Esta guía se aplica a computadoras Mac
Acerca de Passport con Microsoft Entra ID Inicio de sesión web
Passport con Microsoft Entra ID Inicio de sesión web permite a los usuarios iniciar sesión mediante una vista web de la página de inicio de sesión de Microsoft Entra ID de tu organización, de modo que el acceso condicional y la MFA puedan ejecutarse al iniciar sesión. Para Inicio de sesión de Mac (nombre de usuario y contraseña en la ventana de inicio de sesión de la Mac sin esa vista web), usa Configurar Passport con Microsoft Entra ID - Inicio de sesión de Mac.Cómo funciona
Passport se integra con tu inquilino de Microsoft Entra ID en la pantalla de inicio de sesión de macOS. En el modo Inicio de sesión web, los usuarios completan el inicio de sesión de Entra ID (incluida la MFA cuando se requiere) en esa vista web antes de que se cree o actualice la sesión local de la Mac.Requisitos previos
- Acceso a una cuenta de administrador de Microsoft Entra ID que pueda conceder a la app de Passport los permisos correctos.
- Para la configuración de MFA en Microsoft Entra ID, consulta la guía de configuración de MFA de Microsoft.
- Microsoft Entra ID
- Iru Endpoint
Iru EndpointCrear el registro de la aplicación
1
Iniciar sesión en el centro de administración de Microsoft Entra
Inicia sesión en el centro de administración de Microsoft Entra con una cuenta de administrador global.
2
Acceder a App registrations
En la barra lateral, en la categoría Entra ID, selecciona App registrations.
3
Iniciar un nuevo registro
En App registrations, selecciona + New registration en el menú.
4
Establecer el nombre de la aplicación
Introduce un nombre para la nueva aplicación (como Iru Passport Inicio de sesión web).
5
Establecer los tipos de cuenta admitidos
En Tipos de cuenta compatibles, abre el menú desplegable y selecciona Single tenant only (la opción también muestra el nombre de tu inquilino, por ejemplo Single tenant only - Accuhive). Passport debe ser de un solo inquilino, solo en tu organización. Consulta Registrar una aplicación en Microsoft Entra ID.
6
Establecer la plataforma del Redirect URI
En la sección Redirect URI, abre el menú desplegable Select a platform y elige Public client/native (mobile & desktop).
7
Introducir el URI de redirección
En el campo URI, introduce Para obtener más información sobre las restricciones, los tipos de plataforma y las prácticas recomendadas de los URI de redirección, consulta la documentación de Microsoft sobre URI de redirección.
https://localhost. Usarás este URI de redirección cuando configures el Library Item de Passport.8
Completar el registro
Selecciona Registrar.
Recopilar los detalles de configuración
Abre un documento de texto seguro donde puedas almacenar temporalmente los valores de esta app OIDC. Necesitarás estos datos cuando configures el Library Item de Passport.Panel Overview
Copia el ID de aplicación (cliente) de la información general de la app. Lo necesitarás para el Library Item de Passport.1
Abrir el panel Overview
En el menú de la izquierda, selecciona Información general para abrir ese panel.
2
Copiar el Application ID
Copia el Application (client) ID en tu documento seguro.
Panel Endpoints
Copia la URL de metadatos de OpenID Connect desde Endpoints; es la URL del proveedor de identidad que Passport usa para descubrir los endpoints de inicio de sesión y de tokens.1
Abrir el panel Endpoints
En el menú superior, selecciona Endpoints para abrir ese panel.
2
Copiar la URL del proveedor de identidad
Copia el OpenID Connect metadata document (URL del proveedor de identidad) en tu documento seguro.
3
Cerrar Endpoints
Selecciona la X de la parte superior derecha para cerrar el panel Endpoints.
Panel Authentication (Preview)
Habilita los flujos de cliente público para que la app de la Mac pueda completar el flujo de inicio de sesión sin un secreto de cliente.1
Abrir el panel Authentication (Preview)
En el menú de la izquierda, selecciona Authentication (Preview) para abrir ese panel.
2
Abrir Settings
Selecciona la pestaña Configuración.
3
Habilitar los flujos de cliente público
Establece Allow public client flows en Enabled.
4
Guardar la configuración de autenticación
Selecciona Guardar.
Panel Token Configuration
Agrega las notificaciones necesarias para que el token incluya el nombre de usuario y la pertenencia a grupos que Passport necesita.1
Abrir el panel Token configuration
En el menú de la izquierda, selecciona Token configuration para abrir ese panel.
