¿Ya eres cliente de NinjaOne? Inicia sesión para ver más guías y las últimas actualizaciones.

Uso de NinjaOne para configurar el inicio de sesión único (SSO) de la plataforma en macOS

  • Última actualización 30 de septiembre de 2026

Tema

Este artículo explica cómo configurar el inicio de sesión único (SSO) de la plataforma para tus dispositivos Apple macOS con Microsoft Entra ID mediante NinjaOne. Además, describe el proceso de registro para que el usuario final pueda ver cuándo se ha inscrito su dispositivo en la gestión de dispositivos móviles (MDM) de NinjaOne.

Entorno

  • NinjaOne MDM
  • Apple macOS
  • Microsoft Entra

Descripción

El inicio de sesión único (SSO) de Platform es una tecnología desarrollada por Apple para macOS que permite a los proveedores de identidad (IdP) gestionar el SSO para sus aplicaciones empresariales basándose en el inicio de sesión local del usuario en el propio dispositivo. Encontrarás más información sobre este producto en el sitio web para desarrolladores: Inicio de sesión único de Platform para macOS - Soporte de Apple (enlace externo).

Dependiendo de la implementación específica, Platform SSO puede ofrecer diferentes tipos de funcionalidades. Actualmente, las cuentas de usuario locales en un dispositivo macOS reciben una notificación para autenticarse y registrarse en Platform SSO. Los técnicos pueden configurar opcionalmente la política para permitir que se creen cuentas de usuario locales posteriores mediante la autenticación con el IdP en la ventana de inicio de sesión del dispositivo local.

Este artículo ofrece un ejemplo del proceso de despliegue. Puede utilizar otros métodos de despliegue compatibles para instalar el software.

Índice

Requisitos previos

Para configurar el SSO de plataforma, debe cumplir ciertos requisitos independientemente del IdP y del MDM, aunque los pasos exactos pueden variar según la implementación.

  1. El IdP (como Microsoft o Okta) debe tener soporte para el protocolo de SSO de la plataforma.
  2. El dispositivo macOS debe estar registrado en el MDM.
  3. La extensión de SSO de Platform correspondiente (una aplicación nativa de macOS) debe estar instalada en el dispositivo.
  4. El perfil MDM de la extensión de Platform SSO debe estar instalado en el dispositivo.

Plataforma SSO admite tres métodos de autenticación para los usuarios. El IdP utilizado para la autenticación también debe admitir estos mismos métodos; de lo contrario, es posible que solo esté disponible un subconjunto de estos métodos para un IdP concreto.

  • Clave respaldada por Secure Enclave: en la mayoría de los casos, este es el método de autenticación preferido y más seguro cuando se utiliza Platform SSO con un IdP que lo admita. Con este método de autenticación, el usuario crea una contraseña local para el dispositivo. Una vez registrado Platform SSO, el dispositivo genera una clave criptográfica vinculada al hardware que se utiliza para el SSO con cualquier sitio web y aplicación federados con el IdP para la autenticación.
    • Dado que la clave de autenticación está vinculada al dispositivo físico y el usuario final nunca la conoce, esto permite un método de autenticación sin contraseña y resistente al phishing para acceder a las aplicaciones empresariales. Con este enfoque, la contraseña local del dispositivo actúa, en la práctica, como un número de identificación personal (PIN) del dispositivo para acceder únicamente a este.
  • Tarjeta inteligente: Se utiliza una tarjeta inteligente o un token físico para iniciar sesión en macOS de forma local. Una vez iniciada la sesión, se utiliza la misma tarjeta inteligente para el SSO en cualquier aplicación federada con el IdP.
  • Código de acceso: La contraseña del IdP del usuario se sincroniza con la contraseña del dispositivo local. Esta contraseña se utiliza para el SSO en cualquier aplicación federada con el IdP para la autenticación.
    • Aunque esto supone una mayor comodidad para el usuario final, ya que la contraseña del dispositivo local pasa a ser la misma que su contraseña del IdP, también genera un riesgo adicional de phishing. Si un tercero malintencionado llegara a conocer la contraseña del IdP, podría acceder tanto al dispositivo físico como a cualquier aplicación empresarial federada con el IdP. Por este motivo, recomendamos utilizar una clave respaldada por Secure Enclave cuando un único usuario utilice principalmente dispositivos.

