Dieser Leitfaden gilt für Mac-Computer
Über Okta Desktop Password Sync und Platform SSO
Okta Desktop Password Sync mit Platform Single Sign-On (SSO) in Iru Endpoint hält lokale macOS-Passwörter mit Okta abgeglichen und erweitert die Okta-Anmeldung auf das macOS-Anmeldefenster.Funktionsweise
Stellen Sie Desktop Password Sync mit dem Library Item Okta Verify Auto App bereit. Wenn sich die App Store-Version von Okta Verify bereits in Ihrem Blueprint befindet, lesen Sie Zur Okta Verify Auto App wechseln weiter unten in diesem Leitfaden.
Anforderungen
Okta-Anforderungen
- Sie verwenden Okta Identity Engine.
- Ihre Mac-Computer müssen Platform SSO 2.0 und Desktop Password Sync über das Anmeldefenster unterstützen.
- Die Desktop Password Sync-Anwendung ist für Ihre Organisation in Okta verfügbar. Wenn Sie die Desktop Password Sync-App nicht im App-Katalog finden, wenden Sie sich an Ihren Okta-Kundenbetreuer.
- Der Okta Verify-Authenticator ist in Ihrer Organisation eingerichtet.
- Ein Auto App Library Item Okta Verify in Ihrer Library, das den Blueprints zugewiesen ist, in denen Sie Desktop Password Sync bereitstellen.
Zusätzliche Anforderungen
- Zwei Custom Profile-mobileconfig-Vorlagen aus diesem Leitfaden (siehe Die mobileconfig-Vorlagendateien bearbeiten) und ein Library Item Single Sign-on Extension für Okta Platform SSO (siehe Das Okta Platform SSO Single Sign-on Extension Library Item konfigurieren).
FileVault-Unterstützung für macOS 15 oder höher
Okta-Authentifizierungsrichtlinien können unter macOS 15 und höher strengere Prüfungen erfordern, einschließlich der FileVault-Oberfläche während Desktop Password Sync. Konfigurieren Sie dies in Okta; siehe FileVault network requirements.Device Access-SCEP-Zertifikate erstellen
Eine Desktop-SCEP-Zertifizierungsstelle in Okta konfigurieren
1
Okta-Adminportal aufrufen
Melden Sie sich bei Ihrem Okta-Adminportal an.
2
Zu Security navigieren
Wählen Sie in der linken Navigation Sicherheit.
3
Device Integrations auswählen
Wählen Sie im erweiterten Menü Device Integrations.
4
Device Access auswählen
Wählen Sie im Bereich „Device Integration“ Device Access.
5
SCEP-Konfiguration hinzufügen
Wählen Sie Add SCEP configuration.
6
Static SCEP URL auswählen
Wählen Sie Static SCEP URL.
7
Konfiguration generieren
Wählen Sie Generieren.
8
SCEP-URL kopieren
Kopieren Sie die SCEP URL.
9
Geheimen Schlüssel kopieren
Kopieren Sie den Secret key.Notieren Sie den geheimen Schlüssel jetzt. Dies ist die einzige Gelegenheit, ihn anzuzeigen. Okta speichert anschließend nur einen Hash.
10
Konfiguration speichern
Wählen Sie Speichern.
11
Geheimen Schlüssel zurücksetzen (optional)
Wenn Sie den geheimen Schlüssel zurücksetzen müssen, können Sie dies über das Menü Aktionen rechts neben der Integration tun.
Das SCEP Library Item hinzufügen
Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, lesen Sie den Artikel Library-Übersicht.Das SCEP Library Item konfigurieren
1
Library Item benennen
Benennen Sie das Library Item.
2
Blueprints zuweisen
Weisen Sie es den gewünschten Blueprints zu.
3
SCEP-URL konfigurieren
Fügen Sie im Feld URL die zuvor kopierte SCEP-Server-URL ein.
4
Namen eingeben (optional)
Geben Sie einen Name ein (optional).
5
Challenge konfigurieren
Fügen Sie im Feld Challenge den zuvor kopierten geheimen Schlüssel ein.
