Skip to main content
Diese Anleitung gilt für Mac-Computer

​
Über die Passwortverwaltung mit Passport

Die Passwortverwaltung von Passport beschreibt, wie Passport die Passwortsynchronisierung zwischen Ihrem Identitätsanbieter und lokalen Mac-Benutzerkonten handhabt. Dazu gehören automatische Passwortaktualisierungen, sichere Speicherung und Funktionen zum Zurücksetzen von Passwörtern. Informationen zur Einrichtung und Konfiguration des Library Item finden Sie unter Das Passport Library Item konfigurieren.

​
Funktionsweise

Passport kann Benutzeranmeldedaten sicher speichern und Passwortänderungen automatisch zwischen Ihrem Identitätsanbieter (IdP) und dem lokalen Mac-Konto synchronisieren. Wenn Benutzer ihr IdP-Passwort ändern, kann Passport diese Änderung erkennen und das lokale Mac-Passwort aktualisieren, sodass beide synchron bleiben.

​
Anmeldung, Diagnose und Netzwerk

Mit der vollständigen E-Mail-Adresse anmelden

Geben Sie im Passport-Anmeldefenster immer die vollständige E-Mail-Adresse des Benutzers in das Feld für den Benutzernamen ein, damit die Sitzung Ihren IdP statt der lokalen Authentifizierung verwendet. Wie das Anmeldefenster und die Sichtbarkeitseinstellungen mit Passport zusammenwirken, erfahren Sie unter Passport-Kompatibilität.

Passport Diagnostics verwenden

Wenn sich ein Benutzer nicht anmelden kann oder die Passwortsynchronisierung fehlerhaft erscheint, öffnen Sie Iru Endpoint Passport Diagnostics auf dem Mac mit Command-Shift-K-L. Das Fenster zeigt nützliche Details an, einschließlich der von Ihrem IdP zurückgegebenen Fehlermeldungen.

Netzwerkverbindung bestätigen

Passport muss Ihren IdP erreichen, um Anmeldedaten zu validieren und Passwörter zu synchronisieren. Wenn Sie das Passport-Anmeldefenster anpassen, aktivieren Sie den Netzwerkmanager, damit Benutzer bei Bedarf einem WLAN beitreten können. Die Steuerung berücksichtigt die AirPort-Sicherheitseinstellungen in macOS.

WLAN-Einschränkungen und Isolationstests

Passport zeigt oben rechts im Anmeldefenster ein WLAN-Symbol an; Benutzer können es auswählen, um einem passwortgeschützten Netzwerk beizutreten. Passport unterstützt keine Captive Portals, Click-Through-Bestätigungsseiten oder Enterprise-802.1X-Netzwerke, die in diesem Ablauf einen separaten Benutzernamen und ein separates Passwort erfordern. Um Netzwerkprobleme einzugrenzen, testen Sie im Passport-Anmeldefenster mit einem mobilen Hotspot oder kabelgebundenem Ethernet. Weitere Informationen zu WLAN im Anmeldefenster finden Sie unter Passport-Kompatibilität.

​
Nachnamen (familyName) in Ihrem IdP sicherstellen

Passport erfordert einen familyName-Wert in den Benutzerattributen des IdP. Füllen Sie Last name oder das entsprechende Nachnamenfeld für jedes Konto aus, das sich mit Passport anmeldet, einschließlich Dienstkonten, mit denen Sie testen.

​
Passwortkonfiguration

​
Empfohlene Konfiguration der Passwortsynchronisierung

Um Benutzern die größtmögliche Selbstständigkeit zu geben und passwortbezogene Supportanfragen zu reduzieren, konfigurieren Sie Folgendes im Passport Library Item.
  1. Aktivieren Sie die Passwortsynchronisierung. Setzen Sie im Passport Library Item im Abschnitt Access die Option Store user password auf Securely store password, damit Passport IdP- und lokale Passwörter automatisch synchronisieren kann. Weitere Informationen zur Synchronisierung finden Sie unter Passwortsynchronisierung mit dem Identitätsanbieter.
  2. Legen Sie die URL zum Zurücksetzen des Passworts im Anmeldefenster fest. Konfigurieren Sie unter Anmeldefenster anpassen die Option Include password reset URL, damit Benutzer ihr IdP-Passwort im Anmeldefenster oder in der Iru Endpoint-Menü-App zurücksetzen können, ohne den Support zu kontaktieren.
Sie können jede Einstellung auch einzeln aktivieren, erhalten dann aber nicht beide Verhaltensweisen. Nur mit Passwortsynchronisierung werden Änderungen automatisch synchronisiert, Benutzer können ihr Passwort jedoch nicht über die IdP-URL zurücksetzen. Nur mit der URL zum Zurücksetzen des Passworts können Benutzer ihr IdP-Passwort zurücksetzen, ihr lokales Mac-Passwort wird jedoch nicht synchronisiert.

