Diese Anleitung gilt für Mac-Computer
Über Passport mit Microsoft Entra ID Mac-Anmeldung
Passport mit Microsoft Entra ID Mac-Anmeldung meldet Benutzer im Mac-Anmeldefenster mit ihrem Microsoft Entra ID-Benutzernamen und -Passwort an. Für Webanmeldung (Microsoft Entra ID-Anmeldung in der Passport-Webansicht, auch wenn Sie MFA benötigen) verwenden Sie Passport mit Microsoft Entra ID konfigurieren – Webanmeldung.Funktionsweise
Passport wird in Ihren Microsoft Entra ID-Mandanten integriert, um Benutzer am macOS-Anmeldebildschirm mit den Standardfeldern für Benutzername und Passwort zu authentifizieren. Wenn Benutzer ihre Entra ID-Anmeldedaten eingeben, überprüft Passport diese anhand Ihres Mandanten und erstellt oder aktualisiert das lokale Mac-Benutzerkonto.Voraussetzungen
- Zugriff auf ein Microsoft Entra ID-Administratorkonto, das der Passport-App die richtigen Berechtigungen erteilen kann.
- Microsoft Entra ID
- Iru Endpoint
Iru EndpointDie App-Registrierung erstellen
1
Beim Microsoft Entra Admin Center anmelden
Melden Sie sich mit einem Global Administrator-Konto beim Microsoft Entra Admin Center an.
2
Zu Identity navigieren
Öffnen Sie das Portalmenü und wählen Sie dann Identity aus.
3
App registrations öffnen
Wählen Sie im Menü Identity unter Anwendungen die Option App registrations aus.
4
Neue Registrierung starten
Wählen Sie auf der Seite App registrations im Menü + New registration aus.
5
Anwendungsdetails konfigurieren
Geben Sie im Dialog Register an application einen Namen für die neue Anwendung ein (z. B. Iru Passport Mac-Anmeldung).
6
Unterstützte Kontotypen festlegen
Öffnen Sie unter Unterstützte Kontotypen das Dropdown-Menü und wählen Sie Single tenant only aus (die Option zeigt auch Ihren Mandantennamen an, z. B. Single tenant only - Accuhive). Passport sollte nur als Einzelmandant in Ihrer Organisation verwendet werden. Siehe Registrieren einer Anwendung in Microsoft Entra ID.
7
Redirect URI konfigurieren
Wählen Sie im Abschnitt Redirect URI im Dropdown-Menü Select a platform die Option Web aus.
8
Redirect URI eingeben
Geben Sie im URI-Feld Folgendes ein:
https://localhost.redirect9
Registrierung abschließen
Wählen Sie Registrieren aus.
Anwendungsdetails konfigurieren
1
Sicheres Dokument vorbereiten
Öffnen Sie ein sicheres Textdokument, in dem die Werte für diese OIDC-App vorübergehend gespeichert werden können. Sie benötigen diese Details, wenn Sie das Passport Library Item konfigurieren.
2
Application ID kopieren
Kopieren Sie auf der Seite Übersicht die Application (client) ID in ein temporäres sicheres Textdokument.
3
Endpoints öffnen
Wählen Sie, noch auf der Seite Overview, Endpoints aus.
4
Metadatendokument kopieren
Kopieren Sie das OpenID Connect metadata document (Identity Provider URL) in Ihr temporäres sicheres Textdokument.
5
Authentifizierungseinstellungen öffnen
Wählen Sie links Authentifizierung und dann Einstellungen aus.
6
Öffentliche Clientflows zulassen
Setzen Sie Allow public client flows auf Enabled.
7
Authentifizierungseinstellungen speichern
Wählen Sie Speichern aus.
8
Token configuration öffnen
Wählen Sie links Token configuration aus.
9
Optionalen Anspruch hinzufügen
Wählen Sie Add optional claim aus.
10
Tokentyp konfigurieren
Wählen Sie als Token type ID aus.
11
Anspruch auswählen
Wählen Sie als Claim preferred_username aus.
12
Den Anspruch hinzufügen
Wählen Sie Hinzufügen aus.
