Configurar SSO de plataforma para dispositivos macOS en Microsoft Intune

Puede configurar SSO de plataforma para habilitar el inicio de sesión único (SSO) para sus dispositivos macOS mediante autenticación sin contraseña, cuentas de usuario de Microsoft Entra ID o tarjetas inteligentes. SSO de plataforma es una característica de Microsoft Entra que mejora el complemento Microsoft Enterprise SSO y la extensión de la aplicación SSO.

Esta característica se aplica a:

  • macOS

El SSO de la plataforma inicia sesión en sus dispositivos Mac administrados con sus credenciales de Microsoft Entra ID y Touch ID. Use Intune para configurar el SSO de plataforma e implementar la configuración del SSO de plataforma en los dispositivos macOS.

El complemento Microsoft Enterprise SSO de Microsoft Entra ID incluye dos características de SSO: SSO de plataforma y la extensión de la aplicación SSO. Este artículo se centra en la configuración del SSO de plataforma con Microsoft Entra ID.

En este artículo se muestra cómo configurar el SSO de plataforma para dispositivos macOS en Intune. Para ver algunos escenarios comunes de SSO de plataforma que también puedes configurar, consulta Escenarios comunes de SSO de plataforma para dispositivos macOS.

Ventajas

Algunas ventajas del SSO de plataforma son:

  • Incluye la extensión de la aplicación SSO. No se configura la extensión de la aplicación SSO por separado.
  • Puede dejar de usar contraseñas con credenciales resistentes a la suplantación de identidad (phishing) vinculadas al hardware del dispositivo Mac.
  • La experiencia de inicio de sesión es similar a iniciar sesión en un dispositivo Windows con una cuenta profesional o educativa, como hacen los usuarios con Windows Hello para empresas.
  • Ayuda a minimizar el número de veces que los usuarios deben escribir sus credenciales de Microsoft Entra ID.
  • Ayuda a reducir el número de contraseñas que los usuarios deben recordar.
  • Obtendrá los beneficios de la unión a Microsoft Entra, que permite a cualquier usuario de la organización iniciar sesión en el dispositivo.
  • Se incluye con todos los planes de licencias de Microsoft Intune.

Cómo funciona el SSO de plataforma

Cuando los dispositivos Mac se unen a un inquilino de Microsoft Entra ID, los dispositivos obtienen un certificado de unión al lugar de trabajo (WPJ). Este certificado WPJ está vinculado al hardware y solo es accesible mediante el complemento Microsoft Enterprise SSO. Para acceder a los recursos protegidos mediante Acceso condicional, las aplicaciones y los exploradores web necesitan este certificado WPJ.

Cuando configura el SSO de plataforma, la extensión de la aplicación SSO actúa como agente para la autenticación de Microsoft Entra ID y el acceso condicional.

El SSO de plataforma se configura mediante el catálogo de configuración de Intune. Cuando la directiva de catálogo de configuración esté lista, asigne la directiva. Microsoft recomienda asignar la directiva cuando el usuario inscriba el dispositivo en Intune. Sin embargo, se puede asignar en cualquier momento, incluso en dispositivos existentes.

Requisitos previos

  • Los dispositivos deben ejecutar macOS 13.0 y versiones posteriores.

  • Los dispositivos requieren la versión 5.2404.0 o posterior de la aplicación Portal de empresa de Microsoft Intune. Esta versión incluye el SSO de plataforma.

  • Los siguientes exploradores web admiten el SSO de plataforma:

    Use Intune para agregar aplicaciones de explorador web, incluidos archivos de paquete (.pkg) e imagen de disco (.dmg), e implemente la aplicación en sus dispositivos macOS. Para empezar, vaya a Agregar aplicaciones a Microsoft Intune.

  • SSO de plataforma usa el catálogo de configuración de Intune para configurar las opciones necesarias. Para crear la directiva del catálogo de configuración, como mínimo, inicie sesión en el Centro de administración de Microsoft Intune con una cuenta que tenga los siguientes permisos de Intune:

    • Configuración del dispositivo Leer, crear, actualizar y asignar permisos

    Algunos roles integrados tienen estos permisos, incluidos el rol de Intune de administrador de perfiles y directivas. Para obtener más información acerca de los roles RBAC en Intune, consulte Control de acceso basado en roles (RBAC) con Microsoft Intune.

