Skip to main content
Dieses Library Item ist für Apple-Geräte verfügbar

​
Was ist eine Single Sign-On-Erweiterung?

Eine Single Sign-On-Erweiterung (SSO) ist eine Art von Anwendung für macOS, iOS, iPadOS und visionOS, die das Extensible Enterprise Single Sign-on-Framework von Apple verwendet. Mit diesen Anwendungen bzw. Erweiterungen können Identitätsanbieter (IdPs) Anwendungen entwickeln, die einen Benutzer in nativen macOS-Anwendungen und Browsern angemeldet halten. So können Sie sich einmal bei der Erweiterung anmelden und sind unter macOS, iOS, iPadOS und visionOS authentifiziert. SSO-Erweiterungen können außerdem das lokale macOS-Passwort eines Benutzers mit seinem IdP-Passwort synchronisieren.
Bei der Bereitstellung von Okta Device Trust ist diese Single Sign-On-Erweiterung nicht separat erforderlich, da die Funktionalität der SSO-Erweiterung in der Bereitstellung von Okta Device Trust enthalten ist.

​
Wie kann ich eine Single Sign-On-Erweiterung bereitstellen?

  • Für Erweiterungen unter iOS, iPadOS und visionOS müssen Sie zunächst die App, die die SSO-Erweiterung enthält, über Apps and Books aus Apple Business oder Apple School Manager bereitstellen.
  • Für macOS-Erweiterungen müssen Sie zunächst die App, die die SSO-Erweiterung enthält, über Apps and Books aus Apple Business oder Apple School Manager oder über eine Custom App in Iru bereitstellen.
  • Nach der Bereitstellung der Erweiterung konfigurieren Sie ein Single Sign-On-Profil und stellen es auf den Geräten bereit.

​
Single Sign-On Extension-Profil konfigurieren

Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, befolgen Sie die Schritte im Artikel Library-Übersicht.
1

Library Item benennen

Geben Sie dem neuen Single Sign-On Extension Library Item einen Name.
2

Blueprints zuweisen

Weisen Sie es den gewünschten Blueprints zu.

​
Redirect

1

Erweiterungstyp auswählen

Erweiterungstyp ist die Art der Anmeldeautorisierung. Wählen Sie Redirect.
2

Erweiterungskennung konfigurieren

Extension identifier ist die Bundle-ID der App-Erweiterung, die das Single Sign-On durchführt. Sie finden sie in der Datei info.plist der App.
3

Team Identifier festlegen

Team identifier ist die Team-ID der App-Erweiterung, die das Single Sign-On durchführt. Sie ist erforderlich, wenn das Library Item Mac-Computern zugewiesen ist, und muss eine 10-stellige alphanumerische Zeichenfolge sein.
4

URLs konfigurieren

URLs sind die URL-Präfixe der Identitätsanbieter, für die die Erweiterung die Anmeldung durchführt. Wählen Sie für jedes Präfix Hinzufügen.Abfrageparameter und URL-Fragmente sind nicht zulässig. Jede URL muss mit http:// oder https:// beginnen und unter allen auf dem Gerät installierten Single Sign-On Extension-Profilen eindeutig sein.
5

Abgelehnte Bundle-IDs festlegen

Denied Bundle Identifiers sind Bundle-IDs von Apps, die SSO dieser Erweiterung nicht verwenden sollen. Wählen Sie für jede App Add Bundle Identifier. Dies gilt für iOS 15 und neuer, iPadOS 15 und neuer sowie macOS 12 und neuer.
6

Verhalten bei gesperrtem Bildschirm festlegen

Screen locked behavior legt fest, wie sich die Erweiterung bei gesperrtem Bildschirm verhält. Der Standardwert ist Nicht konfiguriert.
  • Nicht konfiguriert: Iru sendet diese Einstellung nicht.
  • Abbrechen: Authentifizierungsanfragen werden bei gesperrtem Bildschirm abgebrochen.
  • Do not handle: Authentifizierungsanfragen werden bei gesperrtem Bildschirm nicht verarbeitet.
7

Zusätzliche Erweiterungseinstellungen konfigurieren

Wählen Sie Set additional extension configuration, wenn die Erweiterung zusätzliche Konfigurationsdaten benötigt.
Platform SSO ist nur für Redirect verfügbar. Fahren Sie nach diesen Erweiterungseinstellungen mit Platform Single Sign-On konfigurieren fort. Für die anderen Erweiterungstypen gehen Sie zu Credential oder Kerberos.
Wenn Sie OpenID verwenden möchten, wenden Sie sich an Ihren Identitätsanbieter, um zu bestätigen, dass er OpenID mit Platform SSO unterstützt.

