Skip to main content
Diese Anleitung gilt für Mac-Computer

​
Über Passport

Passport ist eine Funktion von Iru Endpoint, mit der sich Benutzer mit den Anmeldedaten des Identitätsanbieters (IdP) ihrer Organisation statt mit separaten lokalen Passwörtern an Mac-Computern anmelden können. Passport verbindet den IdP mit der macOS-Anmeldung.

Wichtiges Entra ID-Passport-Update

Ab dem 15. Juni 2026 behandelt Microsoft Entra ID den bedingten Zugriff für die Passport-Anmeldung anders.
  • Mac-Anmeldung: Unter Entra ID Passport Mac-Anmeldung erfahren Sie, ob Ihr Mandant betroffen ist und was Sie vor diesem Datum aktualisieren müssen.
  • Webanmeldung: Aktualisierungen sind nur erforderlich, wenn Sie Webanmeldung verwenden und Passport im bedingten Zugriff von MFA ausnehmen möchten. Siehe Entra ID Passport Webanmeldung.
Microsoft erläutert die Änderung in dieser Dokumentation.

​
Funktionsweise

Passport wird in Ihren Identitätsanbieter (IdP) integriert, um Benutzer am macOS-Anmeldebildschirm zu authentifizieren. Wenn Benutzer ihre IdP-Anmeldedaten eingeben, überprüft Passport diese anhand des Identitätssystems Ihrer Organisation und erstellt oder aktualisiert das lokale Mac-Benutzerkonto entsprechend. Weitere Informationen dazu, wie Passport mit anderen Funktionen von Iru Endpoint und macOS zusammenwirkt, finden Sie unter Passport-Kompatibilität mit macOS- und Iru Endpoint-Funktionen.

​
Ihren IdP für Passport einrichten

Richten Sie Ihren Identitätsanbieter für Passport ein, bevor Sie das Library Item in Iru Endpoint konfigurieren. Je nach IdP und Authentifizierungsmodus benötigen Sie die richtigen Werte für die Eingabe in Iru Endpoint, z. B. die OIDC-Well-known-Konfigurations-URL (Aussteller-Metadaten-URL), die Client-ID der Anwendung und, falls Ihre Einrichtung dies erfordert, Client-Secrets und Redirect-URIs. Verwenden Sie die Anleitung für Ihren IdP:

Passport-Konfiguration mit Google Workspace

Secure LDAP- und Zertifikatseinrichtung für Google Workspace.

Passport-Konfiguration mit Okta

Einrichtung der OIDC-Anwendung und des Passport Library Item für Okta.

Passport mit Microsoft Entra ID konfigurieren – Webanmeldung

Verwenden Sie diese Anleitung, wenn Sie MFA mit Passport benötigen.

Passport mit Microsoft Entra ID konfigurieren – Mac-Anmeldung

Verwenden Sie diese Anleitung, wenn Sie kein MFA mit Passport benötigen.

Passport-Konfiguration mit OneLogin

Einrichtung der OIDC-Anwendungen und des Passport Library Item für OneLogin.
Wenn Sie in Iru Endpoint Sonstige als Identitätsanbieter verwenden, entnehmen Sie der Dokumentation Ihres Anbieters die Aussteller-URL .well-known/openid-configuration und die Client-Einstellungen, die zu Webanmeldung oder Mac-Anmeldung in Ihrem Passport Library Item passen.

​
Ein Passport Library Item erstellen

1

Library Item hinzufügen

Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, folgen Sie den Schritten im Artikel Library-Übersicht.
2

Name und Blueprints konfigurieren

Geben Sie dem neuen Passport Library Item einen aussagekräftigen Name und weisen Sie es den gewünschten Blueprints zu.
3

Einstellungen abschließen und speichern

Fahren Sie mit Authentifizierungskonfiguration, Benutzerbereitstellung, Zugriff, Login window und Help window fort, wie weiter unten in diesem Artikel beschrieben. Wenn Sie fertig sind, wählen Sie im Library Item Speichern aus.