13
Gruppenanspruch hinzufügen
Wählen Sie, noch auf der Seite Token configuration, Add groups claim aus.
14
Gruppen auswählen
Wählen Sie Alle Gruppen aus.
Entra ID SAML unterstützt nur bis zu 150 Sicherheitsgruppen. Wenn Sie mehr als 150 Sicherheitsgruppen haben, sollten Sie nicht Alle Gruppen verwenden, sondern bestimmte Gruppen auswählen. Weitere Informationen finden Sie im Microsoft-Artikel Konfigurieren von Gruppenansprüchen für Anwendungen mit Microsoft Entra ID.
15
Gruppenanspruch hinzufügen
Wählen Sie Hinzufügen aus.
API-Berechtigungen konfigurieren
1
API Permissions öffnen
Wählen Sie API Permissions aus.
2
Berechtigung hinzufügen
Wählen Sie Add a permission aus.
3
Microsoft Graph auswählen
Wählen Sie Microsoft Graph aus.
4
Delegierte Berechtigungen auswählen
Wählen Sie Delegated permissions aus.
5
OpenID-Berechtigungen aufklappen
Vergewissern Sie sich, dass der Abschnitt OpenID permissions aufgeklappt ist. Falls nicht, wählen Sie das Aufklappsymbol neben OpenID permissions aus.
6
Berechtigung email auswählen
Wählen Sie email aus.
7
Berechtigung profile auswählen
Wählen Sie profile aus.
8
Nach der Berechtigung User.Read suchen
Geben Sie im Feld Select permissions User.Read ein.
9
Auswahl von User.Read bestätigen
Vergewissern Sie sich im Abschnitt User, dass User.Read bereits ausgewählt ist. Falls User.Read nicht ausgewählt ist, wählen Sie es aus.
10
Berechtigungen hinzufügen
Wählen Sie Add permissions aus.
11
Administratorzustimmung erteilen
Wählen Sie, noch auf der Seite API permissions, Grant admin consent for [your tenant] aus.
12
Administratorzustimmung bestätigen
Wählen Sie Ja aus.
Benutzer und Gruppen zuweisen
Standardmäßig ist beim Erstellen einer neuen App-Registrierung das Attribut „Assignment required?“ auf „No“ gesetzt. Wenn Ihre Passport-Unternehmens-App jedoch eine Zuweisung erfordert, folgen Sie diesen Schritten, um Benutzer zuzuweisen, damit sie Ihre Passport-App verwenden können.
1
Enterprise Applications öffnen
Wählen Sie im Entra ID-Navigationsmenü links Enterprise Apps aus.
2
Ihre Passport-App auswählen
Wählen Sie in der Liste All applications Iru Passport Mac-Anmeldung bzw. den Namen aus, den Sie der App-Registrierung im vorherigen Abschnitt gegeben haben.
3
Properties öffnen
Wählen Sie unter Verwalten die Option Properties aus.
4
Logo hinzufügen (optional)
Fügen Sie Ihrer Unternehmens-App optional ein Logo hinzu.
5
Zuweisungsanforderung prüfen
Prüfen Sie die Einstellung Assignment required?. Wenn sie auf „No“ gesetzt ist, können Sie den Rest dieses Abschnitts überspringen. Alle Benutzer in Entra ID können die Passport-App verwenden.
6
Sichtbarkeit konfigurieren
Vergewissern Sie sich, dass Visible to users? auf Nein gesetzt ist; andernfalls sehen Benutzer die App in ihrem Portal. Die Passport-App ist nur als Ersatz für das macOS-Anmeldefenster nützlich.
7
Eigenschaften speichern
Wählen Sie Speichern aus.
8
Users and Groups öffnen
Wenn die Einstellung Assignment required? auf „No“ gesetzt ist, können Sie die verbleibenden Schritte in diesem Abschnitt überspringen und mit dem nächsten Abschnitt fortfahren. Wenn sie auf „Yes“ gesetzt ist, fahren Sie mit den folgenden Schritten fort, um Benutzer und Gruppen zuzuweisen.
