> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Fehlerbehebung bei der macOS-SSO-Erweiterung

> Diagnostizieren Sie mit den integrierten Befehlszeilenwerkzeugen von Apple, warum die Single-Sign-On-Erweiterung von Iru Access unter macOS Anmeldungen nicht abfängt.

Iru Access installiert eine macOS-**Single-Sign-On-(SSO-)Erweiterung**, eine Extensible-SSO-Erweiterung vom Typ Redirect,
die Anmeldungen bei Ihren Iru-Domänen abfängt, sodass sich Benutzer
mit ihren gerätegebundenen Anmeldedaten anmelden. Damit sie funktioniert, muss macOS
die **zugeordneten Domänen** (Associated Domains) für die Erweiterung **genehmigt** haben, die Ihr MDM
normalerweise als Teil des Iru Access-Konfigurationsprofils überträgt.

Wenn Anmeldungen auf einem Mac nicht von Iru Access abgefangen werden, bestätigen die folgenden Prüfungen
der Reihe nach, dass die Erweiterung **installiert** und **geladen** ist und dass ihre
**zugeordneten Domänen genehmigt** sind. Sie verwenden Apples eigene Befehlszeilenwerkzeuge und
können gefahrlos auf einem registrierten Mac ausgeführt werden.

<Note>
  Nur zur Diagnose einer bestehenden Bereitstellung. Wie Sie das Konfigurationsprofil,
  die App und die Registrierung einrichten, erfahren Sie unter
  [Iru Access bereitstellen](/de/identity/authentication/deploy-iru-access).
</Note>

<Info>
  **Unten verwendete Werte.** `N5M3B34269` ist die Apple Team ID von Iru, derselbe Wert wie in
  Ihrem Iru Access-MDM-Profil, daher lautet die App-ID von Iru Access immer
  `N5M3B34269.com.iru.Access`. `yourcompany.id.iru.com` steht für die Iru-Anmeldedomäne
  Ihrer Organisation; Ihre tatsächliche Ausgabe zeigt Ihre echten Domänen.
</Info>

<Steps>
  <Step title="Bestätigen, dass die zugeordneten Domänen genehmigt sind">
    Die häufigste Ursache für eine nicht funktionierende SSO-Erweiterung ist, dass macOS die
    **zugeordneten Domänen** nicht genehmigt hat. Listen Sie alle Genehmigungen zugeordneter Domänen auf dem Mac auf:

    ```bash theme={null}
    sudo swcutil show
    ```

    Suchen Sie nach einem Eintrag mit **Service `authsrv`**, der **App-ID** von Iru Access
    `N5M3B34269.com.iru.Access` und Ihrer Iru-Anmeldedomäne (ein Eintrag pro Domäne,
    die Ihre Verbindung verwendet):

    ```
    --------------------------------------------------------------------------------
    Service:              authsrv
    App ID:               N5M3B34269.com.iru.Access
    Domain:               yourcompany.id.iru.com
    User Approval:        unspecified
    Site/Fmwk Approval:   approved
    Flags:                enterpriseManaged
    Last Checked:         2026-05-24 21:27:52 +0000
    Next Check:           2026-05-29 20:38:54 +0000
    --------------------------------------------------------------------------------
    ```

    Was zu prüfen ist:

    <Warning>
      **`Site/Fmwk Approval: approved`** ist die entscheidende Zeile. Sie bedeutet, dass Apple
      die Domänenzuordnung für die Erweiterung validiert hat. `denied` oder ein fehlender Eintrag
      bedeutet, dass die Zuordnung noch nicht validiert wurde.
    </Warning>

    * **`Flags: enterpriseManaged`** zeigt an, dass die Domäne von Ihrem MDM übertragen wurde, wie
      bei einer verwalteten Bereitstellung erwartet. Fehlt das Flag, hat das Konfigurationsprofil
      mit der Associated Domains-Payload diesen Mac möglicherweise nicht erreicht.
    * Es sollte **einen Eintrag pro Iru-Domäne** geben, die Ihre Verbindung verwendet (eine Verbindung
      kann mehr als eine enthalten). Eine fehlende Domäne deutet auf ein unvollständiges Profil hin.
  </Step>

  <Step title="Bestätigen, dass die Erweiterung installiert ist">
    Listen Sie die bei macOS registrierten App-Erweiterungen von Iru Access auf:

    ```bash theme={null}
    pluginkit -v -m
    ```

    Die SSO-Erweiterung sollte aufgeführt sein, zum Beispiel:

    ```
        com.iru.Access.SSOExtension(1.0)    8ACDABA9-0000-0000-0000-4E99DCF7F39D    /Applications/Iru Access.app/Contents/PlugIns/SSOExtension.appex
    ```

    Was zu prüfen ist:

    * Eine Zeile `com.iru.Access.SSOExtension` bedeutet, dass die Erweiterung registriert ist.
    * Fehlt die Zeile ganz, ist die Iru Access-App nicht installiert oder ihre Erweiterung hat sich
      noch nicht registriert. Vergewissern Sie sich, dass die App bereitgestellt und mindestens einmal gestartet wurde.
  </Step>

