Platform SSO en macOS con Intune: guía de inscripción ADE

Si leíste mi nota de mayo sobre que Intune ya completa el registro de Platform SSO durante la inscripción automatizada de dispositivos macOS, probablemente tuviste la misma reacción que la mayoría de mis lectores: bien, ahora muéstrame la construcción completa. Esta guía es esa construcción. Cubre qué es Platform SSO y qué sustituye, cómo deben quedar Apple Business Manager y la política de inscripción, cada ajuste de la política del catálogo de configuración de Intune con el valor que recomiendo, cómo ven un Mac el cumplimiento de dispositivos y el acceso condicional después, cómo verificar un registro y qué hacer cuando un Mac se queda atascado en el Asistente de Configuración. Cada requisito, nombre de ajuste y número de versión está contrastado con Microsoft Learn a octubre de 2026. Donde añado mi propia opinión, lo digo.

Qué es Platform SSO y qué sustituye

Platform SSO (PSSO) es una capacidad de macOS que Microsoft activa mediante el complemento Microsoft Enterprise SSO incluido en la aplicación Intune Company Portal. Según la visión general de Microsoft Entra, los usuarios inician sesión en el Mac con su identidad de Microsoft Entra ID, el dispositivo pasa a estar unido a Microsoft Entra y un Primary Refresh Token (PRT) vinculado al hardware proporciona inicio de sesión único en todas las aplicaciones y navegadores que se autentican con Entra ID. Microsoft describe la experiencia como similar a Windows Hello for Business, y es la primera vez que he podido decirle a un equipo de seguridad que los Macs y los PC con Windows siguen la misma historia sin contraseñas.

Sustituye dos cosas. Primero, el antiguo perfil de extensión de aplicación SSO que quizá implementaste desde la plantilla Device Features de Intune. Platform SSO incluye la extensión de aplicación SSO, así que no se configura por separado, y una vez que PSSO funciona Microsoft indica desasignar el perfil anterior para evitar conflictos. Segundo, la incorporación en dos fases en la que un Mac se inscribía por ADE, llegaba al escritorio y solo entonces insistía al usuario para registrarse mediante una notificación. Con macOS 26 y Company Portal 5.2604.0 o posterior, el registro ocurre dentro del Asistente de Configuración.

Un límite que conviene conocer antes de diseñar nada: Microsoft afirma que Platform SSO solo se admite con la unión a Microsoft Entra. No hay compatibilidad con la unión híbrida ni planes de tenerla.

Los tres métodos de autenticación

El método de autenticación decide cómo desbloquea el usuario el Mac y qué pasa con la contraseña de la cuenta local. Esta comparación está condensada de la guía de configuración de Intune y de la visión general de Entra.

Secure Enclave aprovisiona una clave vinculada al hardware en el Secure Enclave del Mac. El nombre y la contraseña de la cuenta local se dejan exactamente como están, por diseño, porque FileVault usa la contraseña local como clave de desbloqueo del disco. Tras un reinicio el usuario escribe la contraseña local una vez, luego Touch ID se encarga de los desbloqueos y el PRT respaldado por hardware hace el resto. La credencial también puede usarse como passkey mediante WebAuthn; si restringes las passkeys por AAGUID, añade 7FD635B3-2EF9-4542-8D9D-164F2C771EFC para la Platform Credential de macOS.

Password sustituye la contraseña de la cuenta local por la contraseña de Entra ID y mantiene ambas sincronizadas. Microsoft advierte que cualquier política de contraseñas de Intune que implementes se aplica a este ajuste, y que la política de contraseñas o de cumplimiento de Intune debe coincidir con la política de contraseñas de Entra; de lo contrario la sincronización falla y a los usuarios se les niega el acceso.

Smart Card usa el certificado y el PIN de la tarjeta tanto para el Mac como para Entra ID. Requiere autenticación basada en certificados de Entra, y Microsoft señala que la autenticación con tarjeta inteligente no se admite en el Asistente de Configuración, por lo que el registro ocurre cuando el usuario llega al escritorio.

