> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Configurar Passport Inicio de sesión web con Microsoft Entra ID
> Configura Passport con Microsoft Entra ID Inicio de sesión web en Iru Endpoint. Configura la autenticación de Microsoft Entra ID basada en navegador para la sincronización de contraseñas de macOS.
Esta guía se aplica a computadoras Mac
### Acerca de Passport con Microsoft Entra ID Inicio de sesión web
Passport con Microsoft Entra ID Inicio de sesión web permite a los usuarios iniciar sesión mediante una vista web de la página de inicio de sesión de Microsoft Entra ID de tu organización, de modo que el acceso condicional y la MFA puedan ejecutarse al iniciar sesión. Para Inicio de sesión de Mac (nombre de usuario y contraseña en la ventana de inicio de sesión de la Mac sin esa vista web), usa [Configurar Passport con Microsoft Entra ID - Inicio de sesión de Mac](/es/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-mac-login).
A partir del **15 de junio de 2026**, Microsoft Entra ID gestiona el acceso condicional para el inicio de sesión de Passport de forma diferente. Las implementaciones existentes de Passport **Inicio de sesión web** solo necesitan actualizaciones en algunos casos. Consulta [Cambios necesarios antes del 15 de junio de 2026](#june-2026-conditional-access-change). Microsoft explica el cambio en [esta documentación](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions).
Si vas a configurar Passport por primera vez, continúa desde el principio de este artículo. Las instrucciones de configuración ya incluyen estas actualizaciones donde corresponde.
### Cómo funciona
Passport se integra con tu inquilino de Microsoft Entra ID en la pantalla de inicio de sesión de macOS. En el modo Inicio de sesión web, los usuarios completan el inicio de sesión de Entra ID (incluida la MFA cuando se requiere) en esa vista web antes de que se cree o actualice la sesión local de la Mac.
### Requisitos previos
* Acceso a una cuenta de administrador de Microsoft Entra ID que pueda conceder a la app de Passport los permisos correctos.
* Para la configuración de MFA en Microsoft Entra ID, consulta la [guía de configuración de MFA de Microsoft](https://learn.microsoft.com/en-us/entra/identity/authentication/howto-mfa-mfasettings).
### Crear el registro de la aplicación
Inicia sesión en el [centro de administración de Microsoft Entra](https://entra.microsoft.com) con una cuenta de administrador global.
En la barra lateral, en la categoría Entra ID, selecciona **App registrations**.
En App registrations, selecciona **+ New registration** en el menú.
Introduce un nombre para la nueva aplicación (como *Iru Passport Inicio de sesión web*).
En **Tipos de cuenta compatibles**, abre el menú desplegable y selecciona **Single tenant only** (la opción también muestra el nombre de tu inquilino, por ejemplo **Single tenant only - *Accuhive***). Passport debe ser de un solo inquilino, solo en tu organización. Consulta [Registrar una aplicación en Microsoft Entra ID](https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app).
En la sección Redirect URI, abre el menú desplegable **Select a platform** y elige **Public client/native (mobile & desktop)**.
En el campo URI, introduce `https://localhost`. Usarás este URI de redirección cuando [configures el Library Item de Passport](/es/endpoint/library/passport/configure-the-passport-library-item).
```
https://localhost
```
Para obtener más información sobre las restricciones, los tipos de plataforma y las prácticas recomendadas de los URI de redirección, consulta la [documentación de Microsoft sobre URI de redirección](https://learn.microsoft.com/en-us/entra/identity-platform/reply-url).
Selecciona **Registrar**.
### Recopilar los detalles de configuración
Abre un documento de texto seguro donde puedas almacenar temporalmente los valores de esta app OIDC. Necesitarás estos datos cuando [configures el Library Item de Passport](/es/endpoint/library/passport/configure-the-passport-library-item).
#### Panel Overview
Copia el ID de aplicación (cliente) de la información general de la app. Lo necesitarás para el Library Item de Passport.
En el menú de la izquierda, selecciona **Información general** para abrir ese panel.
Copia el **Application (client) ID** en tu documento seguro.
#### Panel Endpoints
Copia la URL de metadatos de OpenID Connect desde Endpoints; es la URL del proveedor de identidad que Passport usa para descubrir los endpoints de inicio de sesión y de tokens.
En el menú superior, selecciona **Endpoints** para abrir ese panel.
Copia el **OpenID Connect metadata document** (URL del proveedor de identidad) en tu documento seguro.
Selecciona la **X** de la parte superior derecha para cerrar el panel Endpoints.