9
Benutzer oder Gruppe hinzufügen
Wählen Sie im Menü + Add user/group aus.
10
Benutzer und Gruppen auswählen
Wählen Sie im Dialog Add Assignment den Link unter Users and groups aus.
11
Benutzer und Gruppen wählen
Eine Liste von Benutzern und Sicherheitsgruppen wird angezeigt. Sie können nach einem bestimmten Benutzer oder einer bestimmten Gruppe suchen oder mehrere in der Liste angezeigte Benutzer und Gruppen auswählen.
12
Auswahl bestätigen
Nachdem Sie Ihre Benutzer und Gruppen ausgewählt haben, wählen Sie Auswählen aus.Wenn die unten stehende Meldung angezeigt wird, wird ein kostenloser Tarif verwendet. Sie können der Passport-Unternehmens-App dann nur Benutzer (keine Gruppen) hinzufügen.
13
Zuweisung abschließen
Wählen Sie Zuweisen aus, um die Zuweisung von Benutzern und Gruppen zur App abzuschließen.
14
Zuweisung überprüfen
Vergewissern Sie sich, dass die hinzugefügten Benutzer und Gruppen in der Liste Users and groups angezeigt werden.
15
Konfiguration überprüfen
Nachdem dieser Teil der Entra ID-Konfiguration abgeschlossen ist, lesen Sie die übrigen Abschnitte dieses Artikels für Ihre Microsoft Entra ID-Umgebung.
Hinweise zum bedingten Zugriff in Microsoft Entra ID
Führen Sie die folgenden Schritte aus, um Passport - CA Policy API zu registrieren, ihren Bereich (Scope) zu Ihrer Passport-App hinzuzufügen und diese App von den betreffenden Richtlinien auszuschließen. Überspringen Sie diesen Abschnitt, wenn Sie keinen bedingten Zugriff verwenden. Wenn Sie fertig sind, fügen Sie den Scope unter Additional scopes (optional) in Authentifizierungsmodus auf der Registerkarte Iru Endpoint hinzu.Die Anwendung Passport - CA Policy API erstellen
Erstellen Sie diese Anwendungsregistrierung, damit Passport einen Scope über die Basis-Scopes hinaus anfordern kann.1
App registrations öffnen
Melden Sie sich beim Microsoft Entra Admin Center an und öffnen Sie Entra ID > App registrations.
2
Die Anwendung registrieren
Wählen Sie + New registration aus. Geben Sie Passport - CA Policy API als Namen ein, wählen Sie unter Unterstützte Kontotypen die Option Single tenant only aus und lassen Sie Redirect URI leer. Wählen Sie Registrieren aus.
3
Administratorzustimmung für Microsoft Graph erteilen
Öffnen Sie API permissions. Wenn die Administratorzustimmung noch nicht erteilt wurde, wählen Sie Grant admin consent for [your tenant] aus.
4
Expose an API
Öffnen Sie Expose an API in der linken Navigation.
5
Einen Scope hinzufügen
Wählen Sie + Add a scope aus.
6
Application ID URI festlegen
Überprüfen Sie die Application ID URI. Entra ID schlägt einen Standardwert vor (z. B.
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a). Der Standardwert ist in Ordnung. Wählen Sie Speichern und fortfahren aus. Sie müssen diese URI nicht kopieren; kopieren Sie die Scope-URI unten unter Die Scope-URI kopieren.7
Den Passport-Scope konfigurieren
Geben Sie als Scope name 
Passport ohne Leerzeichen oder Sonderzeichen ein. Belassen Sie Who can consent auf dem Standardwert. Geben Sie in den Feldern Admin consent einen Anzeigenamen und eine Beschreibung ein und wählen Sie dann Add scope aus.8
Die Scope-URI kopieren
Wählen Sie neben der Scope-URI in der Liste Scopes (z. B.