​
Authentifizierungskonfiguration

1

Identity Provider auswählen

Wählen Sie unter Einstellungen im Bereich Authentifizierungskonfiguration die Option Identitätsanbieter und anschließend Ihren IdP aus.
2

Google Workspace: Zertifikat hochladen

Wenn Sie einen anderen Identitätsanbieter als Google Workspace verwenden, überspringen Sie diesen Schritt und fahren Sie unten mit Identitätsanbieter-URL eingeben fort.Laden Sie das komprimierte Zertifikat Ihres Secure LDAP-Clients unter Authentifizierungskonfiguration hoch. Springen Sie weiter zu Benutzerbereitstellung.
3

Identitätsanbieter-URL eingeben

Geben Sie im Feld Identitätsanbieter-URL den OIDC-Well-known-Konfigurationsendpunkt des IdP ein. Das erwartete URL-Muster hängt von Ihrem IdP ab; verwenden Sie die Registerkarte, die Ihrer Auswahl unter Identitätsanbieter entspricht.
Wenn Sie Ihre Mandanten-ID nicht kennen, folgen Sie diesen Anweisungen, um sie zu finden.
4

Client ID (Kennwortsynchronisierung) eingeben

Geben Sie im Feld Client ID (Password Sync) die Client-ID der OIDC-Anwendung ein, die auf der Plattform des Identitätsanbieters konfiguriert ist.
Passport-Konfigurationsoberfläche mit den Feldern Identity Provider URL und Client ID (Password Sync)
5

Authentifizierungsmodus auswählen

Die beiden Modi funktionieren im Mac-Anmeldefenster unterschiedlich:
  • Webanmeldung: Passport zeigt eine Webansicht der Anmeldeseite Ihres IdP an. Benutzer schließen die IdP-Anmeldung (einschließlich Multi-Faktor-Authentifizierung, wenn Ihr IdP dies erfordert) in dieser Ansicht ab. Wenn Ihre Organisation es zulässt, können sie sich lokal anmelden.
  • Mac-Anmeldung: Passport zeigt nur die Felder für Mac-Benutzername und -Passwort an. Benutzer geben dort ihre IdP-Anmeldedaten ein; Passport prüft sie beim IdP, ohne den vollständigen Web-Anmeldeablauf des IdP im Anmeldefenster auszuführen.
Verwenden Sie Webanmeldung, wenn Passport bei der Mac-Anmeldung MFA mit Ihrem IdP unterstützen soll. Verwenden Sie Mac-Anmeldung, wenn Passport MFA auf diese Weise für Ihre Bereitstellung nicht unterstützen muss.
Wenn FileVault auf Automatische FileVault-Anmeldung nicht zulassen eingestellt und Webanmeldung ausgewählt ist, müssen sich Benutzer nach dem Einschalten oder Neustarten des Geräts insgesamt dreimal authentifizieren.
6

Redirect URI konfigurieren (falls zutreffend)

Wenn Sie Webanmeldung ausgewählt haben, geben Sie die Redirect-URI im Feld Redirect URI ein, wie im Konfigurationsartikel Ihres IdP beschrieben.
7

Client secret eingeben (falls zutreffend)

Wenn Ihre IdP-OIDC-App ein Client-Secret verwendet, geben Sie es im Feld Client secret (optional) ein. Dies gilt für Mac-Anmeldung oder Webanmeldung, wenn Ihre App im IdP mit einem Secret konfiguriert ist (beispielsweise verwenden manche Web-Login-Apps einen vertraulichen Client). Wenn Sie unsicher sind, folgen Sie dem Konfigurationsartikel Ihres IdP.
Wenn Sie Microsoft Entra ID verwenden, ist das „Client Secret“ der Client Secret Value, nicht die Client Secret ID. Die Verwendung der Client Secret ID führt zu Anmeldefehlern.