6
Subject festlegen
Geben Sie im Feld Betreff CN=$SERIAL_NUMBER ein.Wenn Sie das SCEP Library Item speichern, hängt Iru Endpoint die PROFILE_UUID an den CN an.
7
Subject Alternative Name konfigurieren
Setzen Sie den Typ von Subject Alternative Name auf Keine.
8
Schlüsselgröße festlegen
Wählen Sie für Key Size 2048 aus.
9
Schlüsselverwendung festlegen
Wählen Sie für Key Usage Signing aus.
10
Wiederholungen konfigurieren
Wählen Sie Retries und geben Sie 5 ein. Ändern Sie diesen Wert, wenn Ihre Umgebung eine andere Anzahl an Wiederholungen benötigt.
11
Wiederholungsverzögerung konfigurieren
Wählen Sie Retry delay und geben Sie 30 Sekunden ein. Ändern Sie diesen Wert, wenn Ihre Umgebung eine andere Verzögerung benötigt.
12
Zugriff auf privaten Schlüssel aktivieren
Wählen Sie Allow apps to access the private key.
13
Schlüsselextraktion verhindern
Wählen Sie Prevent the private key data from being extracted in the keychain.
14
Automatische Neuverteilung konfigurieren
Wählen Sie Automatic profile redistribution und geben Sie 30 Tage vor Ablauf des Zertifikats ein. Ändern Sie diesen Wert, wenn Ihre Umgebung ein anderes Intervall benötigt.
15
Konfiguration speichern
Wählen Sie „Save“.
Die Desktop Password Sync-App-Integration in Okta erstellen und konfigurieren
1
Anwendungskatalog aufrufen
Gehen Sie in der Okta Admin Console zu Anwendungen > Applications Catalog.
2
Nach Desktop Password Sync suchen
Suchen Sie nach Desktop Password Sync und wählen Sie die App aus.
3
Integration hinzufügen
Wählen Sie Add Integration. Wenn This feature isn’t enabled angezeigt wird, wenden Sie sich an Ihren Okta-Kundenbetreuer.
4
Anwendungskonfiguration öffnen
Öffnen Sie Desktop Password Sync in Ihrer Liste Anwendungen, um die App zu konfigurieren.
5
Allgemeine Einstellungen konfigurieren
Auf der Registerkarte Allgemein können Sie die Anwendungsbezeichnung bearbeiten oder die Standardbezeichnung verwenden.
6
Client-ID notieren
Notieren Sie auf der Registerkarte Sign on die Client ID. Sie benötigen sie beim Bearbeiten der Okta Verify-mobileconfig-Vorlage.
7
Benutzer oder Gruppen zuweisen
Weisen Sie die App auf der Registerkarte Zuweisungen einzelnen Benutzern oder Gruppen zu. Benutzern muss die App zugewiesen sein, damit sie Desktop Password Sync verwenden können.
8
Konfiguration speichern
Wählen Sie Speichern.
Die mobileconfig-Vorlagendateien bearbeiten
Laden Sie diese beiden mobileconfig-Vorlagen herunter und bearbeiten Sie sie mit einem Nur-Text-Editor wie Visual Studio Code, Sublime Text oder BBEdit:Okta_Associated_Domains_Configuration_Template.mobileconfig: Associated Domains für Okta Verify und die auth-service-ErweiterungOkta_Verify_Configuration_Template.mobileconfig: Okta-Tenant-URL und Desktop Password Sync-Client-ID für Okta Verify und die auth-service-Erweiterung
1
Associated Domains-Vorlage herunterladen
Laden Sie Okta_Associated_Domains_Configuration_Template.mobileconfig aus dem Support-GitHub-Repository herunter (GitHub).
2
Okta Verify-Vorlage herunterladen
Laden Sie Okta_Verify_Configuration_Template.mobileconfig aus dem Support-GitHub-Repository herunter (GitHub).
Okta Associated Domains-Vorlage
Die Datei Okta_Associated_Domains_Configuration_Template.mobileconfig stellt eine com.apple.associated-domains-Payload bereit. Sie verbindet Okta Verify und die Okta-auth-service-Erweiterung mit Ihrem Okta-Tenant für Platform SSO und Desktop Password Sync.1
Konfigurationsvorlage öffnen
Öffnen Sie die Datei Okta_Associated_Domains_Configuration_Template.mobileconfig in Ihrem Texteditor.
