> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Passport en un entorno federado de Entra ID

> Usa Passport en un entorno federado de Microsoft Entra ID con Iru Endpoint. Configura los flujos de autenticación para AD FS y servicios de federación de terceros.

<Callout icon="apple" color="#B84A7A" iconType="regular">Esta guía se aplica a computadoras Mac</Callout>

<Note>
  Microsoft Entra ID [es el nuevo nombre](https://learn.microsoft.com/en-us/entra/fundamentals/new-name) de Azure AD (Azure Active Directory)
</Note>

### Acerca de Passport en entornos federados de Microsoft Entra ID

Passport en un entorno federado de Microsoft Entra ID se aplica cuando Entra ID es el proveedor de servicios (SP) de un proveedor de identidad externo. Tanto **Inicio de sesión de Mac** como **Inicio de sesión web** necesitan configuración adicional para que la autenticación y la validación de contraseñas puedan completarse correctamente con Entra ID.

<Card title="Actualización importante de Passport con Entra ID" type="danger" icon="calendar-exclamation" iconType="solid">
  A partir del **15 de junio de 2026**, Microsoft Entra ID gestiona el acceso condicional para el inicio de sesión de Passport de forma diferente.

  * **Inicio de sesión de Mac:** consulta [Inicio de sesión de Mac de Passport con Entra ID](/es/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-mac-login#june-2026-conditional-access-change) para confirmar si tu inquilino se ve afectado y qué debes actualizar antes de esa fecha.
  * **Inicio de sesión web:** solo se requieren actualizaciones si usas Inicio de sesión web y quieres eximir a Passport de MFA en el acceso condicional. Consulta [Inicio de sesión web de Passport con Entra ID](/es/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-web-login#june-2026-conditional-access-change).

  Microsoft explica el cambio en [esta documentación](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions).
</Card>

### Cómo funciona

Passport sigue usando Entra ID como autoridad OIDC incluso cuando los usuarios se federan a través de otro IdP. Para **Inicio de sesión de Mac** y **Inicio de sesión web**, crea una directiva de [Home Realm Discovery (HRD)](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-authentication-for-federated-users-portal?pivots=powershell-hrd) en Entra ID con PowerShell para que la validación de contraseñas pueda completarse con Entra ID en un [entorno federado](https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-fed).

### Requisitos previos

Confirma todo lo siguiente antes de crear la directiva HRD. Este artículo se aplica cuando usas Passport con Entra ID para **Inicio de sesión de Mac** o **Inicio de sesión web** en un inquilino federado.

<CardGroup cols={2}>
  <Card title="Azure y Microsoft Entra ID" icon="cloud">
    * Una [suscripción de Azure](https://azure.microsoft.com/free/) activa (crea una cuenta gratuita si es necesario).
    * Un usuario que pueda administrar las apps y directivas del directorio: **Global Administrator**, **Cloud Application Administrator**, **Application Administrator** o **propietario de la entidad de servicio**.
  </Card>

  <Card title="Windows y PowerShell" icon="terminal">
    * Una computadora con Windows o Windows Server (física o VM) en la que puedas abrir **PowerShell** como administrador.
    * [AzureADPreview](https://learn.microsoft.com/en-us/powershell/azure/active-directory/install-adv2?view=azureadps-2.0#installing-the-azure-ad-module) instalado, en una [compilación preliminar](https://learn.microsoft.com/en-us/powershell/azure/active-directory/install-adv2?view=azureadps-2.0#updating-the-azure-ad-module) actual. No puedes ejecutar los módulos GA y preliminar en paralelo; [desinstala el módulo AzureAD](https://learn.microsoft.com/en-us/powershell/azure/uninstall-az-ps) primero si ambos están presentes.
  </Card>

  <Card title="Sincronización de identidades para Passport" icon="users">
    * Los usuarios que inician sesión con Passport deben estar representados en Entra ID de forma compatible con tu método de inicio de sesión.
    * **Active Directory híbrido:** usa [Microsoft Entra Connect](https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-password-hash-synchronization) con **sincronización de hash de contraseñas** cuando corresponda.
    * **IdP federado en la nube:** confirma que los nombres de usuario y las contraseñas del IdP federado llegan a Entra ID como esperas para el inicio de sesión de tipo ROPC.
  </Card>

  <Card title="Passport ya implementado" icon="apple">
    * Registro de aplicación de Entra ID (aplicación empresarial) para Passport, siguiendo [Configurar Passport con Microsoft Entra ID - Inicio de sesión de Mac](/es/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-mac-login) o [Configurar Passport con Microsoft Entra ID - Inicio de sesión web](/es/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-web-login), o ambos, según el modo de autenticación que uses.
    * [Configurar el Library Item de Passport](/es/endpoint/library/passport/configure-the-passport-library-item) completado en Iru Endpoint para esa implementación de Passport.
  </Card>
</CardGroup>

### Flujo de autenticación en un entorno federado

El siguiente diagrama muestra el flujo de autenticación de Passport cuando Entra ID actúa como proveedor de servicios (SP) federado con otro proveedor de identidad (IdP).

