Platform SSO は Mac コンピュータで利用できます
Platform SSO
Platform SSO は、Redirect 拡張機能を macOS のログインウインドウに拡張します。ユーザーは、組織の ID プロバイダ(IdP)の資格情報で Mac のロックを解除できます。共有の Mac では、Platform SSO はそれらの資格情報からログインウインドウでローカルアカウントを作成できます。パスワード は IdP のパスワードとローカルアカウントのパスワードを同期させます。OpenID は、Allow web login password sync が はい の場合にのみこれを行います。User Secure Enclave Key と Smart Card は、ローカルアカウントのパスワードを変更しません。権限とローカルグループのメンバーシップを管理できます。ローカルアカウントを持たない IdP ユーザーは、認証プロンプトでそれらの資格情報を使用できます。1
Platform SSO を有効にする
Platform SSO はデフォルトでオフになっています。Platform SSO をオンにします。macOS 14 Sonoma 以降でサポートされており、互換性のある ID プロバイダのアプリ拡張機能が必要です。
2
認証方式を選択する
認証方法 を選択します。SSO 拡張機能が、選択した方式をサポートしている必要があります。
- パスワード
- ユーザーの Secure Enclave キー
- スマートカード
- OpenID
OpenID を使用する予定の場合は、ID プロバイダに連絡して、Platform SSO での OpenID がサポートされていることを確認してください。
3
登録トークンを入力する(オプション)
ID プロバイダが必要とする場合は、Registration token を入力します。Mac はこの値を使用して Platform SSO に登録します。ID プロバイダと SSO 拡張機能がサポートしている場合は、サイレント登録も含まれます。
Password のポリシー
FileVaultポリシー、Login policy、Unlock policy は、認証方法 が パスワード の場合にのみ表示されます。いずれも macOS 15 以降で利用でき、デフォルトは 未構成 です。User Secure Enclave Key、Smart Card、OpenID の場合は、権限とアカウントの設定に進んでください。1
FileVault ポリシーを設定する
FileVaultポリシー は、Apple silicon 搭載の Mac コンピュータで FileVault のロック解除時に Platform SSO を使用する場合に適用されます。
- 未構成:Iru はこの設定を送信しません。
- Attempt authentication:Mac は ID プロバイダでの認証を試みます。Mac がオフラインの場合、ユーザーはローカルアカウントのパスワードを使用できます。
- 認証を要求:続行するには、ユーザーは ID プロバイダで認証する必要があります。
2
ログインポリシーを設定する
Login policy は、ログインウインドウで Platform SSO を使用する場合に適用されます。FileVaultポリシー と同じオプションを使用します。
3
ロック解除ポリシーを設定する
Unlock policy は、スクリーンセーバーのロック解除時に Platform SSO を使用する場合に適用されます。FileVaultポリシー と同じオプションを使用します。
権限とアカウントの設定
これらの設定は、すべての 認証方法 に適用されます。1
既存ユーザーの権限を設定する
Existing user permissions は、ユーザーが認証するたびにアカウントに適用される権限を設定します。デフォルトは 未構成 です。
- 未構成
- 標準
- 管理者
- グループ:この Library Item で後から構成するグループを使用します。
2
新規ユーザーの権限を設定する
New user permissions は、ログイン時に新しく作成されたアカウントに適用される権限を設定します。デフォルトは 未構成 です。
- 未構成
- 標準
- 管理者
- グループ
- 一時 (認証済みゲストモード)
3
共有デバイスキーを使用する
Mac がすべてのユーザーに同じ署名鍵と暗号化鍵を使用する必要がある場合は、Use shared device keys を選択します。これは、ID プロバイダアカウントによる認証および新規アカウントの作成に必要です。Use shared device keys を選択すると、次の設定が表示されます。
- Allow authorization (with identity provider account):ユーザーは ID プロバイダの資格情報でシステムの認証プロンプトに応答できます。
- Allow creation of new users at login window:Mac はログインウインドウでローカルアカウントを作成します。Mac がオンラインで、FileVault のロックが解除された状態でログインウインドウを表示しており、Iru がその Mac の有効な Bootstrap トークンを保持している必要があります。
4
構成証明でデバイス識別子を許可する
Platform SSO の構成証明に Mac の UDID とシリアル番号を含めるには、Allow device identifiers in attestation を選択します。これは macOS 15.4 以降で利用できます。
5
アカウントの表示名を入力する
Account display name は、通知や認証リクエストに表示される名前です。組織名、またはユーザーが認識できる別の名前を使用してください。
6
完全ログインが必要になるまでの時間を設定する
Require full login after は、Mac が更新ではなく完全なログインを要求するまでの秒数です。デフォルトは 18 時間(64800 秒)です。最小値は 1 時間(3600 秒)です。
7
アカウント名とフルネームを設定する
Account name と フルネーム は、新規ユーザーの作成時または認証に使用される ID プロバイダの属性です。
8
管理者グループを追加する
管理者グループ は、管理者アクセスに使用されるグループです。macOS は認証時にメンバーシップを要求します。グループごとに Add group を選択します。
9
追加のグループを追加する
追加グループ は、まだ存在しない場合はローカルグループとして作成され、ローカルディレクトリで利用できます。グループごとに Add group を選択します。
10
認証権限を追加する
Authorization rights は、認証権限を 1 つのグループにマッピングします。各権限は 1 回だけ指定でき、1 つのグループにマッピングされます。たとえば、プリンタ管理をグループにマッピングします。マッピングごとに Add group を選択します。