Inicio de sesión único (SSO) de plataforma con Microsoft Entra ID

Microsoft Entra ID es compatible con el SSO de plataforma y con las tres opciones de autenticación de usuarios finales.

Por lo general, los usuarios verán la notificación inicial del sistema después de que se hayan instalado en el dispositivo tanto el agente de NinjaOne como las Apps del Portal de la compañía de Microsoft, lo que puede tardar varios minutos tras la inscripción inicial en el MDM. Si no aparece la notificación de registro, cierra la sesión en el dispositivo de forma local y vuelve a iniciar sesión para activarla.

1. Desplegar la aplicación «Portal de la empresa» de Intune en los dispositivos NinjaOne

Para el SSO de plataforma con Microsoft Entra ID, Microsoft utiliza la aplicación «Portal de la empresa» para gestionar la funcionalidad de SSO. La aplicación «Portal de la empresa» se puede descargar de Microsoft aquí (archivo de paquete descargable).

Una vez descargada, puede seguir los siguientes pasos para desplegarla en sus dispositivos macOS inscritos en NinjaOne MDM:

  1. Dentro de NinjaOne, vaya a Administración → Biblioteca → Automatización.
  2. Haga clic en «Agregar » y seleccione «Instalación».
automation library_add installation.png
Figura 1: Biblioteca de automatizaciones de NinjaOne → Añadir automatización de instalación (haz clic para ampliar)
  1. En el cuadro de diálogo «Instalar aplicación», configura los siguientes parámetros y, a continuación, selecciona «Enviar».
    • Nombre: Introducir un nombre como «Portal de la compañía de Intune».
    • Sistema operativo: «Mac».
    • Instalador: Deja el menú desplegable en la opción predeterminada «Cargar archivo » y haz clic en «Elegir un archivo de instalación». Carga el instalador PKG de Company Portal.
automation library_add installation_intune company portal.png
Figura 2: Ejemplo de automatización de la instalación para el Portal de la compañía de Intune (haz clic para ampliar)
  1. Comprueba que la configuración supere la revisión y aparezca en la Biblioteca de automatizaciones. La validación de la instalación puede tardar unos minutos.
  2. Añade la automatización a tu política de macOS. Ve a «Administración» → «Políticas» → «Políticas del agente» y crea una nueva política o edita la que ya tengas. Si necesitas instrucciones para crear una nueva política, consulta «Políticas de NinjaOne: Crear y gestionar una política».
  3. Selecciona la pestaña «Automatizaciones programadas » y haz clic en «Añadir una automatización programada».
scheduled automation_add.png
Figura 3: Añadir una automatización programada a una política de NinjaOne (haz clic para ampliar)
  1. Asigna un nombre a la automatización programada y elige ejecutar la automatización que has subido anteriormente en el paso 3. Elige una programación adecuada, como «Ejecutar una vez inmediatamente».
policies_scheduled automation_add_schedule.png
Figura 4: Añadir una automatización programada a una política de NinjaOne → Subir la automatización y establecer un horario (haz clic para ampliar)
  1. Haz clic en «Agregar». A continuación, guarda la política.

La aplicación Company Portal debería desplegarse en todos los dispositivos macOS gestionados según la programación que hayas configurado.

2. Configurar el perfil MDM de la extensión SSO de Platform en NinjaOne

Puede copiar el archivo mobileconfig que aparece al final de esta sección y pegarlo directamente en una «Carga útil personalizada» de una política de NinjaOne para macOS con el fin de configurar el SSO de Platform con Entra ID.

