> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Platform Single Sign-On konfigurieren

> Konfigurieren Sie Platform SSO im Single Sign-On Extension Library Item. Legen Sie die Authentifizierungsmethode, Passwortrichtlinien sowie Einstellungen für macOS 26 und macOS 27 fest.

<Callout icon="apple" color="#B84A7A" iconType="regular">Platform SSO ist für Mac-Computer verfügbar</Callout>

Diese Einstellungen befinden sich im Library Item **Single Sign-On Extension** und sind nur verfügbar, wenn **Erweiterungstyp** auf **Redirect** gesetzt ist. Konfigurieren Sie zuerst den Namen des Library Items, die Blueprint-Zuweisung und die Einstellungen der Redirect-Erweiterung unter [Das Single Sign-On Extension Library Item konfigurieren](/de/endpoint/library/library-items-profiles/configure-the-single-sign-on-extension-library-item#redirect).

## Platform SSO

Platform SSO erweitert die Redirect-Erweiterung auf das macOS-Anmeldefenster. Benutzer können ihren Mac mit den Anmeldeinformationen des Identitätsanbieters (IdP) Ihrer Organisation entsperren. Auf einem gemeinsam genutzten Mac kann Platform SSO mit diesen Anmeldeinformationen im Anmeldefenster ein lokales Konto erstellen. **Kennwort** hält das IdP-Passwort und das Passwort des lokalen Kontos synchron. **OpenID** tut dies nur, wenn **Allow web login password sync** auf **Ja** gesetzt ist. **User Secure Enclave Key** und **Smart Card** lassen das Passwort des lokalen Kontos unverändert. Sie können Berechtigungen und die Mitgliedschaft in lokalen Gruppen verwalten. IdP-Benutzer ohne lokales Konto können diese Anmeldeinformationen bei Autorisierungsaufforderungen verwenden.

<Warning>
  Platform SSO erfordert zusätzlich zur von Iru bereitgestellten Platform SSO-Profil-Payload eine ordnungsgemäß konfigurierte Single Sign-On Extension-App Ihres Identitätsanbieters.
</Warning>

<Steps>
  <Step title="Platform SSO aktivieren">
    Platform SSO ist standardmäßig deaktiviert. Aktivieren Sie **Platform SSO**. Es wird ab macOS 14 Sonoma unterstützt und erfordert eine kompatible App-Erweiterung des Identitätsanbieters.
  </Step>

  <Step title="Authentifizierungsmethode auswählen">
    Wählen Sie die **Authentifizierungsmethode**. Die SSO-Erweiterung muss die ausgewählte Methode unterstützen.

    * **Kennwort**
    * **Secure Enclave-Schlüssel des Benutzers**
    * **Smartcard**
    * **OpenID**

    OpenID ist ab macOS 27 verfügbar. Iru sendet **OpenID** nicht an Mac-Computer mit einer älteren Version als macOS 27. **FileVault-Richtlinie**, **Login policy** und **Unlock policy** werden nur für **Kennwort** angezeigt. Geben Sie im nächsten Schritt ein **Registration token** ein, wenn Ihr Identitätsanbieter eines erfordert. Überspringen Sie bei allen anderen Methoden [Richtlinien für Password](#policies-for-password) und fahren Sie mit [Berechtigungen und Kontoeinstellungen](#permissions-and-account-settings) fort.

    <Note>
      Wenn Sie **OpenID** verwenden möchten, wenden Sie sich an Ihren Identitätsanbieter, um zu bestätigen, dass er OpenID mit Platform SSO unterstützt.
    </Note>
  </Step>

  <Step title="Registrierungstoken eingeben (optional)">
    Geben Sie ein **Registration token** ein, wenn Ihr Identitätsanbieter eines erfordert. Der Mac verwendet diesen Wert für die Registrierung bei Platform SSO, einschließlich der stillen Registrierung, sofern Ihr Identitätsanbieter und Ihre SSO-Erweiterung dies unterstützen.
  </Step>
</Steps>

## Richtlinien für Password

**FileVault-Richtlinie**, **Login policy** und **Unlock policy** werden nur angezeigt, wenn **Authentifizierungsmethode** auf **Kennwort** gesetzt ist. Jede ist ab macOS 15 verfügbar, und der Standardwert ist **Nicht konfiguriert**. Fahren Sie für **User Secure Enclave Key**, **Smart Card** oder **OpenID** mit [Berechtigungen und Kontoeinstellungen](#permissions-and-account-settings) fort.

