> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Okta Desktop Password Sync und Platform SSO bereitstellen

> Stellen Sie Okta Desktop Password Sync mit Platform SSO auf dem Mac mithilfe von Iru Endpoint bereit. Konfigurieren Sie SCEP, Custom Profile Library Items und die Okta Verify Auto App.

<Callout icon="apple" color="#B84A7A" iconType="regular">Dieser Leitfaden gilt für Mac-Computer</Callout>

### Über Okta Desktop Password Sync und Platform SSO

Okta Desktop Password Sync mit Platform Single Sign-On (SSO) in Iru Endpoint hält lokale macOS-Passwörter mit Okta abgeglichen und erweitert die Okta-Anmeldung auf das macOS-Anmeldefenster.

### Funktionsweise

<Warning>
  Okta Desktop Password Sync befindet sich derzeit in der Okta-Version „Early Access“. Siehe die Okta-Ressource: [Manage Early Access and Beta](https://help.okta.com/oie/en-us/content/topics/security/manage-ea-and-beta-features.htm).
</Warning>

<Note>
  Stellen Sie Desktop Password Sync mit dem Library Item **Okta Verify Auto App** bereit. Wenn sich die App Store-Version von Okta Verify bereits in Ihrem Blueprint befindet, lesen Sie [Zur Okta Verify Auto App wechseln](#switch-to-the-okta-verify-auto-app) weiter unten in diesem Leitfaden.
</Note>

### Anforderungen

#### Okta-Anforderungen

* Sie verwenden Okta Identity Engine.
* Ihre Mac-Computer müssen **Platform SSO 2.0** und Desktop Password Sync über das Anmeldefenster unterstützen.
* Die Desktop Password Sync-Anwendung ist für Ihre Organisation in Okta verfügbar. Wenn Sie die Desktop Password Sync-App nicht im App-Katalog finden, wenden Sie sich an Ihren Okta-Kundenbetreuer.
* Der Okta Verify-Authenticator ist in Ihrer Organisation eingerichtet.
* Ein Auto App Library Item **Okta Verify** in Ihrer Library, das den Blueprints zugewiesen ist, in denen Sie Desktop Password Sync bereitstellen.

#### Zusätzliche Anforderungen

* Zwei Custom Profile-mobileconfig-Vorlagen aus diesem Leitfaden (siehe **Die mobileconfig-Vorlagendateien bearbeiten**) und ein Library Item **Single Sign-on Extension** für Okta Platform SSO (siehe **Das Okta Platform SSO Single Sign-on Extension Library Item konfigurieren**).

### FileVault-Unterstützung für macOS 15 oder höher

Okta-Authentifizierungsrichtlinien können unter macOS 15 und höher strengere Prüfungen erfordern, einschließlich der FileVault-Oberfläche während Desktop Password Sync. Konfigurieren Sie dies in Okta; siehe [FileVault network requirements](https://help.okta.com/oie/en-us/content/topics/oda/macos-pw-sync/about-psso-version-history.htm#fvnetwork).

### Device Access-SCEP-Zertifikate erstellen

#### Eine Desktop-SCEP-Zertifizierungsstelle in Okta konfigurieren

<Steps>
  <Step title="Okta-Adminportal aufrufen">
    Melden Sie sich bei Ihrem Okta-Adminportal an.
  </Step>

  <Step title="Zu Security navigieren">
    Wählen Sie in der linken Navigation **Sicherheit**.
  </Step>

  <Step title="Device Integrations auswählen">
    Wählen Sie im erweiterten Menü **Device Integrations**.
  </Step>

  <Step title="Device Access auswählen">
    Wählen Sie im Bereich „Device Integration“ **Device Access**.
  </Step>

  <Step title="SCEP-Konfiguration hinzufügen">
    Wählen Sie **Add SCEP configuration**.
  </Step>

  <Step title="Static SCEP URL auswählen">
    Wählen Sie **Static SCEP URL**.
  </Step>

  <Step title="Konfiguration generieren">
    Wählen Sie **Generieren**.
  </Step>

  <Step title="SCEP-URL kopieren">
    Kopieren Sie die **SCEP URL**.
  </Step>

  <Step title="Geheimen Schlüssel kopieren">
    Kopieren Sie den **Secret key**.

    Notieren Sie den geheimen Schlüssel jetzt. Dies ist die einzige Gelegenheit, ihn anzuzeigen. Okta speichert anschließend nur einen Hash.
  </Step>

  <Step title="Konfiguration speichern">
    Wählen Sie **Speichern**.
  </Step>

  <Step title="Geheimen Schlüssel zurücksetzen (optional)">
    Wenn Sie den **geheimen Schlüssel zurücksetzen** müssen, können Sie dies über das Menü **Aktionen** rechts neben der Integration tun.
  </Step>
</Steps>

#### Das SCEP Library Item hinzufügen

Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, lesen Sie den Artikel [Library-Übersicht](/de/endpoint/library/library-items-profiles/library-overview).