2
AssociatedDomains für auth-service-extension aktualisieren
Aktualisieren Sie im ersten Konfiguration-Eintrag AssociatedDomains und ersetzen Sie die Beispieldomain durch Ihre Okta-Tenant-Adresse.
-
Beispiel: authsrv:accuhive.okta.com
3
AssociatedDomains für Okta Verify aktualisieren
Aktualisieren Sie im zweiten Konfiguration-Eintrag AssociatedDomains für com.okta.mobile und ersetzen Sie die Beispieldomain durch Ihre Okta-Tenant-Adresse.
-
Beispiel: authsrv:accuhive.okta.com
4
Konfigurationsdatei speichern
Speichern Sie die mobileconfig-Datei. Sie laden sie in Library Items in Iru Endpoint hinzufügen als Custom Profile Library Item hoch.
Okta Verify-Vorlage
1
Okta Verify-Vorlage öffnen
Öffnen Sie die Datei Okta_Verify_Configuration_Template.mobileconfig in Ihrem Texteditor.
2
OktaVerify.OrgUrl für com.okta.mobile festlegen
Setzen Sie in der Payload com.okta.mobile den Wert OktaVerify.OrgUrl auf Ihre Okta-Tenant-URL.
-
Beispiel: https://accuhive.okta.com
3
OktaVerify.PasswordSyncClientID für com.okta.mobile festlegen
Setzen Sie in der Payload com.okta.mobile den Wert OktaVerify.PasswordSyncClientID auf die zuvor notierte Client ID der Desktop Password Sync-App.
4
OktaVerify.OrgUrl für com.okta.mobile.auth-service-extension festlegen
Setzen Sie in der Payload com.okta.mobile.auth-service-extension den Wert OktaVerify.OrgUrl auf Ihre Okta-Tenant-URL.
5
OktaVerify.PasswordSyncClientID für com.okta.mobile.auth-service-extension festlegen
Setzen Sie in der Payload com.okta.mobile.auth-service-extension den Wert OktaVerify.PasswordSyncClientID auf die zuvor notierte Client ID der Desktop Password Sync-App.
6
Okta Verify-Konfigurationsdatei speichern
Speichern Sie Okta_Verify_Configuration_Template.mobileconfig.
Das Okta Platform SSO Single Sign-on Extension Library Item konfigurieren
Verwenden Sie ein Library Item Single Sign-on Extension, um die Okta Verify-Redirect-Erweiterung und Platform SSO-Einstellungen auf registrierten Mac-Computern bereitzustellen.Schließen Sie die Custom Profiles Okta Associated Domains und Okta Verify Configuration ab, bevor Sie dieses Library Item zuweisen.
1
Library Item benennen
Geben Sie einen Name für das neue Library Item ein (zum Beispiel Okta Platform SSO).
2
Plattform auswählen
Wählen Sie Mac als Plattform für Installieren auf.
3
Blueprints zuweisen
Weisen Sie das Library Item denselben Blueprints zu wie Ihr SCEP Library Item und Ihre Custom Profile Library Items für diese Bereitstellung.
4
Erweiterungstyp auswählen
Wählen Sie unter Erweiterungstyp die Option Redirect.
5
Erweiterungskennung konfigurieren
Geben Sie für Extension identifier Folgendes ein:
6
Team Identifier festlegen
Geben Sie für Team identifier Folgendes ein:
7
URLs konfigurieren
Fügen Sie diese URLs hinzu und ersetzen Sie
accuhive.okta.com durch den Hostnamen Ihrer Okta-Organisation (denselben Hostnamen, den Sie in den Vorlagen für Associated Domains und Okta Verify verwendet haben):8
Hosts leer lassen
Lassen Sie Hosts leer.
9
Platform SSO aktivieren
Schalten Sie Platform SSO ein.