  • En el paso 2: Creación de la directiva de SSO de plataforma (este artículo), crea una directiva de catálogo de configuración que configura las opciones necesarias para el SSO de plataforma. Puede configurar otros escenarios y opciones comunes en esta directiva. Para obtener más información, consulte Escenarios comunes de SSO de plataforma para dispositivos macOS.

    Revise los escenariosantes de crear la directiva de catálogo de configuración. De este modo, puede configurar las opciones que necesita al crear inicialmente la directiva. Si no establece inicialmente las opciones del escenario opcional, siempre podrá editar la directiva más adelante. Solo puede asignar una directiva de SSO a los grupos. Por lo tanto, agregue esta configuración de escenario a la directiva de catálogo de configuración de SSO de plataforma existente.

  • Los dispositivos con una directiva de SSO de plataforma existente se vuelven a registrar en Microsoft Entra cuando cambia la configuración Método de autenticación SSO > de plataforma o SSO > de plataforma Usar claves de dispositivo compartidas en la directiva. Para las demás configuraciones que agregue o cambie, si anula la asignación y reasigna la directiva de SSO de plataforma, el dispositivo se vuelve a registrar.

  • En el Paso 5: Registrar el dispositivo (este artículo), los usuarios registran sus dispositivos. Estos usuarios deben poder unir dispositivos a Microsoft Entra ID. Para obtener más información, consulta Configurar las opciones del dispositivo.

Paso 1: Decidir el método de autenticación

Al crear la directiva SSO de plataforma en Intune, debe decidir el método de autenticación que desea usar.

La directiva de SSO de plataforma y el método de autenticación que elija cambian la forma en que los usuarios inician sesión en los dispositivos.

  • Cuando configura el SSO de plataforma, los usuarios inician sesión en sus dispositivos macOS con el método de autenticación que configure.
  • Cuando no se utiliza el SSO de plataforma, los usuarios inician sesión en sus dispositivos macOS con una cuenta local. A continuación, inician sesión en las aplicaciones y los sitios web con su Microsoft Entra ID.

En este paso, use la información para conocer las diferencias con los métodos de autenticación y cómo afectan a la experiencia de inicio de sesión del usuario.

Sugerencia

Microsoft recomienda usar Secure Enclave como método de autenticación al configurar el SSO de plataforma.

Característica Enclave seguro Tarjeta inteligente Password
Sin contraseña (resistente a la suplantación de identidad (phishing) icono de verificación icono de verificación icono de error
TouchID compatible para desbloqueo icono de verificación icono de verificación icono de verificación
Se puede usar como clave de paso icono de verificación icono de error icono de error
MFA obligatorio para la configuración

Siempre se recomienda la autenticación multifactor (MFA)		 icono de verificación icono de verificación icono de error
Contraseña local de Mac sincronizada con ID de Entra icono de error icono de error icono de verificación
Compatible con macOS 13.x + icono de verificación icono de error icono de verificación
Compatible con macOS 14.x + icono de verificación icono de verificación icono de verificación
Opcionalmente, permita que los nuevos usuarios inicien sesión con credenciales de ID de Entra (macOS 14.x +) icono de verificación icono de verificación icono de verificación

Al configurar el SSO de plataforma con el método de autenticación Secure Enclave , el complemento SSO usa claves criptográficas enlazadas al hardware. No usa las credenciales de Microsoft Entra para autenticar al usuario en aplicaciones y sitios web.

Para obtener más información sobre Secure Enclave, consulte Secure Enclave (abre el sitio web de Apple).