2
Agregar una notificación opcional
Selecciona Add optional claim.
3
Seleccionar el tipo de token
En Token type, selecciona ID.
4
Seleccionar la notificación
En Claim, selecciona preferred_username.
5
Agregar la notificación
Selecciona Añadir.
6
Agregar la notificación de grupos
Selecciona Add groups claim.
7
Seleccionar los grupos
Selecciona Todos los grupos.
SAML de Entra ID solo admite hasta 150 grupos de seguridad. Si tienes más de 150 grupos de seguridad, no debes usar Todos los grupos, sino seleccionar grupos específicos. Puedes obtener más información en el artículo de Microsoft Configurar notificaciones de grupo para aplicaciones con Microsoft Entra ID.
8
Confirmar la notificación de grupos
Selecciona Añadir.
Permisos de API
Agrega los permisos de Microsoft Graph que necesita Passport (email, profile, User.Read) y concede el consentimiento del administrador para que los usuarios puedan iniciar sesión.1
Abrir el panel API permissions
En el menú de la izquierda, selecciona API permissions para abrir ese panel.
2
Agregar un permiso
Selecciona Add a permission.
3
Seleccionar Microsoft Graph
Selecciona Microsoft Graph.
4
Seleccionar Delegated permissions
Selecciona Delegated permissions.
5
Expandir los permisos de OpenID
Confirma que la sección OpenID permissions está expandida. Si no lo está, selecciona el icono que aparece junto a ella para expandirla.
6
Seleccionar los permisos email y profile
Selecciona email y profile.
7
Buscar User.Read
En el campo de búsqueda Select permissions, introduce User.Read.
8
Confirmar la selección de User.Read
En la sección User, confirma que User.Read ya está seleccionado. Si no lo está, selecciónalo.
9
Agregar los permisos
Selecciona Add permissions.
10
Conceder el consentimiento del administrador
Selecciona Grant admin consent for [your tenant].
11
Confirmar el consentimiento del administrador
Selecciona Sí.
12
Verificar el estado de los permisos
Confirma que aparece un mensaje Granted for [your tenant] en la columna Estado de cada permiso.
Asignar usuarios y grupos
Configura quién puede usar la app de Passport y si aparece en el portal de usuarios. De forma predeterminada, todos los usuarios de Entra ID pueden usar la app; los pasos siguientes cubren la configuración de Properties y la asignación de usuarios, o de usuarios y grupos, cuando sea necesario.1
Acceder a Enterprise Applications
En el menú de navegación de Entra ID a la izquierda, selecciona Enterprise Apps.
2
Seleccionar la aplicación de Passport
En la lista All applications, selecciona Iru Passport Inicio de sesión web o el nombre que le diste al registro de la aplicación en la sección anterior.
3
Abrir el panel Properties
En el menú de la izquierda, en la categoría Gestionar, selecciona Properties para abrir ese panel.
4
Agregar un logotipo (opcional)
Opcionalmente, agrega un logotipo a tu app empresarial.
5
Comprobar el requisito de asignación
Revisa la opción Assignment required?:
- No: no necesitarás asignar usuarios ni usuarios y grupos.
- Sí: necesitarás asignar usuarios o usuarios y grupos.
6
Configurar la visibilidad
Establece Visible to users? en No.Si está en Sí, los usuarios verán la app en su portal. La app de Passport solo es útil como reemplazo de la ventana de inicio de sesión de macOS.
7
Guardar las propiedades
Selecciona Guardar.
Si Assignment required? está establecido en No, puedes ir directamente a Aprovisionamiento de cuentas de usuario con Passport. Si está establecido en Sí, continúa con los pasos siguientes.
Asignación obligatoria
Si tu aplicación empresarial de Passport tiene Assignment required? establecido en Sí, sigue los pasos siguientes para asignar usuarios o usuarios y grupos.1
Abrir el panel Users and groups
En el menú de la izquierda, en la categoría Gestionar, selecciona Users and groups para abrir ese panel.
2
Agregar un usuario o grupo
En el menú, selecciona + Add user/group.
3
Seleccionar usuarios y grupos
En la página Add Assignment, en el encabezado Usuarios o Users and groups, selecciona el enlace None selected para elegir quién puede usar la app.
Según tu plan de Microsoft Entra ID, es posible que solo puedas asignar usuarios, no grupos. En ese caso, el encabezado muestra Usuarios y la asignación de grupos no está disponible.
