> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Platform Single Sign-On を構成する

> Single Sign-On Extension Library Item で Platform SSO を構成します。認証方式、パスワードポリシー、および macOS 26 と macOS 27 の設定を行います。

<Callout icon="apple" color="#B84A7A" iconType="regular">Platform SSO は Mac コンピュータで利用できます</Callout>

これらの設定は **Single Sign-On Extension** Library Item にあり、**拡張機能の種類** が **Redirect** の場合にのみ利用できます。まず、[Single Sign-On Extension Library Item を構成する](/ja/endpoint/library/library-items-profiles/configure-the-single-sign-on-extension-library-item#redirect)で、Library Item の名前、Blueprint の割り当て、Redirect 拡張機能の設定を構成してください。

## Platform SSO

Platform SSO は、Redirect 拡張機能を macOS のログインウインドウに拡張します。ユーザーは、組織の ID プロバイダ(IdP)の資格情報で Mac のロックを解除できます。共有の Mac では、Platform SSO はそれらの資格情報からログインウインドウでローカルアカウントを作成できます。**パスワード** は IdP のパスワードとローカルアカウントのパスワードを同期させます。**OpenID** は、**Allow web login password sync** が **はい** の場合にのみこれを行います。**User Secure Enclave Key** と **Smart Card** は、ローカルアカウントのパスワードを変更しません。権限とローカルグループのメンバーシップを管理できます。ローカルアカウントを持たない IdP ユーザーは、認証プロンプトでそれらの資格情報を使用できます。

<Warning>
  Platform SSO には、Iru によって展開される Platform SSO プロファイルペイロードに加えて、ID プロバイダの適切に構成された Single Sign-On Extension アプリが必要です。
</Warning>

<Steps>
  <Step title="Platform SSO を有効にする">
    Platform SSO はデフォルトでオフになっています。**Platform SSO** をオンにします。macOS 14 Sonoma 以降でサポートされており、互換性のある ID プロバイダのアプリ拡張機能が必要です。
  </Step>

  <Step title="認証方式を選択する">
    **認証方法** を選択します。SSO 拡張機能が、選択した方式をサポートしている必要があります。

    * **パスワード**
    * **ユーザーの Secure Enclave キー**
    * **スマートカード**
    * **OpenID**

    OpenID は macOS 27 以降で利用できます。Iru は、macOS 27 より前のバージョンを実行している Mac コンピュータには **OpenID** を送信しません。**FileVaultポリシー**、**Login policy**、**Unlock policy** は **パスワード** の場合にのみ表示されます。ID プロバイダが必要とする場合は、次の手順で **Registration token** を入力します。その他の方式の場合は、[Password のポリシー](#policies-for-password)をスキップし、[権限とアカウントの設定](#permissions-and-account-settings)に進んでください。

    <Note>
      **OpenID** を使用する予定の場合は、ID プロバイダに連絡して、Platform SSO での OpenID がサポートされていることを確認してください。
    </Note>
  </Step>

  <Step title="登録トークンを入力する(オプション)">
    ID プロバイダが必要とする場合は、**Registration token** を入力します。Mac はこの値を使用して Platform SSO に登録します。ID プロバイダと SSO 拡張機能がサポートしている場合は、サイレント登録も含まれます。
  </Step>
</Steps>

## Password のポリシー

**FileVaultポリシー**、**Login policy**、**Unlock policy** は、**認証方法** が **パスワード** の場合にのみ表示されます。いずれも macOS 15 以降で利用でき、デフォルトは **未構成** です。**User Secure Enclave Key**、**Smart Card**、**OpenID** の場合は、[権限とアカウントの設定](#permissions-and-account-settings)に進んでください。

<Steps>
  <Step title="FileVault ポリシーを設定する">
    **FileVaultポリシー** は、Apple silicon 搭載の Mac コンピュータで FileVault のロック解除時に Platform SSO を使用する場合に適用されます。

    * **未構成**:Iru はこの設定を送信しません。
    * **Attempt authentication**:Mac は ID プロバイダでの認証を試みます。Mac がオフラインの場合、ユーザーはローカルアカウントのパスワードを使用できます。
    * **認証を要求**:続行するには、ユーザーは ID プロバイダで認証する必要があります。
  </Step>

  <Step title="ログインポリシーを設定する">
    **Login policy** は、ログインウインドウで Platform SSO を使用する場合に適用されます。**FileVaultポリシー** と同じオプションを使用します。
  </Step>

  <Step title="ロック解除ポリシーを設定する">
    **Unlock policy** は、スクリーンセーバーのロック解除時に Platform SSO を使用する場合に適用されます。**FileVaultポリシー** と同じオプションを使用します。
  </Step>
</Steps>

## 権限とアカウントの設定

これらの設定は、すべての **認証方法** に適用されます。

<Steps>
  <Step title="既存ユーザーの権限を設定する">
    **Existing user permissions** は、ユーザーが認証するたびにアカウントに適用される権限を設定します。デフォルトは **未構成** です。

