicional de Entra ID que quieras usar, repite Seleccionar el grupo y Copiar el Object ID. Guarda los valores de Object ID en un documento seguro hasta que los introduzcas en la pestaña Iru Endpoint.
Configura Modo de autenticación y Aprovisionamiento de usuarios en el Library Item de Passport en la pestaña Iru Endpoint.
Cambios necesarios antes del 15 de junio de 2026
El 15 de junio de 2026, Microsoft Entra ID empieza a aplicar el acceso condicional de forma más amplia a las directivas que se dirigen a All resources (antes All cloud apps) e incluyen exclusiones de recursos. Los inicios de sesión que solo solicitan ámbitos de referencia, comoopenid, profile, email y User.Read, estarán sujetos a esas directivas.
Si no tienes licencia para el acceso condicional, este cambio no se aplica a tu organización. Solo se aplica cuando las directivas se dirigen a All resources con una o más exclusiones de recursos y los usuarios inician sesión mediante aplicaciones que solo solicitan ámbitos de referencia. Si no usas esa configuración de directivas, no te afecta. Las directivas que se dirigen a All resources sin exclusiones de recursos también quedan fuera de este cambio.
Si omites estas actualizaciones
Si no te preparas antes del 15 de junio de 2026:- Es posible que los nuevos usuarios no puedan iniciar sesión con Passport.
- La sincronización de contraseñas y la gestión del estado pueden dejar de funcionar.
- Microsoft Entra ID podría registrar eventos adicionales de inicio de sesión fallido.
Si no usas directivas de acceso condicional
Si no usas el acceso condicional, o quieres mantener el comportamiento anterior en todo tu inquilino mientras haces pruebas:1
Registrar una aplicación de marcador de posición
Registra una aplicación de un solo inquilino en Microsoft Entra ID para que sirva como recurso de destino personalizado para los ámbitos de referencia. No se requiere ninguna configuración adicional durante el registro. Consulta Create an application en Personalizar el comportamiento.
2
Excluir la aplicación de la directiva correspondiente
En cada directiva de acceso condicional en la que necesites conservar el comportamiento heredado, excluye la aplicación de marcador de posición de Target resources. Consulta Exclude the application from the relevant policy en la documentación de Microsoft.
3
Seleccionar la aplicación en la configuración de Baseline scopes
Abre la configuración de Baseline scopes, selecciona Customize behavior, selecciona la aplicación de marcador de posición y luego Guardar. Consulta Select the application in the Baseline scopes settings UX en la documentación de Microsoft.
4
No se requieren cambios en el Library Item de Passport
No necesitas cambiar tu Library Item de Passport en Iru Endpoint.
Si usas directivas de acceso condicional
Si usas el acceso condicional con Passport Inicio de sesión de Mac, completa los pasos siguientes antes del 15 de junio de 2026.Crear la aplicación Passport - CA Policy API
1
Abrir App registrations
Inicia sesión en el centro de administración de Microsoft Entra y abre Entra ID > App registrations.
2
Registrar la aplicación
Selecciona + New registration. Introduce Passport - CA Policy API como nombre, en Tipos de cuenta compatibles selecciona Single tenant only y deja Redirect URI vacío. Selecciona Registrar.
3
Conceder el consentimiento del administrador para Microsoft Graph
Abre API permissions. Si el consentimiento del administrador aún no se ha concedido, selecciona Grant admin consent for [your tenant].
4
Exponer una API
Abre Expose an API en la navegación de la izquierda.
5
Agregar un ámbito
Selecciona + Add a scope.
6
Establecer el Application ID URI
Revisa el Application ID URI. Entra ID sugiere un valor predeterminado (por ejemplo,
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a). El valor predeterminado es válido. Selecciona Guardar y continuar. No necesitas copiar este URI; copia el URI del ámbito en Copiar el URI del ámbito más abajo.7
Configurar el ámbito de Passport
En Scope name, introduce
Passport sin espacios ni caracteres especiales. Deja Who can consent con el valor predeterminado. Introduce un nombre visible y una descripción en los campos Admin consent y luego selecciona Add scope.8
Copiar el URI del ámbito
Junto al URI del ámbito en la lista Scopes (por ejemplo,
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport), selecciona Copiar. Guárdalo para Actualizar tu Library Item de Passport.Agregar el ámbito personalizado al registro de tu app de Passport
1
Abrir el registro de tu app de Passport
Si aún no has iniciado sesión, inicia sesión en el centro de administración de Microsoft Entra y abre Entra ID > App registrations. Abre la aplicación que usas para Passport Inicio de sesión de Mac.
2
Agregar un permiso de API
Abre API permissions y selecciona + Add a permission.
3
Seleccionar Passport - CA Policy API
Abre la pestaña APIs my organization uses y selecciona Passport - CA Policy API.
4
Agregar el permiso delegado Passport
Selecciona Delegated permissions, selecciona el permiso Passport y luego Add permissions.
5
Conceder el consentimiento del administrador
Selecciona Grant admin consent for [your tenant].
Excluir Passport - CA Policy API de las directivas de All resources
Las directivas con ámbito All resources incluyen los inicios de sesión que usan el ámbitoopenid. Excluir Passport - CA Policy API elimina el requisito de MFA para ROPG, que Passport usa para la verificación y la sincronización de contraseñas en Inicio de sesión de Mac.
1
Abrir Conditional Access
En el centro de administración de Microsoft Entra, abre Protection > Conditional Access > Policies.
2
Abrir una directiva con ámbito All resources
Selecciona cada directiva con ámbito All resources y luego abre Target resources.
3
Excluir Passport - CA Policy API
Abre la pestaña Exclude, selecciona Select resources y luego Passport - CA Policy API. Selecciona Seleccionar y luego Guardar.
4
Repetir para cada directiva de All resources
Repite estos pasos para cada directiva de acceso condicional con ámbito All resources.
Si Guardar falla, confirma que Passport - CA Policy API no permite flujos de cliente público. Si la app tiene un URI de redirección configurado, elimínalo e inténtalo de nuevo.
Actualizar tu Library Item de Passport
1
Abrir el Library Item de Passport
En Iru Endpoint, abre Library y edita tu Library Item de Passport configurado para Microsoft Entra ID Inicio de sesión de Mac.
2
Agregar el URI del ámbito
En la pestaña Iru Endpoint, pega el URI del ámbito de Crear la aplicación Passport - CA Policy API en Additional scopes (optional) y luego selecciona Guardar.
3
Repetir para otros Library Items de Passport
Repite Agregar el URI del ámbito para cada Library Item de Passport configurado para Microsoft Entra ID Inicio de sesión de Mac.