Configuración del inicio de sesión único de plataforma para dispositivos macOS en Microsoft Intune

  • Se aplica a: [object Object]

Puede configurar Platform SSO para habilitar el inicio de sesión único (SSO) para los dispositivos macOS mediante la autenticación sin contraseña, Microsoft Entra ID cuentas de usuario o tarjetas inteligentes. Platform SSO es una característica de Microsoft Entra que mejora el complemento de INICIO de sesión único de Microsoft Enterprise y la extensión de aplicación sso.

Esta característica se aplica a:

  • macOS

Platform SSO inicia la sesión de los usuarios en sus dispositivos Mac administrados mediante sus credenciales de Microsoft Entra ID y Touch ID. Use Intune para configurar Platform SSO e implementar la configuración de Platform SSO en los dispositivos macOS.

El complemento Microsoft Enterprise SSO Microsoft Entra ID incluye dos características de SSO: Sso de plataforma y extensión de aplicación sso. Este artículo se centra en la configuración del inicio de sesión único de Platform con Microsoft Entra ID.

En este artículo se muestra cómo configurar el inicio de sesión único de Platform para dispositivos macOS en Intune. Para ver algunos escenarios comunes de SSO de Platform que también puede configurar, consulte Escenarios de sso de Common Platform para dispositivos macOS.

Ventajas

Algunas ventajas del inicio de sesión único de Platform incluyen:

  • Incluye la extensión de aplicación sso. No se configura la extensión de la aplicación sso por separado.
  • Puede pasar sin contraseña con credenciales resistentes a la suplantación de identidad que estén enlazadas por hardware al dispositivo Mac.
  • La experiencia de inicio de sesión es similar a iniciar sesión en un dispositivo Windows con una cuenta profesional o educativa, como hacen los usuarios con Windows Hello para empresas.
  • Ayuda a minimizar el número de veces que los usuarios necesitan escribir sus credenciales de Microsoft Entra ID.
  • Ayuda a reducir el número de contraseñas que los usuarios deben recordar.
  • Obtiene las ventajas de Microsoft Entra unirse, lo que permite a cualquier usuario de la organización iniciar sesión en el dispositivo.
  • Se incluye con todos los planes de licencia de Microsoft Intune.

Funcionamiento del inicio de sesión único de Platform

Cuando los dispositivos Mac se unen a un inquilino de Microsoft Entra ID, los dispositivos obtienen un certificado de unión al área de trabajo (WPJ). Este certificado WPJ está enlazado a hardware y solo es accesible mediante el complemento de inicio de sesión único de Microsoft Enterprise. Para acceder a los recursos protegidos mediante el acceso condicional, las aplicaciones y los exploradores web necesitan este certificado WPJ.

Al configurar platform SSO, la extensión de aplicación sso actúa como agente para la autenticación Microsoft Entra ID y el acceso condicional.

El inicio de sesión único de plataforma se configura mediante el catálogo de configuración de Intune. Cuando la directiva de catálogo de configuración esté lista, asigne la directiva. Microsoft recomienda asignar la directiva cuando el usuario inscribe el dispositivo en Intune. Sin embargo, se puede asignar en cualquier momento, incluso en dispositivos existentes.

Requisitos previos

  • Los dispositivos deben ejecutar macOS 13.0 y versiones posteriores.

  • Los dispositivos requieren Microsoft Intune Portal de empresa versión de la aplicación5.2404.0 o posterior. Esta versión incluye el inicio de sesión único de Platform.

  • Los siguientes exploradores web admiten el inicio de sesión único de Platform:

    Use Intune para agregar aplicaciones de explorador web, incluidos archivos de paquete (.pkg) e imagen de disco (.dmg), e implemente la aplicación en los dispositivos macOS. Para empezar, vaya a Agregar aplicaciones para Microsoft Intune.

  • Platform SSO usa el catálogo de configuración de Intune para configurar los valores necesarios. Para crear la directiva de catálogo de configuración, como mínimo, inicie sesión en el centro de administración de Microsoft Intune con una cuenta que tenga los siguientes permisos de Intune:

    • Permisos de lectura, creación, actualización y asignación de configuración de dispositivos

    Algunos roles integrados tienen estos permisos, incluidos el rol de Intune administrador de directivas y perfiles. Para obtener más información sobre los roles de RBAC en Intune, consulte Control de acceso basado en rol (RBAC) con Microsoft Intune.