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport) Kopieren aus. Bewahren Sie sie für Add Additional scopes in Authentifizierungsmodus auf der Registerkarte Iru Endpoint auf.Den benutzerdefinierten Scope zu Ihrer Passport-App-Registrierung hinzufügen
1
Ihre Passport-App-Registrierung öffnen
Falls Sie noch nicht angemeldet sind, melden Sie sich beim Microsoft Entra Admin Center an und öffnen Sie Entra ID > App registrations. Öffnen Sie die Anwendung, die Sie für Passport Mac-Anmeldung verwenden.
2
API-Berechtigung hinzufügen
Öffnen Sie API permissions und wählen Sie + Add a permission aus.
3
Passport - CA Policy API auswählen
Öffnen Sie die Registerkarte APIs my organization uses und wählen Sie Passport - CA Policy API aus.
4
Die delegierte Berechtigung Passport hinzufügen
Wählen Sie Delegated permissions, dann die Berechtigung Passport und anschließend Add permissions aus.
5
Administratorzustimmung erteilen
Wählen Sie Grant admin consent for [your tenant] aus.
Passport - CA Policy API von Richtlinien für All resources ausschließen
Wenn Sie bedingten Zugriff verwenden, schließen Sie Passport - CA Policy API von jeder Richtlinie aus, die auf All resources ausgerichtet ist. Richtlinien für All resources umfassen Anmeldungen, die den Scopeopenid verwenden. Durch den Ausschluss von Passport - CA Policy API entfällt die MFA-Anforderung für ROPG, das Passport in Mac-Anmeldung zur Passwortüberprüfung und -synchronisierung verwendet.1
Bedingten Zugriff öffnen
Öffnen Sie im Microsoft Entra Admin Center Protection > Conditional Access > Policies.
2
Eine Richtlinie für All resources öffnen
Wählen Sie jede Richtlinie aus, die auf All resources ausgerichtet ist, und öffnen Sie dann Target resources.
3
Passport - CA Policy API ausschließen
Öffnen Sie die Registerkarte Exclude, wählen Sie Select resources und dann Passport - CA Policy API aus. Wählen Sie Auswählen und dann Speichern aus.
4
Für jede Richtlinie für All resources wiederholen
Wiederholen Sie diese Schritte für jede Richtlinie für bedingten Zugriff, die auf All resources ausgerichtet ist.
Wenn Speichern fehlschlägt, vergewissern Sie sich, dass Passport - CA Policy API keine öffentlichen Clientflows zulässt. Wenn für die App eine Redirect-URI konfiguriert ist, entfernen Sie diese und versuchen Sie es erneut.
Benutzerkontobereitstellung mit Passport
Wenn Passport den Mac-Kontotyp jedes Benutzers anhand der Mitgliedschaft in Entra ID-Sicherheitsgruppen festlegen soll, sammeln Sie die Object ID jeder Gruppe im Microsoft Entra Admin Center mit den Schritten in diesem Abschnitt. Sie verwenden diese Werte unter Benutzerbereitstellung auf der Registerkarte Iru Endpoint des Passport Library Item. Weitere Details zu diesem Modus finden Sie unter Benutzerbereitstellung in Das Passport Library Item konfigurieren.Microsoft Entra ID unterstützt für SAML-Assertions 150 Sicherheitsgruppen. In größeren Organisationen kann die Anzahl der Gruppen, in denen ein Benutzer Mitglied ist, das von Microsoft Entra ID angewendete Limit für die Ausgabe von Gruppenansprüchen in einem Token überschreiten. Wird dieses Limit überschritten, lässt Microsoft Entra ID die Gruppenansprüche im Token weg.1
Groups öffnen
Melden Sie sich beim Microsoft Entra Admin Center an. Öffnen Sie im Navigationsmenü Identity links Gruppen und wählen Sie Alle Gruppen aus.
2
Gruppe auswählen
Wählen Sie die Gruppe aus, die Sie verwenden möchten.
3
Object ID kopieren
Kopieren Sie die Object ID dieser Gruppe.
4
Für weitere Entra ID-Gruppen wiederholen
Wiederholen Sie Gruppe auswählen und Object ID kopieren für jede weitere Entra ID-Gruppe, die Sie verwenden möchten. Bewahren Sie die Object ID-Werte in einem sicheren Dokument auf, bis Sie sie auf der Registerkarte Iru Endpoint eingeben.