10
Authentifizierungsmethode auswählen
Wählen Sie unter Authentifizierungsmethode die Option Kennwort.Desktop Password Sync erfordert eine Passwortauthentifizierung im macOS-Anmeldefenster.
11
Registrierungstoken eingeben (optional)
Geben Sie nur dann ein Registration token ein, wenn Okta oder Ihre Organisation eines für die Platform SSO-Registrierung erfordert.
12
Einstellungen für macOS 15 und höher aktivieren (optional)
Aktivieren Sie unter Platform SSO alle Optionen für macOS 15 and later, die Ihre Organisation für Desktop Password Sync oder FileVault benötigt. Siehe FileVault-Unterstützung für macOS 15 oder höher und Oktas macOS PSSO version history.
13
Berechtigungen für bestehende Benutzer festlegen
Setzen Sie Existing user permissions auf Standard, Administrator oder Gruppen.
14
Berechtigungen für neue Benutzer festlegen
Legen Sie die Standardberechtigungen für New Users fest.
15
Gemeinsame Geräteschlüssel aktivieren
Wählen Sie Use shared device keys.Diese Einstellung ist für Desktop Password Sync erforderlich.
16
Autorisierung über den Identitätsanbieter aktivieren
Aktivieren Sie Allow authorization (with identity provider account), damit Benutzer Systemaufforderungen mit ihren Okta-Anmeldedaten genehmigen können.
17
Automatische Erstellung lokaler Konten aktivieren (optional)
Wenn lokale Konten automatisch im Anmeldefenster erstellt werden sollen, aktivieren Sie Allow creation of new users at login window.
18
Geräteattestierung aktivieren (optional)
Wenn Ihre Organisation Geräteattestierung verwendet, aktivieren Sie die Option, die UDID und Seriennummer des Geräts in Platform SSO-Attestierungen zu senden (macOS 15.4 und höher).
19
Anzeigenamen des Kontos eingeben
Geben Sie einen Account display name ein, den Benutzer in Benachrichtigungen und Anmeldeaufforderungen wiedererkennen (häufig Ihr Firmenname). Dieser Wert gilt systemweit und ist für jeden Benutzer auf dem Mac sichtbar.
20
Require full login after festlegen
Geben Sie für Require full login after die Anzahl der Sekunden ein. Der Standardwert beträgt 18 Stunden (64800 Sekunden). Der Mindestwert beträgt 1 Stunde (3600 Sekunden).
21
Account name und Vollständiger Name festlegen
Setzen Sie Account name und Vollständiger Name auf die Okta-Attribute, die beim Erstellen neuer Benutzer oder für die Autorisierung verwendet werden.Wenn Sie nicht sicher sind, welche Werte Sie verwenden sollen, fragen Sie Ihren Okta-Administrator oder lesen Sie Set Account name and Vollständiger Name unter Berechtigungen und Kontoeinstellungen.
22
Gruppen konfigurieren (optional)
Optional: Konfigurieren Sie Administratorgruppen, Zusätzliche Gruppen und Authorization rights:
- Administratorgruppen sind Gruppen aus Okta, die Administratorzugriff auf dem Mac erhalten sollen.
- Zusätzliche Gruppen werden als lokale Gruppen erstellt, falls sie noch nicht vorhanden sind.
- Authorization rights ordnen ein Autorisierungsrecht einer Gruppe zu. Jedes Recht kann einmal angegeben werden. Ordnen Sie zum Beispiel die Druckerverwaltung einer Gruppe zu.
23
Library Item speichern
Wählen Sie Speichern.
Registrierung während des Setup-Assistenten aktivieren (macOS 26 und höher)
Unter macOS 26 und höher kann Platform SSO während des Setup-Assistenten ausgeführt werden, sodass sich der Mac früher in der Registrierung bei Okta registriert. Legen Sie die Registrierung während des Setups, die Erstellung des ersten Benutzers, die Synchronisierung des Profilbilds und Enable Authenticated Guest Mode Quick Login im Abschnitt Mac macOS 26 and later Ihres Single Sign-on Extension Library Items Okta Platform SSO fest.1
Single Sign-on Extension Library Item öffnen
Öffnen Sie in der Library Ihr Single Sign-on Extension Library Item Okta Platform SSO, wählen Sie Bearbeiten und gehen Sie dann im Abschnitt Platform SSO zu Mac macOS 26 and later.