  • En Paso 2: Creación de la directiva de SSO de plataforma (este artículo), se crea una directiva de catálogo de configuración que configura las opciones necesarias para el inicio de sesión único de Platform. Puede configurar otros escenarios y opciones comunes en esta directiva. Para obtener más información, consulte Escenarios de sso de Common Platform para dispositivos macOS.

    Revise los escenariosantes de crear la directiva de catálogo de configuración. De este modo, puede configurar los valores que necesita al crear inicialmente la directiva. Si no configura inicialmente los valores de escenario opcionales, siempre puede editar la directiva más adelante. Solo puede asignar una directiva de SSO a los grupos. Por lo tanto, agregue esta configuración de escenario a la directiva de catálogo de configuración de SSO de plataforma existente.

  • Los dispositivos con una directiva existente de Platform SSO se vuelven a registrar en Microsoft Entra al cambiar el método de autenticación de Platform SSO > o la configuración De uso de claves de dispositivo compartido de Platform SSO > en la directiva. En el caso de la otra configuración que agregue o cambie, si anula la asignación y reasigna la directiva de SSO de plataforma, el dispositivo se vuelve a registrar.

  • En El paso 5: Registro del dispositivo (este artículo), los usuarios registran sus dispositivos. Se debe permitir que estos usuarios unan dispositivos a Microsoft Entra ID. Para obtener más información, consulte Configuración del dispositivo.

Paso 1: Decidir el método de autenticación

Al crear la directiva de INICIO de sesión único de la plataforma en Intune, debe decidir el método de autenticación que desea usar.

La directiva de SSO de plataforma y el método de autenticación que elija cambiarán el modo en que los usuarios inician sesión en los dispositivos.

  • Al configurar el inicio de sesión único de platform, los usuarios inician sesión en sus dispositivos macOS con el método de autenticación que configure.
  • Cuando no usa el inicio de sesión único de Platform, los usuarios inician sesión en sus dispositivos macOS con una cuenta local. A continuación, inician sesión en aplicaciones y sitios web con sus Microsoft Entra ID.

En este paso, use la información para conocer las diferencias con los métodos de autenticación y cómo afectan a la experiencia de inicio de sesión del usuario.

Sugerencia

Microsoft recomienda usar Secure Enclave como método de autenticación al configurar el inicio de sesión único de platform.

Característica Enclave seguro Tarjeta inteligente Password
Sin contraseña (resistente a la suplantación de identidad)
TouchID compatible con el desbloqueo
Se puede usar como clave de paso
MFA obligatorio para la instalación

Siempre se recomienda la autenticación multifactor (MFA)
Contraseña de Mac local sincronizada con el identificador de Entra
Compatible con macOS 13.x +
Compatible con macOS 14.x +
Opcionalmente, permita que los nuevos usuarios inicien sesión con credenciales de identificador de Entra (macOS 14.x +)

Al configurar Platform SSO con el método de autenticación Secure Enclave , el complemento sso usa claves criptográficas enlazadas por hardware. No usa las credenciales de Microsoft Entra para autenticar al usuario en aplicaciones y sitios web.

Para obtener más información sobre Secure Enclave, consulte Enclave seguro (abre el sitio web de Apple).

Enclave seguro:

  • Se considera que no tiene contraseña y cumple los requisitos multifactor (MFA) resistentes a la phish. Conceptualmente es similar a Windows Hello para empresas. También puede usar las mismas características que Windows Hello para empresas, como el acceso condicional.
  • Deja el nombre de usuario y la contraseña de la cuenta local tal cual. Estos valores no se cambian. Este comportamiento es por diseño debido al cifrado de disco FileVault de Apple, que usa la contraseña local como clave de desbloqueo.
  • Después de reiniciar un dispositivo, los usuarios deben escribir la contraseña de la cuenta local. Después de desbloquear esta máquina inicial, touch ID se puede usar para desbloquear el dispositivo.
  • Después del desbloqueo, el dispositivo obtiene el token de actualización principal (PRT) respaldado por hardware para el inicio de sesión único en todo el dispositivo.
  • En los exploradores web, esta clave PRT se puede usar como clave de paso mediante las API de WebAuthN.
  • Su configuración se puede arrancar con una aplicación de autenticación para la autenticación MFA o el paso de acceso temporal (TAP) de Microsoft.
  • Permite la creación y el uso de Microsoft Entra ID passkeys.