Konfigurieren Sie Authentifizierungsmodus und Benutzerbereitstellung im Passport Library Item auf der Registerkarte Iru Endpoint.
Erforderliche Änderungen vor dem 15. Juni 2026
Am 15. Juni 2026 beginnt Microsoft Entra ID, den bedingten Zugriff umfassender für Richtlinien durchzusetzen, die auf All resources (früher All cloud apps) ausgerichtet sind und Ressourcenausschlüsse enthalten. Anmeldungen, die nur Basis-Scopes anfordern, darunteropenid, profile, email und User.Read, unterliegen dann diesen Richtlinien.
Wenn Sie nicht für bedingten Zugriff lizenziert sind, gilt diese Änderung nicht für Ihre Organisation. Sie gilt nur, wenn Richtlinien auf All resources mit einem oder mehreren Ressourcenausschlüssen ausgerichtet sind und sich Benutzer über Anwendungen anmelden, die nur Basis-Scopes anfordern. Wenn Sie diesen Richtlinienaufbau nicht verwenden, sind Sie nicht betroffen. Richtlinien, die auf All resources ohne Ressourcenausschlüsse ausgerichtet sind, fallen ebenfalls nicht unter diese Änderung.
Wenn Sie diese Aktualisierungen überspringen
Wenn Sie sich nicht vor dem 15. Juni 2026 vorbereiten:- Neue Benutzer können sich möglicherweise nicht mit Passport anmelden.
- Passwortsynchronisierung und Statusverwaltung funktionieren möglicherweise nicht mehr.
- Microsoft Entra ID zeichnet möglicherweise zusätzliche fehlgeschlagene Anmeldeereignisse auf.
Wenn Sie keine Richtlinien für bedingten Zugriff verwenden
Wenn Sie keinen bedingten Zugriff verwenden oder während des Testens das alte Verhalten in Ihrem gesamten Mandanten beibehalten möchten:1
Eine Platzhalteranwendung registrieren
Registrieren Sie in Microsoft Entra ID eine Einzelmandanten-Anwendung, die als benutzerdefinierte Zielressource für Basis-Scopes dient. Bei der Registrierung ist keine weitere Konfiguration erforderlich. Siehe Create an application unter Customize behavior.
2
Die Anwendung von der betreffenden Richtlinie ausschließen
Schließen Sie in jeder Richtlinie für bedingten Zugriff, in der Sie das bisherige Verhalten beibehalten müssen, die Platzhalteranwendung unter Target resources aus. Siehe Exclude the application from the relevant policy in der Microsoft-Dokumentation.
3
Die Anwendung in den Baseline-Scopes-Einstellungen auswählen
Öffnen Sie die Baseline-Scopes-Einstellungen, wählen Sie Customize behavior, dann die Platzhalteranwendung und anschließend Speichern aus. Siehe Select the application in the Baseline scopes settings UX in der Microsoft-Dokumentation.
4
Keine Änderungen am Passport Library Item erforderlich
Sie müssen Ihr Passport Library Item in Iru Endpoint nicht ändern.
Wenn Sie Richtlinien für bedingten Zugriff verwenden
Wenn Sie bedingten Zugriff mit Passport Mac-Anmeldung verwenden, führen Sie die folgenden Schritte vor dem 15. Juni 2026 aus.Die Anwendung Passport - CA Policy API erstellen
1
App registrations öffnen
Melden Sie sich beim Microsoft Entra Admin Center an und öffnen Sie Entra ID > App registrations.
2
Die Anwendung registrieren
Wählen Sie + New registration aus. Geben Sie Passport - CA Policy API als Namen ein, wählen Sie unter Unterstützte Kontotypen die Option Single tenant only aus und lassen Sie Redirect URI leer. Wählen Sie Registrieren aus.
3
Administratorzustimmung für Microsoft Graph erteilen
Öffnen Sie API permissions. Wenn die Administratorzustimmung noch nicht erteilt wurde, wählen Sie Grant admin consent for [your tenant] aus.