​
Konflikte zwischen Passport und Passcode

Es wird dringend empfohlen, das Passcode Library Item aus jedem Blueprint zu entfernen, der Passport enthält. Ihr IdP sollte die Passwortanforderungen verwalten; andernfalls wird Benutzern möglicherweise der unten stehende Fehler angezeigt. Weitere Informationen finden Sie unter Passport-Kompatibilität.
Wenn das Passcode-Profil eine strengere Passwortanforderung als der IdP anwendet, erscheint im Passport-Anmeldefenster folgende Meldung:
Dem Benutzer angezeigte MeldungThe password you entered doesn’t yet meet the passcode policy requirements for this Mac; please contact your IT administrator for help.Dieser Mac hat eine lokale Passcode-Richtlinie, die für Passwörter gilt, die seit Einführung der Richtlinie geändert oder erstellt wurden. Dies tritt häufig auf, wenn die Passcode-Richtlinie des Mac mit der Passcode-Richtlinie des Identitätsanbieters in Konflikt steht. Um dieses Problem zu beheben, entfernen Sie das Passcode Library Item aus allen Blueprints, die auch Passport enthalten.

​
Passworterfahrung

​
Empfohlene Reihenfolge für Passwortänderungen

Für das beste Ergebnis sollten Benutzer ihr Passwort in dieser Reihenfolge ändern oder zurücksetzen:
  1. Ihr Passwort beim IdP Ihrer Organisation ändern.
  2. Wenn eine Passport-Reset-URL konfiguriert ist, können Benutzer ihr IdP-Passwort über die Iru Endpoint-Menü-App oder das Passport-Anmeldefenster zurücksetzen.
  3. Passport das lokale Mac-Passwort angleichen lassen (Passport fordert den Benutzer dazu auf oder aktualisiert es automatisch).

​
Passwort in der Iru Endpoint-Menü-App zurücksetzen

Benutzer können ihr IdP-Passwort im Iru Endpoint-Menü zurücksetzen, indem sie das Zahnradsymbol und dann die Option Passwort zurücksetzen… auswählen. Sie werden zur Passport-Reset-URL weitergeleitet, die in Ihrem Passport Library Item festgelegt ist.
  • Voraussetzung: Die Option Passwort zurücksetzen… wird nur angezeigt, wenn der Benutzer mit seiner vollständigen E-Mail-Adresse angemeldet ist.
Um Benutzer durch die Schritte zu führen, teilen Sie den Abschnitt Passwort über die Menüleiste zurücksetzen (bei angemeldetem Benutzer) aus dem Artikel „Benutzererfahrung mit Passport“.

​
Passwort im Passport-Anmeldefenster zurücksetzen

Wenn die URL zum Zurücksetzen des Passworts im Passport Library Item konfiguriert ist, zeigt Passport einen Link zum Zurücksetzen an, nachdem ein Benutzer im Passport-Anmeldefenster (lokal) dreimal ein falsches IdP-Passwort eingegeben hat. Um Benutzer durch die Schritte zu führen, teilen Sie den Abschnitt Passwort auf dem Anmeldebildschirm zurücksetzen aus dem Artikel „Benutzererfahrung mit Passport“.

​
Passwortsynchronisierung mit dem Identitätsanbieter

Die Einstellung Store user password im Passport Library Item im Abschnitt Access steuert, wie Passport IdP- und lokale Mac-Passwörter synchronisiert. Die beiden Optionen verhalten sich wie folgt.

​
Securely Store Password

Passport speichert Anmeldedaten und kann das lokale Passwort automatisch mit dem IdP-Passwort synchronisieren.
  • Abgemeldet: Wenn ein Benutzer sein IdP-Passwort ändert und sich dann im Passport-Anmeldefenster anmeldet, aktualisiert Passport das lokale Passwort automatisch entsprechend.
  • Angemeldet: Wenn ein Benutzer sein IdP-Passwort ändert, während er angemeldet ist, fordert Passport ihn innerhalb von 5 Minuten auf; der Benutzer gibt nur sein IdP-Passwort ein, und Passport aktualisiert das lokale Passwort.