11
Platform SSO 以外のアカウントを追加する
Non Platform SSO accounts は、FileVaultポリシー、Login policy、Unlock policy の対象とならないローカルアカウントです。これらのアカウントには、Platform SSO への登録も求められません。アカウントごとに 追加 を選択します。
12
Library Item を保存する
設定アシスタント中の登録を使用する場合は、保存する前に設定アシスタント中の登録を有効にする(macOS 26 以降)に進んでください。認証方法 が OpenID の場合は、保存する前に Web ログイン(macOS 27 以降)を構成してください。少なくとも 1 つの Web ログイン URL が必要です。いずれにも該当しない場合は、保存 を選択します。
設定アシスタント中の登録を有効にする(macOS 26 以降)
macOS 26 以降では、Platform SSO を設定アシスタント中に実行できるため、Mac は登録フローの早い段階で ID プロバイダに登録できます。Mac macOS 26 and later では、各設定のデフォルトは 未構成 で、Iru はその設定を送信しません。その他のオプションは はい と いいえ です。1
Mac macOS 26 and later セクションを開く
この Library Item の Platform SSO セクションで、Mac macOS 26 and later に移動します。
2
設定アシスタント中の登録を有効にするを設定する
設定アシスタント中に Platform SSO の登録を開始する場合は、Enable registration during Setup Assistant で はい を選択します。
3
設定アシスタント中に最初のユーザーを作成するを設定する
Mac が設定アシスタント中に Platform SSO を使用して最初のローカルアカウントを作成する場合は、Create first user during Setup Assistant で はい を選択します。
4
プロフィール写真の同期を設定する
Mac が SSO 拡張機能にユーザーのプロフィール写真を要求する場合は、Synchronize profile picture で はい を選択します。
5
Authenticated Guest Mode のクイックログインを有効にするを設定する
ユーザーが ID プロバイダの資格情報で一時的にサインインする共有の Mac コンピュータでは、Enable Authenticated Guest Mode Quick Login で はい を選択します。標準的なシングルユーザーの Mac コンピュータでは、未構成 のままにするか いいえ を選択します。
6
新規ユーザーの認証方式を設定する
新規ユーザーの認証方法 は、新しく作成されたアカウントで利用できる方式です。任意の組み合わせを選択できます。
- パスワード
- スマートカード
- OpenID
7
Library Item を保存する
認証方法 が OpenID の場合、または 新規ユーザーの認証方法 に OpenID が含まれている場合は、保存する前に Web ログイン(macOS 27 以降)を構成してください。少なくとも 1 つの Web ログイン URL が必要です。そのセクションから保存し、Automated Device Enrollment のためにここに戻ります。それ以外の場合は、保存 を選択します。
8
Automated Device Enrollment 中に Platform SSO Library Item をインストールする
Automated Device Enrollment での Platform SSO では、Single Sign-on Extension Library Item と、ID プロバイダの SSO 拡張機能アプリケーション用の Auto App Library Item を設定アシスタント中にインストールする必要があります。Automated Device Enrollment Library Item で、Mac の 設定アシスタント中にLibrary Itemsをインストール をオンにし、それらの Library Item と、IdP がこのフローで必要とするその他の項目(Login Window Library Item など)を追加します。詳細については、設定アシスタント中に Library Item をインストールするを参照してください。デバイスが Configuring で停止している場合は、設定アシスタントで保留されているデバイスを手動で解放するを参照してください。
Web ログイン(macOS 27 以降)
Mac macOS 27 and later は 2 つのケースで表示されます。 認証方法 が OpenID の場合、Allow web login password sync と WebログインURLの許可リスト が表示されます。WebログインURLの許可リスト には少なくとも 1 つの URL が必要です。Allow web login password sync はオプションです。 新規ユーザーの認証方法 に OpenID が含まれ、認証方法 が パスワード、User Secure Enclave Key、Smart Card のいずれかの場合、このセクションには WebログインURLの許可リスト のみが表示されます。追加 を選択し、少なくとも 1 つの Web ログイン URL を入力します。1
Web ログインのパスワード同期を許可するを設定する
Allow web login password sync は、認証方法 が OpenID の場合にのみ表示されます。Web ログインのパスワードをローカルアカウントのパスワードに同期します。macOS 27 以降で利用できます。デフォルトは 未構成 です。
- 未構成:Iru はこの設定を送信しません。
- はい:Mac は Web ログイン中にパスワードを検出し、ローカルアカウントのパスワードに同期します。
- いいえ:Mac は Web ログインのパスワードをローカルアカウントのパスワードに同期しません。
2
Web ログイン URL を追加する
WebログインURLの許可リスト は、Mac が Platform SSO の Web ビューで読み込むことができるホストのセットです。少なくとも 1 つの Web ログイン URL が必要です。追加 を選択し、Web ログイン URL を入力します。
https://login.example.com のように、スキームとホストを含めてください。ホストごとに繰り返します。ワイルドカードはサポートされていません。3
Library Item を保存する
保存 ボタンを選択します。