Ten en cuenta los siguientes campos configurables:

  • AuthenticationMethod: Líneas 13-14. Establece uno de los siguientes valores en función de la experiencia que desees:
    • UserSecureEnclaveKey
    • Contraseña
    • SmartCard
  • AccountDisplayName: Líneas 15-16. Este nombre se muestra a los usuarios finales durante el proceso de registro en el SSO de la plataforma.
  • EnableCreateUserAtLogin: Líneas 19-20. Si se establece en «true», se crearán automáticamente nuevas cuentas de usuario locales después de la autenticación con Entra ID en la pantalla de inicio de sesión local.
  • NewUserAuthorizationMode: Líneas 21-22. Si la creación de nuevos usuarios es permitida, establezca este parámetro en uno de los siguientes valores para determinar el nivel de permiso de las cuentas de usuario:
    • Estándar
    • Administrador
  • UserAuthorizationMode: Líneas 23-24. Admite los mismos valores que NewUserAuthorizationMode. El permiso se aplica a una cuenta cada vez que el usuario se autentica.
  • TokenToUserMapping: Líneas 25-31. Si se van a crear nuevos usuarios locales automáticamente, este diccionario define los valores del IdP para el «Nombre de cuenta» y el «Nombre completo» locales.
  • AccountName: Líneas 28-29. El valor de cadena que aparece en la plantilla representa el nombre del propietario asignado al dispositivo (ejemplo: preferred_username).
  • FullName: Líneas 30-31. Los valores de cadena que aparecen en la plantilla representan el nombre y los apellidos del propietario asignado del dispositivo (ejemplo: name).
<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" 
"http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<PLIST version="1.0">
<DICT>
    <KEY>PayloadContent</KEY>
    <ARRAY>
        <DICT>
            <KEY>ScreenLockedBehavior</KEY>
            <STRING>DoNotHandle</STRING>
            <KEY>RegistrationToken</KEY>
            <STRING>${device.id}</STRING>
            <KEY>PlatformSSO</KEY>
            <DICT>
                <KEY>AuthenticationMethod</KEY>
                <STRING>UserSecureEnclaveKey</STRING>
                <KEY>AccountDisplayName</KEY>
                <STRING>Entra ID</STRING>
                <KEY>EnableAuthorization</KEY>
                <VERDADERO />
                <KEY>EnableCreateUserAtLogin</KEY>
                <FALSO />
                <KEY>NewUserAuthorizationMode</KEY>
                <STRING>Estándar</STRING>
                <KEY>UserAuthorizationMode</KEY>
                <STRING>Estándar</STRING>
                <KEY>TokenToUserMapping</KEY>
                <DICT>
                    <KEY>AccountName</KEY>
                    <STRING>preferred_username</STRING>
                    <KEY>FullName</KEY>
                    <CADENA>nombre</CADENA>
                </DICCIONARIO>
                <CLAVE>UseSharedDeviceKeys</CLAVE>
                <VERDADERO />
            </DICCIONARIO>
            <CLAVE>ExtensionData</CLAVE>
            <DICCIONARIO>
                <CLAVE>AppPrefixAllowList</CLAVE>
                <CADENA>com.microsoft.,com.apple.</CADENA>
                <KEY>browser_sso_interaction_needed</KEY>
                <NÚMERO entero>1</NÚMERO entero>
                <KEY>disable_explicit_app_prompt</KEY>
                <NÚMERO entero>1</NÚMERO entero>
            </DICT>
            <KEY>TeamIdentifier</KEY>
            <STRING>UBF8T346G9</STRING>
            <KEY>ExtensionIdentifier</KEY>
            <STRING>com.microsoft.CompanyPortalMac.ssoextension</STRING>
            <KEY>Tipo</KEY>
            <STRING>Redirect</STRING>
            <KEY>URLs</KEY>
            <ARRAY>
                <STRING>https://login.microsoftonline.com</STRING>
                <STRING>https://login.microsoft.com</STRING>
                <STRING>https://sts.windows.net</STRING>
                <STRING>https://login.partner.microsoftonline.cn</STRING>
                <STRING>https://login.chinacloudapi.cn</STRING>
                <STRING>https://login.microsoftonline.us</STRING>
                <CADENA>https://login-us.microsoftonline.com</CADENA>
            </MATRIZ>
            <CLAVE>PayloadIdentifier</CLAVE>
            <CADENA>56DD5560-5BFF-41E5-8197-939FB3374BA3</CADENA>
            <CLAVE>PayloadType</CLAVE>
            <STRING>com.apple.extensiblesso</STRING>
            <KEY>PayloadUUID</KEY>
            <STRING>56DD5560-5BFF-41E5-8197-939FB3374BA3</STRING>
            <KEY>PayloadVersion</KEY>
            <NÚMERO entero>1</NÚMERO entero>
        </DICT>
    </ARRAY>
    <KEY>PayloadDisplayName</KEY>
    <STRING>Microsoft PSSO</STRING>
    <KEY>PayloadIdentifier</KEY>
    <STRING>Microsoft.PSSO-EAE14F52-5119-4CF3-AACE-EA485054A4FD</STRING>
    <KEY>PayloadType</KEY>
    <STRING>Configuración</STRING>
    <KEY>UUID de la carga útil</KEY>
    <STRING>EAE14F52-5119-4CF3-AACE-EA485054A4FD</STRING>
    <KEY>Versión de la carga útil</KEY>
    <INTEGER>1</INTEGER>
</DICT>
</PLIST>

