Platform SSO ist für Mac-Computer verfügbar
Platform SSO
Platform SSO erweitert die Redirect-Erweiterung auf das macOS-Anmeldefenster. Benutzer können ihren Mac mit den Anmeldeinformationen des Identitätsanbieters (IdP) Ihrer Organisation entsperren. Auf einem gemeinsam genutzten Mac kann Platform SSO mit diesen Anmeldeinformationen im Anmeldefenster ein lokales Konto erstellen. Kennwort hält das IdP-Passwort und das Passwort des lokalen Kontos synchron. OpenID tut dies nur, wenn Allow web login password sync auf Ja gesetzt ist. User Secure Enclave Key und Smart Card lassen das Passwort des lokalen Kontos unverändert. Sie können Berechtigungen und die Mitgliedschaft in lokalen Gruppen verwalten. IdP-Benutzer ohne lokales Konto können diese Anmeldeinformationen bei Autorisierungsaufforderungen verwenden.1
Platform SSO aktivieren
Platform SSO ist standardmäßig deaktiviert. Aktivieren Sie Platform SSO. Es wird ab macOS 14 Sonoma unterstützt und erfordert eine kompatible App-Erweiterung des Identitätsanbieters.
2
Authentifizierungsmethode auswählen
Wählen Sie die Authentifizierungsmethode. Die SSO-Erweiterung muss die ausgewählte Methode unterstützen.
- Kennwort
- Secure Enclave-Schlüssel des Benutzers
- Smartcard
- OpenID
Wenn Sie OpenID verwenden möchten, wenden Sie sich an Ihren Identitätsanbieter, um zu bestätigen, dass er OpenID mit Platform SSO unterstützt.
3
Registrierungstoken eingeben (optional)
Geben Sie ein Registration token ein, wenn Ihr Identitätsanbieter eines erfordert. Der Mac verwendet diesen Wert für die Registrierung bei Platform SSO, einschließlich der stillen Registrierung, sofern Ihr Identitätsanbieter und Ihre SSO-Erweiterung dies unterstützen.
Richtlinien für Password
FileVault-Richtlinie, Login policy und Unlock policy werden nur angezeigt, wenn Authentifizierungsmethode auf Kennwort gesetzt ist. Jede ist ab macOS 15 verfügbar, und der Standardwert ist Nicht konfiguriert. Fahren Sie für User Secure Enclave Key, Smart Card oder OpenID mit Berechtigungen und Kontoeinstellungen fort.1
FileVault-Richtlinie festlegen
FileVault-Richtlinie gilt bei Verwendung von Platform SSO beim Entsperren von FileVault auf Mac-Computern mit Apple Silicon.
- Nicht konfiguriert: Iru sendet diese Einstellung nicht.
- Attempt authentication: Der Mac versucht, sich beim Identitätsanbieter zu authentifizieren. Ist der Mac offline, kann der Benutzer das Passwort des lokalen Kontos verwenden.
- Authentifizierung erforderlich: Der Benutzer muss sich beim Identitätsanbieter authentifizieren, um fortzufahren.
2
Login policy festlegen
Login policy gilt bei Verwendung von Platform SSO im Anmeldefenster. Es werden dieselben Optionen wie bei FileVault-Richtlinie verwendet.
3
Unlock policy festlegen
Unlock policy gilt bei Verwendung von Platform SSO beim Entsperren des Bildschirmschoners. Es werden dieselben Optionen wie bei FileVault-Richtlinie verwendet.
Berechtigungen und Kontoeinstellungen
Diese Einstellungen gelten für jede Authentifizierungsmethode.1
Existing user permissions festlegen
Existing user permissions legt die Berechtigungen fest, die bei jeder Authentifizierung des Benutzers auf ein Konto angewendet werden. Der Standardwert ist Nicht konfiguriert.
- Nicht konfiguriert
- Standard
- Administrator
- Gruppen: Verwenden Sie die Gruppen, die Sie später in diesem Library Item konfigurieren.
2
New user permissions festlegen
New user permissions legt die Berechtigungen fest, die bei der Anmeldung auf neu erstellte Konten angewendet werden. Der Standardwert ist Nicht konfiguriert.