Mi recomendación coincide con la de Microsoft: Secure Enclave para todo el que pueda. Solo recurro a Password cuando una organización tiene el requisito estricto de que la contraseña local sea igual a la de Entra, y acepto el acoplamiento de políticas de contraseñas que conlleva.

Requisitos y licencias

Apple Business Manager e inscripción automatizada de dispositivos

La inscripción automatizada de dispositivos (ADE) es el método de Apple para Macs corporativos comprados a través de Apple Business Manager o de un distribuidor participante. Según la visión general de ADE en Intune, los dispositivos ADE están supervisados de forma predeterminada, pueden enviarse directamente a los usuarios y empiezan a inscribirse en cuanto alguien los encienda. Las nuevas inscripciones también reciben un certificado ACME para el perfil de administración en macOS 13.1 o posterior, una mejora de seguridad discreta frente a SCEP.

El token del programa de inscripción

El token es la relación de confianza entre Intune y Apple. El artículo de configuración del token lo explica; la secuencia es:

1. En el centro de administración de Intune, ve a Devices > Enrollment > Apple > Enrollment program tokens > Create, acepta el consentimiento de uso compartido de datos y selecciona Download your public key para guardar el archivo PEM. Mantén la pestaña del navegador abierta; cerrarla invalida la clave.
2. En Apple Business Manager, abre Devices > Management Services > Connect external device management, nombra la conexión, sube el PEM y descarga el token de servidor .p7m.
3. Asigna dispositivos a ese servicio de administración mientras estás en el portal de Apple.
4. De vuelta en Intune, introduce el Apple ID que descargó el token, sube el .p7m y selecciona Create.

Usa un Apple ID de la organización, no uno personal, y anota cuál usaste. El token debe renovarse cada año, y también cuando cambie la contraseña de ese Apple ID o su propietario deje la organización. No hagas clic en Download Token en Apple Business Manager salvo que vayas a renovar; hacerlo invalida el token que Intune está usando.

Intune se sincroniza con Apple automáticamente cada 12 horas; puedes lanzar una sincronización manual como máximo cada 15 minutos, y una sincronización completa se ejecuta como máximo una vez cada siete días. Los dispositivos liberados de Apple Business Manager desaparecen de Intune en 30 a 45 días.

La política de inscripción

Crea la política en Devices > Device onboarding > Enrollment > macOS > Enrollment program tokens > tu token > Enrollment policies > Create policy > macOS. Microsoft está retirando la experiencia antigua de Profiles, así que construye el trabajo nuevo en Enrollment policies. El artículo de configuración de ADE describe cada opción; estas son las que importan a Platform SSO:

• User Affinity: Enroll with User Affinity. La inscripción sin usuario desactiva Company Portal, y Microsoft dice explícitamente que no se apunten perfiles de registro durante la configuración a dispositivos ADE sin usuario.
• Authentication method: Setup Assistant with modern authentication. Tras iniciar sesión el usuario en Company Portal, el dispositivo se registra en Entra ID, se añade al registro de dispositivos del usuario, puede evaluarse para cumplimiento y obtiene acceso a los recursos protegidos por acceso condicional.
• Await final configuration: Yes.
• Locked enrollment: Yes, para que los usuarios no puedan eliminar la administración desde Ajustes del Sistema o Terminal. No puedes cambiarlo tras la inscripción sin borrar el equipo.
• Device group: opcionalmente un grupo de seguridad estático de Microsoft Entra para la agrupación en tiempo de inscripción; requiere el permiso RBAC enrollment time device membership assignment.
• Account settings: opcionalmente crea un administrador local gestionado por el LAPS de macOS de Intune, que da a cada Mac una contraseña de administrador única y aleatoria de 15 caracteres, rotada cada seis meses de forma predeterminada. Si configuras cualquier ajuste de cuentas, Await final configuration se activa en segundo plano.
• Paneles del Setup Assistant: introduce un Department Name y Phone y oculta lo que no quieras que vean los usuarios. En macOS 15.4 y posteriores el panel Restore no puede ocultarse.

