このガイドは Mac コンピュータに適用されます
Passport について
Passport は、ユーザーが個別のローカルパスワードではなく、組織の ID プロバイダ（IdP）の資格情報を使用して Mac コンピュータにログインできるようにする Iru Endpoint の機能です。Passport は IdP と macOS のログインを接続します。仕組み
Passport は ID プロバイダ（IdP）と統合され、macOS のログイン画面でユーザーを認証します。ユーザーが IdP の資格情報を入力すると、Passport は組織の ID システムに照らしてそれを検証し、それに応じてローカルの Mac ユーザーアカウントを作成または更新します。 Passport が他の Iru Endpoint および macOS の機能とどのように相互作用するかについて詳しくは、Passport と macOS および Iru Endpoint 機能との互換性を参照してください。Passport 用に IdP を設定する
Iru Endpoint で Library Item を設定する前に、Passport 用に ID プロバイダを設定してください。IdP と認証モードに応じて、OIDC の well-known 設定 URL（発行者メタデータ URL）、アプリケーションのクライアント ID、さらに設定で必要な場合はクライアントシークレットやリダイレクト URI など、Iru Endpoint に入力する適切な値が必要になります。 ご使用の IdP に合ったガイドを使用してください。Google Workspace での Passport の設定
Google Workspace の Secure LDAP と証明書の設定。
Okta での Passport の設定
Okta の OIDC アプリケーションと Passport Library Item の設定。
Microsoft Entra ID での Passport の設定 - Webログイン
Passport で MFA が必要な場合はこのガイドを使用します。
Microsoft Entra ID での Passport の設定 - Macログイン
Passport で MFA が不要な場合はこのガイドを使用します。
OneLogin での Passport の設定
OneLogin の OIDC アプリケーションと Passport Library Item の設定。
.well-known/openid-configuration URL と、Passport Library Item の Webログイン または Macログイン に対応するクライアント設定を取得してください。
Passport Library Item を作成する
1
Library Item を追加する
この Library Item を Iru Endpoint の Library に追加するには、Library の概要の記事に記載されている手順に従います。
2
名前と Blueprint を設定する
新しい Passport Library Item にわかりやすい 名前 を付け、目的の Blueprint に割り当てます。
3
設定を完了して保存する
この記事で後述するように、認証構成、ユーザープロビジョニング、アクセス、Login window、Help window の設定を続けます。完了したら、Library Item で 保存 を選択します。
認証の設定
1
Identity Provider を選択する
設定 の 認証構成 で IDプロバイダー を選択し、IdP を選びます。
2
Google Workspace: 証明書をアップロードする
Google Workspace 以外の IDプロバイダー を使用する場合は、この手順をスキップして、以下の IDプロバイダーのURL を入力するに進んでください。認証構成 で、Secure LDAP クライアントの圧縮された証明書をアップロードします。ユーザープロビジョニングに進みます。
3
IDプロバイダーのURL を入力する
IDプロバイダーのURL フィールドに、IdP の OIDC well-known 設定エンドポイントを入力します。想定される URL のパターンは IdP によって異なります。IDプロバイダー の選択に合ったタブを使用してください。
- Microsoft Entra ID
- Okta
- OneLogin
- Other
テナント ID がわからない場合は、こちらの手順に従って確認してください。
4
Client ID (パスワード同期) を入力する
Client ID (Password Sync) フィールドに、ID プロバイダのプラットフォームで設定した OIDC アプリケーションのクライアント ID を入力します。
5
認証モード を選択する
2 つのモードは、Mac のログインウインドウで異なる動作をします。
- Webログイン: Passport は IdP のサインインページの Web ビューを表示します。ユーザーはそのビュー内で IdP のサインイン（IdP で必要な場合は多要素認証を含む）を完了します。組織で許可されている場合は、ローカルでサインインすることもできます。