3. Registro en Platform SSO en el dispositivo utilizando una clave de Secure Enclave

Para iniciar este paso del proceso, el dispositivo macOS debe estar inscrito en NinjaOne MDM. Para obtener instrucciones sobre cómo hacerlo, consulta NinjaOne MDM: Inscripción de dispositivos macOS.

Si utiliza la inscripción automática de dispositivos (ADE) para inscribir el dispositivo macOS en NinjaOne MDM, debe configurar una cuenta de usuario local e iniciar sesión en el dispositivo. Después de la inscripción, el agente de NinjaOne se implementará automáticamente y se instalará la aplicación Company Portal según la programación de automatización que haya configurado (paso 1.6 de este artículo). Esto puede tardar unos minutos.

Una vez que el perfil MDM y la aplicación «Company Portal» hayan completado su instalación, el usuario del dispositivo recibirá una notificación para registrarse en el SSO de la plataforma. Si la ignora, esta notificación se repetirá periódicamente.

registration required.png
Figura 5: Ejemplo de una notificación de registro (haz clic para ampliar)

Los siguientes pasos describen las instrucciones que el usuario debe seguir en su dispositivo:

  1. Haga clic en «Registrarse». En el cuadro de diálogo, haga clic en «Continuar » y siga las instrucciones para introducir las credenciales del administrador local del dispositivo.
  2. Autentifíquese con las credenciales de Entra ID. Si es requerido, es posible que se le solicite un segundo factor de autenticación.
  3. Si el SSO de la plataforma está configurado para utilizar una clave de Secure Enclave, se le pedirá que permita que el Portal de la compañía utilice una clave de acceso. Haga clic en «Abrir configuración del sistema» y, a continuación, active la clave de acceso tal y como se muestra en la imagen.
enable entra id passkey.png
Figura 6: Ejemplo de una notificación de registro (haz clic para ampliar)

Con esto se completa el registro de SSO de la plataforma. El usuario ya debería poder utilizar el SSO para autenticarse automáticamente en cualquier solicitud de inicio de sesión de Microsoft Entra ID. Esta autenticación estará vinculada a la cuenta local del dispositivo macOS. Al iniciar sesión en la cuenta local, se autorizará el SSO posterior basándose en la clave de Secure Enclave.