​
Benutzerbereitstellung

Konfigurieren Sie die Einstellungen zur Benutzerbereitstellung, die angewendet werden sollen, wenn sich ein Benutzer zum ersten Mal am Mac anmeldet. Sie können steuern, wie Kontotypen zugewiesen werden und was geschehen soll, wenn ein Konto bereits vorhanden ist.
Passport verwendet zwei Attribute eines lokalen Mac-Benutzerkontos (die Sie mit dem Befehl dscl oder der App „Verzeichnisdienste“ anzeigen können):
  • dsAttrTypeNative:io.kandji.KandjiLogin.LinkedAccount: enthält einen eindeutigen, für das IdP-Konto spezifischen Wert; dieser variiert und kann eine Zahl, eine E-Mail-Adresse oder eine eindeutige Kennung sein
  • dsAttrTypeNative:io.kandji.KandjiLogin.LinkedAccountName: enthält einen Wert aus dem RecordName-Attribut des verknüpften Benutzerkontos, z. B. eine E-Mail-Adresse
Passport fügt dem RecordName-Attribut außerdem einen zusätzlichen Wert hinzu, nämlich die E-Mail-Adresse des IdP-Kontos.Wenn Passport ein neues lokales Benutzerkonto erstellt, erstellt Passport das lokale Mac-Konto mit den entsprechenden Attributen und Werten.Wenn Passport mit einem vorhandenen lokalen Benutzerkonto verknüpft wird, fügt Passport dem vorhandenen RecordName-Attribut einen Wert hinzu und ergänzt das vorhandene lokale Benutzerkonto um die zwei zusätzlichen Attribute und Werte.
Unter Benutzerbereitstellung bietet das Dropdown-Menü Benutzerkontotyp die Optionen Administrator (Standard), Standard und Pro Identitätsanbietergruppe angeben. Wenn Passport neue lokale Benutzerkonten erstellt, richtet sich deren Typ nach dieser Einstellung.
  • Wenn Sie Administrator oder Standard auswählen, prüft Passport die Berechtigungen eines lokalen Kontos bei der ersten Passport-Anmeldung.
  • Wenn Sie Pro Identitätsanbietergruppe angeben auswählen, um den Typ des neuen Kontos anhand der IdP-Gruppenmitgliedschaft zu konfigurieren:
    • Wenn Benutzerkontotyp auf Pro Identitätsanbietergruppe angeben eingestellt ist, öffnen Sie das darunterliegende Dropdown-Menü für den Kontotyp und wählen Sie Administrator oder Standardbenutzer aus. Wenn ein Benutzer einer weiter unten stehenden Zeile unter Identitätsanbietergruppe entspricht, verwendet Passport stattdessen den Kontotyp dieser Zeile.
    • Stellen Sie sicher, dass die Gruppe im Feld Identitätsanbietergruppe in Iru Endpoint mit der Gruppe in Ihrem IdP übereinstimmt
      • Verwenden Sie für Microsoft Entra ID gemäß den Empfehlungen von Microsoft die Objekt-ID der Entra ID-Gruppe statt des Gruppennamens.