#### Das SCEP Library Item konfigurieren

<Steps>
  <Step title="Library Item benennen">
    Benennen Sie das Library Item.
  </Step>

  <Step title="Blueprints zuweisen">
    Weisen Sie es den gewünschten [Blueprints](/de/endpoint/getting-started/blueprints-and-library/configuring-blueprints) zu.
  </Step>

  <Step title="SCEP-URL konfigurieren">
    Fügen Sie im Feld **URL** die zuvor kopierte SCEP-Server-URL ein.
  </Step>

  <Step title="Namen eingeben (optional)">
    Geben Sie einen **Name** ein (optional).
  </Step>

  <Step title="Challenge konfigurieren">
    Fügen Sie im Feld **Challenge** den zuvor kopierten geheimen Schlüssel ein.
  </Step>

  <Step title="Subject festlegen">
    Geben Sie im Feld **Betreff** CN=\$SERIAL\_NUMBER ein.

    Wenn Sie das SCEP Library Item speichern, hängt Iru Endpoint die PROFILE\_UUID an den CN an.
  </Step>

  <Step title="Subject Alternative Name konfigurieren">
    Setzen Sie den Typ von **Subject Alternative Name** auf **Keine**.
  </Step>

  <Step title="Schlüsselgröße festlegen">
    Wählen Sie für **Key Size** 2048 aus.
  </Step>

  <Step title="Schlüsselverwendung festlegen">
    Wählen Sie für **Key Usage** Signing aus.
  </Step>

  <Step title="Wiederholungen konfigurieren">
    Wählen Sie **Retries** und geben Sie **5** ein. Ändern Sie diesen Wert, wenn Ihre Umgebung eine andere Anzahl an Wiederholungen benötigt.
  </Step>

  <Step title="Wiederholungsverzögerung konfigurieren">
    Wählen Sie **Retry delay** und geben Sie **30** Sekunden ein. Ändern Sie diesen Wert, wenn Ihre Umgebung eine andere Verzögerung benötigt.
  </Step>

  <Step title="Zugriff auf privaten Schlüssel aktivieren">
    Wählen Sie **Allow apps to access the private key**.
  </Step>

  <Step title="Schlüsselextraktion verhindern">
    Wählen Sie **Prevent the private key data from being extracted in the keychain**.
  </Step>

  <Step title="Automatische Neuverteilung konfigurieren">
    Wählen Sie **Automatic profile redistribution** und geben Sie **30** Tage vor Ablauf des Zertifikats ein. Ändern Sie diesen Wert, wenn Ihre Umgebung ein anderes Intervall benötigt.
  </Step>

  <Step title="Konfiguration speichern">
    Wählen Sie „Save“.
  </Step>
</Steps>

Weitere Informationen zum SCEP Library Item von Iru Endpoint finden Sie unter [Das SCEP Library Item konfigurieren](/de/endpoint/library/library-items-profiles/configure-the-scep-library-item).

### Die Desktop Password Sync-App-Integration in Okta erstellen und konfigurieren

<Steps>
  <Step title="Anwendungskatalog aufrufen">
    Gehen Sie in der Okta Admin Console zu **Anwendungen** > **Applications Catalog**.
  </Step>

  <Step title="Nach Desktop Password Sync suchen">
    Suchen Sie nach **Desktop Password Sync** und wählen Sie die App aus.
  </Step>

  <Step title="Integration hinzufügen">
    Wählen Sie **Add Integration**. Wenn **This feature isn't enabled** angezeigt wird, wenden Sie sich an Ihren Okta-Kundenbetreuer.
  </Step>

  <Step title="Anwendungskonfiguration öffnen">
    Öffnen Sie Desktop Password Sync in Ihrer Liste **Anwendungen**, um die App zu konfigurieren.
  </Step>

  <Step title="Allgemeine Einstellungen konfigurieren">
    Auf der Registerkarte **Allgemein** können Sie die Anwendungsbezeichnung bearbeiten oder die Standardbezeichnung verwenden.
  </Step>

  <Step title="Client-ID notieren">
    Notieren Sie auf der Registerkarte **Sign on** die **Client ID**. Sie benötigen sie beim Bearbeiten der Okta Verify-mobileconfig-Vorlage.
  </Step>

  <Step title="Benutzer oder Gruppen zuweisen">
    Weisen Sie die App auf der Registerkarte **Zuweisungen** einzelnen Benutzern oder Gruppen zu. Benutzern muss die App zugewiesen sein, damit sie Desktop Password Sync verwenden können.
  </Step>