    * **未構成**
    * **標準**
    * **管理者**
    * **グループ**:この Library Item で後から構成するグループを使用します。
  </Step>

  <Step title="新規ユーザーの権限を設定する">
    **New user permissions** は、ログイン時に新しく作成されたアカウントに適用される権限を設定します。デフォルトは **未構成** です。

    * **未構成**
    * **標準**
    * **管理者**
    * **グループ**
    * **一時 (認証済みゲストモード)**
  </Step>

  <Step title="共有デバイスキーを使用する">
    Mac がすべてのユーザーに同じ署名鍵と暗号化鍵を使用する必要がある場合は、**Use shared device keys** を選択します。これは、ID プロバイダアカウントによる認証および新規アカウントの作成に必要です。

    **Use shared device keys** を選択すると、次の設定が表示されます。

    * **Allow authorization (with identity provider account)**:ユーザーは ID プロバイダの資格情報でシステムの認証プロンプトに応答できます。
    * **Allow creation of new users at login window**:Mac はログインウインドウでローカルアカウントを作成します。Mac がオンラインで、FileVault のロックが解除された状態でログインウインドウを表示しており、Iru がその Mac の有効な Bootstrap トークンを保持している必要があります。
  </Step>

  <Step title="構成証明でデバイス識別子を許可する">
    Platform SSO の構成証明に Mac の UDID とシリアル番号を含めるには、**Allow device identifiers in attestation** を選択します。これは macOS 15.4 以降で利用できます。
  </Step>

  <Step title="アカウントの表示名を入力する">
    **Account display name** は、通知や認証リクエストに表示される名前です。組織名、またはユーザーが認識できる別の名前を使用してください。
  </Step>

  <Step title="完全ログインが必要になるまでの時間を設定する">
    **Require full login after** は、Mac が更新ではなく完全なログインを要求するまでの秒数です。デフォルトは 18 時間(64800 秒)です。最小値は 1 時間(3600 秒)です。
  </Step>

  <Step title="アカウント名とフルネームを設定する">
    **Account name** と **フルネーム** は、新規ユーザーの作成時または認証に使用される ID プロバイダの属性です。
  </Step>

  <Step title="管理者グループを追加する">
    **管理者グループ** は、管理者アクセスに使用されるグループです。macOS は認証時にメンバーシップを要求します。グループごとに **Add group** を選択します。
  </Step>

  <Step title="追加のグループを追加する">
    **追加グループ** は、まだ存在しない場合はローカルグループとして作成され、ローカルディレクトリで利用できます。グループごとに **Add group** を選択します。
  </Step>

  <Step title="認証権限を追加する">
    **Authorization rights** は、認証権限を 1 つのグループにマッピングします。各権限は 1 回だけ指定でき、1 つのグループにマッピングされます。たとえば、プリンタ管理をグループにマッピングします。マッピングごとに **Add group** を選択します。
  </Step>

  <Step title="Platform SSO 以外のアカウントを追加する">
    **Non Platform SSO accounts** は、**FileVaultポリシー**、**Login policy**、**Unlock policy** の対象とならないローカルアカウントです。これらのアカウントには、Platform SSO への登録も求められません。アカウントごとに **追加** を選択します。
  </Step>

  <Step title="Library Item を保存する">
    設定アシスタント中の登録を使用する場合は、保存する前に[設定アシスタント中の登録を有効にする(macOS 26 以降)](#enable-registration-during-setup-assistant-macos-26-and-later)に進んでください。**認証方法** が **OpenID** の場合は、保存する前に [Web ログイン(macOS 27 以降)](#web-login-macos-27-and-later)を構成してください。少なくとも 1 つの Web ログイン URL が必要です。いずれにも該当しない場合は、**保存** を選択します。
  </Step>
</Steps>

## 設定アシスタント中の登録を有効にする(macOS 26 以降)

macOS 26 以降では、Platform SSO を設定アシスタント中に実行できるため、Mac は登録フローの早い段階で ID プロバイダに登録できます。**Mac macOS 26 and later** では、各設定のデフォルトは **未構成** で、Iru はその設定を送信しません。その他のオプションは **はい** と **いいえ** です。

<Steps>
  <Step title="Mac macOS 26 and later セクションを開く">
    この Library Item の **Platform SSO** セクションで、**Mac macOS 26 and later** に移動します。
  </Step>

  <Step title="設定アシスタント中の登録を有効にするを設定する">
    設定アシスタント中に Platform SSO の登録を開始する場合は、**Enable registration during Setup Assistant** で **はい** を選択します。
  </Step>

  <Step title="設定アシスタント中に最初のユーザーを作成するを設定する">
    Mac が設定アシスタント中に Platform SSO を使用して最初のローカルアカウントを作成する場合は、**Create first user during Setup Assistant** で **はい** を選択します。
  </Step>