4
Elegir usuarios o usuarios y grupos
Se muestra una lista de usuarios o de usuarios y grupos de seguridad. Puedes buscar un usuario o grupo específico, o seleccionar varios usuarios o usuarios y grupos de la lista.
5
Confirmar la selección
Después de seleccionar tus usuarios o usuarios y grupos, selecciona Seleccionar.
6
Completar la asignación
Selecciona Asignar para terminar de asignar usuarios o usuarios y grupos a la app.
7
Verificar la asignación
Confirma que los usuarios o usuarios y grupos que agregaste aparecen en la lista Users and groups.
Consideraciones sobre el acceso condicional de Microsoft Entra ID
Completa los pasos siguientes para registrar Passport - CA Policy API, agregar su ámbito a tu app de Passport y excluir esa app de las directivas aplicables. Omite esta sección si no usas el acceso condicional. Cuando termines, agrega el ámbito en Additional scopes (optional) en Modo de autenticación en la pestaña Iru Endpoint.Passport Inicio de sesión web completa los desafíos del acceso condicional, como la MFA, en la vista web de Passport al iniciar sesión.Crear la aplicación Passport - CA Policy API
Crea este registro de aplicación para que Passport pueda solicitar un ámbito más allá de los ámbitos de referencia.1
Abrir App registrations
Inicia sesión en el centro de administración de Microsoft Entra y abre Entra ID > App registrations.
2
Registrar la aplicación
Selecciona + New registration. Introduce Passport - CA Policy API como nombre, en Tipos de cuenta compatibles selecciona Single tenant only y deja Redirect URI vacío. Selecciona Registrar.
3
Conceder el consentimiento del administrador para Microsoft Graph
Abre API permissions. Si el consentimiento del administrador aún no se ha concedido, selecciona Grant admin consent for [your tenant].
4
Exponer una API
Abre Expose an API en la navegación de la izquierda.
5
Agregar un ámbito
Selecciona + Add a scope.
6
Establecer el Application ID URI
Revisa el Application ID URI. Entra ID sugiere un valor predeterminado (por ejemplo,
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a). El valor predeterminado es válido. Selecciona Guardar y continuar. No necesitas copiar este URI; copia el URI del ámbito en Copiar el URI del ámbito más abajo.7
Configurar el ámbito de Passport
En Scope name, introduce 
Passport sin espacios ni caracteres especiales. Deja Who can consent con el valor predeterminado. Introduce un nombre visible y una descripción en los campos Admin consent y luego selecciona Add scope.8
Copiar el URI del ámbito
Junto al URI del ámbito en la lista Scopes (por ejemplo,
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport), selecciona Copiar. Guárdalo para Agregar ámbitos adicionales en Modo de autenticación en la pestaña Iru Endpoint.Agregar el ámbito personalizado al registro de tu app de Passport
1
Abrir el registro de tu app de Passport
Si aún no has iniciado sesión, inicia sesión en el centro de administración de Microsoft Entra y abre Entra ID > App registrations. Abre la aplicación que usas para Passport Inicio de sesión web.
2
Agregar un permiso de API
Abre API permissions y selecciona + Add a permission.
3
Seleccionar Passport - CA Policy API
Abre la pestaña APIs my organization uses y selecciona Passport - CA Policy API.
4
Agregar el permiso delegado Passport
Selecciona Delegated permissions, selecciona el permiso Passport y luego Add permissions.
5
Conceder el consentimiento del administrador
Selecciona Grant admin consent for [your tenant].
Excluir Passport - CA Policy API de las directivas de All resources
Excluye Passport - CA Policy API de cada directiva con ámbito All resources para que la verificación y la sincronización de contraseñas sigan funcionando.1
Abrir Conditional Access
En el centro de administración de Microsoft Entra, abre Protection > Conditional Access > Policies.
2
Abrir una directiva con ámbito All resources
Selecciona cada directiva con ámbito All resources y luego abre Target resources.
3
Excluir Passport - CA Policy API
Abre la pestaña Exclude, selecciona Select resources y luego Passport - CA Policy API. Selecciona Seleccionar y luego Guardar.
4
Repetir para cada directiva de All resources
Repite estos pasos para cada directiva de acceso condicional con ámbito All resources.
Si Guardar falla, confirma que Passport - CA Policy API no permite flujos de cliente público. Si la app tiene un URI de redirección configurado, elimínalo e inténtalo de nuevo.
