Uso de NinjaOne para configurar el inicio de sesión único (SSO) de la plataforma en macOS

Tema

Este artículo explica cómo configurar el SSO de la plataforma para sus dispositivos Apple macOS con Microsoft Entra ID utilizando NinjaOne. También describe el proceso de registro para que el usuario final pueda ver cuándo se ha inscrito su dispositivo en NinjaOne Mobile Device Management (MDM).

Entorno

NinjaOne MDM
Apple macOS
Microsoft Entra

Descripción

Platform SSO es una tecnología desarrollada por Apple para macOS que permite a los proveedores de identidad (IdP) gestionar el inicio de sesión único (SSO) en sus aplicaciones empresariales basándose en el inicio de sesión local del usuario en el propio dispositivo. Encontrarás más información sobre este producto en el sitio web para desarrolladores: Inicio de sesión único de Platform para macOS - Soporte de Apple (enlace externo).

Dependiendo de la implementación específica, Platform SSO puede permitir diferentes tipos de funcionalidades. Actualmente, las cuentas de usuario locales existentes en un dispositivo macOS recibirán una notificación para autenticarse y registrarse en Platform SSO para su cuenta. Los técnicos pueden definir opcionalmente la política para permitir que se creen cuentas de usuario locales posteriores mediante la autenticación del IdP en la ventana de inicio de sesión del dispositivo local.

Este artículo ofrece un ejemplo del proceso de implementación. Puede utilizar otros métodos de implementación compatibles para instalar el software.

Requisitos previos

Para configurar el SSO de la plataforma, debe cumplir ciertos requisitos independientemente del IdP y el MDM, aunque los pasos exactos pueden variar en función de la implementación.

El IdP (como Microsoft u Okta) debe ser compatible con el protocolo de SSO de la plataforma.
El dispositivo macOS debe estar inscrito en el MDM.
La extensión de SSO de Platform correspondiente (una aplicación nativa de macOS) debe estar implementada en el dispositivo.
El perfil MDM de la extensión de SSO de Platform debe estar implementado en el dispositivo.

Platform SSO admite tres métodos de autenticación para los usuarios como protocolo. El IdP utilizado para la autenticación también debe admitir estos mismos métodos; de lo contrario, es posible que solo esté disponible un subconjunto de estos métodos para un IdP concreto.

Clave respaldada por Secure Enclave: en la mayoría de los casos, este es el método de autenticación preferido y más seguro cuando se utiliza Platform SSO con un IdP que lo admita. Con este método de autenticación, el usuario crea una contraseña local para el dispositivo. Una vez registrado Platform SSO, el dispositivo genera una clave criptográfica vinculada al hardware que se utiliza para el SSO con cualquier sitio web y aplicación federados con el IdP para la autenticación.
- Dado que la clave de autenticación está vinculada al dispositivo físico y el usuario final nunca la conoce, esto permite un método de autenticación sin contraseña y resistente al phishing para las aplicaciones empresariales. Con este enfoque, la contraseña local del dispositivo actúa efectivamente como un número de identificación personal (PIN) del dispositivo que se utiliza para acceder únicamente al dispositivo físico.
Tarjeta inteligente: Se utiliza una tarjeta inteligente o un token físico para iniciar sesión en macOS de forma local. Una vez iniciada la sesión, se utiliza la misma tarjeta inteligente para el SSO en cualquier aplicación que esté federada con el IdP para la autenticación.
Contraseña: La contraseña del IdP del usuario se sincroniza con la contraseña del dispositivo local. Esta contraseña se utiliza para el inicio de sesión único (SSO) en cualquier aplicación federada con el IdP para la autenticación.
- Aunque esto proporciona una mayor comodidad para el usuario final, ya que la contraseña del dispositivo local pasa a ser la misma que su contraseña del IdP, también crea un riesgo adicional de phishing. Si un tercero malintencionado llegara a conocer el código de acceso del IdP, podría acceder tanto al dispositivo físico como a cualquier aplicación empresarial federada con el IdP. Por este motivo, recomendamos utilizar una clave respaldada por Secure Enclave cuando los dispositivos sean utilizados principalmente por un único usuario.