      • Für Google Workspace sollte der eingegebene Name das E-Mail-Präfix der Gruppe in Google sein und nicht der Name der Gruppe.
    • Wenn ein Benutzer in einer Gruppe als Administrator und in einer anderen als Standardbenutzer festgelegt ist, ist der Kontotyp dieses Benutzers Administrator.
    • Wenn Pro Identitätsanbietergruppe angeben ausgewählt ist, prüft Passport die Gruppenmitgliedschaft des Benutzers bei jeder Anmeldung. Passport aktualisiert den Kontotyp des Benutzers, wenn Sie eine Änderung der Gruppenmitgliedschaft oder der Konfiguration vornehmen, durch die ein Benutzer:
      • von einem Standardkonto zu einem Administratorkonto wechselt
      • von einem Administratorkonto zu einem Standardkonto wechselt (diese Änderung zwingt den Benutzer, seinen Mac neu zu starten, um das Benutzerkonto herabzustufen und sicherzustellen, dass die Änderung wirksam ist)
Wählen Sie aus, ob dem Benutzer die Option angeboten wird, sein IdP-Konto mit einem vorhandenen lokalen Benutzer zu verknüpfen. Diese Option wird nur einmal angezeigt.
  • Immer. Dies ist die Standardeinstellung. Wenn sich ein Benutzer mit seinen IdP-Anmeldedaten am Mac anmeldet, fordert Passport ihn auf, ein vorhandenes lokales Mac-Konto für die Verknüpfung auszuwählen. Diese Option eignet sich, wenn Sie nicht sicher sind, ob die IdP-Kontonamen Ihrer Benutzer mit ihren Mac-Kontonamen übereinstimmen. Wenn Immer ausgewählt ist, sehen Sie zwei zusätzliche Optionen:
    • Verknüpfung mit einem vorhandenen lokalen Benutzer verlangen: Der Benutzer muss sein IdP-Konto mit einem vorhandenen lokalen Benutzerkonto verknüpfen.
    • Lokale Benutzer ausschließen: Schließen Sie bestimmte Konten aus der Liste der lokalen Benutzer aus, die bei der ersten Anmeldung des Benutzers verknüpft werden können. Geben Sie unter Local user short name einen Kurznamen ein und wählen Sie Add user, wenn Sie mehr als eine Zeile benötigen. Ein häufiger Anwendungsfall ist, zu verhindern, dass der Benutzer zur Verknüpfung mit einem IT-Admin- oder Dienstkonto aufgefordert wird.
  • Wenn ein lokaler Benutzername übereinstimmt. Wenn sich ein Benutzer mit seinen IdP-Anmeldedaten am Mac anmeldet, findet Passport automatisch das Mac-Konto mit dem passenden Benutzernamen und fordert den Benutzer zur Verknüpfung auf. Der Benutzer hat nicht die Möglichkeit, ein anderes Konto zu verknüpfen.
  • Nie. Wenn sich ein Benutzer mit seinen IdP-Anmeldedaten anmeldet, erstellt Passport unabhängig von vorhandenen Konten ein neues Benutzerkonto auf dem Mac.