#### Panel Authentication (Preview)
Habilita los flujos de cliente público para que la app de la Mac pueda completar el flujo de inicio de sesión sin un secreto de cliente.
En el menú de la izquierda, selecciona **Authentication (Preview)** para abrir ese panel.
Selecciona la pestaña **Configuración**.
Establece **Allow public client flows** en **Enabled**.
Selecciona **Guardar**.
#### Panel Token Configuration
Agrega las notificaciones necesarias para que el token incluya el nombre de usuario y la pertenencia a grupos que Passport necesita.
En el menú de la izquierda, selecciona **Token configuration** para abrir ese panel.
Selecciona **Add optional claim**.
En Token type, selecciona **ID**.
En Claim, selecciona **preferred\_username**.
Selecciona **Añadir**.
Selecciona **Add groups claim**.
Selecciona **Todos los grupos**.
SAML de Entra ID solo admite hasta 150 grupos de seguridad. Si tienes más de 150 grupos de seguridad, no debes usar **Todos los grupos**, sino seleccionar grupos específicos. Puedes obtener más información en el artículo de Microsoft [Configurar notificaciones de grupo para aplicaciones con Microsoft Entra ID](https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-fed-group-claims).
Selecciona **Añadir**.
Una vez completada la configuración de tokens, verás ambas notificaciones opcionales.
### Permisos de API
Agrega los permisos de Microsoft Graph que necesita Passport (email, profile, User.Read) y concede el consentimiento del administrador para que los usuarios puedan iniciar sesión.
En el menú de la izquierda, selecciona **API permissions** para abrir ese panel.
Selecciona **Add a permission**.
Selecciona **Microsoft Graph**.
Selecciona **Delegated permissions**.
Confirma que la sección **OpenID permissions** está expandida. Si no lo está, selecciona el icono que aparece junto a ella para expandirla.
Selecciona **email** y **profile**.
En el campo de búsqueda **Select permissions**, introduce **User.Read**.
En la sección User, confirma que **User.Read** ya está seleccionado. Si no lo está, selecciónalo.
Selecciona **Add permissions**.
Selecciona **Grant admin consent for \[your tenant]**.
Selecciona **Sí**.
Confirma que aparece un mensaje ** Granted for \[your tenant]** en la columna **Estado** de cada permiso.
### Asignar usuarios y grupos
Configura quién puede usar la app de Passport y si aparece en el portal de usuarios. De forma predeterminada, todos los usuarios de Entra ID pueden usar la app; los pasos siguientes cubren la configuración de Properties y la asignación de usuarios, o de usuarios y grupos, cuando sea necesario.
En el menú de navegación de Entra ID a la izquierda, selecciona **Enterprise Apps**.
En la lista All applications, selecciona **Iru Passport Inicio de sesión web** o el nombre que le diste al registro de la aplicación en la sección anterior.
En el menú de la izquierda, en la categoría **Gestionar**, selecciona **Properties** para abrir ese panel.
Opcionalmente, agrega un logotipo a tu app empresarial.
Revisa la opción **Assignment required?**:
* **No**: no necesitarás asignar usuarios ni usuarios y grupos.
* **Sí**: necesitarás asignar usuarios o usuarios y grupos.
Establece **Visible to users?** en **No**.
Si está en **Sí**, los usuarios verán la app en su portal. La app de Passport solo es útil como reemplazo de la ventana de inicio de sesión de macOS.
Selecciona **Guardar**.
Si **Assignment required?** está establecido en **No**, puedes ir directamente a [Aprovisionamiento de cuentas de usuario con Passport](#user-account-provisioning-via-passport). Si está establecido en **Sí**, continúa con los pasos siguientes.
#### Asignación obligatoria
Si tu aplicación empresarial de Passport tiene **Assignment required?** establecido en **Sí**, sigue los pasos siguientes para asignar usuarios o usuarios y grupos.
En el menú de la izquierda, en la categoría **Gestionar**, selecciona **Users and groups** para abrir ese panel.
En el menú, selecciona **+ Add user/group**.
En la página **Add Assignment**, en el encabezado **Usuarios** o **Users and groups**, selecciona el enlace **None selected** para elegir quién puede usar la app.
Según tu plan de Microsoft Entra ID, es posible que solo puedas asignar usuarios, no grupos. En ese caso, el encabezado muestra **Usuarios** y la asignación de grupos no está disponible.
Se muestra una lista de usuarios o de usuarios y grupos de seguridad. Puedes buscar un usuario o grupo específico, o seleccionar varios usuarios o usuarios y grupos de la lista.