Paso 2: Creación de la directiva de SSO de plataforma en Intune

Para configurar la directiva de SSO de plataforma, siga los pasos de esta sección para crear una directiva de catálogo de configuración de Intune. El complemento Microsoft Enterprise SSO requiere la configuración que se muestra.

  1. Inicie sesión en el Centro de administración de Microsoft Intune.

  2. Seleccione Dispositivos>Administrar dispositivos>Configuración>Crear>Nueva directiva.

  3. Escriba las propiedades siguientes:

    • Plataforma: seleccione macOS.
    • Tipo de perfil: seleccione Catálogo de configuración.

  4. Seleccione Crear.

  5. En Básico, escriba las propiedades siguientes:

    • Nombre: escriba un nombre descriptivo para la directiva. Asígnele un nombre a las directivas para que pueda identificarlas de manera sencilla más adelante. Por ejemplo, asigne un nombre a la directiva macOS - Platform SSO.
    • Descripción: escriba una descripción para la directiva. Esta configuración es opcional pero recomendada.

  6. Seleccione Siguiente.

  7. En Opciones de configuración, seleccione Agregar configuración. En el selector de configuración, expanda Autenticación y seleccione Extensible Inicio de sesión único (SSO):

    Captura de pantalla del selector de catálogo de configuración que muestra la autenticación y la selección de categoría de SSO extensible en Microsoft Intune.

    En la lista, seleccione la siguiente configuración:

    • Método de autenticación (en desuso) (solo seleccione para macOS 13)
    • Identificador de extensión
    • Expanda Sso de plataforma:
      • Seleccione Método de autenticación (seleccione para macOS 14+)
      • Seleccione Directiva de FileVault (seleccione macOS 15+)
      • Seleccionar asignación de token a usuario
      • Seleccione Usar claves de dispositivo compartido.
    • Token de registro
    • Comportamiento de pantalla bloqueada
    • Identificador de equipo
    • Tipo
    • Direcciones URL

    Cierre el selector de configuración.

    Sugerencia

    Hay más opciones de configuración del inicio de sesión único de plataforma que puede agregar a la directiva que configura diferentes escenarios, como habilitar el inicio de sesión único de Kerberos, usar la autenticación biométrica de Touch ID y habilitar el inicio de sesión único en aplicaciones que no son de Microsoft. Para obtener más información sobre estos escenarios y su configuración necesaria, vaya a Escenarios de sso de Common Platform para dispositivos macOS.

    Si no configura inicialmente los valores de escenario opcionales, siempre puede editar la directiva más adelante.

  8. Configure las siguientes opciones necesarias:

    Nombre Valor de configuración Descripción
    Método de autenticación (en desuso)
    (solo macOS 13)    		 Password o UserSecureEnclaveKey Seleccione el método de autenticación de Sso de plataforma que eligió en Paso 1: Decidir el método de autenticación (en este artículo).

    Esta configuración solo se aplica a macOS 13. Para macOS 14.0 y versiones posteriores, use la configuraciónMétodo de autenticación de SSO> de plataforma.
    Identificador de extensión com.microsoft.CompanyPortalMac.ssoextension Copie y pegue este valor en la configuración.

    Este identificador es la extensión de aplicación sso que el perfil necesita para que el inicio de sesión único funcione.

    Los valores de Identificador de extensión e Identificador de equipo funcionan juntos.
    Inicio de sesión único> de plataformaMétodo
    de autenticación(macOS 14+)    		 Password, UserSecureEnclaveKey o SmartCard Seleccione el método de autenticación de Sso de plataforma que eligió en Paso 1: Decidir el método de autenticación (en este artículo).