<Frame>
  <img src="https://mintcdn.com/iru/4wJJk-urrjfBXzBY/assets/media/images/iru-entra-passport-auth-flow.png?fit=max&auto=format&n=4wJJk-urrjfBXzBY&q=85&s=a45eec5033d59bf210eb07861a2cfc53" alt="Flujo de autenticación de Passport cuando Entra ID está federado con otro proveedor de identidad" width="715" height="487" data-path="assets/media/images/iru-entra-passport-auth-flow.png" />
</Frame>

Cuando un usuario intenta autenticarse con Passport, la solicitud se desarrolla así:

<Steps>
  <Step title="Passport envía la solicitud de autenticación">
    Passport envía una solicitud de autenticación a Microsoft Entra ID.
  </Step>

  <Step title="Microsoft Entra ID reenvía la solicitud">
    Microsoft Entra ID reenvía la solicitud de autenticación al IdP federado.
  </Step>

  <Step title="El IdP valida la solicitud">
    El IdP valida la solicitud de autenticación y la devuelve a Microsoft Entra ID.
  </Step>

  <Step title="La autenticación falla">
    Microsoft Entra ID recibe la validación, pero no tiene motivo para reenviarla a Passport. El intento de autenticación falla y Passport muestra un error.
  </Step>
</Steps>

### Flujo de autenticación con HRD configurado

El siguiente diagrama muestra el flujo de autenticación de Passport con una directiva de Home Realm Discovery en Microsoft Entra ID. Cuando un usuario intenta autenticarse con Passport, la solicitud se desarrolla así:

<Frame>
  <img src="https://mintcdn.com/iru/4wJJk-urrjfBXzBY/assets/media/images/iru-entra-passport-auth-flow-hrd.png?fit=max&auto=format&n=4wJJk-urrjfBXzBY&q=85&s=554569a83d36ae3659518d0a1739c8ec" alt="Flujo de autenticación de Passport con una directiva de Home Realm Discovery" width="257" height="410" data-path="assets/media/images/iru-entra-passport-auth-flow-hrd.png" />
</Frame>

<Steps>
  <Step title="Passport envía la solicitud de autenticación">
    Passport envía una solicitud de autenticación a Microsoft Entra ID.
  </Step>

  <Step title="Entra ID valida con la directiva HRD">
    Entra ID valida la solicitud de autenticación mediante la directiva HRD y responde a Passport con una respuesta de autenticación de usuario correcta.
  </Step>
</Steps>

### Crear una directiva HRD

<Note>
  Necesitas una directiva HRD cuando usas Passport con Microsoft Entra ID y tu inquilino está federado con un IdP externo. Ese requisito se aplica tanto a **Inicio de sesión de Mac** como a **Inicio de sesión web**.
</Note>

<Steps>
  <Step title="Acceder a la computadora con Windows">
    Ve a la computadora con Windows.
  </Step>

  <Step title="Abrir PowerShell como administrador">
    Abre PowerShell como administrador.
  </Step>

  <Step title="Conectarse a Entra ID">
    Conéctate a tu inquilino de Entra ID con el comando **Connect-AzureAD**. Se abrirá una vista web que te pedirá que introduzcas tus credenciales de Entra ID.
  </Step>

  <Step title="Crear la directiva HRD">
    Crea una nueva directiva con el comando siguiente. Esto permitirá a los usuarios autenticarse en una aplicación específica directamente con Entra ID con su nombre de usuario y contraseña en un entorno federado. Si ya tienes directivas HRD en tu entorno, puedes establecer *DisplayName* en algo como **IruHRDPolicy**.

    ```powershell wrap lines icon="terminal" theme={null}
    New-AzureADPolicy -Definition @("{`"HomeRealmDiscoveryPolicy`":{`"AllowCloudPasswordValidation`":true}}") -DisplayName IruHRDPolicy -Type HomeRealmDiscoveryPolicy
    ```
  </Step>

  <Step title="Obtener el ObjectID de la directiva">
    Ejecuta el comando **Get-AzureADPolicy** para mostrar la directiva que acabas de crear y copia la cadena *ObjectID* que aparece en la columna ID de la salida.
  </Step>

  <Step title="Obtener el ObjectID de la entidad de servicio">
    Ejecuta el comando **Get-AzureADServicePrincipal** para obtener el **ObjectID** de la entidad de servicio (aplicación empresarial de Azure).

    <Note>
      Si conoces el nombre de la aplicación empresarial, puedes agregar **-SearchString your\_app\_name\_here** al comando anterior. Ejemplo: **Get-AzureADServicePrincipal -SearchString "Iru Passport"**
    </Note>
  </Step>

  <Step title="Agregar la aplicación a la directiva HRD">
    Ejecuta el siguiente comando para agregar la aplicación empresarial Iru Passport a la directiva HRD. Sustituye *\<ObjectID of the Service Principal>* por el *ObjectID* de la app empresarial de Iru que copiaste antes. Sustituye *\<ObjectId of the Policy>* por el *ObjectID* de HRD que copiaste antes.

    ```powershell wrap lines icon="terminal" theme={null}
    Add-AzureADServicePrincipalPolicy -Id <ObjectID of the Service Principal> -RefObjectId <ObjectId of the Policy>
    ```

    <Note>
      Si no creas la directiva correcta, puedes usar el comando siguiente para eliminarla e intentarlo de nuevo.
    </Note>

    ```powershell wrap lines icon="terminal" theme={null}
    Remove-AzureADServicePrincipalPolicy -id <ObjectId of the Service Principal> -PolicyId <ObjectId of the policy>
    ```
  </Step>

  <Step title="Verificar la asignación de la directiva">
    Comprueba las apps asignadas con **Get-AzureADPolicyAppliedObject -id \<ObjectId of the Policy>**.
  </Step>

  <Step title="Desconectarse de Azure">
    Para desconectar la sesión de PowerShell de Azure, ejecuta **Disconnect-AzureAD**.
  </Step>
</Steps>