Aprovisionamiento de cuentas de usuario con Passport
Si quieres que Passport establezca el tipo de cuenta de la Mac de cada usuario según su pertenencia a grupos de seguridad de Entra ID, recopila el Object ID de cada grupo en el centro de administración de Microsoft Entra siguiendo los pasos de esta sección. Usarás esos valores en Aprovisionamiento de usuarios en la pestaña Iru Endpoint del Library Item de Passport. Para obtener más detalles sobre este modo, consulta Aprovisionamiento de usuarios en Configurar el Library Item de Passport.1
Acceder a Groups
Inicia sesión en el centro de administración de Microsoft Entra. En el menú de navegación Identity a la izquierda, abre Grupos y selecciona Todos los grupos.
2
Seleccionar el grupo
Selecciona el grupo que quieres usar.
3
Copiar el Object ID
Copia el Object ID de ese grupo.
4
Repetir para otros grupos de Entra ID
Para cada grupo adicional de Entra ID que quieras usar, repite Seleccionar el grupo y Copiar el Object ID. Guarda los valores de Object ID en un documento seguro hasta que los introduzcas en la pestaña Iru Endpoint.
Configura Modo de autenticación y Aprovisionamiento de usuarios en el Library Item de Passport en la pestaña Iru Endpoint.
Cambios necesarios antes del 15 de junio de 2026
El 15 de junio de 2026, Microsoft Entra ID empieza a aplicar el acceso condicional de forma más amplia a las directivas que se dirigen a All resources (antes All cloud apps) e incluyen exclusiones de recursos. Los inicios de sesión que solo solicitan ámbitos de referencia, comoopenid, profile, email y User.Read, estarán sujetos a esas directivas.
Passport Inicio de sesión web solicita esos ámbitos como cliente público. Si ya usas Passport Inicio de sesión web, solo necesitas los pasos siguientes cuando quieras que la verificación y la sincronización de contraseñas funcionen sin que se aplique MFA mediante el acceso condicional en las directivas con ámbito All resources (es decir, eximes a Passport de MFA en lugar de que los usuarios completen la MFA durante el inicio de sesión web). Si los usuarios completan la MFA en la vista web de Entra ID, por lo general no necesitas el ámbito personalizado, Excluir Passport - CA Policy API de las directivas de All resources ni la actualización de Additional scopes del Library Item; es posible que tu inquilino aún necesite seguir la ruta de Si no usas directivas de acceso condicional. Si omites las actualizaciones necesarias, el inicio de sesión y la sincronización de contraseñas pueden dejar de funcionar cuando el cambio llegue a tu inquilino.
Si vas a configurar Passport Inicio de sesión web por primera vez con este artículo, las pestañas Microsoft Entra ID e Iru Endpoint anteriores ya incluyen estas actualizaciones donde corresponde.
Lee Aplicación para ámbitos de referencia en el acceso condicional para obtener más detalles.
Si omites estas actualizaciones
Si no te preparas antes del 15 de junio de 2026:- Es posible que los nuevos usuarios no puedan iniciar sesión con Passport.
- Es posible que los usuarios existentes deban cambiar al inicio de sesión local después de reiniciar o cerrar sesión.
- La sincronización de contraseñas y la gestión del estado pueden dejar de funcionar.
- Microsoft Entra ID podría registrar eventos adicionales de inicio de sesión fallido.
Si no usas directivas de acceso condicional
Si no usas el acceso condicional, o quieres mantener el comportamiento anterior en todo tu inquilino mientras haces pruebas:1
Registrar una aplicación de marcador de posición
Registra una aplicación de un solo inquilino en Microsoft Entra ID para que sirva como recurso de destino personalizado para los ámbitos de referencia. No se requiere ninguna configuración adicional durante el registro. Consulta Create an application en Personalizar el comportamiento.
2
Excluir la aplicación de la directiva correspondiente
En cada directiva de acceso condicional en la que necesites conservar el comportamiento heredado, excluye la aplicación de marcador de posición de Target resources. Consulta Exclude the application from the relevant policy en la documentación de Microsoft.
3
Seleccionar la aplicación en la configuración de Baseline scopes
Abre la configuración de Baseline scopes, selecciona Customize behavior, selecciona la aplicación de marcador de posición y luego Guardar. Consulta Select the application in the Baseline scopes settings UX en la documentación de Microsoft.
4
No se requieren cambios en el Library Item de Passport
No necesitas cambiar tu Library Item de Passport en Iru Endpoint.
