Uso del complemento de inicio de sesión único de Microsoft Enterprise en dispositivos iOS/iPadOS

  • Artículo

El complemento Microsoft Enterprise SSO proporciona inicio de sesión único (SSO) a aplicaciones y sitios web que usan Microsoft Entra ID para la autenticación, incluido Microsoft 365. Este complemento usa el marco de extensión de aplicación de inicio de sesión único de Apple. Reduce el número de solicitudes de autenticación que reciben los usuarios al usar dispositivos administrados por Mobile Administración de dispositivos (MDM), incluido cualquier MDM que admita la configuración de perfiles de SSO.

Una vez configurado, las aplicaciones que admiten la Biblioteca de autenticación de Microsoft (MSAL) aprovechan automáticamente el complemento microsoft enterprise SSO. Las aplicaciones que no admiten MSAL pueden usar la extensión, incluidos exploradores como Safari y aplicaciones que usan las API de vista web de Safari. Solo tiene que agregar el prefijo o el identificador del conjunto de aplicaciones a la configuración de la extensión.

Por ejemplo, para permitir una aplicación de Microsoft que no admita MSAL, agregue a com.microsoft. la propiedad AppPrefixAllowList. Tenga cuidado con las aplicaciones que permite, ya que podrán omitir las solicitudes de inicio de sesión interactivas para el usuario que ha iniciado sesión.

Para obtener más información, consulte Complemento Microsoft Enterprise SSO para dispositivos Apple, Aplicaciones que no usan MSAL.

Nota:

Anunciado en marzo de 2024, Microsoft Entra ID se retirará de la cadena de claves de Apple para almacenar las claves de identidad del dispositivo. A partir del tercer trimestre de 2026, todos los registros de dispositivos nuevos usarán El enclave seguro de Apple de forma predeterminada. Para obtener más información, consulte Complemento de inicio de sesión único de Microsoft Enterprise para dispositivos Apple.

Este artículo se aplica a:

  • iOS/iPadOS

En este artículo se muestra cómo implementar el complemento de inicio de sesión único de Microsoft Enterprise para dispositivos Apple iOS/iPadOS con Intune, Jamf Pro y otras soluciones MDM.

Requisitos previos

Para usar el complemento de inicio de sesión único de Microsoft Enterprise en dispositivos iOS/iPadOS:

  • El dispositivo se administra mediante Intune.

  • El dispositivo debe admitir el complemento:

    • iOS/iPadOS 13.0 y versiones posteriores

  • La aplicación Microsoft Authenticator debe estar instalada en el dispositivo.

    Los usuarios pueden instalar la aplicación Microsoft Authenticator manualmente. O bien, los administradores pueden implementar la aplicación mediante Intune. Para obtener información sobre cómo instalar la aplicación Microsoft Authenticator, vaya a Administrar aplicaciones compradas por volumen de Apple.

Nota:

En dispositivos iOS/iPadOS, Apple requiere que se instalen la extensión de aplicación sso y la aplicación Microsoft Authenticator. Los usuarios no necesitan usar ni configurar la aplicación Microsoft Authenticator, solo deben instalarse en el dispositivo.

Complemento Microsoft Enterprise SSO frente a la extensión de SSO de Kerberos

Cuando se usa la extensión de aplicación sso, se usa el tipo de carga de Sso o Kerberos para la autenticación. La extensión de aplicación de SSO está diseñada para mejorar la experiencia de inicio de sesión de las aplicaciones y sitios web que usan estos métodos de autenticación.

El complemento Microsoft Enterprise SSO utiliza el tipo de carga útil SSOcon autenticación de redireccionamiento. Los tipos de extensión SSO Redirect y Kerberos pueden ser utilizados en un dispositivo al mismo tiempo. Asegúrese de crear perfiles de dispositivo independientes para cada tipo de extensión que planee usar en los dispositivos.

Para determinar el tipo de extensión de SSO correcto para su escenario, use la tabla siguiente:

Complemento Microsoft Enterprise SSO para dispositivos Apple Extensión de aplicación de inicio de sesión único con Kerberos
Usa el Microsoft Entra ID tipo de extensión de aplicación sso Usa el tipo de extensión de aplicación de SSO de Kerberos
Admite las siguientes aplicaciones:
- Microsoft 365
- Aplicaciones, sitios web o servicios integrados con Microsoft Entra ID		 Admite las siguientes aplicaciones:
- Aplicaciones, sitios web o servicios integrados con AD

Para obtener más información sobre la extensión de inicio de sesión único, vaya a Extensión de aplicación de inicio de sesión único.

Creación de un perfil de configuración de extensión de aplicación de inicio de sesión único

En el centro de administración de Microsoft Intune, cree un perfil de configuración de dispositivo. Este perfil incluye la configuración para definir la extensión de aplicación de SSO en dispositivos.

  1. Inicie sesión en el Centro de administración de Microsoft Intune.

  2. Seleccione Creaciónde configuración de>dispositivos>.

  3. Escriba las propiedades siguientes:

    • Plataforma: seleccione iOS/iPadOS.
    • Tipo de perfil: seleccione Plantillas>Características del dispositivo.

  4. Seleccione Crear:

    Captura de pantalla que muestra cómo crear un perfil de configuración de características de dispositivo para iOS/iPadOS en Intune.