    Esta configuración se aplica a macOS 14 y versiones posteriores. Para macOS 13, use la configuración Método de autenticación (en desuso).
    Inicio de sesión único> de plataformaDirectiva
    de FileVault(macOS 15+)    		 AttemptAuthentication Se aplica al seleccionar Contraseña para la opción Método de autenticación . Copie y pegue este valor en la configuración.

    Esta configuración permite al dispositivo comprobar la contraseña de Microsoft Entra ID con Microsoft Entra en la pantalla de desbloqueo de FileVault cuando se activa un dispositivo Mac.

    Esta configuración se aplica a macOS 15 y versiones posteriores.
    Inicio de sesión único> de plataformaUso de claves
    de dispositivo compartido(macOS 14+)    		 Enabled Cuando está habilitado, platform SSO usa las mismas claves de firma y cifrado para todos los usuarios del mismo dispositivo.

    Se pide a los usuarios que actualicen de macOS 13.x a 14.x que se registren de nuevo.
    Token de registro {{DEVICEREGISTRATION}} Copie y pegue este valor en la configuración. Debe incluir las llaves.

    Para más información sobre este token de registro, vaya a Configurar Microsoft Entra registro de dispositivos.

    Esta configuración requiere que también configure la AuthenticationMethod configuración.

    - Si solo usa dispositivos macOS 13, configure la opción Método de autenticación (en desuso ).
    - Si solo usa dispositivos macOS 14+ y versiones posteriores, configure la opciónPlatform SSO Authentication Method (Método de autenticación de SSO> de plataforma).
    - Si tiene una combinación de dispositivos macOS 13 y macOS 14+, configure ambas opciones de autenticación en el mismo perfil.
    Comportamiento de pantalla bloqueada No controlar Cuando se establece en No controlar, la solicitud continúa sin inicio de sesión único.
    Asignación de token a usuario>Nombre de la cuenta com.apple.PlatformSSO.AccountShortName o preferred_username Copie y pegue el valor en la configuración:

    com.apple.PlatformSSO.AccountShortName: recomendado. Usa el prefijo nombre principal de usuario (UPN) del proveedor de identidades (IDP) como nombre de cuenta local (nombre corto del usuario) para el valor de Nombre de cuenta de la cuenta de macOS, como user@contoso.com. En Platform SSO during Automated Device Enrollment (Inicio de sesión único de plataforma durante la inscripción automatizada de dispositivos), establezca el valor de clave en com.apple.PlatformSSO.AccountShortName para usar el prefijo UPN. Para más información, consulte Platform SSO: Creación de cuentas a petición (documentos de Apple).

    preferred_username: este token especifica que el valor del atributo Microsoft Entra preferred_username se usa para el valor de nombre de cuenta de la cuenta de macOS.
    Asignación de token a usuario>Nombre completo name Copie y pegue este valor en la configuración.

    Este token especifica que se usa la notificación de Microsoft Entra name para el valor nombre completo de la cuenta macOS.
    Identificador de equipo UBF8T346G9 Copie y pegue este valor en la configuración.

    Este identificador es el identificador de equipo de la extensión de aplicación de complemento enterprise SSO.
    Tipo Redirect
    Direcciones URL Copie y pegue todas las direcciones URL siguientes:

    https://login.microsoftonline.com
    https://login.microsoft.com
    https://sts.windows.net

    Si su entorno necesita permitir dominios de nube soberana, como Azure Government o Azure China 21Vianet, agregue también las siguientes direcciones URL:

    https://login.partner.microsoftonline.cn
    https://login.chinacloudapi.cn
    https://login.microsoftonline.us
    https://login-us.microsoftonline.com    		 Estos prefijos de dirección URL son los proveedores de identidades que realizan extensiones de aplicación sso. Las direcciones URL son necesarias para las cargas de redireccionamiento y se omiten para las cargas de credenciales .

    Para obtener más información sobre estas direcciones URL, vaya al complemento sso de Microsoft Enterprise para dispositivos Apple.

    Importante

    Si el entorno incluye una combinación de dispositivos macOS 13 y macOS 14+, configure elmétodo de autenticación de SSO> de plataforma y la configuración de autenticación del método de autenticación (en desuso) en el mismo perfil.