Inicio de sesión único (SSO) de la plataforma con Microsoft Entra ID

Microsoft Entra ID es compatible con el SSO de plataforma y con las tres opciones de autenticación de usuario final.

Por lo general, los usuarios verán la notificación inicial del sistema una vez que se hayan instalado en el dispositivo tanto la aplicación NinjaOne Agent como Microsoft Company Portal, lo que puede tardar varios minutos tras la inscripción inicial en MDM. Si no aparece la notificación de registro, cierre la sesión del dispositivo localmente y vuelva a iniciar sesión para iniciarla.

1. Implemente la aplicación Intune Company Portal en los dispositivos NinjaOne

Para el SSO de plataforma con Microsoft Entra ID, Microsoft utiliza la aplicación Company Portal para gestionar la funcionalidad de SSO. La aplicación Company Portal se puede descargar desde Microsoft aquí (archivo de paquete descargable).

Una vez descargada, puede seguir los siguientes pasos para implementarla en sus dispositivos macOS inscritos en NinjaOne MDM:

En la consola de NinjaOne, vaya a Administración → Biblioteca → Automatización.
Haga clic en Añadir y seleccione Instalación.

automation library_add installation.png — **Figura 1**: Biblioteca de automatización de NinjaOne → Añadir automatización de instalación

En el modal Instalar aplicación, configura los siguientes ajustes y, a continuación, selecciona Enviar.
- Nombre: Introduzca un nombre como «Portal de la empresa de Intune».
- Sistema operativo: «Mac».
- Instalador: Deje el menú desplegable en la opción predeterminada Cargar archivo y haga clic en Elegir archivo de instalación. Cargue el instalador PKG de Company Portal.

automation library_add installation_intune company portal.png — **Figura 2**: Ejemplo de automatización de instalación para el Portal de la empresa de Intune

Comprueba que la configuración supera la revisión y aparece en la Biblioteca de automatización. La validación de la instalación puede tardar unos minutos.
Añade la automatización a tu política de Mac. Ve a Administración → Políticas → Políticas de agente y crea una nueva política o edita la existente. Si necesitas instrucciones para crear una nueva política, consulta NinjaOne: Crear y administrar una política.
Seleccione la pestaña Automatizaciones programadas y haga clic en Añadir una automatización programada.

scheduled automation_add.png — **Figura 3**: Añadir una automatización programada a una política de NinjaOne

Asigna un nombre a la automatización programada y elige ejecutar la automatización que subiste anteriormente en el paso 3. Elige una programación adecuada, como Ejecutar una vez inmediatamente.

policies_scheduled automation_add_schedule.png — **Figura 4**: Añadir una automatización programada a una política de NinjaOne → Cargar la automatización y establecer una programación

Haga clic en Añadir. A continuación, guarde la política.

La aplicación Company Portal debería implementarse en todos los dispositivos macOS gestionados según la programación que haya configurado.

2. Configurar el perfil MDM de la extensión SSO de Platform en NinjaOne

Puede copiar el archivo mobileconfig que se encuentra al final de esta sección y pegarlo directamente en una carga útil personalizada (Custom Payload) de una política de NinjaOne para macOS a fin de configurar el SSO de la plataforma con Entra ID.

Ten en cuenta los siguientes campos configurables:

AuthenticationMethod: Líneas 13-14. Establezca uno de los siguientes valores según la experiencia que desee:
- UserSecureEnclaveKey
- Contraseña
- SmartCard
AccountDisplayName: Líneas 15-16. Este nombre se muestra a los usuarios finales durante el proceso de registro de SSO de la plataforma.
EnableCreateUserAtLogin: Líneas 19-20. Si se establece en «true», se crearán automáticamente nuevas cuentas de usuario locales tras la autenticación con Entra ID en la pantalla de inicio de sesión local.
NewUserAuthorizationMode: Líneas 21–22. Si se permite la creación de nuevos usuarios, establezca este valor en una de las siguientes opciones para determinar el nivel de permiso de las cuentas de usuario:
- Estándar
- Admin
UserAuthorizationMode: Líneas 23-24. Admite los mismos valores que NewUserAuthorizationMode. El permiso se aplica a una cuenta cada vez que el usuario se autentica.
TokenToUserMapping: Líneas 25-31. Si se permite la creación automática de nuevos usuarios locales, este diccionario define los valores del IDP utilizados para el nombre de cuenta local y el nombre completo.
AccountName: Líneas 28-29. El valor de cadena que aparece en la plantilla representa el nombre del propietario asignado del dispositivo (ejemplo: preferred_username).
FullName: Líneas 30-31. Los valores de cadena que aparecen en la plantilla representan el nombre y los apellidos del propietario asignado del dispositivo (ejemplo: name).