Después de seleccionar tus usuarios o usuarios y grupos, selecciona **Seleccionar**.
Selecciona **Asignar** para terminar de asignar usuarios o usuarios y grupos a la app.
Confirma que los usuarios o usuarios y grupos que agregaste aparecen en la lista **Users and groups**.
Con esta parte de la configuración de Entra ID completada, revisa las secciones restantes de este artículo para tu entorno de Microsoft Entra ID.
### Consideraciones sobre el acceso condicional de Microsoft Entra ID
El [acceso condicional de Microsoft Entra ID](https://learn.microsoft.com/en-us/entra/identity/conditional-access/) se incluye con Microsoft Entra ID Premium o superior. Asegúrate de desactivar tanto la MFA por usuario como los valores predeterminados de seguridad antes de activar las directivas de acceso condicional de Microsoft Entra ID.
Completa los pasos siguientes para registrar **Passport - CA Policy API**, agregar su ámbito a tu app de Passport y excluir esa app de las directivas aplicables. Omite esta sección si no usas el acceso condicional. Cuando termines, agrega el ámbito en **Additional scopes (optional)** en [Modo de autenticación](#authentication-mode) en la pestaña [Iru Endpoint](#iru-endpoint).
Passport **Inicio de sesión web** completa los desafíos del acceso condicional, como la MFA, en la vista web de Passport al iniciar sesión.
#### Crear la aplicación Passport - CA Policy API
Crea este registro de aplicación para que Passport pueda solicitar un ámbito más allá de los ámbitos de referencia.
Inicia sesión en el [centro de administración de Microsoft Entra](https://entra.microsoft.com) y abre **Entra ID** > **App registrations**.
Selecciona **+ New registration**. Introduce **Passport - CA Policy API** como nombre, en **Tipos de cuenta compatibles** selecciona **Single tenant only** y deja **Redirect URI** vacío. Selecciona **Registrar**.
Abre **API permissions**. Si el consentimiento del administrador aún no se ha concedido, selecciona **Grant admin consent for \[your tenant]**.
Abre **Expose an API** en la navegación de la izquierda.
Selecciona **+ Add a scope**.
Revisa el **Application ID URI**. Entra ID sugiere un valor predeterminado (por ejemplo, `api://cca588ed-dfe6-4fb4-b695-abfa23b6475a`). El valor predeterminado es válido. Selecciona **Guardar y continuar**. No necesitas copiar este URI; copia el URI del ámbito en **Copiar el URI del ámbito** más abajo.
En **Scope name**, introduce `Passport` sin espacios ni caracteres especiales. Deja **Who can consent** con el valor predeterminado. Introduce un nombre visible y una descripción en los campos **Admin consent** y luego selecciona **Add scope**.
Junto al URI del ámbito en la lista **Scopes** (por ejemplo, `api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport`), selecciona **Copiar**. Guárdalo para **Agregar ámbitos adicionales** en [Modo de autenticación](#authentication-mode) en la pestaña [Iru Endpoint](#iru-endpoint).
#### Agregar el ámbito personalizado al registro de tu app de Passport
Si aún no has iniciado sesión, inicia sesión en el [centro de administración de Microsoft Entra](https://entra.microsoft.com) y abre **Entra ID** > **App registrations**. Abre la aplicación que usas para Passport **Inicio de sesión web**.
Abre **API permissions** y selecciona **+ Add a permission**.
Abre la pestaña **APIs my organization uses** y selecciona **Passport - CA Policy API**.
Selecciona **Delegated permissions**, selecciona el permiso **Passport** y luego **Add permissions**.
Selecciona **Grant admin consent for \[your tenant]**.
#### Excluir Passport - CA Policy API de las directivas de All resources
Excluye **Passport - CA Policy API** de cada directiva con ámbito **All resources** para que la verificación y la sincronización de contraseñas sigan funcionando.
En el [centro de administración de Microsoft Entra](https://entra.microsoft.com), abre **Protection** > **Conditional Access** > **Policies**.
Selecciona cada directiva con ámbito **All resources** y luego abre **Target resources**.
Abre la pestaña **Exclude**, selecciona **Select resources** y luego **Passport - CA Policy API**. Selecciona **Seleccionar** y luego **Guardar**.
Repite estos pasos para cada directiva de acceso condicional con ámbito **All resources**.
Si **Guardar** falla, confirma que **Passport - CA Policy API** no permite flujos de cliente público. Si la app tiene un URI de redirección configurado, elimínalo e inténtalo de nuevo.