Para validar el registro de SSO de la plataforma, puede consultar la cuenta de usuario local en «Configuración» → «Usuarios y grupos» y seleccionar el nombre de usuario. En la sección «SSO de la plataforma», podrá ver el usuario de Microsoft Entra ID para el que está activo el SSO. Si es necesario, puede reparar el registro o volver a autenticarse para actualizar los tokens de SSO.
microsoft entra_users and groups_enclave key.png
Figura 7: Validar el método de registro de un usuario en Entra (haz clic para ampliar)

4. (Opcional) Saltar el aviso de privacidad requerido para Microsoft AutoUpdater

Normalmente, cuando se instala el Portal de la empresa, también se instala Microsoft AutoUpdater y se muestra un aviso de privacidad requerido que el usuario debe reconocer.

Por implementar la siguiente carga útil personalizada, puede omitir la visualización de este aviso. Si ya está implementando una carga útil personalizada para configurar Microsoft AutoUpdate, puede incluir la clave «AcknowledgedDataCollectionPolicy», con el valor establecido en la cadena «RequiredDataOnly» en las líneas 8–9:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<PLIST version="1.0">
    <DICT>
		<KEY>PayloadContent</KEY>
        <ARRAY>
            <DICT>
                <KEY>AcknowledgedDataCollectionPolicy</KEY>
                <STRING>RequiredDataOnly</STRING>
                <KEY>PayloadType</KEY>
                <STRING>com.microsoft.autoupdate2</STRING>
				<KEY>PayloadDisplayName</KEY>
                <STRING>Ajustes de Microsoft AutoUpdate</STRING>
                <KEY>PayloadIdentifier</KEY>
                <STRING>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</STRING>
				<KEY>PayloadUUID</KEY>
                <STRING>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</STRING>
                <KEY>PayloadVersion</KEY>
                <ENTERO>1</ENTERO>
            </DICT>
		</ARRAY>
        <KEY>PayloadDisplayName</KEY>
        <STRING>Ajustes de Microsoft AutoUpdate</STRING>
        <KEY>PayloadIdentifier</KEY>
        <STRING>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</STRING>
        <KEY>PayloadUUID</KEY>
		<STRING>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</STRING>
        <KEY>PayloadType</KEY>
        <STRING>Configuración</STRING>
        <KEY>PayloadVersion</KEY>
        <INTEGER>1</INTEGER>    
    </DICT>
</PLIST>

5. (Opcional) Permitir que otros usuarios inicien sesión con sus credenciales de Entra ID

Si el perfil MDM de SSO de la plataforma está configurado con EnableCreateUserAtLogin establecido en «true», otros usuarios podrán iniciar sesión en el dispositivo utilizando sus credenciales de Entra ID.

En la página de inicio de sesión, seleccione la opción de iniciar sesión como «Otro…» usuario y, a continuación, introduzca el nombre de usuario y la contraseña de Entra ID directamente en los campos correspondientes. La cuenta de usuario local se creará automáticamente, y el nombre de la cuenta y el nombre para mostrar se rellenarán con los valores de consulta del diccionario TokenToUserMapping del perfil MDM.

Notas

  • El usuario podrá utilizar el SSO para las solicitudes de autenticación de Entra ID de forma inmediata, pero se le seguirá solicitando que complete el proceso de registro de SSO de la plataforma. Deberá completarlo una vez para que dejen de aparecer las notificaciones. Dependiendo del valor de «NewUserAuthorizationMode», la cuenta se creará como cuenta estándar o como cuenta de administrador.
  • Al compartir la pantalla desde otro dispositivo, asegúrate de haber configurado la opción «Al duplicar o compartir la pantalla» en «Permitir notificaciones»; de lo contrario, no verás el cuadro de diálogo que te solicita registrar Entra ID.
macNotice.png
Figura 8: Notificaciones (haga clic para ampliar)

Recursos adicionales

Consulte los siguientes recursos para obtener más información sobre el SSO y otros servicios de gestión de identidades en NinjaOne: Autenticación y gestión de identidades: Catálogo de recursos.

FAQ

Próximos pasos