​
Credential

Platform SSO ist für Credential nicht verfügbar.
1

Erweiterungstyp auswählen

Wählen Sie für Erweiterungstyp die Option Credential.
2

Erweiterungskennung konfigurieren

Extension identifier ist die Bundle-ID der App-Erweiterung, die das Single Sign-On durchführt. Sie finden sie in der Datei info.plist der App.
3

Team Identifier festlegen

Team identifier ist die Team-ID der App-Erweiterung, die das Single Sign-On durchführt. Sie ist erforderlich, wenn das Library Item Mac-Computern zugewiesen ist, und muss eine 10-stellige alphanumerische Zeichenfolge sein.
4

Realm festlegen

Realm ist optional. Geben Sie den Realm-Namen für die Anmeldeinformationen in korrekter Groß- und Kleinschreibung ein.
5

Hosts festlegen

Hosts sind die Domains oder Hostnamen, die die Erweiterung authentifizieren kann. Wählen Sie für jeden Namen Hinzufügen. Jeder Name muss unter allen auf dem Gerät installierten Single Sign-On Extension-Profilen eindeutig sein.
6

Abgelehnte Bundle-IDs festlegen

Denied Bundle Identifiers sind Bundle-IDs von Apps, die SSO dieser Erweiterung nicht verwenden sollen. Wählen Sie für jede App Add Bundle Identifier. Dies gilt für iOS 15 und neuer, iPadOS 15 und neuer sowie macOS 12 und neuer.
7

Verhalten bei gesperrtem Bildschirm festlegen

Screen locked behavior legt fest, wie sich die Erweiterung bei gesperrtem Bildschirm verhält. Der Standardwert ist Nicht konfiguriert.
  • Nicht konfiguriert: Iru sendet diese Einstellung nicht.
  • Abbrechen: Authentifizierungsanfragen werden bei gesperrtem Bildschirm abgebrochen.
  • Do not handle: Authentifizierungsanfragen werden bei gesperrtem Bildschirm nicht verarbeitet.
8

Zusätzliche Erweiterungskonfiguration festlegen

Wählen Sie Set additional extension configuration, um weitere Konfigurationsdaten einzugeben, die die Erweiterung benötigt.

​
Kerberos

Platform SSO ist für Kerberos nicht verfügbar. Verwenden Sie diese Schritte für die Kerberos-Erweiterung von Apple.
1

Erweiterungstyp auswählen

Wählen Sie für Erweiterungstyp die Option Kerberos.
2

Realm festlegen

Realm ist erforderlich. Geben Sie den Realm-Namen in korrekter Schreibweise ein, z. B. die großgeschriebene Form Ihres Active Directory-Domänennamens. Aus accuhive.io wird beispielsweise ACCUHIVE.IO.
3

Hosts festlegen

Hosts sind die Domains oder Hostnamen, die die Erweiterung authentifizieren kann. Wählen Sie für jeden Namen Hinzufügen. Jeder Name muss unter allen auf dem Gerät installierten Single Sign-On Extension-Profilen eindeutig sein.Sie können Hosts leer lassen. Wenn Unternehmensanwendungen AD FS verwenden und AD FS die Kerberos-Authentifizierung akzeptiert, fügen Sie den AD FS-Host hinzu (zum Beispiel adfs.accuhive.io).
4

Verhalten bei gesperrtem Bildschirm festlegen

Screen locked behavior legt fest, wie sich die Erweiterung bei gesperrtem Bildschirm verhält. Der Standardwert ist Nicht konfiguriert.
  • Nicht konfiguriert: Iru sendet diese Einstellung nicht.
  • Abbrechen: Authentifizierungsanfragen werden bei gesperrtem Bildschirm abgebrochen.
  • Do not handle: Authentifizierungsanfragen werden bei gesperrtem Bildschirm nicht verarbeitet.