### Aprovisionamiento de cuentas de usuario con Passport
Si quieres que Passport establezca el tipo de cuenta de la Mac de cada usuario según su pertenencia a grupos de seguridad de Entra ID, recopila el **Object ID** de cada grupo en el centro de administración de Microsoft Entra siguiendo los pasos de esta sección. Usarás esos valores en **Aprovisionamiento de usuarios** en la [pestaña **Iru Endpoint**](#iru-endpoint) del Library Item de Passport. Para obtener más detalles sobre este modo, consulta [Aprovisionamiento de usuarios](/es/endpoint/library/passport/configure-the-passport-library-item#user-provisioning) en **Configurar el Library Item de Passport**.
Inicia sesión en el [centro de administración de Microsoft Entra](https://entra.microsoft.com). En el menú de navegación Identity a la izquierda, abre **Grupos** y selecciona **Todos los grupos**.
Selecciona el grupo que quieres usar.
Copia el **Object ID** de ese grupo.
Para cada grupo adicional de Entra ID que quieras usar, repite **Seleccionar el grupo** y **Copiar el Object ID**. Guarda los valores de **Object ID** en un documento seguro hasta que los introduzcas en la [pestaña **Iru Endpoint**](#iru-endpoint).
Configura **Modo de autenticación** y **Aprovisionamiento de usuarios** en el Library Item de Passport en la [pestaña **Iru Endpoint**](#iru-endpoint).
Si aún no lo has hecho, usa [Configurar el Library Item de Passport](/es/endpoint/library/passport/configure-the-passport-library-item) para agregar el Library Item de Passport y su configuración básica. Los pasos siguientes corresponden a los campos de Microsoft Entra ID **Inicio de sesión web** del Library Item de Passport; usa el **Application (client) ID** y la URL de metadatos de OpenID Connect de la pestaña [Microsoft Entra ID](#microsoft-entra-id).
### Modo de autenticación
Establece **Modo de autenticación** en **Inicio de sesión web** cuando los usuarios deban completar el inicio de sesión de Microsoft Entra ID (incluida la MFA) en la vista web de Passport.
En el Library Item de Passport, establece **Proveedor de identidad** en **Microsoft Entra ID**.
En el campo **URL del proveedor de identidad**, pega la URL del **OpenID Connect metadata document** del registro de la aplicación en la pestaña [Microsoft Entra ID](#microsoft-entra-id).
En el campo **Client ID (Password Sync)**, pega el **Application (client) ID** del registro de la aplicación en la pestaña [Microsoft Entra ID](#microsoft-entra-id).
Completa este paso solo si completaste [Consideraciones sobre el acceso condicional de Microsoft Entra ID](#microsoft-entra-id-conditional-access-considerations). Si omitiste esa sección, continúa con **Seleccionar Inicio de sesión web**.
Pega el URI del ámbito que copiaste en **Crear la aplicación Passport - CA Policy API** en **Additional scopes (optional)**. Este campo aparece debajo de **Client ID (Password Sync)**.
En **Modo de autenticación**, selecciona **Inicio de sesión web**.
En el campo **Redirect URI**, introduce lo siguiente. Debe coincidir con el URI de redirección del registro de la aplicación de la pestaña [Microsoft Entra ID](#microsoft-entra-id):
```
https://localhost
```
Selecciona **Guardar** en el Library Item de Passport.
### Aprovisionamiento de usuarios
Si quieres que Passport establezca el tipo de cuenta de la Mac de cada usuario según su pertenencia a grupos de seguridad de Entra ID, usa los pasos siguientes en **Aprovisionamiento de usuarios** en la [pestaña **Iru Endpoint**](#iru-endpoint) del Library Item de Passport. Primero, recopila el **Object ID** de cada grupo en Entra ID. Consulta [Aprovisionamiento de cuentas de usuario con Passport](#user-account-provisioning-via-passport) en la pestaña [Microsoft Entra ID](#microsoft-entra-id).
En la sección **Aprovisionamiento de usuarios**, abre **Tipo de cuenta de usuario** y selecciona **Especificar por grupo del proveedor de identidad**.
Con **Tipo de cuenta de usuario** establecido en **Especificar por grupo del proveedor de identidad**, abre el menú desplegable de tipo de cuenta que aparece debajo y selecciona Administrator o Standard user. Si la pertenencia a grupos del IdP de un usuario devuelve tanto el tipo de cuenta Administrator como Standard, el usuario se designa como Administrator.
