> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Solucionar problemas de la extensión SSO de macOS

> Diagnostica por qué la extensión de inicio de sesión único de Iru Access en macOS no intercepta los inicios de sesión, mediante las herramientas de línea de comandos integradas de Apple.

Iru Access instala una **extensión de inicio de sesión único (SSO)** de macOS, una extensión Extensible SSO
de tipo Redirect que intercepta los inicios de sesión en tus dominios de Iru para que los usuarios
inicien sesión con su credencial vinculada al dispositivo. Para que funcione, macOS debe
haber **aprobado los dominios asociados** para la extensión, que tu MDM
normalmente envía como parte del perfil de configuración de Iru Access.

Si Iru Access no intercepta los inicios de sesión en una Mac, las comprobaciones siguientes
confirman, en orden, que la extensión está **instalada**, **cargada** y que sus
**dominios asociados están aprobados**. Usan las propias herramientas de línea de comandos de Apple y
es seguro ejecutarlas en una Mac inscrita.

<Note>
  Solo para diagnosticar una implementación existente. Para configurar el perfil de configuración,
  la aplicación y el registro, consulta
  [Implementar Iru Access](/es/identity/authentication/deploy-iru-access).
</Note>

<Info>
  **Valores usados a continuación.** `N5M3B34269` es el Apple Team ID de Iru, el mismo valor de
  tu perfil MDM de Iru Access, por lo que el App ID de Iru Access siempre es
  `N5M3B34269.com.iru.Access`. `yourcompany.id.iru.com` representa el
  dominio de inicio de sesión de Iru de tu organización; tu salida real muestra tus dominios reales.
</Info>

<Steps>
  <Step title="Confirmar que los dominios asociados están aprobados">
    La causa más habitual de que una extensión SSO no funcione es que macOS no haya aprobado
    los **dominios asociados**. Enumera todas las aprobaciones de dominios asociados de la Mac:

    ```bash theme={null}
    sudo swcutil show
    ```

    Busca una entrada con **Service `authsrv`**, el **App ID** de Iru Access
    `N5M3B34269.com.iru.Access` y tu dominio de inicio de sesión de Iru (una entrada por cada dominio
    que use tu conexión):

    ```
    --------------------------------------------------------------------------------
    Service:              authsrv
    App ID:               N5M3B34269.com.iru.Access
    Domain:               yourcompany.id.iru.com
    User Approval:        unspecified
    Site/Fmwk Approval:   approved
    Flags:                enterpriseManaged
    Last Checked:         2026-05-24 21:27:52 +0000
    Next Check:           2026-05-29 20:38:54 +0000
    --------------------------------------------------------------------------------
    ```

    Qué comprobar:

    <Warning>
      **`Site/Fmwk Approval: approved`** es la línea importante. Significa que Apple
      validó la asociación de dominio para la extensión. `denied`, o la ausencia de la entrada,
      significa que la asociación aún no se ha validado.
    </Warning>

    * **`Flags: enterpriseManaged`** indica que el dominio lo envió tu MDM, como
      se espera en una implementación administrada. Si falta, es posible que el perfil de configuración
      con el payload Associated Domains no haya llegado a esta Mac.
    * Debe haber **una entrada por cada dominio de Iru** que use tu conexión (una conexión
      puede incluir más de uno). La falta de un dominio indica un perfil incompleto.
  </Step>

  <Step title="Confirmar que la extensión está instalada">
    Enumera las extensiones de la aplicación Iru Access registradas en macOS:

    ```bash theme={null}
    pluginkit -v -m
    ```

    Deberías ver la extensión SSO en la lista, por ejemplo:

    ```
        com.iru.Access.SSOExtension(1.0)    8ACDABA9-0000-0000-0000-4E99DCF7F39D    /Applications/Iru Access.app/Contents/PlugIns/SSOExtension.appex
    ```

    Qué comprobar:

    * Una línea `com.iru.Access.SSOExtension` significa que la extensión está registrada.
    * Si no aparece ninguna línea, la aplicación Iru Access no está instalada o su extensión aún no
      se ha registrado. Confirma que la aplicación está implementada y que se ha abierto al menos una vez.
  </Step>

  <Step title="Confirmar que el sistema cargó la extensión">
    Transmite el administrador de extensiones SSO del sistema y busca que se cargue Iru Access:

    ```bash theme={null}
    log stream --debug --predicate 'category contains "SOExtensionManager"'
    ```

    Un sistema en buen estado registra la extensión de Iru como cargada (salida similar a):

    ```
    AppSSOAgent: (AppSSO) [SOExtensionManager] loadedExtensionWithBundleIdentifer:
      com.iru.Access.SSOExtension => <SOExtension bundleID=com.iru.Access.SSOExtension,
      path=/Applications/Iru Access.app/Contents/PlugIns/SSOExtension.appex>
    ```

    Cualquier otra extensión de inicio de sesión único instalada en la Mac aparece en la misma lista;
    la que importa aquí es `com.iru.Access.SSOExtension`.
  </Step>

  <Step title="Observar las aprobaciones y la actividad de inicio de sesión en directo">
    Dos transmisiones en directo ayudan cuando una aprobación tarda en llegar o cuando un inicio de sesión no
    se intercepta.

    **Comprobaciones de dominios asociados:** observa cómo macOS programa y registra las aprobaciones de dominios:

    ```bash theme={null}
    sudo swcutil watch --verbose
    ```

    **El agente SSO:** observa el proceso que ejecuta la extensión durante el inicio de sesión:

    ```bash theme={null}
    sudo log stream --debug --process AppSSOAgent
    ```

    Cuando los dominios asociados **aún no** están aprobados, el agente registra mensajes como
    estos, que señalan directamente la causa:

    ```
    com.iru.Access.SSOExtension hasAssociatedDomainsApproved = 0

    Associated domain: validation failed for the SSO extension
    com.iru.Access.SSOExtension because it has no approved associated domains; it will
    be checked again when the extension is next used.
    ```

    `hasAssociatedDomainsApproved = 0` significa que los dominios aún no están aprobados. Una vez
    que llega la aprobación, estos errores dejan de aparecer e Iru Access intercepta los inicios de sesión en tus
    dominios de Iru.
  </Step>
</Steps>

## Causas y soluciones habituales

| Síntoma | Causa probable | Solución |
| - | - | - |
| No hay ninguna entrada `authsrv` en `swcutil show` | El payload Associated Domains no llegó a la Mac | Vuelve a implementar el perfil de configuración de Iru Access desde tu MDM y confirma que se aplica al dispositivo. |
| La entrada existe, pero `Site/Fmwk Approval` no es `approved` | macOS no ha validado la asociación de dominio o el dominio es incorrecto | Confirma que el dominio coincide exactamente con tu dominio de Iru, asegúrate de que la Mac pueda acceder a él a través de la red y luego activa un inicio de sesión y vuelve a comprobarlo. |
| En `Flags` falta `enterpriseManaged` | Los dominios no los envió el MDM | Usa el perfil entregado por el MDM (implementación administrada) en lugar de uno creado manualmente. |
| `hasAssociatedDomainsApproved = 0` en AppSSOAgent | Dominios no aprobados | Resuelve la aprobación de dominios asociados descrita arriba. macOS vuelve a comprobarlo periódicamente y la próxima vez que se usa la extensión. |
| La extensión no aparece en `pluginkit -v -m` | Iru Access no está instalado o nunca se ha abierto | Implementa la aplicación y ábrela una vez para que la extensión se registre. |

<Tip>
  Después de corregir un perfil, las aprobaciones no siempre se actualizan al instante. Activa un
  inicio de sesión en uno de tus dominios de Iru para que macOS vuelva a comprobarlo y luego ejecuta de nuevo
  `sudo swcutil show`.
</Tip>

## Próximos pasos

<CardGroup cols={2}>
  <Card title="Implementar Iru Access" icon="arrow-up-from-bracket" href="/es/identity/authentication/deploy-iru-access">
    Configura el perfil de configuración, la aplicación y el registro.
  </Card>

  <Card title="Conexiones MDM" icon="tower-broadcast" href="/es/identity/authentication/mdm-connections">
    La conexión que envía el perfil y hace que un dispositivo cuente como administrado.
  </Card>

  <Card title="Confianza del dispositivo" icon="laptop" href="/es/identity/authentication/device-trust">
    Exige dispositivos administrados y en buen estado como condición de acceso.
  </Card>

  <Card title="Autenticadores" icon="key" href="/es/identity/authentication/authenticators">
    Cómo encaja Iru Access junto a las passkeys como autenticador.
  </Card>
</CardGroup>