​
Zugriff

Konfigurieren Sie, welche Benutzer sich am Mac anmelden können, sowie das Verhalten der automatischen FileVault-Anmeldung. Ausführliche Informationen zur Passwortverwaltung finden Sie unter Passwörter mit Passport verwalten.
Diese Einstellungen gelten nur für neue oder vorhandene Passport-Benutzer, die sich beim IdP authentifiziert haben. Verwenden Sie Local user access unten, um die Anmeldung anderer lokaler Benutzer zu steuern.
  • Allow all users to log in erlaubt allen IdP-Benutzern, sich im Passport-Anmeldefenster am Mac anzumelden.
  • Specify which IdP users can log in erlaubt nur den von Ihnen angegebenen Benutzern, sich im Passport-Anmeldefenster am Mac anzumelden.
    • Dem Geräteeintrag zugewiesenen Benutzer automatisch einschließen: Erlaubt automatisch dem Benutzer, der dem Gerätedatensatz in Iru Endpoint zugewiesen ist, sich anzumelden.
    • Zusätzliche IdP-Benutzer angeben: Erlaubt bestimmten IdP-Benutzern die Anmeldung, auch wenn sie nicht dem Gerätedatensatz in Iru Endpoint zugewiesen sind.
Wählen Sie aus, ob sich vorhandene lokale Benutzer anmelden können oder ob der Zugriff auf lokale Administratoren oder bestimmte lokale Benutzer beschränkt ist.
  • Allow all local users to log in erlaubt allen lokalen Benutzern, sich im Passport-Anmeldefenster am Mac anzumelden. Wenn der Mac mit einem Netzwerk verbunden ist und den IdP erreichen kann, prüft Passport die Anmeldedaten des Benutzers beim IdP. Wenn der Mac nicht mit einem Netzwerk verbunden ist, kann sich der Benutzer mit den Anmeldedaten seines lokalen Mac-Kontos anmelden. Dies ist die Standardeinstellung.
  • Allow local administrators to log in erlaubt nur lokalen Administratoren, sich im Passport-Anmeldefenster am Mac anzumelden.
  • Specify which local users can log in erlaubt nur den von Ihnen angegebenen Benutzern, sich im Passport-Anmeldefenster am Mac anzumelden.
Diese Optionen steuern die FileVault-Pass-Through-Authentifizierung (auch automatische FileVault-Anmeldung genannt): ob Benutzer FileVault entsperren und den Schreibtisch ohne separate Anmeldung im Passport-Fenster erreichen können.
  • Automatische FileVault-Anmeldung zulassen: Benutzer melden sich nur im FileVault-Anmeldefenster an. Sie sehen das Passport-Anmeldefenster nur, wenn sie sich abmelden. Das FileVault-Anmeldefenster prüft Anmeldedaten nicht bei einem IdP.
  • Automatische FileVault-Anmeldung nicht zulassen: Dies ist die Standardeinstellung. Benutzer sehen das Passport-Anmeldefenster, wenn sie ihren Mac einschalten. Sie melden sich im FileVault-Anmeldefenster und erneut im Passport-Anmeldefenster an.
Wenn Automatische FileVault-Anmeldung nicht zulassen ausgewählt ist, authentifizieren sich Benutzer nach jedem Systemneustart im FileVault-Fenster und erneut im Passport-Anmeldefenster.
Speichern Sie optional das aktuelle Passwort des Benutzers in einem dedizierten Schlüsselbund, damit Passport Passwortänderungen im Anmeldefenster nach Möglichkeit ohne zusätzliche Aufforderungen verarbeiten kann.
  • Passwort sicher speichern: Speichert die IdP-Anmeldedaten des Benutzers in einem dedizierten Schlüsselbund auf seinem Mac, um Passwortänderungen zu erleichtern. Wenn der Benutzer sein Passwort beim IdP ändert und sich dann am Mac anmeldet, muss er nur seine neuen Anmeldedaten eingeben; Passport aktualisiert das Mac-Passwort unbemerkt. Wenn ein Benutzer bereits angemeldet ist und sein Passwort beim IdP ändert, fordert Passport ihn innerhalb von 5 Minuten auf, sein lokales Passwort zu aktualisieren. Der Benutzer muss dabei sein lokales Passwort nicht angeben, sondern nur sein IdP-Passwort eingeben, damit Passport sein lokales Passwort an das IdP-Passwort angleicht. Der Speicherort dieses Schlüsselbunds ist /Library/Keychains/iru.keychain. Wenn Sie diesen Schlüsselbund entfernen, erstellt Passport automatisch einen neuen Schlüsselbund an diesem Ort und verwendet ihn, ohne einen Fehler oder eine Benachrichtigung für den Benutzer zu erzeugen.
    • Webanmeldung Passthrough: Wenn diese Option mit Webanmeldung ausgewählt ist, sehen Benutzer nur bei der ersten Anmeldung einen zusätzlichen Bildschirm zur Passwortüberprüfung. Bei nachfolgenden Anmeldungen wird der Anmeldevorgang nach einer einzigen Authentifizierung im Web-Login-Fenster abgeschlossen.
  • Passwort nicht speichern: Mit dieser Einstellung prüft und erzwingt Passport die Passwortsynchronisierung nur bei der Anmeldung. Wenn ein Benutzer sein Passwort zwischen Anmeldesitzungen ändert, bleibt sein lokales Passwort bis zur nächsten Anmeldung nicht synchron.