Enclave seguro:

  • Se considera sin contraseña y cumple los requisitos de multifactor resistente a la suplantación de identidad (MFA). Conceptualmente es similar a Windows Hello para empresas. También puede usar las mismas características que Windows Hello para empresas, como el acceso condicional.
  • Deja el nombre de usuario y la contraseña de la cuenta local tal como están. Estos valores no cambian. Este comportamiento se debe por diseño al cifrado de disco FileVault de Apple, que usa la contraseña local como clave de desbloqueo.
  • Después de reiniciar un dispositivo, los usuarios deben escribir la contraseña de la cuenta local. Después de este desbloqueo inicial de la máquina, se puede usar Touch ID para desbloquear el dispositivo.
  • Después del desbloqueo, el dispositivo obtiene el token de actualización principal (PRT) respaldado por hardware para el SSO de todo el dispositivo.
  • En los exploradores web, esta clave PRT se puede usar como clave de paso mediante las API de WebAuthN.
  • Su configuración se puede iniciar con una aplicación de autenticación para la autenticación MFA o el Pase de acceso temporal de Microsoft (TAP).
  • Permite la creación y el uso de claves de paso de Microsoft Entra ID.

Paso 2: Crear la directiva SSO de plataforma en Intune

Para configurar la directiva de SSO de plataforma, siga los pasos descritos en esta sección para crear una directiva de catálogo de configuración de Intune. El complemento Microsoft Enterprise SSO requiere la configuración indicada.

  1. Inicie sesión en el Centro de administración de Microsoft Intune.

  2. Seleccione Dispositivos>Administrar dispositivos>Configuración>Crear>Nueva directiva.

  3. Escriba las propiedades siguientes:

    • Plataforma: Seleccione macOS.
    • Tipo de perfil: seleccione el catálogo de Configuración.

  4. Seleccione Crear.

  5. En Básico, escriba las propiedades siguientes:

    • Nombre: escriba un nombre descriptivo para la directiva. Asígnele un nombre a las directivas para que pueda identificarlas de manera sencilla más adelante. Por ejemplo, asigne a la directiva el nombre macOS: Platform SSO.
    • Descripción: escriba una descripción para la directiva. Esta configuración es opcional pero recomendada.

  6. Seleccione Siguiente.

  7. En Opciones de configuración, seleccione Agregar configuración. En el selector de configuración, expanda Autenticación y seleccione Extensible Inicio de sesión único (SSO):

    Captura de pantalla del selector de catálogo de configuración que muestra la autenticación y la selección de categorías de SSO extensible en Microsoft Intune.

    En la lista, selecciona la siguiente configuración:

    • Método de autenticación (en desuso) (selecciona solo para macOS 13)
    • Identificador de extensión
    • SSO de plataforma expandida:
      • Seleccionar método de autenticación (seleccionar para macOS 14+)
      • Seleccionar la directiva de FileVault (seleccionar para macOS 15+)
      • Seleccionar token para asignación de usuarios
      • Seleccione Usar claves de dispositivo compartido
    • Token de registro
    • Comportamiento de bloqueo de pantalla
    • Identificador de equipo
    • Tipo
    • Direcciones URL

    Cierre el selector de configuración.

    Sugerencia

    Hay más opciones de configuración de SSO de plataforma que puede agregar a la directiva que configuran diferentes escenarios, como habilitar el SSO de Kerberos, usar la autenticación biométrica de Touch ID y habilitar el SSO en aplicaciones que no son de Microsoft. Para obtener más información sobre estos escenarios y su configuración necesaria, vaya a escenarios de SSO de plataforma común para dispositivos macOS.

    Si no establece inicialmente las opciones del escenario opcional, siempre podrá editar la directiva más adelante.

  8. Configure las siguientes opciones obligatorias:

    Nombre Valor de configuración Descripción
    Método de autenticación (en desuso)
    (Solo macOS 13)    		 Contraseña o UserSecureEnclaveKey Seleccione el método de autenticación SSO de plataforma que eligió en el Paso 1: Decidir el método de autenticación (en este artículo).

    Esta configuración solo se aplica a macOS 13. Para macOS 14.0 y versiones posteriores, use la configuración delmétodo de autenticaciónSSO> de plataforma.
    Identificador de extensión com.microsoft.CompanyPortalMac.ssoextension Copie y pegue este valor en la configuración.

    Este identificador es la extensión de aplicación SSO que el perfil necesita para que SSO funcione.

    Los valores del identificador de extensión y del identificador de equipo funcionan juntos.
    SSO> de plataformaMétodo
    de autenticación(macOS 14+)    		 Contraseña, UserSecureEnclaveKey o tarjeta inteligente Seleccione el método de autenticación SSO de plataforma que eligió en el Paso 1: Decidir el método de autenticación (en este artículo).