​
Do Not Store Password

Passport speichert das lokale Passwort nicht. Der Benutzer muss es bei jeder Synchronisierung durch Passport angeben.
  • Abgemeldet: Wenn ein Benutzer sein IdP-Passwort ändert und sich dann im Passport-Anmeldefenster anmeldet, fragt Passport nach seinem lokalen Passwort, bevor es entsprechend aktualisiert wird.
  • Angemeldet: Wenn ein Benutzer sein IdP-Passwort ändert, während er angemeldet ist, fordert Passport ihn innerhalb von 5 Minuten auf; der Benutzer muss sowohl sein lokales Passwort als auch sein IdP-Passwort eingeben, um es zu aktualisieren.
  • Anmeldung mit neuem IdP-Passwort, aber altem lokalem Passwort: Wenn sich der Benutzer mit seinem neuen IdP-Passwort anmeldet und sein lokales Passwort nicht übereinstimmt, fragt Passport nach dem alten lokalen Passwort. Mit Do not store password muss der Benutzer beide Passwörter eingeben.

​
Passwortsynchronisierung mit Okta

Wenn Sie Okta mit Passport verwenden, legen Sie Refresh Token in Ihrer Passport-OIDC-Anwendung wie folgt fest:
  • Refresh Token deaktiviert (empfohlen): Verwenden Sie diese Einstellung, wenn Store user password auf Securely store password eingestellt ist. Wenn Refresh Token aktiviert bleibt, fordert Passport Benutzer nicht zur Aktualisierung ihres Passworts auf, während sie an ihrem Mac angemeldet sind.
  • Refresh Token aktiviert: Verwenden Sie diese Einstellung nur, wenn Store user password auf Do not store password eingestellt ist, um zu vermeiden, dass Benutzer während der Anmeldung wiederholt nach ihren Anmeldedaten gefragt werden.
Informationen zur Einrichtung und zu den Optionen finden Sie unter Passport-Konfiguration mit Okta. Bei Problemen siehe Passport-Fehlerbehebung mit Okta.

​
Passwortänderungen in den Systemeinstellungen

Wenn ein Benutzer sein Passwort lokal in den Systemeinstellungen ändert, ist es nicht mehr mit Passport synchron. Passport fordert den Benutzer dann zur Eingabe seines neuen lokalen Passworts auf, um das lokale Passwort wieder zu synchronisieren, wodurch das lokale Passwort an das IdP-Passwort angeglichen wird. Benutzer sollten ihr Passwort bei ihrem IdP ändern, damit Passport es mit ihrem Mac synchronisieren kann. Um zu verhindern, dass Benutzer ihr Passwort in den Systemeinstellungen ändern, verwenden Sie ein Apple Restrictions Library Item und aktivieren Sie Disallow passcode modification in der Gruppe Passcode & authentication. Wenn diese Einschränkung angewendet wird, ist die Option zum Ändern des Passworts in den Systemeinstellungen für Benutzer inaktiv.

​
Häufigkeit der Passwortprüfung

Passport prüft das Passwort des Benutzers alle 5 Minuten sowie bei jeder Online-Anmeldung im Anmeldefenster. Diese Prüfungen stellen sicher, dass das Passwort des lokalen Kontos und das IdP-Passwort des Benutzers identisch sind. Ist dies nicht der Fall, wird der Benutzer aufgefordert, sein IdP-Passwort anzugeben.

​
Fehlerbehebung

Was Sie sehen:Benutzer sehen keine Möglichkeit, ihr IdP-Passwort im Passport-Anmeldefenster oder in der Iru Endpoint-Menü-App zurückzusetzen.Was zu tun ist:
Was Sie sehen:Der Benutzer muss ein Passwort zurücksetzen, während nur der FileVault-Pre-Boot-Bildschirm angezeigt wird (nach dem Einschalten oder Neustart, vor dem normalen Anmeldebildschirm).Was zu tun ist:
  • Das Startvolume ist noch verschlüsselt, und Iru Endpoint und Passport werden dort nicht ausgeführt, sodass die URL zum Zurücksetzen des Passworts und die Menü-App nicht verwendet werden können. Entsperren Sie mit dem FileVault-Wiederherstellungsschlüssel und setzen Sie das lokale Passwort mit den Schritten unter Wenn FileVault 2 aktiviert ist in Passwort eines macOS-Benutzers zurücksetzen zurück.
  • Nachdem der Benutzer das Passport-Anmeldefenster erreicht hat, kann er das IdP-Passwort über die Reset-URL angleichen, sofern Sie sie konfiguriert haben. Siehe Passwort im Passport-Anmeldefenster zurücksetzen.