Asigna la política a dispositivos bajo el token, o establécela como política predeterminada del token. Un Mac sincronizado que se encienda sin una política asignada falla en la inscripción, así que siempre fijo una predeterminada antes de que se envíe el primer dispositivo.

Qué hace realmente Await final configuration

Microsoft lo describe con precisión: justo antes de cargar la pantalla de inicio, el Asistente de Configuración se detiene y deja que Intune se comunique con el dispositivo, y la experiencia queda bloqueada mientras el usuario espera. Los usuarios pueden ver cómo se descargan las políticas, no hay límite de tiempo mínimo ni máximo y, en la validación de Microsoft, la mayoría de los dispositivos se liberaron en menos de 15 minutos. Es el valor predeterminado para las políticas de inscripción nuevas y está desactivado en las existentes, así que revisa cualquier política que hayas creado antes de 2026. Esta pausa es el gancho que hace que el registro de Platform SSO ocurra antes del escritorio, y es el ajuste que más veo olvidado cuando una implementación “casi funciona”.

La política del catálogo de configuración de Platform SSO

Créala en Devices > Manage devices > Configuration > Create > New policy, plataforma macOS, tipo de perfil Settings catalog. En Add settings, expande Authentication y selecciona Extensible Single Sign On (SSO). Solo puedes asignar una política SSO a un grupo, así que si ya tienes una política de Platform SSO, añade los nuevos ajustes a ella en lugar de crear una segunda.

Ajustes obligatorios y valores recomendados

Los valores siguientes proceden de la guía de configuración de Platform SSO en Intune y del artículo de registro durante la inscripción.

Dos notas sobre Token To User Mapping. El valor alternativo preferred_username sobrescribe lo que configures en los ajustes de cuenta de LAPS, y el SamAccountName de LAPS se ignora. Si necesitas el SamAccountName local como nombre de cuenta local, Microsoft dice que debes ejecutar Company Portal 2608.0 o posterior y establecer Enable Create First User During Setup en false, a costa de que el usuario autorice tres veces durante la inscripción. Y si cambias Authentication Method o Use Shared Device Keys en una política ya implementada, todos los dispositivos vuelven a registrarse. Decide esos dos ajustes antes del piloto.

Registro durante el Asistente de Configuración

Con Enable Registration During Setup activado, el registro de Platform SSO se ejecuta durante el flujo ADE en lugar de después. Microsoft indica que los usuarios introducirán sus credenciales de Entra al menos dos veces: una para iniciar la inscripción y otra en Company Portal, que entrega la extensión SSO. Cuando Intune detecta Company Portal asignado como aplicación de línea de negocio al usuario que se inscribe, envía la aplicación con prioridad durante la inscripción. Si falta o está mal configurada cualquiera de las tres políticas, la inscripción falla y la única solución es corregir las políticas, borrar y volver a inscribir.

Modos de cuenta: usuarios administradores o estándar

El artículo de escenarios de Platform SSO documenta los ajustes de experiencia de usuario. Microsoft añade que los ajustes de Platform SSO no documentados no se admiten, así que resiste la tentación de experimentar con claves de Apple que no aparezcan en la lista.

Mi patrón: dejar que la política de inscripción ADE cree un administrador local gestionado por LAPS, listar esa cuenta en Non Platform SSO Accounts y establecer ambos modos de autorización en Standard. La cuenta LAPS satisface la regla de “al menos un Admin”, el usuario trabaja como estándar y el servicio de asistencia puede consultar la contraseña de administrador en Intune cuando la necesite.