  <Step title="Konfiguration speichern">
    Wählen Sie **Speichern**.
  </Step>
</Steps>

### Die mobileconfig-Vorlagendateien bearbeiten

Laden Sie diese beiden mobileconfig-Vorlagen herunter und bearbeiten Sie sie mit einem Nur-Text-Editor wie Visual Studio Code, Sublime Text oder BBEdit:

* `Okta_Associated_Domains_Configuration_Template.mobileconfig`: Associated Domains für Okta Verify und die auth-service-Erweiterung
* `Okta_Verify_Configuration_Template.mobileconfig`: Okta-Tenant-URL und Desktop Password Sync-Client-ID für Okta Verify und die auth-service-Erweiterung

Laden Sie jede fertige Datei in [Library Items in Iru Endpoint hinzufügen](#add-library-items-in-iru-endpoint) als Custom Profile Library Item hoch.

<Steps>
  <Step title="Associated Domains-Vorlage herunterladen">
    Laden Sie **Okta\_Associated\_Domains\_Configuration\_Template.mobileconfig** aus dem Support-GitHub-Repository herunter ([GitHub](https://github.com/kandji-inc/support/blob/main/Configuration%20Profiles/Okta_Associated_Domains_Configuration_Template.mobileconfig)).
  </Step>

  <Step title="Okta Verify-Vorlage herunterladen">
    Laden Sie **Okta\_Verify\_Configuration\_Template.mobileconfig** aus dem Support-GitHub-Repository herunter ([GitHub](https://github.com/kandji-inc/support/blob/main/Configuration%20Profiles/Okta_Verify_Configuration_Template.mobileconfig)).
  </Step>
</Steps>

#### Okta Associated Domains-Vorlage

Die Datei **Okta\_Associated\_Domains\_Configuration\_Template.mobileconfig** stellt eine **com.apple.associated-domains**-Payload bereit. Sie verbindet Okta Verify und die Okta-auth-service-Erweiterung mit Ihrem Okta-Tenant für Platform SSO und Desktop Password Sync.

<Steps>
  <Step title="Konfigurationsvorlage öffnen">
    Öffnen Sie die Datei **Okta\_Associated\_Domains\_Configuration\_Template.mobileconfig** in Ihrem Texteditor.
  </Step>

  <Step title="AssociatedDomains für auth-service-extension aktualisieren">
    Aktualisieren Sie im ersten **Konfiguration**-Eintrag **AssociatedDomains** und ersetzen Sie die Beispieldomain durch Ihre Okta-Tenant-Adresse.

    * Beispiel: authsrv:accuhive.okta.com

      ```xml theme={null}
      <key>ApplicationIdentifier</key>
      <string>B7F62B65BN.com.okta.mobile.auth-service-extension</string>
      <key>AssociatedDomains</key>
      <array>
           <!-- replace accuhive.okta.com with your tenant address -->
           <string>authsrv:accuhive.okta.com</string>
      ```
  </Step>

  <Step title="AssociatedDomains für Okta Verify aktualisieren">
    Aktualisieren Sie im zweiten **Konfiguration**-Eintrag **AssociatedDomains** für **com.okta.mobile** und ersetzen Sie die Beispieldomain durch Ihre Okta-Tenant-Adresse.

    * Beispiel: authsrv:accuhive.okta.com

      ```xml theme={null}
      <key>ApplicationIdentifier</key>
      <string>B7F62B65BN.com.okta.mobile</string>
      <key>AssociatedDomains</key>
      <array>
           <!-- replace accuhive.okta.com with your tenant address -->
           <string>authsrv:accuhive.okta.com</string>
      ```
  </Step>

  <Step title="Konfigurationsdatei speichern">
    Speichern Sie die mobileconfig-Datei. Sie laden sie in [Library Items in Iru Endpoint hinzufügen](#add-library-items-in-iru-endpoint) als Custom Profile Library Item hoch.
  </Step>
</Steps>

#### Okta Verify-Vorlage

<Steps>
  <Step title="Okta Verify-Vorlage öffnen">
    Öffnen Sie die Datei **Okta\_Verify\_Configuration\_Template.mobileconfig** in Ihrem Texteditor.
  </Step>

  <Step title="OktaVerify.OrgUrl für com.okta.mobile festlegen">
    Setzen Sie in der Payload **com.okta.mobile** den Wert **OktaVerify.OrgUrl** auf Ihre Okta-Tenant-URL.

