> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Configuración de Passport con OneLogin

> Configura Passport con OneLogin en Iru Endpoint para el inicio de sesión de macOS y la sincronización de contraseñas. Configura la integración de la app de OneLogin y la autenticación.

<Callout icon="apple" color="#B84A7A" iconType="regular">Esta guía se aplica a computadoras Mac</Callout>

## Acerca de Passport con OneLogin

Passport con OneLogin permite a los usuarios iniciar sesión en computadoras Mac con sus credenciales de OneLogin. Esta integración proporciona una autenticación segura mediante el sistema de identidad de OneLogin de tu organización y admite la autenticación estándar y multifactor.

## Cómo funciona

Passport se integra con tu instancia de OneLogin mediante OpenID Connect (OIDC) para autenticar a los usuarios en la pantalla de inicio de sesión de macOS. El hecho de que necesites MFA para el inicio de sesión de Passport determina cuántas aplicaciones OIDC creas en OneLogin y si estableces Modo de autenticación en Inicio de sesión web o Inicio de sesión de Mac en el Library Item de Passport.

<Tabs>
  <Tab title="OneLogin" id="onelogin">
    ## Requisitos previos

    * Para agregar apps en OneLogin, usa una cuenta que sea Super User o Account Owner.

    ## Configurar una app OIDC

    Si no necesitas MFA para el inicio de sesión de Passport, establece **Modo de autenticación** en **Inicio de sesión de Mac** en el Library Item de Passport y sigue solo la sección [Inicio de sesión de Mac](#onelogin-oidc-mac-login) (omite [Inicio de sesión web](#onelogin-oidc-web-login)).

    Si necesitas MFA al iniciar sesión, establece **Modo de autenticación** en **Inicio de sesión web**. Debes crear **dos** apps OIDC en OneLogin: primero **Inicio de sesión de Mac** (inicio de sesión y sincronización de contraseñas con la Mac) y luego **Inicio de sesión web** (MFA en la vista web integrada). Sigue la sección **Inicio de sesión de Mac** y luego la sección **Inicio de sesión web**, en ese orden.

    <span id="onelogin-oidc-mac-login" />

    ### Inicio de sesión de Mac

    Crea la aplicación OIDC de Inicio de sesión de Mac en OneLogin. Este artículo usa el nombre visible *Iru Passport Inicio de sesión de Mac*.

    Todas las implementaciones usan esta app. Con **Inicio de sesión de Mac** como modo de autenticación, es la única app OIDC de OneLogin que agregas en esta guía. Con **Inicio de sesión web** (MFA), agrega primero esta app y luego continúa con [Inicio de sesión web](#onelogin-oidc-web-login).

    <Steps>
      <Step title="Iniciar sesión en OneLogin">
        Inicia sesión en OneLogin como Account owner o Super user.
      </Step>

      <Step title="Ir a Applications">
        En tu consola de administración de OneLogin, ve a la página **Aplicaciones**.
      </Step>

      <Step title="Agregar una nueva app">
        En la esquina superior derecha, selecciona **Add App**.
      </Step>

      <Step title="Buscar OIDC">
        En el campo de búsqueda de la esquina superior izquierda, introduce *OIDC*.
      </Step>

      <Step title="Seleccionar OpenID Connect">
        Selecciona **OpenID Connect (OIDC)**.
      </Step>

      <Step title="Configurar los detalles de la app">
        En el campo **Display Name**, introduce un nombre descriptivo como *Iru Passport Inicio de sesión de Mac*.
      </Step>

      <Step title="Establecer la visibilidad">
        Coloca el interruptor **Visible in portal** en la posición **Off**; no es necesario que esta app sea visible para que Passport funcione, y podría resultar confuso para un usuario ver esta app en su portal de OneLogin.
      </Step>

      <Step title="Guardar la app">
        Selecciona **Guardar**.
      </Step>

      <Step title="Acceder a Configuration">
        En la barra lateral izquierda, selecciona **Configuración**.
      </Step>

      <Step title="Introducir el URI de redirección">
        En el campo **Redirect URIs**, introduce lo siguiente:

        ```
        https://localhost.redirect
        ```

        <Note>
          Passport no requiere este valor, pero no puedes guardar la configuración de la app sin algún valor en el campo Redirect URIs.
        </Note>
      </Step>

      <Step title="Acceder a la configuración de SSO">
        En la barra lateral izquierda, selecciona **SSO**.
      </Step>

      <Step title="Establecer el Application Type">
        Selecciona el menú **Application Type** y luego **Native**.
      </Step>