​
Passwortoptionen

Aktivieren Sie ein Kontrollkästchen, um die jeweilige Einstellung zu senden. Bei einigen Kontrollkästchen wird ein Feld für einen Wert angezeigt.
  • Disallow automatic login: Passwörter werden nicht im Schlüsselbund gespeichert.
  • Disallow password change: Deaktiviert Passwortänderungen. Verfügbar ab macOS 10.15.
  • Require complex passwords: Passwörter müssen der Active Directory-Definition für komplexe Passwörter entsprechen. Verfügbar ab macOS 10.15.
  • Password history: Geben Sie an, wie viele frühere Passwörter in dieser Domäne nicht wiederverwendet werden dürfen. Verfügbar ab macOS 10.15.
  • Password length: Geben Sie die minimale Passwortlänge in Zeichen für diese Domäne ein. Verfügbar ab macOS 10.15.
  • Sync password with local user: Verwendet das Active Directory-Passwort als Passwort des lokalen Benutzers. Dies funktioniert nicht, wenn der Benutzer mit einem mobilen Account angemeldet ist. Verfügbar ab macOS 10.15.
  • Change password URL: Geben Sie die URL ein, die die Erweiterung bei einer Passwortänderung öffnet. Verfügbar ab macOS 10.15.4.
  • Password expiration notification: Geben Sie an, wie viele Tage vor Ablauf des Passworts Benutzer Benachrichtigungen erhalten.
  • Minimum password age: Geben Sie das Mindestalter in Tagen an, bevor ein Passwort in dieser Domäne geändert werden kann.

​
Erweitert

Aktivieren Sie ein Kontrollkästchen, um die jeweilige Einstellung zu senden. Bei einigen Kontrollkästchen wird ein Feld für einen Wert angezeigt.
  • Bundle ID access: Wählen Sie für jede Bundle-ID, die auf das Ticket-Granting Ticket (TGT) zugreifen darf, Hinzufügen.
  • Autofill username: Geben Sie den Prinzipalnamen ein. Geben Sie den Realm nicht an.
  • Default realm: Verwenden Sie diesen Realm, wenn mehr als eine Kerberos-Erweiterungskonfiguration installiert ist.
  • Require user presence: Der Benutzer muss Touch ID, Face ID oder seinen Code angeben, um auf den Schlüsselbundeintrag zuzugreifen.
  • Site Code: Geben Sie den Active Directory-Standort ein, den die Kerberos-Erweiterung verwenden soll. Die meisten Administratoren können dies leer lassen. Die Erweiterung kann den Standort normalerweise automatisch ermitteln.
  • Disable Autodiscover for site name: Die Erweiterung verwendet weder LDAP noch DNS, um ihren Active Directory-Standortnamen zu ermitteln.
  • Custom Username Label: Geben Sie die Bezeichnung ein, die anstelle von Benutzername angezeigt wird, z. B. Firmen-ID. Verfügbar ab macOS 11.
  • Delay User Setup: Der Benutzer wird erst dann zur Einrichtung der Kerberos-Erweiterung aufgefordert, wenn ein Administrator sie mit dem Tool app-sso aktiviert oder eine Kerberos-Challenge empfangen wird. Verfügbar ab macOS 11.
  • Help Text: Geben Sie den Text ein, der am unteren Rand des Kerberos-Anmeldefensters angezeigt wird, z. B. Hilfeinformationen oder einen Haftungsausschluss. Verfügbar ab iOS 14 und macOS 11.
  • Include Managed Apps in Bundle ACL: Nur verwaltete Apps können zusätzlich zu den Bundle-IDs unter Bundle ID access auf die Anmeldeinformationen zugreifen und sie verwenden. Verfügbar ab iOS 14.
  • Disable Monitor Credentials Cache: Die Anmeldeinformationen werden bei der nächsten passenden Kerberos-Challenge oder Netzwerkänderung angefordert. Wenn sie abgelaufen sind oder fehlen, werden neue erstellt. Verfügbar ab macOS 11.
  • Disallow smart card: Der Benutzer kann die Oberfläche nicht in den Smartcard-Modus umschalten. Verfügbar ab macOS 15.
  • Disallow password: Der Benutzer kann die Oberfläche nicht in den Passwortmodus umschalten. Verfügbar ab macOS 15.
  • Start in smart card mode: Die Oberfläche startet im Smartcard-Modus. Verfügbar ab macOS 15.
  • Smart Card Identity Issuer Auto Select Filter: Geben Sie eine Zeichenfolge mit Platzhaltern ein, um verfügbare Smartcards nach Aussteller zu filtern. Wenn eine Karte übrig bleibt, wird sie automatisch ausgewählt. Wenn mehrere übrig bleiben, wird die Liste kürzer.