En cada campo **Grupo del proveedor de identidad**, introduce el **Object ID** del grupo de Entra ID como GUID, no el nombre visible del grupo.
Para cada fila de **Grupo del proveedor de identidad**, establece el **Account type** que corresponda.
Selecciona **Guardar**.
Cuando se haya guardado el Library Item de Passport, vuelve a la pestaña [Microsoft Entra ID](#microsoft-entra-id) si necesitas cambiar el registro de la aplicación, las exclusiones de **Passport - CA Policy API** o los **Object ID** de los grupos.
## Cambios necesarios antes del 15 de junio de 2026
El **15 de junio de 2026**, Microsoft Entra ID empieza a aplicar el acceso condicional de forma más amplia a las directivas que se dirigen a **All resources** (antes **All cloud apps**) e incluyen **exclusiones de recursos**. Los inicios de sesión que solo solicitan **ámbitos de referencia**, como `openid`, `profile`, `email` y `User.Read`, estarán sujetos a esas directivas.
Passport **Inicio de sesión web** solicita esos ámbitos como cliente público. Si ya usas Passport **Inicio de sesión web**, solo necesitas los pasos siguientes cuando quieras que la verificación y la sincronización de contraseñas funcionen sin que se aplique MFA mediante el acceso condicional en las directivas con ámbito **All resources** (es decir, eximes a Passport de MFA en lugar de que los usuarios completen la MFA durante el inicio de sesión web). Si los usuarios completan la MFA en la vista web de Entra ID, por lo general no necesitas el ámbito personalizado, [Excluir Passport - CA Policy API de las directivas de All resources](#exclude-passport-ca-policy-api) ni la actualización de **Additional scopes** del Library Item; es posible que tu inquilino aún necesite seguir la ruta de [Si no usas directivas de acceso condicional](#if-you-do-not-use-conditional-access-policies). Si omites las actualizaciones necesarias, el inicio de sesión y la sincronización de contraseñas pueden dejar de funcionar cuando el cambio llegue a tu inquilino.
Si vas a configurar Passport **Inicio de sesión web** por primera vez con este artículo, las pestañas **Microsoft Entra ID** e **Iru Endpoint** anteriores ya incluyen estas actualizaciones donde corresponde.
Lee [Aplicación para ámbitos de referencia en el acceso condicional](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions) para obtener más detalles.
### Si omites estas actualizaciones
Si no te preparas antes del **15 de junio de 2026**:
* Es posible que los nuevos usuarios no puedan iniciar sesión con Passport.
* Es posible que los usuarios existentes deban cambiar al inicio de sesión local después de reiniciar o cerrar sesión.
* La sincronización de contraseñas y la gestión del estado pueden dejar de funcionar.
* Microsoft Entra ID podría registrar eventos adicionales de inicio de sesión fallido.
### Si no usas directivas de acceso condicional
Si no usas el acceso condicional, o quieres mantener el comportamiento anterior en todo tu inquilino mientras haces pruebas:
Registra una aplicación de un solo inquilino en Microsoft Entra ID para que sirva como recurso de destino personalizado para los ámbitos de referencia. No se requiere ninguna configuración adicional durante el registro. Consulta **Create an application** en [Personalizar el comportamiento](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions#customize-behavior).
En cada directiva de acceso condicional en la que necesites conservar el comportamiento heredado, excluye la aplicación de marcador de posición de **Target resources**. Consulta **Exclude the application from the relevant policy** en la [documentación de Microsoft](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions#customize-behavior).
Abre la [configuración de Baseline scopes](https://aka.ms/BaselineScopesSettingsUX), selecciona **Customize behavior**, selecciona la aplicación de marcador de posición y luego **Guardar**. Consulta **Select the application in the Baseline scopes settings UX** en la [documentación de Microsoft](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions#customize-behavior).
No necesitas cambiar tu Library Item de Passport en Iru Endpoint.
Esta configuración de Entra ID afecta a todas las aplicaciones que solicitan ámbitos de referencia, no solo a Passport.
### Si usas directivas de acceso condicional
Si usas el acceso condicional con Passport **Inicio de sesión web** y quieres eximir a Passport de MFA como se describe más arriba, completa los pasos siguientes antes del **15 de junio de 2026**.
#### Crear la aplicación Passport - CA Policy API
Inicia sesión en el [centro de administración de Microsoft Entra](https://entra.microsoft.com) y abre **Entra ID** > **App registrations**.