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" 
"http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>ScreenLockedBehavior</key>
            <string>DoNotHandle</string>
            <key>RegistrationToken</key>
            <string>${device.id}</string>
            <key>PlatformSSO</key>
            <dict>
                <key>AuthenticationMethod</key>
                <string>UserSecureEnclaveKey</string>
                <key>AccountDisplayName</key>
                <string>Entra ID</string>
                <key>EnableAuthorization</key>
                <true />
                <key>EnableCreateUserAtLogin</key>
                <false />
                <key>NewUserAuthorizationMode</key>
                <string>Standard</string>
                <key>UserAuthorizationMode</key>
                <string>Standard</string>
                <key>TokenToUserMapping</key>
                <dict>
                    <key>AccountName</key>
                    <string>preferred_username</string>
                    <key>FullName</key>
                    <string>nombre</string>
                </dict>
                <key>UseSharedDeviceKeys</key>
                <true />
            </dict>
            <key>ExtensionData</key>
            <dict>
                <key>AppPrefixAllowList</key>
                <string>com.microsoft.,com.apple.</string>
                <key>browser_sso_interaction_needed</key>
                <integer>1</integer>
                <key>disable_explicit_app_prompt</key>
                <integer>1</integer>
            </dict>
            <key>TeamIdentifier</key>
            <string>UBF8T346G9</string>
            <key>ExtensionIdentifier</key>
            <string>com.microsoft.CompanyPortalMac.ssoextension</string>
            <key>Type</key>
            <string>Redirect</string>
            <key>URLs</key>
            <array>
                <string>https://login.microsoftonline.com</string>
                <string>https://login.microsoft.com</string>
                <string>https://sts.windows.net</string>
                <string>https://login.partner.microsoftonline.cn</string>
                <string>https://login.chinacloudapi.cn</string>
                <string>https://login.microsoftonline.us</string>
                <string>https://login-us.microsoftonline.com</string>
            </array>
            <key>PayloadIdentifier</key>
            <string>56DD5560-5BFF-41E5-8197-939FB3374BA3</string>
            <key>PayloadType</key>
            <string>com.apple.extensiblesso</string>
            <key>PayloadUUID</key>
            <string>56DD5560-5BFF-41E5-8197-939FB3374BA3</string>
            <key>PayloadVersion</key>
            <integer>1</integer>
        </dict>
    </array>
    <key>PayloadDisplayName</key>
    <string>Microsoft PSSO</string>
    <key>PayloadIdentifier</key>
    <string>Microsoft.PSSO-EAE14F52-5119-4CF3-AACE-EA485054A4FD</string>
    <key>PayloadType</key>
    <string>Configuración</string>
    <key>PayloadUUID</key>
    <string>EAE14F52-5119-4CF3-AACE-EA485054A4FD</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
</dict>
</plist>

3. Registro en Platform SSO en el dispositivo utilizando una clave de Secure Enclave

Para iniciar este paso del proceso, el dispositivo macOS debe estar inscrito en NinjaOne MDM. Para obtener instrucciones sobre cómo hacerlo, consulte

Figura 5: Ejemplo de una notificación de registro

Los siguientes pasos describen las instrucciones que el usuario debe seguir en su dispositivo:

Haga clic en «Registrarse». En el cuadro de diálogo, haga clic en «Continuar » y siga las instrucciones para introducir las credenciales de administrador local del dispositivo y continuar.

Autentíquese con las credenciales de Entra ID. Si es necesario, es posible que se le solicite un segundo factor de autenticación.