  5. En Básico, escriba las propiedades siguientes:

    • Nombre: escriba un nombre descriptivo para la directiva. Asígnele un nombre a las directivas para que pueda identificarlas de manera sencilla más adelante. Por ejemplo, un buen nombre de directiva es iOS: complemento de inicio de sesión único de Microsoft Enterprise.
    • Descripción: escriba una descripción para la directiva. Esta configuración es opcional pero recomendada.

  6. Seleccione Siguiente.

  7. En Opciones de configuración, seleccione Extensión de aplicación de inicio de sesión único y configure las siguientes propiedades:

    • Tipo de extensión de aplicación sso: seleccione Microsoft Entra ID.

      Captura de pantalla que muestra el tipo de extensión de aplicación sso y Microsoft Entra ID para iOS/iPadOS en Intune.

    • Enable shared device mode (Habilitar el modo de dispositivo compartido):

      • Sin configurar: Intune no cambia ni actualiza esta configuración.

        En la mayoría de los escenarios, incluidos los iPad compartidos, los dispositivos personales y los dispositivos con o sin afinidad de usuario, seleccione esta opción.

      • Sí: seleccione esta opción solo si los dispositivos de destino usan Microsoft Entra modo de dispositivo compartido. Para obtener más información, vaya a Introducción al modo de dispositivo compartido.

    • Identificador de lote de aplicaciones: escriba una lista de identificadores de lote para las aplicaciones que no admiten MSAL y que pueden usar SSO. Para obtener más información, vaya a Aplicaciones que no usan MSAL.

    • Configuración adicional: para personalizar la experiencia del usuario final, puede agregar las siguientes propiedades. Estas propiedades son los valores predeterminados que usa la extensión de inicio de sesión único de Microsoft, pero se pueden personalizar para las necesidades de su organización:

      Key Tipo Descripción
      AppPrefixAllowList Cadena Valor recomendado: com.apple.

      Escriba una lista de prefijos para las aplicaciones que no admiten MSAL y que pueden usar SSO. Por ejemplo, escriba com.microsoft.,com.apple. para permitir todas las aplicaciones de Microsoft y Apple.

      Asegúrese de que estas aplicaciones cumplen los requisitos de la lista de permitidos.
      browser_sso_interaction_enabled Entero Valor recomendado: 1

      Cuando se establece en 1, los usuarios pueden iniciar sesión desde el explorador Safari y desde aplicaciones que no admiten MSAL. La habilitación de esta opción permite a los usuarios arrancar la extensión desde Safari u otras aplicaciones.
      disable_explicit_app_prompt Entero Valor recomendado: 1

      Algunas aplicaciones pueden exigir incorrectamente los mensajes del usuario final en la capa del protocolo. Si ve este problema, se pedirá a los usuarios que inicien sesión, aunque el complemento Microsoft Enterprise SSO funcione para otras aplicaciones.

      Cuando se establece 1 (uno), se reducen estos mensajes.

      Sugerencia

      Para obtener más información sobre estas propiedades y otras propiedades que puede configurar, consulte Complemento de INICIO de sesión único de Microsoft Enterprise para dispositivos Apple.

      Cuando haya terminado de configurar los valores y permita las aplicaciones de Microsoft & Apple, la configuración será similar a los valores siguientes en el perfil de configuración de Intune:

      Captura de pantalla que muestra las opciones de configuración de la experiencia del usuario final para el complemento sso empresarial en dispositivos iOS/iPadOS en Intune.

  8. Siga creando el perfil y asígnelo a los usuarios o grupos que recibirán esta configuración. Para conocer los pasos específicos, vaya a Crear el perfil.

    Para obtener instrucciones sobre cómo asignar perfiles, vaya a Asignar perfiles de usuario y dispositivo.

Cuando el dispositivo se haya sincronizado con el servicio de Intune, recibirá este perfil. Para obtener más información, vaya a Intervalos de actualización de directivas.

Para comprobar que el perfil se implementó correctamente, en el centro de administración de Intune, vaya aConfiguración> de dispositivos> seleccione el perfil que creó y genere un informe:

Captura de pantalla que muestra el informe de implementación del perfil de configuración de dispositivos iOS/iPadOS en Intune.

Experiencia del usuario final

Gráfico de flujo de usuario final al instalar la extensión de aplicación sso en dispositivos iOS/iPadOS.

  • Si no va a implementar la aplicación Microsoft Authenticator mediante una directiva de aplicación, los usuarios deben instalarla manualmente. Los usuarios no necesitan usar la aplicación Authenticator, solo debe instalarse en el dispositivo.

  • Los usuarios inician sesión en cualquier aplicación o sitio web compatible para arrancar la extensión. El arranque es el proceso de inicio de sesión por primera vez, que configura la extensión.

  • Una vez que los usuarios inician sesión correctamente, la extensión se usa automáticamente para iniciar sesión en cualquier otra aplicación o sitio web compatible.

Para probar el inicio de sesión único, abra Safari en modo privado (abre el sitio web de Apple) y abra el https://portal.office.com sitio. No se necesitará ningún nombre de usuario ni contraseña.

Animación que muestra la experiencia del inicio de sesión único en iPadOS

Sugerencia

Obtenga más información sobre cómo funciona el complemento sso y cómo solucionar problemas de la extensión de INICIO de sesión único de Microsoft Enterprise con la guía de solución de problemas de SSO para dispositivos Apple.

Pasos siguientes