Algunos escenarios más viven en el diccionario Extension Data de la misma política: enable_se_key_biometric_policy = true obliga a usar Touch ID cada vez que se utiliza la clave del Secure Enclave (macOS 14.6 y Company Portal 2504 o posteriores, sin alternativa de contraseña, y requiere un nuevo registro completo si lo activas después); AppPrefixAllowList = com.microsoft.,com.apple. junto con browser_sso_interaction_enabled = 1 y disable_explicit_app_prompt = 1 trasladan los ajustes del broker que la mayoría teníamos en el antiguo perfil de extensión SSO; y custom_tgt_setting controla el mapeo de tickets Kerberos hacia Active Directory local y los recursos Kerberos de Entra ID en Company Portal 2508 o posterior.

Dispositivos compartidos y Macs sin usuario

Use Shared Device Keys hace que Platform SSO use las mismas claves de firma y cifrado para todos los usuarios del Mac, que es lo que quieres en un dispositivo en el que varias personas inician sesión con Enable Create User At Login. Los Macs compartidos inscritos sin afinidad de usuario son un caso distinto: Microsoft indica que no se apunte el perfil de registro durante la configuración a dispositivos ADE sin usuario, Company Portal no funciona en ellos y la evaluación de cumplimiento no se admite en macOS sin usuario. Si debes administrar Macs sin usuario, dales una política de Platform SSO separada sin Enable Registration During Setup, asignada a grupos de dispositivos como permite la guía de configuración para dispositivos inscritos sin afinidad de usuario.

Asignación: grupos de usuarios estáticos, no grupos de dispositivos

Este es el punto en el que más gente tropieza, y uno en el que debo corregir mi propia publicación de mayo, que sugería un grupo de dispositivos estático. La instrucción de Microsoft para el registro durante el Asistente de Configuración es inequívoca: asigna la política de Platform SSO, la aplicación Company Portal y el perfil de inscripción a los mismos grupos de usuarios asignados (estáticos). Los grupos de dispositivos no funcionan, los grupos dinámicos no funcionan, y si las tres políticas caen en grupos distintos, Platform SSO durante la inscripción falla. Los filtros de asignación se permiten en esos grupos de usuarios estáticos. La guía de configuración general añade que, para cualquier Mac con afinidad de usuario, la asignación por grupo de dispositivos o con filtros puede impedir que los usuarios superen el acceso condicional porque Company Portal podría omitir el registro del dispositivo en Entra. Crea un grupo dedicado como macOS-PSSO-Pilot, añade a los usuarios piloto y apunta las tres políticas a él.

Acceso condicional y cumplimiento de dispositivos para Macs

La recompensa de todo esto es que el acceso condicional puede confiar en el Mac. La visión general de cumplimiento de Intune explica la cadena: cuando un dispositivo se inscribe, se registra en Entra ID; Intune informa su estado de cumplimiento a Entra ID; una política de acceso condicional con el control de concesión Require device to be marked as compliant usa ese estado para permitir o bloquear. El acceso condicional en sí requiere Microsoft Entra ID P1, que los clientes de Microsoft 365 Business Premium también tienen.

Antes de construir una política basada en dispositivos, abre Endpoint security > Device compliance > Compliance policy settings y cambia Mark devices with no compliance policy assigned as del valor predeterminado Compliant a Not compliant. Microsoft indica hacerlo cuando usas acceso condicional, porque el valor predeterminado trata como conforme a cualquier dispositivo sin política. El Compliance status validity period es de 30 días por defecto y puede fijarse entre 1 y 120.

Después crea una política de cumplimiento para macOS. De la referencia de ajustes de cumplimiento de macOS, los ajustes que uso en casi todos los proyectos son Require a system integrity protection, un Minimum OS version (o build, cuando importa una Rapid Security Response), Require encryption of data storage on device para FileVault, Firewall habilitado y Gatekeeper en Mac App Store and identified developers. Una advertencia merece negrita: Microsoft afirma que exigir una contraseña en una política de cumplimiento hace expirar la contraseña existente de todas las cuentas del dispositivo, incluidas las que crearon LAPS y Platform SSO. Gestiona las contraseñas mediante una política del catálogo de configuración con Change At Next Auth en False.