Si usas directivas de acceso condicional
Si usas el acceso condicional con Passport Inicio de sesión web y quieres eximir a Passport de MFA como se describe más arriba, completa los pasos siguientes antes del 15 de junio de 2026.Crear la aplicación Passport - CA Policy API
1
Abrir App registrations
Inicia sesión en el centro de administración de Microsoft Entra y abre Entra ID > App registrations.
2
Registrar la aplicación
Selecciona + New registration. Introduce Passport - CA Policy API como nombre, en Tipos de cuenta compatibles selecciona Single tenant only y deja Redirect URI vacío. Selecciona Registrar.
3
Conceder el consentimiento del administrador para Microsoft Graph
Abre API permissions. Si el consentimiento del administrador aún no se ha concedido, selecciona Grant admin consent for [your tenant].
4
Exponer una API
Abre Expose an API en la navegación de la izquierda.
5
Agregar un ámbito
Selecciona + Add a scope.
6
Establecer el Application ID URI
Revisa el Application ID URI. Entra ID sugiere un valor predeterminado (por ejemplo,
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a). El valor predeterminado es válido. Selecciona Guardar y continuar. No necesitas copiar este URI; copia el URI del ámbito en Copiar el URI del ámbito más abajo.7
Configurar el ámbito de Passport
En Scope name, introduce
Passport sin espacios ni caracteres especiales. Deja Who can consent con el valor predeterminado. Introduce un nombre visible y una descripción en los campos Admin consent y luego selecciona Add scope.8
Copiar el URI del ámbito
Junto al URI del ámbito en la lista Scopes (por ejemplo,
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport), selecciona Copiar. Guárdalo para Actualizar tu Library Item de Passport.Agregar el ámbito personalizado al registro de tu app de Passport
1
Abrir el registro de tu app de Passport
Si aún no has iniciado sesión, inicia sesión en el centro de administración de Microsoft Entra y abre Entra ID > App registrations. Abre la aplicación que usas para Passport Inicio de sesión web.
2
Agregar un permiso de API
Abre API permissions y selecciona + Add a permission.
3
Seleccionar Passport - CA Policy API
Abre la pestaña APIs my organization uses y selecciona Passport - CA Policy API.
4
Agregar el permiso delegado Passport
Selecciona Delegated permissions, selecciona el permiso Passport y luego Add permissions.
5
Conceder el consentimiento del administrador
Selecciona Grant admin consent for [your tenant].
Excluir Passport - CA Policy API de las directivas de All resources
Completa este paso solo cuando uses Inicio de sesión web y quieras eximir a Passport de MFA mediante el acceso condicional. Omítelo si los usuarios completan la MFA en la vista web de Entra ID al iniciar sesión. Las directivas con ámbito All resources incluyen los inicios de sesión que usan los ámbitos de referencia que Passport solicita al iniciar sesión. Excluye Passport - CA Policy API para que la verificación y la sincronización de contraseñas sigan funcionando sin un requisito de MFA en esas directivas.1
Abrir Conditional Access
En el centro de administración de Microsoft Entra, abre Protection > Conditional Access > Policies.
2
Abrir una directiva con ámbito All resources
Selecciona cada directiva con ámbito All resources y luego abre Target resources.
3
Excluir Passport - CA Policy API
Abre la pestaña Exclude, selecciona Select resources y luego Passport - CA Policy API. Selecciona Seleccionar y luego Guardar.
4
Repetir para cada directiva de All resources
Repite estos pasos para cada directiva de acceso condicional con ámbito All resources.
Si Guardar falla, confirma que Passport - CA Policy API no permite flujos de cliente público. Si la app tiene un URI de redirección configurado, elimínalo e inténtalo de nuevo.
Actualizar tu Library Item de Passport
Completa este paso cuando sigas Si usas directivas de acceso condicional porque eximes a Inicio de sesión web de MFA como se describe más arriba.1
Abrir el Library Item de Passport
En Iru Endpoint, abre Library y edita tu Library Item de Passport configurado para Microsoft Entra ID Inicio de sesión web.
2
Agregar el URI del ámbito
En la pestaña Iru Endpoint, pega el URI del ámbito de Crear la aplicación Passport - CA Policy API en Additional scopes (optional) y luego selecciona Guardar.
3
Repetir para otros Library Items de Passport
Repite Agregar el URI del ámbito para cada Library Item de Passport configurado para Microsoft Entra ID Inicio de sesión web.