<Steps>
  <Step title="FileVault-Richtlinie festlegen">
    **FileVault-Richtlinie** gilt bei Verwendung von Platform SSO beim Entsperren von FileVault auf Mac-Computern mit Apple Silicon.

    * **Nicht konfiguriert**: Iru sendet diese Einstellung nicht.
    * **Attempt authentication**: Der Mac versucht, sich beim Identitätsanbieter zu authentifizieren. Ist der Mac offline, kann der Benutzer das Passwort des lokalen Kontos verwenden.
    * **Authentifizierung erforderlich**: Der Benutzer muss sich beim Identitätsanbieter authentifizieren, um fortzufahren.
  </Step>

  <Step title="Login policy festlegen">
    **Login policy** gilt bei Verwendung von Platform SSO im Anmeldefenster. Es werden dieselben Optionen wie bei **FileVault-Richtlinie** verwendet.
  </Step>

  <Step title="Unlock policy festlegen">
    **Unlock policy** gilt bei Verwendung von Platform SSO beim Entsperren des Bildschirmschoners. Es werden dieselben Optionen wie bei **FileVault-Richtlinie** verwendet.
  </Step>
</Steps>

## Berechtigungen und Kontoeinstellungen

Diese Einstellungen gelten für jede **Authentifizierungsmethode**.

<Steps>
  <Step title="Existing user permissions festlegen">
    **Existing user permissions** legt die Berechtigungen fest, die bei jeder Authentifizierung des Benutzers auf ein Konto angewendet werden. Der Standardwert ist **Nicht konfiguriert**.

    * **Nicht konfiguriert**
    * **Standard**
    * **Administrator**
    * **Gruppen**: Verwenden Sie die Gruppen, die Sie später in diesem Library Item konfigurieren.
  </Step>

  <Step title="New user permissions festlegen">
    **New user permissions** legt die Berechtigungen fest, die bei der Anmeldung auf neu erstellte Konten angewendet werden. Der Standardwert ist **Nicht konfiguriert**.

    * **Nicht konfiguriert**
    * **Standard**
    * **Administrator**
    * **Gruppen**
    * **Temporär (authentifizierter Gastmodus)**
  </Step>

  <Step title="Gemeinsame Geräteschlüssel verwenden">
    Wählen Sie **Use shared device keys**, wenn der Mac für alle Benutzer dieselben Signatur- und Verschlüsselungsschlüssel verwenden soll. Dies ist für die Autorisierung mit einem Konto des Identitätsanbieters und für die Erstellung neuer Konten erforderlich.

    Wenn **Use shared device keys** ausgewählt ist, werden diese Einstellungen angezeigt:

    * **Allow authorization (with identity provider account)**: Benutzer können auf Autorisierungsaufforderungen des Systems mit den Anmeldeinformationen ihres Identitätsanbieters antworten.
    * **Allow creation of new users at login window**: Der Mac erstellt im Anmeldefenster ein lokales Konto. Der Mac muss online sein, sich im Anmeldefenster mit entsperrtem FileVault befinden, und Iru muss über ein gültiges Bootstrap-Token für den Mac verfügen.
  </Step>

  <Step title="Gerätekennungen in der Attestierung zulassen">
    Wählen Sie **Allow device identifiers in attestation**, um die UDID und Seriennummer des Mac in Platform SSO-Attestierungen einzuschließen. Dies ist ab macOS 15.4 verfügbar.
  </Step>

  <Step title="Account display name eingeben">
    **Account display name** ist der Name, der in Mitteilungen und Authentifizierungsanfragen angezeigt wird. Verwenden Sie den Namen Ihrer Organisation oder einen anderen Namen, den Benutzer wiedererkennen.
  </Step>

  <Step title="Require full login after festlegen">
    **Require full login after** ist die Anzahl der Sekunden, nach denen der Mac statt einer Aktualisierung eine vollständige Anmeldung verlangt. Der Standardwert ist 18 Stunden (64800 Sekunden). Das Minimum ist 1 Stunde (3600 Sekunden).
  </Step>

  <Step title="Account name und Vollständiger Name festlegen">
    **Account name** und **Vollständiger Name** sind die Attribute des Identitätsanbieters, die beim Erstellen neuer Benutzer oder für die Autorisierung verwendet werden.
  </Step>

  <Step title="Administratorgruppen hinzufügen">
    **Administratorgruppen** sind die Gruppen, die für den Administratorzugriff verwendet werden. macOS fragt die Mitgliedschaft während der Authentifizierung ab. Wählen Sie für jede Gruppe **Add group**.
  </Step>