- Nicht konfiguriert
- Standard
- Administrator
- Gruppen
- Temporär (authentifizierter Gastmodus)
3
Gemeinsame Geräteschlüssel verwenden
Wählen Sie Use shared device keys, wenn der Mac für alle Benutzer dieselben Signatur- und Verschlüsselungsschlüssel verwenden soll. Dies ist für die Autorisierung mit einem Konto des Identitätsanbieters und für die Erstellung neuer Konten erforderlich.Wenn Use shared device keys ausgewählt ist, werden diese Einstellungen angezeigt:
- Allow authorization (with identity provider account): Benutzer können auf Autorisierungsaufforderungen des Systems mit den Anmeldeinformationen ihres Identitätsanbieters antworten.
- Allow creation of new users at login window: Der Mac erstellt im Anmeldefenster ein lokales Konto. Der Mac muss online sein, sich im Anmeldefenster mit entsperrtem FileVault befinden, und Iru muss über ein gültiges Bootstrap-Token für den Mac verfügen.
4
Gerätekennungen in der Attestierung zulassen
Wählen Sie Allow device identifiers in attestation, um die UDID und Seriennummer des Mac in Platform SSO-Attestierungen einzuschließen. Dies ist ab macOS 15.4 verfügbar.
5
Account display name eingeben
Account display name ist der Name, der in Mitteilungen und Authentifizierungsanfragen angezeigt wird. Verwenden Sie den Namen Ihrer Organisation oder einen anderen Namen, den Benutzer wiedererkennen.
6
Require full login after festlegen
Require full login after ist die Anzahl der Sekunden, nach denen der Mac statt einer Aktualisierung eine vollständige Anmeldung verlangt. Der Standardwert ist 18 Stunden (64800 Sekunden). Das Minimum ist 1 Stunde (3600 Sekunden).
7
Account name und Vollständiger Name festlegen
Account name und Vollständiger Name sind die Attribute des Identitätsanbieters, die beim Erstellen neuer Benutzer oder für die Autorisierung verwendet werden.
8
Administratorgruppen hinzufügen
Administratorgruppen sind die Gruppen, die für den Administratorzugriff verwendet werden. macOS fragt die Mitgliedschaft während der Authentifizierung ab. Wählen Sie für jede Gruppe Add group.
9
Zusätzliche Gruppen hinzufügen
Zusätzliche Gruppen werden als lokale Gruppen erstellt, sofern sie noch nicht vorhanden sind, und sind im lokalen Verzeichnis verfügbar. Wählen Sie für jede Gruppe Add group.
10
Authorization rights hinzufügen
Authorization rights ordnen ein Autorisierungsrecht einer Gruppe zu. Jedes Recht kann einmal angegeben und einer einzigen Gruppe zugeordnet werden. Ordnen Sie beispielsweise die Druckerverwaltung einer Gruppe zu. Wählen Sie für jede Zuordnung Add group.
11
Non Platform SSO accounts hinzufügen
Non Platform SSO accounts sind lokale Konten, die nicht der FileVault-Richtlinie, Login policy oder Unlock policy unterliegen. Diese Konten werden auch nicht zur Registrierung bei Platform SSO aufgefordert. Wählen Sie für jedes Konto Hinzufügen.
12
Library Item speichern
Wenn Sie die Registrierung während des Setup Assistant verwenden, fahren Sie vor dem Speichern mit Registrierung während des Setup Assistant aktivieren (macOS 26 und höher) fort. Wenn Authentifizierungsmethode auf OpenID gesetzt ist, konfigurieren Sie vor dem Speichern Webanmeldung (macOS 27 und höher). Mindestens eine Web-Login-URL ist erforderlich. Wenn keines davon zutrifft, wählen Sie Speichern.
Registrierung während des Setup Assistant aktivieren (macOS 26 und höher)
Ab macOS 26 kann Platform SSO während des Setup Assistant ausgeführt werden, sodass sich der Mac früher im Registrierungsablauf bei Ihrem Identitätsanbieter registrieren kann. Unter Mac macOS 26 and later ist jede Einstellung standardmäßig auf Nicht konfiguriert gesetzt, was bedeutet, dass Iru sie nicht sendet. Die anderen Optionen sind Ja und Nein.1
Abschnitt Mac macOS 26 and later öffnen
Gehen Sie im Abschnitt Platform SSO dieses Library Items zu Mac macOS 26 and later.
2
Enable registration during Setup Assistant festlegen
Wählen Sie Ja für Enable registration during Setup Assistant, wenn die Platform SSO-Registrierung während des Setup Assistant beginnen soll.