  <Step title="プロフィール写真の同期を設定する">
    Mac が SSO 拡張機能にユーザーのプロフィール写真を要求する場合は、**Synchronize profile picture** で **はい** を選択します。
  </Step>

  <Step title="Authenticated Guest Mode のクイックログインを有効にするを設定する">
    ユーザーが ID プロバイダの資格情報で一時的にサインインする共有の Mac コンピュータでは、**Enable Authenticated Guest Mode Quick Login** で **はい** を選択します。標準的なシングルユーザーの Mac コンピュータでは、**未構成** のままにするか **いいえ** を選択します。
  </Step>

  <Step title="新規ユーザーの認証方式を設定する">
    **新規ユーザーの認証方法** は、新しく作成されたアカウントで利用できる方式です。任意の組み合わせを選択できます。

    * **パスワード**
    * **スマートカード**
    * **OpenID**

    OpenID は macOS 27 以降で利用できます。Iru は、macOS 27 より前のバージョンを実行している Mac コンピュータには **OpenID** を送信しません。ここでは、どの **認証方法** でも **OpenID** を追加できます。追加すると、**Mac macOS 27 and later** に **WebログインURLの許可リスト** が表示されます。
  </Step>

  <Step title="Library Item を保存する">
    **認証方法** が **OpenID** の場合、または **新規ユーザーの認証方法** に **OpenID** が含まれている場合は、保存する前に [Web ログイン(macOS 27 以降)](#web-login-macos-27-and-later)を構成してください。少なくとも 1 つの Web ログイン URL が必要です。そのセクションから保存し、Automated Device Enrollment のためにここに戻ります。それ以外の場合は、**保存** を選択します。
  </Step>

  <Step title="Automated Device Enrollment 中に Platform SSO Library Item をインストールする">
    Automated Device Enrollment での Platform SSO では、**Single Sign-on Extension** Library Item と、ID プロバイダの SSO 拡張機能アプリケーション用の **Auto App** Library Item を設定アシスタント中にインストールする必要があります。**Automated Device Enrollment** Library Item で、**Mac** の **設定アシスタント中にLibrary Itemsをインストール** をオンにし、それらの Library Item と、IdP がこのフローで必要とするその他の項目(**Login Window** Library Item など)を追加します。詳細については、[設定アシスタント中に Library Item をインストールする](/ja/endpoint/enrollment/apple/configuring-apple-enrollment#install-library-items-during-setup-assistant)を参照してください。デバイスが **Configuring** で停止している場合は、[設定アシスタントで保留されているデバイスを手動で解放する](/ja/endpoint/enrollment/apple/configuring-apple-enrollment#manually-release-devices-held-in-setup-assistant)を参照してください。
  </Step>
</Steps>

## Web ログイン(macOS 27 以降)

**Mac macOS 27 and later** は 2 つのケースで表示されます。

**認証方法** が **OpenID** の場合、**Allow web login password sync** と **WebログインURLの許可リスト** が表示されます。**WebログインURLの許可リスト** には少なくとも 1 つの URL が必要です。**Allow web login password sync** はオプションです。

**新規ユーザーの認証方法** に **OpenID** が含まれ、**認証方法** が **パスワード**、**User Secure Enclave Key**、**Smart Card** のいずれかの場合、このセクションには **WebログインURLの許可リスト** のみが表示されます。**追加** を選択し、少なくとも 1 つの Web ログイン URL を入力します。

<Steps>
  <Step title="Web ログインのパスワード同期を許可するを設定する">
    **Allow web login password sync** は、**認証方法** が **OpenID** の場合にのみ表示されます。Web ログインのパスワードをローカルアカウントのパスワードに同期します。macOS 27 以降で利用できます。デフォルトは **未構成** です。

    * **未構成**:Iru はこの設定を送信しません。
    * **はい**:Mac は Web ログイン中にパスワードを検出し、ローカルアカウントのパスワードに同期します。
    * **いいえ**:Mac は Web ログインのパスワードをローカルアカウントのパスワードに同期しません。
  </Step>

  <Step title="Web ログイン URL を追加する">
    **WebログインURLの許可リスト** は、Mac が Platform SSO の Web ビューで読み込むことができるホストのセットです。少なくとも 1 つの Web ログイン URL が必要です。**追加** を選択し、Web ログイン URL を入力します。`https://login.example.com` のように、スキームとホストを含めてください。ホストごとに繰り返します。ワイルドカードはサポートされていません。
  </Step>

  <Step title="Library Item を保存する">
    **保存** ボタンを選択します。
  </Step>
</Steps>

Microsoft Entra ID 固有の Library Item と値については、[Entra ID で Platform SSO を構成する](/ja/endpoint/library/library-items-profiles/configure-the-platform-sso-with-microsoft-entra-id-library-item)を参照してください。