  <Step title="Zusätzliche Gruppen hinzufügen">
    **Zusätzliche Gruppen** werden als lokale Gruppen erstellt, sofern sie noch nicht vorhanden sind, und sind im lokalen Verzeichnis verfügbar. Wählen Sie für jede Gruppe **Add group**.
  </Step>

  <Step title="Authorization rights hinzufügen">
    **Authorization rights** ordnen ein Autorisierungsrecht einer Gruppe zu. Jedes Recht kann einmal angegeben und einer einzigen Gruppe zugeordnet werden. Ordnen Sie beispielsweise die Druckerverwaltung einer Gruppe zu. Wählen Sie für jede Zuordnung **Add group**.
  </Step>

  <Step title="Non Platform SSO accounts hinzufügen">
    **Non Platform SSO accounts** sind lokale Konten, die nicht der **FileVault-Richtlinie**, **Login policy** oder **Unlock policy** unterliegen. Diese Konten werden auch nicht zur Registrierung bei Platform SSO aufgefordert. Wählen Sie für jedes Konto **Hinzufügen**.
  </Step>

  <Step title="Library Item speichern">
    Wenn Sie die Registrierung während des Setup Assistant verwenden, fahren Sie vor dem Speichern mit [Registrierung während des Setup Assistant aktivieren (macOS 26 und höher)](#enable-registration-during-setup-assistant-macos-26-and-later) fort. Wenn **Authentifizierungsmethode** auf **OpenID** gesetzt ist, konfigurieren Sie vor dem Speichern [Webanmeldung (macOS 27 und höher)](#web-login-macos-27-and-later). Mindestens eine Web-Login-URL ist erforderlich. Wenn keines davon zutrifft, wählen Sie **Speichern**.
  </Step>
</Steps>

## Registrierung während des Setup Assistant aktivieren (macOS 26 und höher)

Ab macOS 26 kann Platform SSO während des Setup Assistant ausgeführt werden, sodass sich der Mac früher im Registrierungsablauf bei Ihrem Identitätsanbieter registrieren kann. Unter **Mac macOS 26 and later** ist jede Einstellung standardmäßig auf **Nicht konfiguriert** gesetzt, was bedeutet, dass Iru sie nicht sendet. Die anderen Optionen sind **Ja** und **Nein**.

<Steps>
  <Step title="Abschnitt Mac macOS 26 and later öffnen">
    Gehen Sie im Abschnitt **Platform SSO** dieses Library Items zu **Mac macOS 26 and later**.
  </Step>

  <Step title="Enable registration during Setup Assistant festlegen">
    Wählen Sie **Ja** für **Enable registration during Setup Assistant**, wenn die Platform SSO-Registrierung während des Setup Assistant beginnen soll.
  </Step>

  <Step title="Create first user during Setup Assistant festlegen">
    Wählen Sie **Ja** für **Create first user during Setup Assistant**, wenn der Mac während des Setup Assistant mithilfe von Platform SSO sein erstes lokales Konto erstellen soll.
  </Step>

  <Step title="Synchronize profile picture festlegen">
    Wählen Sie **Ja** für **Synchronize profile picture**, wenn der Mac das Profilbild des Benutzers von der SSO-Erweiterung anfordern soll.
  </Step>

  <Step title="Enable Authenticated Guest Mode Quick Login festlegen">
    Wählen Sie **Ja** für **Enable Authenticated Guest Mode Quick Login** auf gemeinsam genutzten Mac-Computern, an denen sich Benutzer vorübergehend mit den Anmeldeinformationen des Identitätsanbieters anmelden. Lassen Sie diese Einstellung bei standardmäßigen Einzelbenutzer-Mac-Computern auf **Nicht konfiguriert** oder wählen Sie **Nein**.
  </Step>

  <Step title="Authentifizierungsmethoden für neue Benutzer festlegen">
    **Authentifizierungsmethoden für neue Benutzer** sind die Methoden, die für neu erstellte Konten verfügbar sind. Sie können eine beliebige Kombination auswählen:

    * **Kennwort**
    * **Smartcard**
    * **OpenID**

    OpenID ist ab macOS 27 verfügbar. Iru sendet **OpenID** nicht an Mac-Computer mit einer älteren Version als macOS 27. Sie können **OpenID** hier mit jeder **Authentifizierungsmethode** hinzufügen. Dadurch wird **Zulassungsliste für Webanmeldungs-URLs** unter **Mac macOS 27 and later** angezeigt.
  </Step>