- Macログイン: Passport は Mac のユーザー名とパスワードのフィールドのみを表示します。ユーザーはそこに IdP の資格情報を入力し、Passport はログインウインドウで IdP の完全な Web サインインフローを実行せずに、IdP に照らして資格情報を確認します。
FileVault が FileVaultの自動ログインを許可しない に設定され、Webログイン が選択されている場合、ユーザーはデバイスの電源投入または再起動後に合計 3 回認証する必要があります。
6
Redirect URI を設定する（該当する場合）
Webログイン を選択した場合は、IdP の設定記事の説明に従って、Redirect URI フィールドにリダイレクト URI を入力します。
7
Client secret を入力する（該当する場合）
IdP の OIDC アプリがクライアントシークレットを使用する場合は、Client secret (optional) フィールドに入力します。これは、IdP でアプリにシークレットが設定されている場合の Macログイン または Webログイン に適用されます（たとえば、一部の Webログイン アプリはコンフィデンシャルクライアントを使用します）。不明な場合は、IdP の設定記事に従ってください。
ユーザープロビジョニング
ユーザーが初めて Mac にログインするときに適用するユーザープロビジョニング設定を構成します。アカウントの種類の割り当て方法や、アカウントがすでに存在する場合の処理を制御できます。Passport が IdP ユーザーをローカルアカウントにリンクする仕組み
Passport が IdP ユーザーをローカルアカウントにリンクする仕組み
Passport は、ローカルの Mac ユーザーアカウントの 2 つの属性を使用します（
dscl コマンドまたはディレクトリユーティリティアプリで確認できます）。dsAttrTypeNative:io.kandji.KandjiLogin.LinkedAccount: IdP アカウント固有の一意の値が含まれます。これは IdP によって異なり、数値、メールアドレス、または一意の識別子の場合がありますdsAttrTypeNative:io.kandji.KandjiLogin.LinkedAccountName: リンクされたユーザーアカウントの RecordName 属性の値（メールアドレスなど）が含まれます
ユーザーアカウントの種類
ユーザーアカウントの種類
ユーザープロビジョニング の ユーザーアカウントの種類 ドロップダウンには、Administrator（デフォルト）、標準、IDプロバイダーグループごとに指定 があります。Passport が新しいローカルユーザーアカウントを作成する場合、その種類はこの設定に従います。
- Administrator または 標準 を選択した場合、Passport は最初の Passport ログイン時にローカルアカウントの権限を確認します。
-
IdP のグループメンバーシップに基づいて新しいアカウントの種類を設定するために IDプロバイダーグループごとに指定 を選択した場合:
- ユーザーアカウントの種類 を IDプロバイダーグループごとに指定 に設定した状態で、その下のアカウントの種類のドロップダウンを開き、Administrator または Standard ユーザーを選択します。ユーザーがさらに下の IDプロバイダーグループ の行に一致する場合、Passport はその行のアカウントの種類を代わりに使用します。
-
Iru Endpoint の IDプロバイダーグループ フィールドのグループが、IdP のグループと一致していることを確認します
- Microsoft Entra ID の場合、Microsoft の推奨事項に基づき、グループ名ではなく Entra ID グループのオブジェクト ID を使用します。
- Google Workspace の場合、入力する名前はグループ名ではなく、Google のグループのメールアドレスのプレフィックスにする必要があります。
- あるグループで管理者に、別のグループで標準ユーザーに指定されているユーザーのアカウントの種類は、Administrator になります。
-
IDプロバイダーグループごとに指定 が選択されている場合、Passport はユーザーがログインするたびにユーザーのグループメンバーシップを確認します。グループメンバーシップの変更または設定の変更によってユーザーが次のようになる場合、Passport はユーザーのアカウントの種類を更新します。
- 標準アカウントから管理者アカウントへの変更
- 管理者アカウントから標準アカウントへの変更（この変更では、ユーザーアカウントを降格して変更を確実に反映させるため、ユーザーは Mac の再起動を求められます）
ローカルユーザーとのアカウントのリンクを確認する
ローカルユーザーとのアカウントのリンクを確認する