    Esta configuración se aplica a macOS 14 y versiones posteriores. Para macOS 13, use la configuración Método de autenticación (en desuso).
    SSO> de plataformaDirectiva de
    FileVault(macOS 15+)    		 AttemptAuthentication Se aplica al seleccionar la contraseña para la configuración del método de autenticación . Copie y pegue este valor en la configuración.

    Esta configuración permite al dispositivo verificar la contraseña de Microsoft Entra ID con Microsoft Entra en la pantalla de desbloqueo de FileVault cuando se enciende un dispositivo Mac.

    Esta configuración se aplica a macOS 15 y versiones posteriores.
    SSO> de plataformaUsar claves de dispositivo compartidas
    (macOS 14+)    		 Enabled Cuando está habilitado, el SSO de plataforma utiliza las mismas claves de firma y cifrado para todos los usuarios del mismo dispositivo.

    Se pedirá a los usuarios que actualicen de macOS 13.x a 14.x que se registren de nuevo.
    Token de registro {{DEVICEREGISTRATION}} Copie y pegue este valor en la configuración. Debes incluir las llaves.

    Para obtener más información sobre este token de registro, vaya a Configurar el registro de dispositivos de Microsoft Entra.

    Esta configuración requiere que también lo configure AuthenticationMethod .

    - Si solo usa dispositivos macOS 13, configure la opción Método de autenticación (en desuso).
    - Si solo usa dispositivos macOS 14+, configure la opciónMétodo de autenticaciónSSO> de plataforma.
    - Si tienes una combinación de dispositivos macOS 13 y macOS 14+, configura ambas opciones de autenticación en el mismo perfil.
    Comportamiento de bloqueo de pantalla No manipular Cuando se establece en No controlar, la solicitud continúa sin SSO.
    Asignación >de token a usuarioAccount Name com.apple.PlatformSSO.AccountShortName o preferred_username Copie y pegue su valor en la configuración:

    com.apple.PlatformSSO.AccountShortName: Recomendado. Usa el prefijo de nombre principal de usuario (UPN) del proveedor de identidad (IDP) como nombre de cuenta local (nombre abreviado del usuario) para el valor del nombre de cuenta de la cuenta de macOS, como user@contoso.com. Para el SSO de plataforma durante la inscripción automatizada de dispositivos, establezca el valor de clave en com.apple.PlatformSSO.AccountShortName el prefijo UPN. Para obtener más información, consulte SSO de plataforma: creación de cuentas bajo demanda (documentos de Apple).

    preferred_username: este token especifica que el valor del atributo Microsoft Entra preferred_username se usa para el valor Nombre de cuenta de la cuenta de macOS.

    Para el SSO de plataforma durante la inscripción automatizada de dispositivos, esta configuración de nombre de cuenta sobrescribe el valor en LAPS y se omite el LAPS.SamAccountName
    Asignación >de token a usuarioNombre completo name Copie y pegue este valor en la configuración.

    Este token especifica que la notificación de Microsoft Entra name se usa para el valor Nombre completo de la cuenta de macOS.
    Identificador de equipo UBF8T346G9 Copie y pegue este valor en la configuración.

    Este identificador es el identificador de equipo de la extensión de la aplicación de complemento Enterprise SSO.
    Tipo Redirect
    Direcciones URL Copie y pegue todas las direcciones URL siguientes:

    https://login.microsoftonline.com
    https://login.microsoft.com
    https://sts.windows.net

    Si el entorno necesita permitir dominios soberanos en la nube, como Azure Government o Azure China 21Vianet, agregue también las siguientes direcciones URL:

    https://login.partner.microsoftonline.cn
    https://login.chinacloudapi.cn
    https://login.microsoftonline.us
    https://login-us.microsoftonline.com    		 Estos prefijos de dirección URL son los proveedores de identidad que realizan las extensiones de aplicación de SSO. Las direcciones URL son necesarias para las cargas de redireccionamiento y se omiten para las cargas de credenciales .

    Para obtener más información sobre estas direcciones URL, vaya al complemento Microsoft Enterprise SSO para dispositivos Apple.