4
Expose an API
Öffnen Sie Expose an API in der linken Navigation.
5
Einen Scope hinzufügen
Wählen Sie + Add a scope aus.
6
Application ID URI festlegen
Überprüfen Sie die Application ID URI. Entra ID schlägt einen Standardwert vor (z. B.
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a). Der Standardwert ist in Ordnung. Wählen Sie Speichern und fortfahren aus. Sie müssen diese URI nicht kopieren; kopieren Sie die Scope-URI unten unter Die Scope-URI kopieren.7
Den Passport-Scope konfigurieren
Geben Sie als Scope name
Passport ohne Leerzeichen oder Sonderzeichen ein. Belassen Sie Who can consent auf dem Standardwert. Geben Sie in den Feldern Admin consent einen Anzeigenamen und eine Beschreibung ein und wählen Sie dann Add scope aus.8
Die Scope-URI kopieren
Wählen Sie neben der Scope-URI in der Liste Scopes (z. B.
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport) Kopieren aus. Bewahren Sie sie für Ihr Passport Library Item aktualisieren auf.Den benutzerdefinierten Scope zu Ihrer Passport-App-Registrierung hinzufügen
1
Ihre Passport-App-Registrierung öffnen
Falls Sie noch nicht angemeldet sind, melden Sie sich beim Microsoft Entra Admin Center an und öffnen Sie Entra ID > App registrations. Öffnen Sie die Anwendung, die Sie für Passport Mac-Anmeldung verwenden.
2
API-Berechtigung hinzufügen
Öffnen Sie API permissions und wählen Sie + Add a permission aus.
3
Passport - CA Policy API auswählen
Öffnen Sie die Registerkarte APIs my organization uses und wählen Sie Passport - CA Policy API aus.
4
Die delegierte Berechtigung Passport hinzufügen
Wählen Sie Delegated permissions, dann die Berechtigung Passport und anschließend Add permissions aus.
5
Administratorzustimmung erteilen
Wählen Sie Grant admin consent for [your tenant] aus.
Passport - CA Policy API von Richtlinien für All resources ausschließen
Richtlinien für All resources umfassen Anmeldungen, die den Scopeopenid verwenden. Durch den Ausschluss von Passport - CA Policy API entfällt die MFA-Anforderung für ROPG, das Passport in Mac-Anmeldung zur Passwortüberprüfung und -synchronisierung verwendet.
1
Bedingten Zugriff öffnen
Öffnen Sie im Microsoft Entra Admin Center Protection > Conditional Access > Policies.
2
Eine Richtlinie für All resources öffnen
Wählen Sie jede Richtlinie aus, die auf All resources ausgerichtet ist, und öffnen Sie dann Target resources.
3
Passport - CA Policy API ausschließen
Öffnen Sie die Registerkarte Exclude, wählen Sie Select resources und dann Passport - CA Policy API aus. Wählen Sie Auswählen und dann Speichern aus.
4
Für jede Richtlinie für All resources wiederholen
Wiederholen Sie diese Schritte für jede Richtlinie für bedingten Zugriff, die auf All resources ausgerichtet ist.
Wenn Speichern fehlschlägt, vergewissern Sie sich, dass Passport - CA Policy API keine öffentlichen Clientflows zulässt. Wenn für die App eine Redirect-URI konfiguriert ist, entfernen Sie diese und versuchen Sie es erneut.
Ihr Passport Library Item aktualisieren
1
Das Passport Library Item öffnen
Öffnen Sie in Iru Endpoint die Library und bearbeiten Sie Ihr für Microsoft Entra ID Mac-Anmeldung konfiguriertes Passport Library Item.
2
Die Scope-URI hinzufügen
Fügen Sie auf der Registerkarte Iru Endpoint die Scope-URI aus Die Anwendung Passport - CA Policy API erstellen in Additional scopes (optional) ein und wählen Sie dann Speichern aus.
3
Für weitere Passport Library Items wiederholen
Wiederholen Sie Die Scope-URI hinzufügen für jedes Passport Library Item, das für Microsoft Entra ID Mac-Anmeldung konfiguriert ist.