Lo que el acceso condicional ve tras una inscripción con Platform SSO es un Mac unido a Microsoft Entra con un certificado de unión al área de trabajo vinculado al hardware que solo el complemento SSO puede usar. Los navegadores también necesitan el broker: los usuarios de Edge deben iniciar sesión en su perfil de Edge, y Chrome necesita la extensión Microsoft Single Sign On, que puedes instalar de forma forzada con una política de archivo de preferencias. Si aún tienes MFA por usuario habilitada en las cuentas, desactívala y usa la MFA del acceso condicional; Microsoft documenta la MFA por usuario como causa de fallo en la sincronización de contraseñas durante el registro.

Orden de implementación y políticas a crear

Construye en este orden para que nada llegue a un Mac antes que sus dependencias. Si automatizas algo de esto con Graph, lee primero mi nota sobre la aprobación de varios administradores que ahora se aplica a las llamadas de Graph solo de aplicación; un recurso protegido creado desde una entidad de servicio sin aprobación devuelve HTTP 403.

Ejecuta la política de acceso condicional en modo solo informe durante la primera ola, lee los registros de inicio de sesión y después actívala. Sigo los cambios del lado de Intune de esta pila en mi serie Intune What’s New, y la propia página What’s new de Microsoft registró la función de registro durante ADE en la semana del 11 de mayo de 2026.

Verificación

Empieza por lo que ve el usuario, porque te dice qué etapa falló. El tutorial de experiencia de primer arranque de Microsoft describe el flujo: la pantalla Hola, región y red, un aviso de Remote Management que descarga el perfil de Intune, un inicio de sesión de Entra con MFA (Authenticator recomendado) y la creación de la cuenta. Con el registro durante la configuración habilitado, el registro de Platform SSO y el inicio de sesión en Company Portal ocurren antes de que la pantalla Awaiting final configuration libere el Mac al escritorio. Con el método Secure Enclave, el usuario escribe la contraseña local una vez tras un reinicio y usa Touch ID a partir de entonces.

Luego comprueba el propio Mac:

1. Ajustes > Usuarios y grupos, selecciona Editar junto a Servidor de cuentas de red y confirma que Platform SSO indica Registrado. Selecciona el icono de Información junto al usuario para ver el método: Secure enclave, Smart Card o Password.
2. Ajustes > Privacidad y seguridad > Perfiles: la política aparece como com.apple.extensiblesso Profile, y puedes abrirla para confirmar las URL y los identificadores.
3. En Terminal, como el usuario con sesión iniciada, ejecuta el comando de estado. Microsoft dice que deberías ver los tokens de SSO recuperados al final de la salida, y en macOS 13 este comando es la única forma de comprobarlo.

app-sso platform -s

4. Si el Mac estaba registrado previamente de la forma antigua, abre Acceso a Llaveros y confirma que la clave heredada de Workplace Join ha desaparecido; Microsoft lo lista como paso de validación para dispositivos migrados.

Después comprueba el lado de la nube. En el centro de administración de Microsoft Entra, en Entra ID > Devices > All devices, el Mac aparece como unido a Microsoft Entra y vinculado al registro de dispositivos del usuario. En Intune, la página del dispositivo debería mostrar la aplicación Company Portal instalada, el perfil de configuración de Platform SSO aplicado correctamente y el estado de cumplimiento como Compliant; Devices > Monitor > Setting compliance muestra la comprobación Is active que sigue el periodo de validez. Por último, abre Teams o Outlook y un sitio protegido por acceso condicional en Edge sin que aparezca ninguna solicitud de credenciales.

Solución de problemas

Microsoft mantiene dos páginas de solución de problemas, problemas conocidos de Platform SSO y la guía de la extensión Enterprise SSO. Estos son los fallos que veo en campo, con la solución documentada.

Si las tres políticas de ADE estaban mal configuradas y los Macs se quedan atascados, la recuperación de Microsoft es concreta: desasigna la política de Platform SSO que tiene Enable Registration During Setup habilitado y sincroniza, pon el ajuste en deshabilitado (y Enable Create First User During Setup en deshabilitado con el método Password) y sincroniza de nuevo, y después borra el dispositivo. El borrado es necesario porque solo una inscripción nueva recoge los perfiles corregidos.