      <Step title="Establecer el Token Endpoint">
        Selecciona el menú **Token Endpoint** y luego **None (PKCE)**.
      </Step>

      <Step title="Guardar la configuración de SSO">
        Selecciona **Guardar**.
      </Step>
    </Steps>

    #### Recopilar los detalles de configuración para Inicio de sesión de Mac

    <Steps>
      <Step title="Preparar un documento seguro">
        Esta app OIDC mantiene la contraseña de la Mac sincronizada con OneLogin. Abre un documento de texto seguro que puedas usar para almacenar los valores de esta app OIDC. Necesitarás el Client ID y la Issuer URL cuando configures el Library Item de Passport (no necesitas el secreto de cliente).
      </Step>

      <Step title="Copiar el Client ID">
        A la derecha del campo **Client ID**, selecciona el botón **Copy to Clipboard** (tiene forma de portapapeles).
      </Step>

      <Step title="Guardar el Client ID">
        Pega el Client ID en el documento de texto seguro.
      </Step>

      <Step title="Copiar la Issuer URL">
        Haz clic con el botón derecho (o Control-clic) en el enlace **Well-known Configuration** y copia su valor. La Issuer URL es tu endpoint de configuración well-known de OIDC y sigue este patrón:

        ```bash theme={null}
        https://{subdomain}.onelogin.com/oidc/2/.well-known/openid-configuration
        ```
      </Step>

      <Step title="Guardar la Issuer URL">
        Pega la Issuer URL en el documento de texto seguro.
      </Step>

      <Step title="Guardar el documento">
        Guarda el documento de texto seguro.
      </Step>

      <Step title="Asignar la app a los usuarios">
        En OneLogin, asigna la app a los usuarios o grupos que usarán Passport para iniciar sesión en sus computadoras Mac.
      </Step>
    </Steps>

    <Note>
      Si no usas Inicio de sesión web (sin MFA), omite la sección [Inicio de sesión web](#onelogin-oidc-web-login) que aparece a continuación, continúa con [Configurar un tipo de cuenta de usuario por grupo de proveedor de identidad en OneLogin](#configuring-a-user-account-type-by-identity-provider-group-in-onelogin) si necesitas tipos de cuenta basados en roles y luego abre la [pestaña Iru Endpoint](#iru-endpoint).
    </Note>

    <span id="onelogin-oidc-web-login" />

    ### Inicio de sesión web

    Usa esta sección solo cuando **Modo de autenticación** sea **Inicio de sesión web** (MFA). Después de completar [Inicio de sesión de Mac](#onelogin-oidc-mac-login), crea aquí la segunda app OIDC. Este artículo usa el nombre visible *Iru Passport Inicio de sesión web*.

    <Steps>
      <Step title="Ir a Applications">
        En tu consola de administración de OneLogin, ve a la página **Aplicaciones**.
      </Step>

      <Step title="Agregar una nueva app">
        En la esquina superior derecha, selecciona **Add App**.

        <Note>
          Si no aparece el botón **Add App**, es posible que hayas seleccionado anteriormente **See the new apps list**. Para que OneLogin muestre el botón **Add App**, elimina la cadena */admin2* de la URL. Por ejemplo, en lugar de *[https://accuhive.onelogin.com/admin2/apps](https://accuhive.onelogin.com/admin2/apps)*, usa *[https://accuhive.onelogin.com/apps](https://accuhive.onelogin.com/apps)*.
        </Note>
      </Step>

      <Step title="Buscar OIDC">
        En el campo de búsqueda de la esquina superior izquierda, introduce OIDC.
      </Step>

      <Step title="Seleccionar OpenID Connect">
        Selecciona **OpenID Connect (OIDC)**.
      </Step>

      <Step title="Configurar los detalles de la app">
        En el campo Display Name, introduce un nombre descriptivo como **Iru Passport Inicio de sesión web**.
      </Step>

      <Step title="Establecer la visibilidad">
        Coloca el interruptor **Visible in portal** en la posición **Off**; no es necesario que esta app sea visible para que Passport funcione, y podría resultar confuso para un usuario ver esta app en su portal de OneLogin.
      </Step>

      <Step title="Guardar la app">
        Selecciona **Guardar**.
      </Step>

      <Step title="Acceder a Configuration">
        En la barra lateral izquierda, selecciona **Configuración**.
      </Step>

      <Step title="Introducir el URI de redirección">
        En el campo **Redirect URIs**, introduce lo siguiente:

        ```
        https://localhost.redirect
        ```
      </Step>

      <Step title="Acceder a la configuración de SSO">
        En la barra lateral izquierda, selecciona **SSO**.
      </Step>

      <Step title="Establecer el Application Type">
        Selecciona el menú **Application Type** y luego **Native**.
      </Step>

      <Step title="Establecer el Authentication Method">
        En la sección **Token Endpoint**, selecciona el menú **Authentication Method** y elige **POST**. POST es necesario para que los usuarios puedan completar la MFA en la vista web al iniciar sesión en la Mac.
      </Step>

      <Step title="Guardar la configuración de SSO">
        Selecciona **Guardar**.
      </Step>
    </Steps>

    #### Recopilar los detalles de configuración para Inicio de sesión web

    <Steps>
      <Step title="Preparar un documento seguro">
        Esta app OIDC proporciona los campos de Inicio de sesión web para el Library Item de Passport. Abre un documento de texto seguro que puedas usar para almacenar los valores de esta app OIDC. Necesitarás el Client ID y el Client Secret de esta app POST cuando configures el Library Item de Passport. Si ya tienes un documento seguro de la app OIDC de Inicio de sesión de Mac, agrega una nota que indique que los nuevos valores corresponden a la app OIDC de Inicio de sesión web.
      </Step>

      <Step title="Copiar el Client ID">
        Copia el contenido del campo **Client ID**.
      </Step>

      <Step title="Guardar el Client ID">
        Pega el Client ID en el documento de texto seguro.
      </Step>

      <Step title="Mostrar el secreto de cliente">
        Selecciona **Show client secret**.
      </Step>

      <Step title="Copiar el secreto de cliente">
        Copia el secreto de cliente.
      </Step>

      <Step title="Guardar el secreto de cliente">
        Pega el secreto de cliente en el documento de texto seguro.
      </Step>

      <Step title="Guardar el documento">
        Guarda el documento seguro.
      </Step>

      <Step title="Asignar la app a los usuarios">
        En OneLogin, asigna la app a los usuarios o grupos que iniciarán sesión con Inicio de sesión web (MFA).
      </Step>
    </Steps>

    ## Configurar un tipo de cuenta de usuario por grupo de proveedor de identidad en OneLogin

    Usa esta sección cuando asignes roles de OneLogin a cuentas de Mac estándar o de administrador en Passport. Se aplica tanto a Inicio de sesión de Mac (sin MFA) como a Inicio de sesión web (MFA).

    Para configurar si un usuario será un usuario estándar o un usuario administrador, sigue los pasos siguientes.

    <Steps>
      <Step title="Acceder a Roles">
        Inicia sesión en tu OneLogin Console. Selecciona Users > Roles.

        <Frame>
          <img src="https://mintcdn.com/iru/g5XvVqFV1vl7oJEO/assets/media/images/iru-onelogin-users-roles-menu.png?fit=max&auto=format&n=g5XvVqFV1vl7oJEO&q=85&s=7832230128da495dda9f46604cb20f4c" alt="Menú Users de OneLogin Console con Roles" width="1089" height="589" data-path="assets/media/images/iru-onelogin-users-roles-menu.png" />
        </Frame>
      </Step>

      <Step title="Crear un nuevo rol">
        Selecciona **New Role** en la parte superior derecha de la pantalla y asigna un nombre a tu rol. (*Asegúrate de que el nombre del rol coincida con el nombre del grupo del IdP que usas en tu configuración de Iru Passport).* En este ejemplo, el rol se llama Passport Admin Users. Por último, selecciona la app Iru Passport que creaste en OneLogin y selecciona **Guardar** en la parte superior derecha de la pantalla.
      </Step>

      <Step title="Configurar los parámetros de la app">
        A continuación, ve a la app Iru Passport que creaste en OneLogin. Selecciona el enlace **parameters** y selecciona el campo **Grupos**.
      </Step>

      <Step title="Establecer el valor predeterminado">
        En la sección "Default if no value selected", selecciona User Roles en la lista desplegable y asegúrate de que Semicolon Delimited Input esté seleccionado. Selecciona **Guardar**.