2
Enable registration during Setup Assistant festlegen
Wählen Sie für Enable registration during Setup Assistant die Option Ja, um sich während des Setup-Assistenten bei Okta zu registrieren.
3
Create first user during Setup Assistant festlegen
Wählen Sie für Create first user during Setup Assistant die Option Ja, wenn der Mac sein erstes lokales Konto während des Setup-Assistenten aus der Okta-Identität erstellen soll. Wählen Sie Nein, wenn Sie das erste Konto auf andere Weise bereitstellen.
4
Synchronize profile picture festlegen
Wählen Sie für Synchronize profile picture die Option Ja, um das Okta-Profilbild des Benutzers während des Setups in das lokale macOS-Konto zu kopieren, oder Nein, um dies zu überspringen.
5
Enable Authenticated Guest Mode Quick Login festlegen
Enable Authenticated Guest Mode Quick Login ist standardmäßig auf Nicht konfiguriert gesetzt. Wählen Sie Ja für gemeinsam genutzte Mac-Computer, an denen sich Benutzer vorübergehend mit Okta anmelden. Belassen Sie die Einstellung bei standardmäßigen Einzelbenutzer-Mac-Computern auf Nicht konfiguriert oder wählen Sie Nein.
6
Authentifizierungsmethoden für neue Benutzer festlegen
Wählen Sie unter Authentifizierungsmethoden für neue Benutzer die Option Kennwort, Smart card oder beides. Sie können außerdem OpenID mit jeder Authentifizierungsmethode hinzufügen. OpenID ist unter macOS 27 und höher verfügbar; wenn Sie es auswählen, wird Zulassungsliste für Webanmeldungs-URLs unter Mac macOS 27 and later angezeigt.
Wenn Sie OpenID verwenden möchten, wenden Sie sich an Ihren Identitätsanbieter, um zu bestätigen, dass er OpenID mit Platform SSO unterstützt.
7
Library Item speichern
Wenn Authentifizierungsmethoden für neue Benutzer OpenID enthält, fügen Sie vor dem Speichern mindestens eine URL zu Zulassungsliste für Webanmeldungs-URLs unter Mac macOS 27 and later hinzu. Siehe Web-Anmeldung (macOS 27 und höher). Wählen Sie Speichern.
Platform SSO Library Items während Automated Device Enrollment installieren
Wenn Sie die Registrierung während des Setup-Assistenten verwenden, müssen das SCEP Library Item, beide Custom Profile Library Items, das Single Sign-on Extension Library Item Okta Platform SSO und die Okta Verify Auto App installiert werden, bevor der Setup-Assistent abgeschlossen ist. Fügen Sie diese Library Items in Library Items in Iru Endpoint hinzufügen hinzu, weisen Sie sie zu und konfigurieren Sie anschließend Automated Device Enrollment:1
Automated Device Enrollment Library Item öffnen
Öffnen Sie in der Library Ihr Library Item Automated Device Enrollment und gehen Sie zum Abschnitt Mac.
2
Library Items während des Systemassistenten installieren aktivieren
Aktivieren Sie Library Items während des Systemassistenten installieren für Mac, damit ausgewählte Library Items während der Registrierung installiert werden und nicht erst nach Abschluss des Setup-Assistenten.
3
Erforderliche Library Items hinzufügen
Wählen Sie Add Library Items und fügen Sie jedes Element aus diesem Leitfaden hinzu:
- SCEP Library Item
- Okta Associated Domains (benutzerdefiniertes Profil):
Okta_Associated_Domains_Configuration_Template.mobileconfig - Okta Verify-Konfiguration (benutzerdefiniertes Profil):
Okta_Verify_Configuration_Template.mobileconfig - Okta Platform SSO (Single Sign-on Extension Library Item)
- Okta Verify Auto App
4
Automated Device Enrollment Library Item speichern
Wählen Sie im Automated Device Enrollment Library Item Speichern.