Si Platform SSO está configurado para utilizar una clave de Secure Enclave, se le pedirá que permita que Company Portal utilice una clave de acceso. Haga clic en Abrir configuración del sistema y, a continuación, habilite la clave de acceso como se muestra en la imagen.

Figura 6: Ejemplo de una notificación de registro (haga clic para ampliar)

Con esto se completa el registro de SSO de la plataforma. El usuario ya debería poder utilizar el SSO para autenticarse automáticamente en cualquier solicitud de inicio de sesión de Microsoft Entra ID. Esta autenticación estará vinculada a la cuenta local del dispositivo macOS. Al iniciar sesión en la cuenta local, se autorizará el SSO posterior basándose en la clave de Secure Enclave.

Para validar el registro de SSO de la plataforma, puede ver la cuenta de usuario local en Ajustes → Usuarios y grupos y seleccionar el nombre de usuario. En la sección SSO de la plataforma, puede ver el usuario de Microsoft Entra ID para el que el SSO está activo. Si es necesario, puede reparar el registro o autenticarse de nuevo para actualizar los tokens de SSO.

Figura 7: Validar el método de registro de un usuario en Entra (haga clic para ampliar)

4. (Opcional) Omitir el aviso de privacidad obligatorio para Microsoft AutoUpdater

Normalmente, cuando se instala el Portal de la empresa, también se instala automáticamente Microsoft AutoUpdater y se muestra un aviso de privacidad obligatorio que el usuario debe aceptar.

Al implementar la siguiente carga útil personalizada, puede omitir la visualización de este aviso. Si ya está implementando una carga útil personalizada para configurar Microsoft AutoUpdate, simplemente puede incluir la clave AcknowledgedDataCollectionPolicy, con el valor establecido en la cadena RequiredDataOnly en las líneas 8–9:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
    <dict>
		<key>PayloadContent</key>
        <array>
            <dict>
                <key>AcknowledgedDataCollectionPolicy</key>
                <string>RequiredDataOnly</string>
                <key>PayloadType</key>
                <string>com.microsoft.autoupdate2</string>
				<key>PayloadDisplayName</key>
                <string>Configuración de Microsoft AutoUpdate</string>
                <key>PayloadIdentifier</key>
                <string>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</string>
				<key>PayloadUUID</key>
                <string>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</string>
                <key>PayloadVersion</key>
                <integer>1</integer>
            </dict>
		</array>
        <key>PayloadDisplayName</key>
        <string>Configuración de Microsoft AutoUpdate</string>
        <key>PayloadIdentifier</key>
        <string>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</string>
        <key>PayloadUUID</key>
		<string>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</string>
        <key>PayloadType</key>
        <string>Configuración</string>
        <key>PayloadVersion</key>
        <integer>1</integer>    
    </dict>
</plist>

5. (Opcional) Permitir que otros usuarios inicien sesión con sus credenciales de Entra ID

Si el perfil MDM de SSO de la plataforma está configurado con EnableCreateUserAtLogin establecido en «true», otros usuarios podrán iniciar sesión en el dispositivo utilizando sus credenciales de Entra ID.

En la página de inicio de sesión, seleccione iniciar sesión con un usuario «Otro…» y, a continuación, introduzca el nombre de usuario y la contraseña de Entra ID directamente en los campos. La cuenta de usuario local se creará automáticamente, y el nombre de la cuenta y el nombre para mostrar se rellenarán con los valores de consulta del diccionario TokenToUserMapping del perfil MDM.

El usuario podrá utilizar el SSO para las solicitudes de autenticación de Entra ID de forma inmediata, pero se le seguirá solicitando que complete el proceso de registro de SSO de la plataforma. Deberá completarlo una vez para eliminar las notificaciones. Dependiendo del valor de NewUserAuthorizationMode, la cuenta se creará como una cuenta estándar o como una de administrador.

Recursos adicionales

Consulte los siguientes recursos para obtener más información sobre el SSO y otros servicios de gestión de identidades en NinjaOne: Autenticación y gestión de identidades: Catálogo de recursos.