    * Beispiel: [https://accuhive.okta.com](https://accuhive.okta.com)

      ```xml theme={null}
      <dict>
           <!-- replace accuhive.okta.com with your tenant -->
           <key>OktaVerify.OrgUrl</key>
           <string>https://accuhive.okta.com</string>
      ```
  </Step>

  <Step title="OktaVerify.PasswordSyncClientID für com.okta.mobile festlegen">
    Setzen Sie in der Payload **com.okta.mobile** den Wert **OktaVerify.PasswordSyncClientID** auf die zuvor notierte **Client ID** der Desktop Password Sync-App.

    ```xml theme={null}
    <!-- replace YOUR_CLIENT_ID with your Desktop Password Sync app Client ID -->
    <key>OktaVerify.PasswordSyncClientID</key>
    <string>YOUR_CLIENT_ID</string>
    ```
  </Step>

  <Step title="OktaVerify.OrgUrl für com.okta.mobile.auth-service-extension festlegen">
    Setzen Sie in der Payload **com.okta.mobile.auth-service-extension** den Wert **OktaVerify.OrgUrl** auf Ihre Okta-Tenant-URL.

    ```xml theme={null}
    <dict>
         <!-- replace accuhive.okta.com with your tenant -->
         <key>OktaVerify.OrgUrl</key>
         <string>https://accuhive.okta.com</string>
    ```
  </Step>

  <Step title="OktaVerify.PasswordSyncClientID für com.okta.mobile.auth-service-extension festlegen">
    Setzen Sie in der Payload **com.okta.mobile.auth-service-extension** den Wert **OktaVerify.PasswordSyncClientID** auf die zuvor notierte **Client ID** der Desktop Password Sync-App.

    ```xml theme={null}
    <!-- replace YOUR_CLIENT_ID with your Desktop Password Sync app Client ID -->
    <key>OktaVerify.PasswordSyncClientID</key>
    <string>YOUR_CLIENT_ID</string>
    ```
  </Step>

  <Step title="Okta Verify-Konfigurationsdatei speichern">
    Speichern Sie **Okta\_Verify\_Configuration\_Template.mobileconfig**.
  </Step>
</Steps>

### Das Okta Platform SSO Single Sign-on Extension Library Item konfigurieren

Verwenden Sie ein Library Item **Single Sign-on Extension**, um die Okta Verify-Redirect-Erweiterung und Platform SSO-Einstellungen auf registrierten Mac-Computern bereitzustellen.

<Note>
  Schließen Sie die Custom Profiles **Okta Associated Domains** und **Okta Verify Configuration** ab, bevor Sie dieses Library Item zuweisen.
</Note>

Informationen zum Hinzufügen von Library Items in Iru Endpoint finden Sie im Artikel [Library-Übersicht](/de/endpoint/library/library-items-profiles/library-overview). Beschreibungen der Erweiterungsfelder finden Sie unter [Das Single Sign-On Extension Library Item konfigurieren](/de/endpoint/library/library-items-profiles/configure-the-single-sign-on-extension-library-item). Informationen zu den Platform SSO-Einstellungen finden Sie unter [Platform Single Sign-On konfigurieren](/de/endpoint/library/library-items-profiles/configure-platform-single-sign-on).

<Steps>
  <Step title="Library Item benennen">
    Geben Sie einen **Name** für das neue Library Item ein (zum Beispiel **Okta Platform SSO**).
  </Step>

  <Step title="Plattform auswählen">
    Wählen Sie **Mac** als Plattform für **Installieren auf**.
  </Step>

  <Step title="Blueprints zuweisen">
    Weisen Sie das Library Item denselben [Blueprints](/de/endpoint/getting-started/blueprints-and-library/configuring-blueprints) zu wie Ihr SCEP Library Item und Ihre Custom Profile Library Items für diese Bereitstellung.
  </Step>

  <Step title="Erweiterungstyp auswählen">
    Wählen Sie unter **Erweiterungstyp** die Option **Redirect**.
  </Step>

  <Step title="Erweiterungskennung konfigurieren">
    Geben Sie für **Extension identifier** Folgendes ein:

    ```text theme={null}
    com.okta.mobile.auth-service-extension
    ```
  </Step>

  <Step title="Team Identifier festlegen">
    Geben Sie für **Team identifier** Folgendes ein:

    ```text theme={null}
    B7F62B65BN
    ```
  </Step>

  <Step title="URLs konfigurieren">
    Fügen Sie diese **URLs** hinzu und ersetzen Sie `accuhive.okta.com` durch den Hostnamen Ihrer Okta-Organisation (denselben Hostnamen, den Sie in den Vorlagen für Associated Domains und Okta Verify verwendet haben):

    ```text theme={null}
    https://accuhive.okta.com/device-access/api/v1/nonce
    ```

    ```text theme={null}
    https://accuhive.okta.com/oauth2/v1/token
    ```

    ```text theme={null}
    https://accuhive.okta.com/v1/auth/device-sign
    ```
  </Step>

  <Step title="Hosts leer lassen">
    Lassen Sie **Hosts** leer.
  </Step>

  <Step title="Platform SSO aktivieren">
    Schalten Sie **Platform SSO** ein.
  </Step>

  <Step title="Authentifizierungsmethode auswählen">
    Wählen Sie unter **Authentifizierungsmethode** die Option **Kennwort**.