3
Create first user during Setup Assistant festlegen
Wählen Sie Ja für Create first user during Setup Assistant, wenn der Mac während des Setup Assistant mithilfe von Platform SSO sein erstes lokales Konto erstellen soll.
4
Synchronize profile picture festlegen
Wählen Sie Ja für Synchronize profile picture, wenn der Mac das Profilbild des Benutzers von der SSO-Erweiterung anfordern soll.
5
Enable Authenticated Guest Mode Quick Login festlegen
Wählen Sie Ja für Enable Authenticated Guest Mode Quick Login auf gemeinsam genutzten Mac-Computern, an denen sich Benutzer vorübergehend mit den Anmeldeinformationen des Identitätsanbieters anmelden. Lassen Sie diese Einstellung bei standardmäßigen Einzelbenutzer-Mac-Computern auf Nicht konfiguriert oder wählen Sie Nein.
6
Authentifizierungsmethoden für neue Benutzer festlegen
Authentifizierungsmethoden für neue Benutzer sind die Methoden, die für neu erstellte Konten verfügbar sind. Sie können eine beliebige Kombination auswählen:
- Kennwort
- Smartcard
- OpenID
7
Library Item speichern
Wenn Authentifizierungsmethode auf OpenID gesetzt ist oder Authentifizierungsmethoden für neue Benutzer OpenID enthält, konfigurieren Sie vor dem Speichern Webanmeldung (macOS 27 und höher). Mindestens eine Web-Login-URL ist erforderlich. Speichern Sie in diesem Abschnitt und kehren Sie dann für Automated Device Enrollment hierher zurück. Andernfalls wählen Sie Speichern.
8
Platform SSO Library Items während Automated Device Enrollment installieren
Platform SSO mit Automated Device Enrollment erfordert, dass Ihr Single Sign-on Extension Library Item und das Auto App Library Item für die SSO-Erweiterungsanwendung Ihres Identitätsanbieters während des Setup Assistant installiert werden. Aktivieren Sie in Ihrem Automated Device Enrollment Library Item die Option Library Items während des Systemassistenten installieren für Mac und fügen Sie dann diese Library Items sowie alle weiteren hinzu, die Ihr IdP für diesen Ablauf benötigt (zum Beispiel ein Login Window Library Item). Ausführliche Informationen finden Sie unter Library Items während des Setup Assistant installieren. Wenn ein Gerät bei Configuring hängen bleibt, lesen Sie Im Setup Assistant festgehaltene Geräte manuell freigeben.
Webanmeldung (macOS 27 und höher)
Mac macOS 27 and later wird in zwei Fällen angezeigt. Wenn Authentifizierungsmethode auf OpenID gesetzt ist, werden Allow web login password sync und Zulassungsliste für Webanmeldungs-URLs angezeigt. Zulassungsliste für Webanmeldungs-URLs erfordert mindestens eine URL. Allow web login password sync ist optional. Wenn Authentifizierungsmethoden für neue Benutzer OpenID enthält und Authentifizierungsmethode auf Kennwort, User Secure Enclave Key oder Smart Card gesetzt ist, zeigt der Abschnitt nur Zulassungsliste für Webanmeldungs-URLs an. Wählen Sie Hinzufügen und geben Sie mindestens eine Web-Login-URL ein.1
Allow web login password sync festlegen
Allow web login password sync wird nur angezeigt, wenn Authentifizierungsmethode auf OpenID gesetzt ist. Es synchronisiert das Passwort aus dem Web-Login mit dem Passwort des lokalen Kontos. Es ist ab macOS 27 verfügbar. Der Standardwert ist Nicht konfiguriert.
- Nicht konfiguriert: Iru sendet diese Einstellung nicht.
- Ja: Der Mac erkennt das Passwort beim Web-Login und synchronisiert es mit dem Passwort des lokalen Kontos.
- Nein: Der Mac synchronisiert das Web-Login-Passwort nicht mit dem Passwort des lokalen Kontos.
2
Web-Login-URLs hinzufügen
Zulassungsliste für Webanmeldungs-URLs ist die Liste der Hosts, die der Mac in der Platform SSO-Webansicht laden darf. Mindestens eine Web-Login-URL ist erforderlich. Wählen Sie Hinzufügen und geben Sie dann eine Web-Login-URL ein. Geben Sie Schema und Host an, z. B.
https://login.example.com. Wiederholen Sie dies für jeden Host. Platzhalter werden nicht unterstützt.3
Library Item speichern
Wählen Sie die Schaltfläche Speichern.