Selecciona **+ New registration**. Introduce **Passport - CA Policy API** como nombre, en **Tipos de cuenta compatibles** selecciona **Single tenant only** y deja **Redirect URI** vacío. Selecciona **Registrar**.
Abre **API permissions**. Si el consentimiento del administrador aún no se ha concedido, selecciona **Grant admin consent for \[your tenant]**.
Abre **Expose an API** en la navegación de la izquierda.
Selecciona **+ Add a scope**.
Revisa el **Application ID URI**. Entra ID sugiere un valor predeterminado (por ejemplo, `api://cca588ed-dfe6-4fb4-b695-abfa23b6475a`). El valor predeterminado es válido. Selecciona **Guardar y continuar**. No necesitas copiar este URI; copia el URI del ámbito en **Copiar el URI del ámbito** más abajo.
En **Scope name**, introduce `Passport` sin espacios ni caracteres especiales. Deja **Who can consent** con el valor predeterminado. Introduce un nombre visible y una descripción en los campos **Admin consent** y luego selecciona **Add scope**.
Junto al URI del ámbito en la lista **Scopes** (por ejemplo, `api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport`), selecciona **Copiar**. Guárdalo para [Actualizar tu Library Item de Passport](#update-passport-library-item).
#### Agregar el ámbito personalizado al registro de tu app de Passport
Si aún no has iniciado sesión, inicia sesión en el [centro de administración de Microsoft Entra](https://entra.microsoft.com) y abre **Entra ID** > **App registrations**. Abre la aplicación que usas para Passport **Inicio de sesión web**.
Abre **API permissions** y selecciona **+ Add a permission**.
Abre la pestaña **APIs my organization uses** y selecciona **Passport - CA Policy API**.
Selecciona **Delegated permissions**, selecciona el permiso **Passport** y luego **Add permissions**.
Selecciona **Grant admin consent for \[your tenant]**.
#### Excluir Passport - CA Policy API de las directivas de All resources
Completa este paso solo cuando uses **Inicio de sesión web** y quieras eximir a Passport de MFA mediante el acceso condicional. Omítelo si los usuarios completan la MFA en la vista web de Entra ID al iniciar sesión.
Las directivas con ámbito **All resources** incluyen los inicios de sesión que usan los ámbitos de referencia que Passport solicita al iniciar sesión. Excluye **Passport - CA Policy API** para que la verificación y la sincronización de contraseñas sigan funcionando sin un requisito de MFA en esas directivas.
En el [centro de administración de Microsoft Entra](https://entra.microsoft.com), abre **Protection** > **Conditional Access** > **Policies**.
Selecciona cada directiva con ámbito **All resources** y luego abre **Target resources**.
Abre la pestaña **Exclude**, selecciona **Select resources** y luego **Passport - CA Policy API**. Selecciona **Seleccionar** y luego **Guardar**.
Repite estos pasos para cada directiva de acceso condicional con ámbito **All resources**.
Si **Guardar** falla, confirma que **Passport - CA Policy API** no permite flujos de cliente público. Si la app tiene un URI de redirección configurado, elimínalo e inténtalo de nuevo.
#### Actualizar tu Library Item de Passport
Completa este paso cuando sigas **Si usas directivas de acceso condicional** porque eximes a **Inicio de sesión web** de MFA como se describe más arriba.
En Iru Endpoint, abre **Library** y edita tu Library Item de Passport configurado para Microsoft Entra ID **Inicio de sesión web**.
En la [pestaña **Iru Endpoint**](#iru-endpoint), pega el URI del ámbito de [Crear la aplicación Passport - CA Policy API](#create-passport-ca-policy-api-app) en **Additional scopes (optional)** y luego selecciona **Guardar**.
Repite **Agregar el URI del ámbito** para cada Library Item de Passport configurado para Microsoft Entra ID **Inicio de sesión web**.
Cuando termines estas actualizaciones, prueba el inicio de sesión de Passport en una Mac inscrita. Si el inicio de sesión falla, consulta [Solución de problemas de Passport con Microsoft Entra ID (antes Azure AD)](/es/endpoint/library/passport/microsoft-entra-id/passport-troubleshooting-with-microsoft-entra-id-formerly-azure-ad).
## Solución de problemas de Microsoft Entra ID
Si el inicio de sesión de Passport falla con Entra ID, consulta [Solución de problemas de Passport con Microsoft Entra ID (antes Azure AD)](/es/endpoint/library/passport/microsoft-entra-id/passport-troubleshooting-with-microsoft-entra-id-formerly-azure-ad).