    Desktop Password Sync erfordert eine Passwortauthentifizierung im macOS-Anmeldefenster.
  </Step>

  <Step title="Registrierungstoken eingeben (optional)">
    Geben Sie nur dann ein **Registration token** ein, wenn Okta oder Ihre Organisation eines für die Platform SSO-Registrierung erfordert.
  </Step>

  <Step title="Einstellungen für macOS 15 und höher aktivieren (optional)">
    Aktivieren Sie unter **Platform SSO** alle Optionen für **macOS 15 and later**, die Ihre Organisation für Desktop Password Sync oder FileVault benötigt. Siehe [FileVault-Unterstützung für macOS 15 oder höher](#filevault-support-for-macos-15) und [Oktas macOS PSSO version history](https://help.okta.com/oie/en-us/content/topics/oda/macos-pw-sync/about-psso-version-history.htm).
  </Step>

  <Step title="Berechtigungen für bestehende Benutzer festlegen">
    Setzen Sie **Existing user permissions** auf **Standard**, **Administrator** oder **Gruppen**.
  </Step>

  <Step title="Berechtigungen für neue Benutzer festlegen">
    Legen Sie die Standardberechtigungen für **New Users** fest.
  </Step>

  <Step title="Gemeinsame Geräteschlüssel aktivieren">
    Wählen Sie **Use shared device keys**.

    Diese Einstellung ist für Desktop Password Sync erforderlich.
  </Step>

  <Step title="Autorisierung über den Identitätsanbieter aktivieren">
    Aktivieren Sie **Allow authorization (with identity provider account)**, damit Benutzer Systemaufforderungen mit ihren Okta-Anmeldedaten genehmigen können.
  </Step>

  <Step title="Automatische Erstellung lokaler Konten aktivieren (optional)">
    Wenn lokale Konten automatisch im Anmeldefenster erstellt werden sollen, aktivieren Sie **Allow creation of new users at login window**.

    <Warning>
      Die Erstellung lokaler Konten erfordert, dass das Gerät im Anmeldefenster online ist und FileVault entsperrt ist. Außerdem muss Iru Endpoint über ein gültiges Bootstrap-Token für das Gerät verfügen.
    </Warning>
  </Step>

  <Step title="Geräteattestierung aktivieren (optional)">
    Wenn Ihre Organisation Geräteattestierung verwendet, aktivieren Sie die Option, die UDID und Seriennummer des Geräts in Platform SSO-Attestierungen zu senden (macOS 15.4 und höher).
  </Step>

  <Step title="Anzeigenamen des Kontos eingeben">
    Geben Sie einen **Account display name** ein, den Benutzer in Benachrichtigungen und Anmeldeaufforderungen wiedererkennen (häufig Ihr Firmenname). Dieser Wert gilt systemweit und ist für jeden Benutzer auf dem Mac sichtbar.
  </Step>

  <Step title="Require full login after festlegen">
    Geben Sie für **Require full login after** die Anzahl der Sekunden ein. Der Standardwert beträgt 18 Stunden (64800 Sekunden). Der Mindestwert beträgt 1 Stunde (3600 Sekunden).
  </Step>

  <Step title="Account name und Vollständiger Name festlegen">
    Setzen Sie **Account name** und **Vollständiger Name** auf die Okta-Attribute, die beim Erstellen neuer Benutzer oder für die Autorisierung verwendet werden.

    Wenn Sie nicht sicher sind, welche Werte Sie verwenden sollen, fragen Sie Ihren Okta-Administrator oder lesen Sie **Set Account name and Vollständiger Name** unter [Berechtigungen und Kontoeinstellungen](/de/endpoint/library/library-items-profiles/configure-platform-single-sign-on#permissions-and-account-settings).
  </Step>

  <Step title="Gruppen konfigurieren (optional)">
    Optional: Konfigurieren Sie **Administratorgruppen**, **Zusätzliche Gruppen** und **Authorization rights**:

    * **Administratorgruppen** sind Gruppen aus Okta, die Administratorzugriff auf dem Mac erhalten sollen.
    * **Zusätzliche Gruppen** werden als lokale Gruppen erstellt, falls sie noch nicht vorhanden sind.
    * **Authorization rights** ordnen ein Autorisierungsrecht einer Gruppe zu. Jedes Recht kann einmal angegeben werden. Ordnen Sie zum Beispiel die Druckerverwaltung einer Gruppe zu.
  </Step>

  <Step title="Library Item speichern">
    Wählen Sie **Speichern**.
  </Step>
</Steps>

Wenn Sie Platform SSO während des Setup-Assistenten unter **macOS 26** oder höher bereitstellen, konfigurieren Sie den Abschnitt **Mac macOS 26 and later** dieses Library Items. Siehe [Registrierung während des Setup-Assistenten aktivieren (macOS 26 und höher)](#enable-registration-during-setup-assistant-macos-26-and-later).