​
Anmeldefenster anpassen

Sie können das Passport-Anmeldefenster für Ihre Benutzer anpassen. Wählen Sie Anpassen, um die Seitenleiste Customize login window mit den folgenden Optionen einzublenden:
  • Logo anzeigen: Zeigen Sie das Logo Ihrer Organisation im Anmeldefenster an. Wenn das Passport Library Item Webanmeldung verwendet, zeigt Passport statt des Logos die Webansicht an, bis der Benutzer Local Login auswählt; dann erscheint das Logo wieder zusammen mit den Feldern für Benutzername und Passwort.
  • Logo: Verwenden Sie eine PNG-Datei mit 128 x 128 Pixeln und transparentem Hintergrund. Ziehen Sie die Datei in den Upload-Bereich oder wählen Sie upload. JPEG und PNG werden akzeptiert.
  • Schreibtischbild anpassen: Aktivieren Sie diese Option, um ein Bild für den Hintergrund des Anmeldefensters hochzuladen.
  • Schreibtischbild: Empfohlen wird eine JPEG- oder PNG-Datei mit 3840 x 2160 Pixeln. Ziehen Sie die Datei in den Upload-Bereich oder wählen Sie upload.
Legen Sie fest, welche Energieoptionen im Anmeldefenster verfügbar sind. Standardmäßig sind alle drei aktiviert.
  • Schaltfläche „Ausschalten“
  • Schaltfläche „Neustart“
  • Schaltfläche „Ruhezustand“
  • Benutzernamenbeschriftung anpassen: Fügen Sie eine benutzerdefinierte Beschriftung hinzu, die im Feld für den Benutzernamen angezeigt wird. Bis zu 83 Zeichen.
  • URL zum Zurücksetzen des Passworts einschließen: Ermöglichen Sie Benutzern, ihre Passwörter im Anmeldefenster zurückzusetzen. Geben Sie die vollständige URL ein, z. B. einen Wert, der mit https:// beginnt.

​
Hilfefenster anpassen

Benutzer wählen das Hilfe-Steuerelement ? unten links im Passport-Anmeldefenster aus. Das sich öffnende Hilfefenster hat oben drei Registerkarten: Support, Device info und About, entsprechend dem, was Sie hier konfigurieren. Wählen Sie im Passport Library Item Anpassen, um die Seitenleiste Customize Help window zu öffnen.
  • Header: Erforderlich. Bis zu 30 Zeichen. Dieser Text erscheint als Hauptüberschrift auf der Registerkarte Support, z. B. Contact us.
  • Textkörper (optional): Bis zu 250 Zeichen. Dieser Text erscheint unter der Überschrift, z. B. Anweisungen, sich bei Anmeldeproblemen an die IT-Abteilung der Organisation zu wenden.
Aktivieren oder deaktivieren Sie die einzelnen Schalter, um zu steuern, ob die jeweilige Zeile auf der Registerkarte Device info angezeigt wird. Standardmäßig sind alle diese Optionen aktiviert.
  • Seriennummer
  • IP-Adresse
  • Hostname
  • macOS-Version
  • Modellinformationen
Zeigt den Namen Passport, eine Zeile Version mit der Build-Nummer und den Iru-Copyright-Hinweis an, ähnlich wie ein standardmäßiges macOS-Fenster „Über“.

​
Passport testen

Beim Testen von Passport:
  • Sie können den Befehl sudo iru library verwenden, um die Anwendung der neuen Passport-Library-Item-Konfiguration nach Änderungen zu erzwingen.
  • Sie können ein mit Passport verknüpftes Benutzerkonto über die Einstellungen „Benutzer:innen & Gruppen“ (bzw. die Systemeinstellung „Benutzer & Gruppen“) löschen.
  • Nachdem Sie diese Schritte ausgeführt haben, können Sie sich gefahrlos abmelden und dann versuchen, sich mit den neuen Passport-Einstellungen und den Anmeldedaten eines Test-IdP-Benutzerkontos erneut anzumelden.

​
Verwandte Artikel

Passwörter mit Passport verwalten

So verwalten Sie Passwörter mit Passport.

Passport-Kompatibilität mit macOS- und Iru Endpoint-Funktionen

Passport-Kompatibilität mit macOS- und Iru-Funktionen