Recopilación de registros

Para un Mac que llegó al escritorio, habilita el registro de depuración persistente, reproduce el problema, captura un sysdiagnose y después restablece:

sudo log config --mode "level:debug,persist:debug" --subsystem "com.apple.AppSSO"
sudo sysdiagnose
sudo log config --reset --subsystem "com.apple.AppSSO"

Para observar la extensión SSO en tiempo real mientras reproduces un problema:

tail -F ~/Library/Containers/com.microsoft.CompanyPortalMac.ssoextension/Data/Library/Caches/Logs/Microsoft/SSOExtension/*

Company Portal tiene dos ayudas en su menú Help: Save diagnostic report escribe CompanyPortal.zip con SSOExtension.log dentro, y Send diagnostic report sube los registros a Microsoft y te da un ID de incidente para un caso de soporte. Para un Mac atascado dentro del Asistente de Configuración, pulsa Control + Opción + Comando + Mayúsculas + Punto para lanzar un sysdiagnose; el archivo queda en /private/var/tmp/ como sysdiagnose_YYYY.MM.DD_*.tar.gz, se abre una ventana similar al Finder para que puedas compartirlo por AirDrop, y desde esa misma ventana puedes abrir Company Portal y enviar el informe de diagnóstico.

Migración de Macs ya inscritos sin Platform SSO

La mayoría de las flotas no empiezan de cero. Así es como muevo Macs existentes inscritos en Intune, siguiendo el tutorial de registro con Company Portal de Microsoft y su guía de la extensión SSO.

Asigna la política del catálogo de configuración de Platform SSO al grupo de usuarios estático piloto. En la siguiente comunicación con Intune el Mac muestra la notificación Registration Required; el usuario selecciona Register, se autentica con MFA y el dispositivo queda unido a Entra con Platform SSO. Microsoft afirma que esto elimina el registro SSO anterior y que el registro heredado de unión al área de trabajo se borra del llavero. Los usuarios pueden posponer la notificación, así que fija expectativas con un correo breve y una fecha límite. El ajuste Enable Registration During Setup es inofensivo en un Mac ya inscrito, de modo que una sola política puede servir tanto a dispositivos nuevos como existentes con afinidad de usuario.

La advertencia de Microsoft es directa: no apuntes a los usuarios con una política de Platform SSO hasta que esté probada y lista, porque puede romper a los usuarios existentes y sus condiciones de cumplimiento. Trátala como un cambio de acceso condicional. Pilota con TI, luego con los primeros adoptantes y después por departamentos. Cuando el piloto se confirme, desasigna el perfil de extensión SSO de Device Features para no toparte nunca con el error 10002. Si hay que quitar Platform SSO de un Mac después, recuerda que editar el perfil existente no hace nada una vez completado el registro; debes eliminar la asignación, sincronizar, apuntar un perfil nuevo con los ajustes de Platform SSO deshabilitados y sincronizar otra vez, tras lo cual el registro heredado de unión al área de trabajo debe rehacerse para que funcione el cumplimiento.

El hardware más antiguo se queda en el flujo posterior a la inscripción. El registro dentro del Asistente de Configuración necesita macOS 26, pero Platform SSO en sí funciona desde macOS 13, así que una flota mixta simplemente se registra en el escritorio en los Macs antiguos. Si tienes Macs corporativos que se configuraron sin ADE pero figuran en Apple Business Manager y tienen asignada una política de inscripción, sudo profiles renew -type enrollment en macOS 10.13 o posterior desencadena la inscripción ADE en un Mac que ya pasó por el Asistente de Configuración; el usuario termina entonces el registro de Entra en Company Portal.

Mueve una flota mixta de Macs Intel y Apple silicon por olas y mantén la política de acceso condicional en modo solo informe hasta que se registre la última ola. Espera que el ticket más común venga de usuarios que descartaron la notificación; la solución es cerrar sesión y volver a entrar para que reaparezca.