        <Frame>
          <img src="https://mintcdn.com/iru/g5XvVqFV1vl7oJEO/assets/media/images/iru-onelogin-passport-groups-parameter.png?fit=max&auto=format&n=g5XvVqFV1vl7oJEO&q=85&s=15f0b569dd02121a46ed1cacd2ed551e" alt="Edit Field Groups de OneLogin con User Roles y Semicolon Delimited Input" width="642" height="633" data-path="assets/media/images/iru-onelogin-passport-groups-parameter.png" />
        </Frame>
      </Step>

      <Step title="Asignar usuarios al rol">
        Por último, asegúrate de que tus usuarios formen parte del rol que estás creando y de que sean miembros de la aplicación Iru Passport en OneLogin. Para agregar un usuario a un rol, selecciona Users > Roles > *el nombre de tu rol (por ejemplo, Passport Admin Users)*, selecciona el enlace **Usuarios**, busca el usuario, selecciona la **casilla** azul, selecciona el enlace **Add to Role** y luego selecciona **Guardar** en la parte superior derecha de la página.
      </Step>
    </Steps>

    <Note>
      Cuando las apps OIDC y los roles de OneLogin se ajusten a lo que necesitas, abre la [pestaña Iru Endpoint](#iru-endpoint) para introducir los valores en el Library Item de Passport. En esa pestaña, Aprovisionamiento de usuarios incluye un ejemplo de cuando un rol de OneLogin proporciona el nombre del grupo de administradores.
    </Note>
  </Tab>

  <Tab title="Iru Endpoint" id="iru-endpoint">
    Si aún no lo has hecho, usa [Configurar el Library Item de Passport](/es/endpoint/library/passport/configure-the-passport-library-item) para agregar el Library Item de Passport y su configuración básica. Los pasos siguientes son los pasos de Iru Endpoint específicos de Passport con OneLogin; usa los valores que recopilaste en la [pestaña OneLogin](#onelogin).

    ### Modo de autenticación

    Establece **Modo de autenticación** en el Library Item de Passport según cómo inicien sesión los usuarios con OneLogin. Usa **Inicio de sesión web** cuando se aplique MFA y **Inicio de sesión de Mac** cuando no.

    En OneLogin siempre configuras la app OIDC de Inicio de sesión de Mac; agrega la app OIDC de Inicio de sesión web como segunda app cuando uses MFA, como se indica en la [pestaña OneLogin](#onelogin).

    #### Inicio de sesión web

    Si usas autenticación multifactor con Passport, debes usar **Inicio de sesión web** como modo de autenticación para que los usuarios puedan completar la MFA al iniciar sesión. Ya deberías haber creado dos apps OIDC en OneLogin (Inicio de sesión de Mac y luego Inicio de sesión web).

    Cuando **Proveedor de identidad** en el Library Item de Passport es **OneLogin** y **Modo de autenticación** es **Inicio de sesión web**, la **segunda** aplicación OIDC de OneLogin debe usar el método de autenticación **POST** en el endpoint de tokens (consulta los pasos de la app OIDC de [Inicio de sesión web](#onelogin-oidc-web-login) en la [pestaña OneLogin](#onelogin)). Introduce el ID de cliente de esa segunda aplicación en **Client ID (Web Authentication)**, el URI de redirección en **Redirect URI** y el secreto de cliente en **Client secret** en el Library Item (pasos a continuación).

    <Steps>
      <Step title="Seleccionar el proveedor de identidad OneLogin">
        En el Library Item de Passport, establece **Proveedor de identidad** en **OneLogin**.
      </Step>

      <Step title="Introducir la URL del proveedor de identidad">
        En el campo **URL del proveedor de identidad**, introduce la URL de configuración well-known de OIDC (Issuer URL) de la app OIDC de **Inicio de sesión de Mac** que recopilaste en la [pestaña OneLogin](#onelogin). Sigue este patrón:

        ```bash theme={null}
        https://{subdomain}.onelogin.com/oidc/2/.well-known/openid-configuration
        ```
      </Step>

      <Step title="Introducir el Client ID (Sincronización de contraseñas)">
        En el campo **Client ID (Password Sync)**, introduce el Client ID de la aplicación OIDC de **Inicio de sesión de Mac** de la [pestaña OneLogin](#onelogin).
      </Step>

      <Step title="Seleccionar Inicio de sesión web">
        En **Modo de autenticación**, selecciona **Inicio de sesión web**.
      </Step>

      <Step title="Introducir el Client ID (Web Authentication)">
        En el campo **Client ID (Web Authentication)**, introduce el ID de cliente de la aplicación OIDC de Inicio de sesión web que recopilaste en la [pestaña OneLogin](#onelogin).
      </Step>

      <Step title="Introducir el URI de redirección">
        En el campo **Redirect URI**, introduce lo siguiente:

        ```
        https://localhost.redirect
        ```
      </Step>

      <Step title="Introducir el Client secret">
        En el campo **Client secret**, introduce el secreto de cliente de la aplicación OIDC de Inicio de sesión web en OneLogin.
      </Step>

      <Step title="Guardar la configuración">
        Selecciona **Guardar**.
      </Step>
    </Steps>

    #### Inicio de sesión de Mac

    Si no usas MFA con Passport, usa **Inicio de sesión de Mac** como modo de autenticación. Los usuarios inician sesión con su contraseña de OneLogin en la ventana de inicio de sesión de la Mac sin el flujo de MFA de Inicio de sesión web. Ya deberías haber creado una app OIDC en OneLogin (solo Inicio de sesión de Mac).

    <Steps>
      <Step title="Seleccionar el proveedor de identidad OneLogin">
        En el Library Item de Passport, establece **Proveedor de identidad** en **OneLogin**.
      </Step>

      <Step title="Introducir la URL del proveedor de identidad">
        En el campo **URL del proveedor de identidad**, introduce la URL de configuración well-known de OIDC de la app OIDC de **Inicio de sesión de Mac** que recopilaste en la [pestaña OneLogin](#onelogin). Sigue este patrón:

        ```bash theme={null}
        https://{subdomain}.onelogin.com/oidc/2/.well-known/openid-configuration
        ```
      </Step>

      <Step title="Introducir el Client ID (Sincronización de contraseñas)">
        En el campo **Client ID (Password Sync)**, introduce el Client ID de la aplicación OIDC de **Inicio de sesión de Mac** de la [pestaña OneLogin](#onelogin).
      </Step>

      <Step title="Seleccionar Inicio de sesión de Mac">
        En **Modo de autenticación**, selecciona **Inicio de sesión de Mac**.
      </Step>

      <Step title="Guardar la configuración">
        Selecciona **Guardar**.
      </Step>
    </Steps>

    ### Aprovisionamiento de usuarios

    Si quieres que Passport establezca el tipo de cuenta de la Mac de cada usuario según los roles de OneLogin, completa primero [Configurar un tipo de cuenta de usuario por grupo de proveedor de identidad en OneLogin](#configuring-a-user-account-type-by-identity-provider-group-in-onelogin). Usa los pasos de **Aprovisionamiento de usuarios** siguientes en la [pestaña **Iru Endpoint**](#iru-endpoint) del Library Item de Passport.

    <Steps>
      <Step title="Configurar el tipo de cuenta de usuario">
        En el Library Item de Passport, abre el menú Tipo de cuenta de usuario en la sección Aprovisionamiento de usuarios y selecciona **Especificar por grupo del proveedor de identidad**.
      </Step>

      <Step title="Elegir el tipo de cuenta alternativo">
        Con **Tipo de cuenta de usuario** establecido en **Especificar por grupo del proveedor de identidad**, abre el menú desplegable de tipo de cuenta que aparece debajo y selecciona Administrator o Standard user. Si la pertenencia a grupos del IdP de un usuario devuelve tanto el tipo de cuenta Administrator como Standard, el usuario se designa como Administrator.
      </Step>

      <Step title="Introducir los nombres de rol">
        En cada campo **Grupo del proveedor de identidad**, introduce un nombre de rol que coincida con tu configuración de OneLogin.
      </Step>

      <Step title="Establecer los tipos de cuenta">
        Para cada fila de **Grupo del proveedor de identidad**, establece el **Account type** que corresponda.

        <Frame>
          <img src="https://mintcdn.com/iru/g5XvVqFV1vl7oJEO/assets/media/images/iru-passport-user-account-type.png?fit=max&auto=format&n=g5XvVqFV1vl7oJEO&q=85&s=dae709f0e35f1eabb21c7ee9cb8b8e7a" alt="Tipo de cuenta de usuario del Library Item de Passport por grupo de proveedor de identidad" width="2272" height="712" data-path="assets/media/images/iru-passport-user-account-type.png" />
        </Frame>
      </Step>
    </Steps>

    <Note>
      Cuando se haya guardado el Library Item de Passport, vuelve a la [pestaña OneLogin](#onelogin) si necesitas cambiar las apps OIDC o las asignaciones de roles.
    </Note>
  </Tab>
</Tabs>

Si tienes algún problema con Passport y OneLogin, lee [Solución de problemas de Passport con OneLogin](/es/endpoint/library/passport/onelogin/passport-troubleshooting-with-onelogin).