    Cuando el perfil está listo, es similar al ejemplo siguiente:

    Captura de pantalla de la configuración de SSO de plataforma recomendada en un perfil de MDM de Intune.

  9. Seleccione Siguiente.

  10. En Etiquetas de ámbito (opcional), asigne una etiqueta para filtrar el perfil por grupos de TI específicos, como US-NC IT Team o JohnGlenn_ITDepartment. Para obtener más información sobre las etiquetas de ámbito, vaya a Uso de roles de RBAC y etiquetas de ámbito para TI distribuida.

    Seleccione Siguiente.

  11. En Asignaciones, seleccione los grupos de usuarios o dispositivos que reciben el perfil. Para dispositivos con afinidad de usuario, asigne a usuarios o grupos de usuarios. Para dispositivos con varios usuarios inscritos sin afinidad de usuario, asigne a dispositivos o grupos de dispositivos.

    Importante

    Para la configuración del inicio de sesión único de plataforma en dispositivos con afinidad de usuario, no se admite la asignación a grupos de dispositivos o filtros. Cuando se usa la asignación de grupos de dispositivos o la asignación de grupos de usuarios con filtros en dispositivos con afinidad de usuario, es posible que el usuario no pueda acceder a los recursos protegidos por el acceso condicional. Este problema puede producirse:

    • Si la configuración del inicio de sesión único de plataforma se aplica incorrectamente, o bien,
    • Si la aplicación de Portal de empresa omite Microsoft Entra registro de dispositivos cuando el inicio de sesión único de plataforma no está habilitado

    Para obtener más información sobre la asignación de perfiles, vea Asignación de perfiles de usuario y dispositivo.

    Seleccione Siguiente.

  12. En Revisar y crear, revise la configuración. Si selecciona Crear, se guardan los cambios y se asigna el perfil. La directiva también se muestra en la lista de perfiles.

La siguiente vez que el dispositivo busca actualizaciones de configuración, se aplican los valores que configuró.

Más información sobre el complemento sso

Paso 3: Implementación de la aplicación Portal de empresa para macOS

La aplicación Portal de empresa para macOS implementa e instala el complemento de inicio de sesión único de Microsoft Enterprise. Este complemento habilita el inicio de sesión único de Platform.

Con Intune, puede agregar la aplicación Portal de empresa e implementarla como una aplicación necesaria en los dispositivos macOS:

No hay ningún paso específico para configurar la aplicación para el inicio de sesión único de Platform. Solo tiene que asegurarse de que la aplicación de Portal de empresa más reciente se agrega a Intune e implementa en los dispositivos macOS.

Si tiene instalada una versión anterior de la aplicación Portal de empresa, se produce un error en el inicio de sesión único de Platform.

Paso 4: Inscribir los dispositivos y aplicar las directivas

Para usar el inicio de sesión único de plataforma, los dispositivos deben estar inscritos en MDM en Intune mediante uno de los métodos siguientes:

  • En el caso de los dispositivos propiedad de la organización, puede:

  • Para dispositivos de propiedad personal, cree una directiva de inscripción de dispositivos. Con este método de inscripción, los usuarios finales abren la aplicación Portal de empresa e inician sesión con sus Microsoft Entra ID. Cuando inician sesión correctamente, se aplica la directiva de inscripción.

En el caso de los dispositivos nuevos, cree y configure previamente todas las directivas necesarias, incluida la directiva de inscripción. A continuación, cuando los dispositivos se inscriben en Intune, las directivas se aplican automáticamente.

Para los dispositivos existentes ya inscritos en Intune, asigne la directiva de SSO de plataforma a los usuarios o grupos de usuarios. La próxima vez que los dispositivos se sincronicen o comprueben con el servicio Intune, recibirán la configuración de directiva de SSO de plataforma que cree.

Paso 5: Registro del dispositivo

Cuando el dispositivo recibe la directiva, aparece una notificación de registro requerida en el Centro de notificaciones.

Captura de pantalla del mensaje de registro necesario en los dispositivos de usuario final al configurar el inicio de sesión único de platform en Microsoft Intune.