    Importante

    Si su entorno incluye una combinación de dispositivos macOS 13 y macOS 14+, configure las opciones deautenticaciónSSO> de plataforma y Método de autenticación (en desuso) en el mismo perfil.

    Cuando el perfil está listo, tiene un aspecto similar al del ejemplo siguiente:

    Captura de pantalla de la configuración de SSO de plataforma recomendada en un perfil MDM de Intune.

  9. Seleccione Siguiente.

  10. En Etiquetas de ámbito (opcional), asigne una etiqueta para filtrar el perfil por grupos de TI específicos, como US-NC IT Team o JohnGlenn_ITDepartment. Para obtener más información sobre las etiquetas de ámbito, vaya a Uso de roles RBAC y etiquetas de ámbito para TI distribuida.

    Seleccione Siguiente.

  11. En Tareas, seleccione los grupos de usuarios o dispositivos que reciben su perfil. Para dispositivos con afinidad de usuario, asígnelo a usuarios o grupos de usuarios. Para dispositivos con varios usuarios inscritos sin afinidad de usuarios, asígnelo a dispositivos o grupos de dispositivos.

    Importante

    Para la configuración de SSO de plataforma en dispositivos con afinidad de usuario, no es compatible con la asignación a grupos de dispositivos o filtros. Cuando se usa la asignación de grupos de dispositivos o la asignación de grupos de usuarios con filtros en dispositivos con afinidad de usuario, es posible que el usuario no pueda acceder a los recursos protegidos por el acceso condicional. Este problema puede ocurrir:

    • Si la configuración de SSO de plataforma se aplica incorrectamente, o
    • Si la aplicación Portal de empresa omite el registro de dispositivos de Microsoft Entra cuando el SSO de plataforma no está habilitado

    Para obtener más información sobre la asignación de perfiles, vea Asignación de perfiles de usuario y dispositivo.

    Seleccione Siguiente.

  12. En Revisar y crear, revise la configuración. Si selecciona Crear, se guardan los cambios y se asigna el perfil. La directiva también se muestra en la lista de perfiles.

La siguiente vez que el dispositivo busca actualizaciones de configuración, se aplican los valores que configuró.

Más información sobre el complemento SSO

Paso 3: Implementar la aplicación Portal de empresa para macOS

La aplicación Portal de empresa para macOS implementa e instala el complemento Microsoft Enterprise SSO. Este complemento habilita el SSO de plataforma.

Mediante Intune, puede agregar la aplicación Portal de empresa e implementarla como una aplicación necesaria en los dispositivos macOS:

No hay pasos específicos para configurar la aplicación para el SSO de plataforma. Asegúrese de que la aplicación del Portal de empresa más reciente se agrega a Intune e implementa en los dispositivos macOS.

Si tiene instalada una versión anterior de la aplicación Portal de empresa, se produce un error en el SSO de plataforma.

Paso 4: Inscribir los dispositivos y aplicar las directivas

Para usar SSO de plataforma, los dispositivos deben ser MDM inscritos en Intune mediante uno de los métodos siguientes:

  • Para los dispositivos propiedad de la organización, puede:

  • Para dispositivos de propiedad personal, cree una directiva de inscripción de dispositivos . Con este método de inscripción, los usuarios finales abren la aplicación Portal de empresa e inician sesión con su Microsoft Entra ID. Cuando inician sesión correctamente, se aplica la directiva de inscripción.

En el caso de los dispositivos nuevos, cree previamente y configure todas las directivas necesarias, incluida la directiva de inscripción. Después, cuando los dispositivos se inscriban en Intune, las directivas se aplicarán automáticamente.

Para los dispositivos existentes que ya están inscritos en Intune, asigne la directiva de SSO de plataforma a los usuarios o grupos de usuarios. La próxima vez que los dispositivos se sincronicen o se registren con el servicio de Intune, recibirán la configuración de directiva de SSO de plataforma que cree.

Paso 5: Registrar el dispositivo

Cuando el dispositivo recibe la directiva, aparece una notificación de registro necesario en el Centro de notificaciones.

Captura de pantalla del mensaje de registro necesario en los dispositivos de usuario final al configurar el SSO de plataforma en Microsoft Intune.