  <Step title="Bestätigen, dass das System die Erweiterung geladen hat">
    Streamen Sie den SSO-Erweiterungsmanager des Systems und achten Sie darauf, dass Iru Access geladen wird:

    ```bash theme={null}
    log stream --debug --predicate 'category contains "SOExtensionManager"'
    ```

    Ein fehlerfreies System protokolliert die Iru-Erweiterung als geladen (Ausgabe ähnlich wie):

    ```
    AppSSOAgent: (AppSSO) [SOExtensionManager] loadedExtensionWithBundleIdentifer:
      com.iru.Access.SSOExtension => <SOExtension bundleID=com.iru.Access.SSOExtension,
      path=/Applications/Iru Access.app/Contents/PlugIns/SSOExtension.appex>
    ```

    Alle anderen auf dem Mac installierten Single-Sign-On-Erweiterungen erscheinen in derselben Liste;
    relevant ist hier `com.iru.Access.SSOExtension`.
  </Step>

  <Step title="Genehmigungen und Anmeldeaktivität live beobachten">
    Zwei Live-Streams helfen, wenn eine Genehmigung lange auf sich warten lässt oder eine Anmeldung nicht
    abgefangen wird.

    **Prüfungen zugeordneter Domänen:** Beobachten Sie, wie macOS Domänengenehmigungen plant und erfasst:

    ```bash theme={null}
    sudo swcutil watch --verbose
    ```

    **Der SSO-Agent:** Beobachten Sie den Prozess, der die Erweiterung während der Anmeldung ausführt:

    ```bash theme={null}
    sudo log stream --debug --process AppSSOAgent
    ```

    Wenn die zugeordneten Domänen **noch nicht** genehmigt sind, protokolliert der Agent Meldungen wie
    diese, die direkt auf die Ursache hinweisen:

    ```
    com.iru.Access.SSOExtension hasAssociatedDomainsApproved = 0

    Associated domain: validation failed for the SSO extension
    com.iru.Access.SSOExtension because it has no approved associated domains; it will
    be checked again when the extension is next used.
    ```

    `hasAssociatedDomainsApproved = 0` bedeutet, dass die Domänen noch nicht genehmigt sind. Sobald
    die Genehmigung vorliegt, hören diese Fehler auf, und Anmeldungen bei Ihren Iru-Domänen werden
    von Iru Access abgefangen.
  </Step>
</Steps>

## Häufige Ursachen und Lösungen

| Symptom | Wahrscheinliche Ursache | Lösung |
| - | - | - |
| Kein `authsrv`-Eintrag in `swcutil show` | Die Associated Domains-Payload hat den Mac nicht erreicht | Stellen Sie das Iru Access-Konfigurationsprofil erneut über Ihr MDM bereit und vergewissern Sie sich, dass es dem Gerät zugewiesen ist. |
| Eintrag vorhanden, aber `Site/Fmwk Approval` ist nicht `approved` | macOS hat die Domänenzuordnung nicht validiert, oder die Domäne ist falsch | Vergewissern Sie sich, dass die Domäne genau Ihrer Iru-Domäne entspricht und der Mac sie über das Netzwerk erreichen kann, lösen Sie dann eine Anmeldung aus und prüfen Sie erneut. |
| `Flags` ohne `enterpriseManaged` | Die Domänen wurden nicht per MDM übertragen | Verwenden Sie das über MDM bereitgestellte Profil (verwaltete Bereitstellung) statt eines manuell erstellten. |
| `hasAssociatedDomainsApproved = 0` in AppSSOAgent | Domänen nicht genehmigt | Klären Sie die oben beschriebene Genehmigung der zugeordneten Domänen. macOS prüft regelmäßig und bei der nächsten Verwendung der Erweiterung erneut. |
| Erweiterung fehlt in `pluginkit -v -m` | Iru Access nicht installiert oder nie gestartet | Stellen Sie die App bereit und starten Sie sie einmal, damit sich die Erweiterung registriert. |

<Tip>
  Nach der Korrektur eines Profils werden Genehmigungen nicht immer sofort aktualisiert. Lösen Sie eine
  Anmeldung bei einer Ihrer Iru-Domänen aus, um macOS zu einer erneuten Prüfung zu veranlassen, und führen Sie dann
  erneut `sudo swcutil show` aus.
</Tip>

## Nächste Schritte

<CardGroup cols={2}>
  <Card title="Iru Access bereitstellen" icon="arrow-up-from-bracket" href="/de/identity/authentication/deploy-iru-access">
    Konfigurationsprofil, App und Registrierung einrichten.
  </Card>

  <Card title="MDM-Verbindungen" icon="tower-broadcast" href="/de/identity/authentication/mdm-connections">
    Die Verbindung, die das Profil überträgt und dafür sorgt, dass ein Gerät als verwaltet gilt.
  </Card>

  <Card title="Gerätevertrauen" icon="laptop" href="/de/identity/authentication/device-trust">
    Verwaltete, intakte Geräte als Zugriffsbedingung verlangen.
  </Card>

  <Card title="Authentifikatoren" icon="key" href="/de/identity/authentication/authenticators">
    Wie Iru Access neben Passkeys als Authentifikator eingesetzt wird.
  </Card>
</CardGroup>