### Registrierung während des Setup-Assistenten aktivieren (macOS 26 und höher)

Unter **macOS 26** und höher kann Platform SSO während des Setup-Assistenten ausgeführt werden, sodass sich der Mac früher in der Registrierung bei Okta registriert. Legen Sie die Registrierung während des Setups, die Erstellung des ersten Benutzers, die Synchronisierung des Profilbilds und **Enable Authenticated Guest Mode Quick Login** im Abschnitt **Mac macOS 26 and later** Ihres Single Sign-on Extension Library Items **Okta Platform SSO** fest.

<Warning>
  Wenn Sie Platform SSO mit Automated Device Enrollment bereitstellen, setzen Sie **Primary account type** im Abschnitt **Mac** Ihres [Automated Device Enrollment Library Items](/de/endpoint/enrollment/apple/configuring-apple-enrollment) nicht auf **Skip primary account creation**. Im Setup-Assistenten legt der Benutzer das Passwort des lokalen Kontos fest. Wird dieser Schritt übersprungen, bleibt das Passwort ungesetzt und die Registrierung kann ins Stocken geraten.

  Auf Mac-Computern mit Apple Silicon und einigen anderen Modellen werden Anmeldedaten in der [Secure Enclave](https://support.apple.com/guide/security/the-secure-enclave-sec59b0b31ff/web) gespeichert. In der Apple-Dokumentation erfahren Sie, welche Geräte über eine Secure Enclave verfügen. **Skip primary account creation** ist für [Passport](/de/endpoint/library/passport/passport-compatibility-with-macos-and-iru-endpoint-features#primary-account-creation)-Workflows gedacht, nicht für Platform SSO.
</Warning>

<Steps>
  <Step title="Single Sign-on Extension Library Item öffnen">
    Öffnen Sie in der **Library** Ihr Single Sign-on Extension Library Item **Okta Platform SSO**, wählen Sie **Bearbeiten** und gehen Sie dann im Abschnitt **Platform SSO** zu **Mac macOS 26 and later**.
  </Step>

  <Step title="Enable registration during Setup Assistant festlegen">
    Wählen Sie für **Enable registration during Setup Assistant** die Option **Ja**, um sich während des Setup-Assistenten bei Okta zu registrieren.
  </Step>

  <Step title="Create first user during Setup Assistant festlegen">
    Wählen Sie für **Create first user during Setup Assistant** die Option **Ja**, wenn der Mac sein erstes lokales Konto während des Setup-Assistenten aus der Okta-Identität erstellen soll. Wählen Sie **Nein**, wenn Sie das erste Konto auf andere Weise bereitstellen.
  </Step>

  <Step title="Synchronize profile picture festlegen">
    Wählen Sie für **Synchronize profile picture** die Option **Ja**, um das Okta-Profilbild des Benutzers während des Setups in das lokale macOS-Konto zu kopieren, oder **Nein**, um dies zu überspringen.
  </Step>

  <Step title="Enable Authenticated Guest Mode Quick Login festlegen">
    **Enable Authenticated Guest Mode Quick Login** ist standardmäßig auf **Nicht konfiguriert** gesetzt. Wählen Sie **Ja** für gemeinsam genutzte Mac-Computer, an denen sich Benutzer vorübergehend mit Okta anmelden. Belassen Sie die Einstellung bei standardmäßigen Einzelbenutzer-Mac-Computern auf **Nicht konfiguriert** oder wählen Sie **Nein**.
  </Step>

  <Step title="Authentifizierungsmethoden für neue Benutzer festlegen">
    Wählen Sie unter **Authentifizierungsmethoden für neue Benutzer** die Option **Kennwort**, **Smart card** oder beides. Sie können außerdem **OpenID** mit jeder **Authentifizierungsmethode** hinzufügen. **OpenID** ist unter macOS 27 und höher verfügbar; wenn Sie es auswählen, wird **Zulassungsliste für Webanmeldungs-URLs** unter **Mac macOS 27 and later** angezeigt.