  • Los usuarios finales seleccionan esta notificación, inician sesión en el complemento Microsoft Entra ID con su cuenta de organización y completan la autenticación multifactor (MFA), si es necesario.

    Nota:

    MFA es una característica de Microsoft Entra. Asegúrese de que MFA está habilitado en el inquilino. Para obtener más información, incluidos los demás requisitos de la aplicación, vaya a Microsoft Entra autenticación multifactor.

  • Cuando se autentican correctamente, el dispositivo se Microsoft Entra une a la organización y el certificado de unión al área de trabajo (WPJ) está enlazado al dispositivo.

En los artículos siguientes se muestra la experiencia del usuario, en función del método de inscripción:

Paso 6: Confirmar la configuración en el dispositivo

Cuando se complete el registro de Platform SSO, puede confirmar que el inicio de sesión único de Platform está configurado. Para ver los pasos, vaya a Microsoft Entra ID: Compruebe el estado del registro del dispositivo.

En Intune dispositivos inscritos, también puede ir a Configuración>Perfiles deprivacidad y seguridad>. El perfil de SSO de plataforma aparece en com.apple.extensiblesso Profile. Seleccione el perfil para ver la configuración que configuró, incluidas las direcciones URL.

Para solucionar problemas de inicio de sesión único de plataforma, vaya a problemas conocidos de inicio de sesión único de macOS Platform y solución de problemas.

Paso 7: Anulación de la asignación de los perfiles de extensión de aplicación de SSO existentes

Después de confirmar que la directiva de catálogo de configuración funciona, anule la asignación de los perfiles de extensión de aplicación de SSO existentes creados con la plantilla características de dispositivo Intune.

Si mantiene ambas directivas, pueden producirse conflictos.

Configuración del inicio de sesión único de plataforma con otros MDM

Puede configurar platform SSO con otros servicios de administración de dispositivos móviles (MDM), si esa MDM admite el inicio de sesión único de platform. Cuando use otro servicio MDM, siga estas instrucciones:

  • Las opciones enumeradas en este artículo son las opciones recomendadas por Microsoft que debe configurar. Puede copiar y pegar los valores de configuración de este artículo en la directiva de servicio MDM.

    Los pasos de configuración del servicio MDM pueden ser diferentes. Trabaje con el proveedor de servicios MDM para configurar e implementar correctamente esta configuración de SSO de plataforma.

  • El registro de dispositivos con Platform SSO es más seguro y usa certificados de dispositivo enlazados a hardware. Estos cambios pueden afectar a algunos flujos de MDM, como la integración con asociados de cumplimiento de dispositivos.

    Póngase en contacto con el proveedor del servicio MDM para saber si mdm ha probado el inicio de sesión único de la plataforma, ha certificado que su software funciona correctamente con Platform SSO y está listo para admitir a los clientes que usan el inicio de sesión único de Platform.

Errores de SSO de Common Platform

Al configurar el inicio de sesión único de platform, es posible que vea los siguientes errores:

  • 10001: misconfiguration in the SSOe payload.

    Este error puede producirse si:

    • No ha configurado una configuración necesaria en el perfil de catálogo de configuración.
    • Ha configurado una configuración en el perfil de catálogo de configuración que no es aplicable a la carga del tipo de redireccionamiento.

    Las opciones de autenticación que se configuran en el perfil de catálogo de configuración son diferentes para dispositivos macOS 13.x y 14.x.

    Si tiene dispositivos macOS 13 y macOS 14 en su entorno, debe crear una directiva de catálogo de configuración y configurar sus respectivas opciones de autenticación en la misma directiva. Esta información se documenta en Step 2 - Create the Platform SSO policy in Intune (en este artículo).

  • 10002: multiple SSOe payloads configured.

    Varias cargas de extensión de SSO se aplican al dispositivo y están en conflicto. Solo debe haber un perfil de extensión en el dispositivo y ese perfil debe ser el perfil de catálogo de configuración.

    Si anteriormente creó un perfil de extensión de aplicación sso mediante la plantilla Características del dispositivo, anule la asignación de ese perfil. El perfil de catálogo de configuración es el único perfil que se debe asignar al dispositivo.

  • Last updated on