  • Los usuarios finales seleccionan esta notificación, inician sesión en el complemento de Microsoft Entra ID con su cuenta de organización y, si es necesario, completan la autenticación multifactor (MFA).

    Nota:

    MFA es una característica de Microsoft Entra. Asegúrese de que MFA está habilitada en el inquilino. Para obtener más información, incluidos otros requisitos de la aplicación, vaya a Autenticación multifactor de Microsoft Entra.

  • Cuando se autentican correctamente, el dispositivo se une a Microsoft Entra a la organización y el certificado de unión al lugar de trabajo (WPJ) se enlaza al dispositivo.

Los artículos siguientes muestran la experiencia del usuario, en función del método de inscripción:

Paso 6: Confirmar la configuración del dispositivo

Cuando se completa el registro del SSO de plataforma, puede confirmar que el SSO de plataforma está configurado. Para conocer los pasos, vaya a Microsoft Entra ID - Comprobar el estado de registro del dispositivo.

En los dispositivos inscritos en Intune, también puede ir a Configuración>Perfiles de privacidad y seguridad>. Su perfil de SSO de plataforma aparece en com.apple.extensiblesso Profile. Selecciona el perfil para ver las opciones que has configurado, incluidas las direcciones URL.

Para solucionar problemas de SSO de plataforma, vaya a Solución de problemas conocidos de inicio de sesión único de plataforma macOS.

Paso 7: Anular la asignación de los perfiles de extensión de aplicación SSO existentes

Después de confirmar que la directiva de catálogo de configuración funciona, anule la asignación de los perfiles de extensión de aplicación SSO existentes creados con la plantilla Características de dispositivo de Intune.

Si mantiene ambas directivas, pueden producirse conflictos.

Configurar el SSO de plataforma con otros MDM

Puede configurar el SSO de plataforma con otros servicios de administración de dispositivos móviles (MDM), si esa MDM admite el SSO de plataforma. Al usar otro servicio MDM, sigue estas instrucciones:

  • Las opciones enumeradas en este artículo son las opciones recomendadas por Microsoft que debe configurar. Puede copiar y pegar los valores de configuración de este artículo en la directiva de servicio de MDM.

    Los pasos de configuración del servicio MDM pueden ser diferentes. Trabaje con su proveedor de servicio MDM para configurar e implementar correctamente estas opciones de SSO de plataforma.

  • El registro de dispositivos con SSO de plataforma es más seguro y usa certificados de dispositivo enlazados al hardware. Estos cambios pueden afectar a algunos flujos de MDM, como la integración con asociados de cumplimiento de dispositivos.

    Hable con su proveedor de servicios MDM para comprender si MDM probó el SSO de plataforma, certificó que su software funciona correctamente con el SSO de plataforma y está listo para admitir a los clientes que usan el SSO de plataforma.

Errores comunes de SSO de plataforma

Al configurar el SSO de plataforma, es posible que vea los siguientes errores:

  • 10001: misconfiguration in the SSOe payload.

    Este error puede producirse si:

    • No ha configurado una opción obligatoria en el perfil del catálogo de configuración.
    • Has configurado una opción en el perfil del catálogo de configuración que no se aplica a la carga del tipo de redireccionamiento.

    Las opciones de autenticación que se configuran en el perfil del catálogo de opciones son diferentes para los dispositivos macOS 13.x y 14.x.

    Si tienes dispositivos macOS 13 y macOS 14 en tu entorno, debes crear una directiva de catálogo de configuraciones y configurar sus respectivas opciones de autenticación en la misma directiva. Esta información se documenta en el Paso 2: Creación de la directiva SSO de plataforma en Intune (en este artículo).

  • 10002: multiple SSOe payloads configured.

    Varias cargas útiles de la extensión SSO se aplican al dispositivo y están en conflicto. Solo debe haber un perfil de extensión en el dispositivo y ese perfil debe ser el perfil del catálogo de configuración.

    Si anteriormente creó un perfil de extensión de aplicación SSO mediante la plantilla Características del dispositivo, anule la asignación de ese perfil. El perfil del catálogo de configuración es el único perfil que se debe asignar al dispositivo.

  • Last updated on