    <Note>
      Wenn Sie **OpenID** verwenden möchten, wenden Sie sich an Ihren Identitätsanbieter, um zu bestätigen, dass er OpenID mit Platform SSO unterstützt.
    </Note>
  </Step>

  <Step title="Library Item speichern">
    Wenn **Authentifizierungsmethoden für neue Benutzer** **OpenID** enthält, fügen Sie vor dem Speichern mindestens eine URL zu **Zulassungsliste für Webanmeldungs-URLs** unter **Mac macOS 27 and later** hinzu. Siehe [Web-Anmeldung (macOS 27 und höher)](/de/endpoint/library/library-items-profiles/configure-platform-single-sign-on#web-login-macos-27-and-later). Wählen Sie **Speichern**.
  </Step>
</Steps>

#### Platform SSO Library Items während Automated Device Enrollment installieren

Wenn Sie die Registrierung während des Setup-Assistenten verwenden, müssen das SCEP Library Item, beide Custom Profile Library Items, das Single Sign-on Extension Library Item **Okta Platform SSO** und die **Okta Verify Auto App** installiert werden, bevor der Setup-Assistent abgeschlossen ist. Fügen Sie diese Library Items in [Library Items in Iru Endpoint hinzufügen](#add-library-items-in-iru-endpoint) hinzu, weisen Sie sie zu und konfigurieren Sie anschließend Automated Device Enrollment:

<Steps>
  <Step title="Automated Device Enrollment Library Item öffnen">
    Öffnen Sie in der **Library** Ihr Library Item **Automated Device Enrollment** und gehen Sie zum Abschnitt **Mac**.
  </Step>

  <Step title="Library Items während des Systemassistenten installieren aktivieren">
    Aktivieren Sie **Library Items während des Systemassistenten installieren** für **Mac**, damit ausgewählte Library Items während der Registrierung installiert werden und nicht erst nach Abschluss des Setup-Assistenten.
  </Step>

  <Step title="Erforderliche Library Items hinzufügen">
    Wählen Sie **Add Library Items** und fügen Sie jedes Element aus diesem Leitfaden hinzu:

    * SCEP Library Item
    * Okta Associated Domains (benutzerdefiniertes Profil): `Okta_Associated_Domains_Configuration_Template.mobileconfig`
    * Okta Verify-Konfiguration (benutzerdefiniertes Profil): `Okta_Verify_Configuration_Template.mobileconfig`
    * Okta Platform SSO (Single Sign-on Extension Library Item)
    * Okta Verify Auto App

    Ein Library Item in dieser Liste wird nur dann während des Setup-Assistenten installiert, wenn es sich auch in der Blueprint-**Assignment Map** des Geräts befindet. Fügen Sie jedes Element, das Sie während des Setups benötigen, dieser Map hinzu.
  </Step>

  <Step title="Automated Device Enrollment Library Item speichern">
    Wählen Sie im Automated Device Enrollment Library Item **Speichern**.
  </Step>
</Steps>

Informationen zum Installationsablauf, zu Zeitüberschreitungen und weiteren Hinweisen finden Sie unter [Library Items während des Setup-Assistenten installieren](/de/endpoint/enrollment/apple/configuring-apple-enrollment#install-library-items-during-setup-assistant). Wenn ein Gerät bei **Configuring** hängen bleibt, lesen Sie [Im Setup-Assistenten zurückgehaltene Geräte manuell freigeben](/de/endpoint/enrollment/apple/configuring-apple-enrollment#manually-release-devices-held-in-setup-assistant).

### Library Items in Iru Endpoint hinzufügen

Fügen Sie Ihr SCEP Library Item, Ihre Custom Profile Library Items, das Single Sign-on Extension Library Item **Okta Platform SSO** und die **Okta Verify Auto App** zu Iru Endpoint hinzu. Die Grundlagen finden Sie bei Bedarf im Artikel [Library-Übersicht](/de/endpoint/library/library-items-profiles/library-overview).

<Steps>
  <Step title="Associated Domains Custom Profile Library Item erstellen">
    Benennen Sie das Library Item (zum Beispiel **Okta Associated Domains**). Weisen Sie es Ihren [Blueprints](/de/endpoint/getting-started/blueprints-and-library/configuring-blueprints) zu. Laden Sie Ihre bearbeitete Datei **Okta\_Associated\_Domains\_Configuration\_Template.mobileconfig** hoch und wählen Sie dann **Speichern**.
  </Step>

  <Step title="Okta Platform SSO Single Sign-on Extension Library Item bestätigen">
    Falls noch nicht geschehen, führen Sie [Das Okta Platform SSO Single Sign-on Extension Library Item konfigurieren](#configure-the-okta-platform-sso-single-sign-on-extension-library-item) durch und weisen Sie es denselben Blueprints zu.
  </Step>