Qué hacer al respecto

1. Inventaría tus Macs por versión de macOS y de Company Portal; cualquier equipo por debajo de macOS 26 o de Company Portal 5.2604.0 se registra después de la inscripción, no durante.
2. Confirma las fechas de caducidad del certificado push MDM de Apple y del token del programa de inscripción, y registra qué Apple ID posee el token.
3. Decide ahora el método de autenticación, porque cambiar Authentication Method o Use Shared Device Keys más adelante vuelve a registrar todos los dispositivos. Elige Secure Enclave por defecto.
4. Crea un grupo de usuarios asignado (estático) para el piloto. No uses grupos de dispositivos ni grupos dinámicos.
5. Añade Company Portal como aplicación PKG de línea de negocio obligatoria para macOS con solo el bundle ID com.microsoft.CompanyPortalMac, asignada al grupo piloto.
6. Construye la política del catálogo de configuración de Platform SSO a partir de la tabla de ajustes obligatorios, añade Enable Registration During Setup y asígnala al mismo grupo.
7. Crea o actualiza la política de inscripción ADE: afinidad de usuario, Setup Assistant with modern authentication, Await final configuration en Yes, Locked enrollment en Yes. Establécela como predeterminada del token.
8. Crea un administrador local gestionado por LAPS en la política de inscripción y lístalo en Non Platform SSO Accounts.
9. Pon Mark devices with no compliance policy assigned as en Not compliant e implementa una política de cumplimiento de macOS sin requisito de contraseña de cumplimiento.
10. Confirma que Users may join devices to Microsoft Entra cubre a los usuarios piloto y que tienen un método MFA registrado.
11. Exime de la inspección TLS las URL de asociación de Microsoft y Apple.
12. Borra un Mac, inscríbelo y verifica con app-sso platform -s, el registro del dispositivo en Entra y una política de acceso condicional en modo solo informe antes de ampliar el despliegue.
13. Tras el piloto, desasigna cualquier perfil de extensión SSO de Device Features y pasa la política de acceso condicional a On.

¿Prefieres esto como lista imprimible? La lista de incorporación de macOS en Intune convierte los pasos anteriores en veinte puntos, desde el token de Apple Business Manager hasta el plan de piloto y migración.

¿Necesitas un par de manos más? Big Hat Group ofrece consultoría de Microsoft Intune para organizaciones de Estados Unidos y Canadá, desde una revisión de salud de dos semanas hasta una migración completa. Reserva una llamada de descubrimiento para repasar tu entorno.

Fuentes

• macOS Platform Single Sign-on (PSSO) overview - Microsoft Entra ID
• Configure Platform SSO for macOS devices - Microsoft Intune
• Add Platform SSO policy to ADE Profile on macOS devices - Microsoft Intune
• Platform SSO scenarios for macOS devices - Microsoft Intune
• Set up automated device enrollment (ADE) for macOS - Microsoft Intune
• Set up a macOS ADE token in Intune - Microsoft Intune
• Manage macOS ADE devices and tokens in Intune - Microsoft Intune
• Overview of Apple Automated Device Enrollment for macOS in Intune - Microsoft Intune
• Add the Company Portal for macOS app - Microsoft Intune
• Device compliance policies in Microsoft Intune - Microsoft Intune
• macOS device compliance settings in Microsoft Intune - Microsoft Intune
• Microsoft Entra Conditional Access overview - Microsoft Entra ID
• Join a Mac device with Microsoft Entra ID during the out of box experience with macOS PSSO - Microsoft Entra ID
• Join a Mac device with Microsoft Entra ID using Company Portal - Microsoft Entra ID
• macOS Platform single sign-on known issues and troubleshooting - Microsoft Entra ID
• Troubleshooting the Microsoft Enterprise SSO Extension plugin on Apple devices - Microsoft Entra ID
• What’s new in Microsoft Intune, week of May 11, 2026