IdP アカウントを既存のローカルユーザーにリンクするオプションをユーザーに提示するかどうかを選択します。このオプションは一度だけ表示されます。
-
常に. これはデフォルトの設定です。ユーザーが IdP の資格情報を使用して Mac にログインすると、Passport はリンク先の既存のローカル Mac アカウントを選択するようユーザーに求めます。ユーザーの IdP アカウント名が Mac アカウント名と一致するかどうかわからない場合に適したオプションです。常に を選択すると、2 つの追加オプションが表示されます。
- 既存のローカルユーザーとのリンクを要求: ユーザーは IdP アカウントを既存のローカルユーザーアカウントにリンクする必要があります。
- ローカルユーザーを除外: ユーザーの初回ログイン時にリンク可能なローカルユーザーのリストから、特定のアカウントを除外します。Local user short name に短い名前を入力し、複数の行が必要な場合は Add user を選択します。一般的なユースケースは、IT 管理者アカウントやサービスアカウントへのリンクをユーザーに求めないようにすることです。
- ローカルユーザー名が一致する場合. ユーザーが IdP の資格情報を使用して Mac にログインすると、Passport はユーザー名が一致する Mac アカウントを自動的に見つけ、リンクするようユーザーに求めます。ユーザーは別のアカウントにリンクすることはできません。
- しない. ユーザーが IdP の資格情報を使用してログインすると、既存のアカウントに関係なく、Passport は Mac に新しいユーザーアカウントを作成します。
アクセス
Mac にログインできるユーザーと、FileVault の自動ログインの動作を設定します。パスワード管理の詳細については、Passport によるパスワードの管理を参照してください。IdP ユーザーのアクセス
IdP ユーザーのアクセス
これらの設定は、IdP で認証された新規または既存の Passport ユーザーにのみ適用されます。その他のローカルユーザーのサインインを制御するには、以下の Local user access を使用します。
- Allow all users to log in は、すべての IdP ユーザーが Passport のログインウインドウで Mac にログインできるようにします。
-
Specify which IdP users can log in は、指定したユーザーのみが Passport のログインウインドウで Mac にログインできるようにします。
- デバイスレコードに割り当てられたユーザーを自動的に含める: Iru Endpoint のデバイスレコードに割り当てられたユーザーのログインを自動的に許可します。
- 追加のIdPユーザーを指定: Iru Endpoint のデバイスレコードに割り当てられていない場合でも、特定の IdP ユーザーのログインを許可します。
ローカルユーザーのアクセス
ローカルユーザーのアクセス
既存のローカルユーザーがサインインできるようにするか、アクセスをローカル管理者または特定のローカルユーザーに制限するかを選択します。
- Allow all local users to log in は、すべてのローカルユーザーが Passport のログインウインドウで Mac にログインできるようにします。Mac がネットワークに接続されていて IdP に到達できる場合、Passport は IdP に照らしてユーザーの資格情報を確認します。Mac がネットワークに接続されていない場合、ユーザーはローカル Mac アカウントの資格情報でログインできます。これはデフォルトの設定です。
- Allow local administrators to log in は、ローカル管理者ユーザーのみが Passport のログインウインドウで Mac にログインできるようにします。
- Specify which local users can log in は、指定したユーザーのみが Passport のログインウインドウで Mac にログインできるようにします。
FileVault の自動ログイン
FileVault の自動ログイン
これらのオプションは、FileVault のパススルー認証（FileVault の自動ログインとも呼ばれます）を制御します。つまり、ユーザーが Passport ウインドウで別途サインインせずに、FileVault のロックを解除してデスクトップに到達できるかどうかを制御します。
- FileVaultの自動ログインを許可: ユーザーは FileVault のログインウインドウでのみサインインします。ログアウトしない限り、Passport のログインウインドウは表示されません。FileVault のログインウインドウでは、IdP に照らした資格情報の確認は行われません。
- FileVaultの自動ログインを許可しない: これはデフォルトです。ユーザーが Mac の電源を入れると、Passport のログインウインドウが表示されます。ユーザーは FileVault のログインウインドウでサインインし、さらに Passport のログインウインドウでもサインインします。