  <Step title="Okta Verify Custom Profile Library Item erstellen">
    Erstellen Sie ein Custom Profile Library Item für **Okta\_Verify\_Configuration\_Template.mobileconfig** (zum Beispiel **Okta Verify Configuration**). Weisen Sie es denselben Blueprints zu, laden Sie die Datei hoch und wählen Sie **Speichern**.
  </Step>

  <Step title="Okta Verify Auto App zuweisen">
    Gehen Sie in der Library zu **Auto Apps** und öffnen Sie **Okta Verify**. Weisen Sie das Library Item denselben Blueprints zu wie das SCEP Library Item, die Custom Profile Library Items und das Single Sign-on Extension Library Item **Okta Platform SSO**.
  </Step>

  <Step title="Auf Geräten bereitstellen">
    Nachdem Geräte die Library Items und die **Okta Verify Auto App** erhalten haben, werden Benutzer aufgefordert, sich zu registrieren und ihr Okta-Passwort zu synchronisieren.
  </Step>
</Steps>

### Assignment Maps

Weisen Sie das SCEP Library Item, beide Custom Profile Library Items, das Single Sign-on Extension Library Item **Okta Platform SSO** und die **Okta Verify Auto App** in der Blueprint-**Assignment Map** zu.

Verwenden Sie [bedingte Logik](/de/endpoint/blueprints/assignment-maps/using-conditional-logic-in-blueprints), wenn Sie Library Items auf bestimmte Gerätegruppen beschränken müssen. Grundlagen zu Blueprints finden Sie unter [Blueprints konfigurieren](/de/endpoint/getting-started/blueprints-and-library/configuring-blueprints).

### Zur Okta Verify Auto App wechseln

Wenn Okta Verify bereits über ein anderes Library Item im Blueprint enthalten ist, wechseln Sie zur **Okta Verify Auto App**, ohne die Einrichtung von Desktop Password Sync zu wiederholen. Ihre Custom Profile Library Items, das Single Sign-on Extension Library Item **Okta Platform SSO** und die Okta-Konfiguration verbleiben auf dem Gerät.

<Warning>
  Nehmen Sie die Zuweisungsänderungen in einer einzigen Bearbeitungssitzung der Assignment Map vor. Weisen Sie die **Okta Verify Auto App** zu, bevor Sie **Speichern** wählen. Lassen Sie Computer nach dem Speichern nicht ohne zugewiesene Okta Verify-App.
</Warning>

<Steps>
  <Step title="Assignment Map bearbeiten">
    Öffnen Sie die Blueprint-**Assignment Map** und wählen Sie dann **Zuweisungen bearbeiten**.
  </Step>

  <Step title="Vorherige Okta Verify-Zuweisung entfernen">
    Entfernen Sie das bestehende Library Item **Okta Verify** aus der Assignment Map.
  </Step>

  <Step title="Okta Verify Auto App zuweisen">
    Fügen Sie das Library Item **Okta Verify Auto App** demselben Bereich der Assignment Map hinzu wie Ihre SCEP-, Custom Profile- und **Okta Platform SSO**-Library Items.
  </Step>

  <Step title="Assignment Map speichern">
    Wählen Sie **Speichern**, um die Änderungen an der Assignment Map anzuwenden.
  </Step>
</Steps>

<Note>
  Die vorherige Okta Verify-App wird von den Geräten entfernt. Das Associated Domains-Profil, die Single Sign-on Extension-Konfiguration **Okta Platform SSO** und das Okta Verify Custom Profile bleiben erhalten. Beim nächsten Check-in des Iru Agent (innerhalb von etwa 15 Minuten) installiert Iru Endpoint die **Okta Verify Auto App**.

  Wenn Sie auch [Okta Device Trust](/de/endpoint/integrations/okta-device-trust-main/okta-device-trust) verwenden, lesen Sie [Okta Verify für Device Trust konfigurieren](/de/endpoint/integrations/okta-device-trust-main/okta-device-trust-configuring-the-okta-verify-library-item#migrate-from-the-app-store-app-to-the-auto-app-macos), wenn Sie ODT auf der Auto App aktualisieren müssen.
</Note>

### Benutzererfahrung und nächste Schritte

<Note>
  Wenn Platform SSO aktiviert ist, blendet macOS die Schaltfläche **Change** im Feld „Password“ unter **Users & Groups** (Systemeinstellungen) aus. Apple hat dieses Verhalten für Platform SSO so vorgesehen.
</Note>

Verweisen Sie Benutzer nach der Bereitstellung auf [Benutzererfahrung mit Okta Desktop Password Sync](/de/endpoint/integrations/okta-desktop-password-sync-user-experience), um die Registrierungsschritte zu erfahren.