  <Step title="Library Item speichern">
    Wenn **Authentifizierungsmethode** auf **OpenID** gesetzt ist oder **Authentifizierungsmethoden für neue Benutzer** **OpenID** enthält, konfigurieren Sie vor dem Speichern [Webanmeldung (macOS 27 und höher)](#web-login-macos-27-and-later). Mindestens eine Web-Login-URL ist erforderlich. Speichern Sie in diesem Abschnitt und kehren Sie dann für Automated Device Enrollment hierher zurück. Andernfalls wählen Sie **Speichern**.
  </Step>

  <Step title="Platform SSO Library Items während Automated Device Enrollment installieren">
    Platform SSO mit Automated Device Enrollment erfordert, dass Ihr **Single Sign-on Extension** Library Item und das **Auto App** Library Item für die SSO-Erweiterungsanwendung Ihres Identitätsanbieters während des Setup Assistant installiert werden. Aktivieren Sie in Ihrem **Automated Device Enrollment** Library Item die Option **Library Items während des Systemassistenten installieren** für **Mac** und fügen Sie dann diese Library Items sowie alle weiteren hinzu, die Ihr IdP für diesen Ablauf benötigt (zum Beispiel ein **Login Window** Library Item). Ausführliche Informationen finden Sie unter [Library Items während des Setup Assistant installieren](/de/endpoint/enrollment/apple/configuring-apple-enrollment#install-library-items-during-setup-assistant). Wenn ein Gerät bei **Configuring** hängen bleibt, lesen Sie [Im Setup Assistant festgehaltene Geräte manuell freigeben](/de/endpoint/enrollment/apple/configuring-apple-enrollment#manually-release-devices-held-in-setup-assistant).
  </Step>
</Steps>

## Webanmeldung (macOS 27 und höher)

**Mac macOS 27 and later** wird in zwei Fällen angezeigt.

Wenn **Authentifizierungsmethode** auf **OpenID** gesetzt ist, werden **Allow web login password sync** und **Zulassungsliste für Webanmeldungs-URLs** angezeigt. **Zulassungsliste für Webanmeldungs-URLs** erfordert mindestens eine URL. **Allow web login password sync** ist optional.

Wenn **Authentifizierungsmethoden für neue Benutzer** **OpenID** enthält und **Authentifizierungsmethode** auf **Kennwort**, **User Secure Enclave Key** oder **Smart Card** gesetzt ist, zeigt der Abschnitt nur **Zulassungsliste für Webanmeldungs-URLs** an. Wählen Sie **Hinzufügen** und geben Sie mindestens eine Web-Login-URL ein.

<Steps>
  <Step title="Allow web login password sync festlegen">
    **Allow web login password sync** wird nur angezeigt, wenn **Authentifizierungsmethode** auf **OpenID** gesetzt ist. Es synchronisiert das Passwort aus dem Web-Login mit dem Passwort des lokalen Kontos. Es ist ab macOS 27 verfügbar. Der Standardwert ist **Nicht konfiguriert**.

    * **Nicht konfiguriert**: Iru sendet diese Einstellung nicht.
    * **Ja**: Der Mac erkennt das Passwort beim Web-Login und synchronisiert es mit dem Passwort des lokalen Kontos.
    * **Nein**: Der Mac synchronisiert das Web-Login-Passwort nicht mit dem Passwort des lokalen Kontos.
  </Step>

  <Step title="Web-Login-URLs hinzufügen">
    **Zulassungsliste für Webanmeldungs-URLs** ist die Liste der Hosts, die der Mac in der Platform SSO-Webansicht laden darf. Mindestens eine Web-Login-URL ist erforderlich. Wählen Sie **Hinzufügen** und geben Sie dann eine Web-Login-URL ein. Geben Sie Schema und Host an, z. B. `https://login.example.com`. Wiederholen Sie dies für jeden Host. Platzhalter werden nicht unterstützt.
  </Step>

  <Step title="Library Item speichern">
    Wählen Sie die Schaltfläche **Speichern**.
  </Step>
</Steps>

Informationen zu Microsoft Entra ID-spezifischen Library Items und Werten finden Sie unter [Platform SSO mit Entra ID konfigurieren](/de/endpoint/library/library-items-profiles/configure-the-platform-sso-with-microsoft-entra-id-library-item).