Library Items in Iru Endpoint hinzufügen
Fügen Sie Ihr SCEP Library Item, Ihre Custom Profile Library Items, das Single Sign-on Extension Library Item Okta Platform SSO und die Okta Verify Auto App zu Iru Endpoint hinzu. Die Grundlagen finden Sie bei Bedarf im Artikel Library-Übersicht.1
Associated Domains Custom Profile Library Item erstellen
Benennen Sie das Library Item (zum Beispiel Okta Associated Domains). Weisen Sie es Ihren Blueprints zu. Laden Sie Ihre bearbeitete Datei Okta_Associated_Domains_Configuration_Template.mobileconfig hoch und wählen Sie dann Speichern.
2
Okta Platform SSO Single Sign-on Extension Library Item bestätigen
Falls noch nicht geschehen, führen Sie Das Okta Platform SSO Single Sign-on Extension Library Item konfigurieren durch und weisen Sie es denselben Blueprints zu.
3
Okta Verify Custom Profile Library Item erstellen
Erstellen Sie ein Custom Profile Library Item für Okta_Verify_Configuration_Template.mobileconfig (zum Beispiel Okta Verify Configuration). Weisen Sie es denselben Blueprints zu, laden Sie die Datei hoch und wählen Sie Speichern.
4
Okta Verify Auto App zuweisen
Gehen Sie in der Library zu Auto Apps und öffnen Sie Okta Verify. Weisen Sie das Library Item denselben Blueprints zu wie das SCEP Library Item, die Custom Profile Library Items und das Single Sign-on Extension Library Item Okta Platform SSO.
5
Auf Geräten bereitstellen
Nachdem Geräte die Library Items und die Okta Verify Auto App erhalten haben, werden Benutzer aufgefordert, sich zu registrieren und ihr Okta-Passwort zu synchronisieren.
Assignment Maps
Weisen Sie das SCEP Library Item, beide Custom Profile Library Items, das Single Sign-on Extension Library Item Okta Platform SSO und die Okta Verify Auto App in der Blueprint-Assignment Map zu. Verwenden Sie bedingte Logik, wenn Sie Library Items auf bestimmte Gerätegruppen beschränken müssen. Grundlagen zu Blueprints finden Sie unter Blueprints konfigurieren.Zur Okta Verify Auto App wechseln
Wenn Okta Verify bereits über ein anderes Library Item im Blueprint enthalten ist, wechseln Sie zur Okta Verify Auto App, ohne die Einrichtung von Desktop Password Sync zu wiederholen. Ihre Custom Profile Library Items, das Single Sign-on Extension Library Item Okta Platform SSO und die Okta-Konfiguration verbleiben auf dem Gerät.1
Assignment Map bearbeiten
Öffnen Sie die Blueprint-Assignment Map und wählen Sie dann Zuweisungen bearbeiten.
2
Vorherige Okta Verify-Zuweisung entfernen
Entfernen Sie das bestehende Library Item Okta Verify aus der Assignment Map.
3
Okta Verify Auto App zuweisen
Fügen Sie das Library Item Okta Verify Auto App demselben Bereich der Assignment Map hinzu wie Ihre SCEP-, Custom Profile- und Okta Platform SSO-Library Items.
4
Assignment Map speichern
Wählen Sie Speichern, um die Änderungen an der Assignment Map anzuwenden.
Die vorherige Okta Verify-App wird von den Geräten entfernt. Das Associated Domains-Profil, die Single Sign-on Extension-Konfiguration Okta Platform SSO und das Okta Verify Custom Profile bleiben erhalten. Beim nächsten Check-in des Iru Agent (innerhalb von etwa 15 Minuten) installiert Iru Endpoint die Okta Verify Auto App.Wenn Sie auch Okta Device Trust verwenden, lesen Sie Okta Verify für Device Trust konfigurieren, wenn Sie ODT auf der Auto App aktualisieren müssen.
Benutzererfahrung und nächste Schritte
Wenn Platform SSO aktiviert ist, blendet macOS die Schaltfläche Change im Feld „Password“ unter Users & Groups (Systemeinstellungen) aus. Apple hat dieses Verhalten für Platform SSO so vorgesehen.