ユーザーパスワードを保存する
ユーザーパスワードを保存する
オプションで、ユーザーの現在のパスワードを専用のキーチェーンに保存できます。これにより、Passport は可能な場合に追加のプロンプトなしでログインウインドウでのパスワード変更を処理できます。
-
パスワードを安全に保存: パスワード変更を支援するため、ユーザーの IdP の資格情報を Mac 上の専用キーチェーンに保存します。ユーザーが IdP でパスワードを変更してから Mac にログインすると、新しい資格情報を入力するだけで、Passport が Mac のパスワードをバックグラウンドで更新します。ユーザーがすでにログインしている状態で IdP でパスワードを変更した場合、Passport は 5 分以内にローカルパスワードを更新するようユーザーに求めます。ユーザーはローカルパスワードを入力する必要はなく、IdP のパスワードを入力するだけで、Passport がローカルパスワードを IdP のパスワードに一致するよう変更します。このキーチェーンの場所は
/Library/Keychains/iru.keychainです。そのキーチェーンを削除すると、Passport はエラーやユーザーへの通知を生成することなく、その場所に新しいキーチェーンを自動的に作成して使用します。- Webログイン Passthrough: Webログイン でこのオプションを選択すると、ユーザーには初回ログイン時にのみ追加のパスワード確認画面が表示されます。以降のログインでは、Webログイン ウインドウで一度認証するだけでログインプロセスが完了します。
- パスワードを保存しない: このオプションを設定すると、Passport はログイン時にのみパスワードの同期を確認して適用します。ユーザーがログインセッションの間にパスワードを変更した場合、ローカルパスワードは次回のログインまで同期されないままになります。
ログインウインドウをカスタマイズする
ユーザー向けに Passport のログインウインドウをカスタマイズできます。カスタマイズ を選択すると、以下のオプションを含む Customize login window ドロワーが表示されます。ブランディング
ブランディング
- ロゴを表示: ログインウインドウに組織のロゴを表示します。Passport Library Item が Webログイン を使用している場合、ユーザーが Local Login を選択するまで、Passport はロゴの代わりに Web ビューを表示します。Local Login を選択すると、ユーザー名とパスワードのフィールドとともにロゴが再表示されます。
- Logo: 背景が透明な 128 x 128 ピクセルの PNG を使用します。ファイルをアップロード領域にドラッグするか、upload を選択します。JPEG と PNG が使用できます。
- デスクトップピクチャをカスタマイズ: オンにすると、ログインウインドウの背景用の画像をアップロードできます。
- デスクトップピクチャ: 3840 x 2160 ピクセルの JPEG または PNG を推奨します。ファイルをアップロード領域にドラッグするか、upload を選択します。
メニューバー
メニューバー
- ネットワークマネージャ: メニューバーに Wi-Fi ネットワークマネージャーを表示し、ユーザーがまだネットワークに接続していない場合に Passport のログインウインドウで接続できるようにします。
- セキュリティ保護されていないWi-Fiネットワークへの接続を許可: ネットワークマネージャ がオンの場合、ユーザーはこれを使用して暗号化を必要としないネットワークに接続できます。
キャプティブポータルのネットワークはサポートされていません。
バナー
バナー
ロックメッセージ: ロックメッセージを表示するか非表示にするかを選択します。オプションは Don’t display a lock message、Display a custom lock message、Inherit system settings です。カスタムメッセージの場合は、テキストフィールドに最大 220 文字を入力します。ポリシーバナー: ポリシーバナーを表示するか非表示にするかを選択します。オプションは Don’t display a policy banner、Display a plain-text policy banner、Display an RTF policy banner、Inherit system settings です。プレーンテキストは最大 900 文字まで入力できます。RTF の場合は、ドロップゾーンを使用するか upload を選択してファイルを添付します。
電源コントロール
電源コントロール
ログインウインドウから使用できる電源コントロールを指定します。デフォルトでは、3 つすべてが有効になっています。
- システム終了ボタン
- 再起動ボタン
- スリープボタン
ユーザー名とパスワード
ユーザー名とパスワード
- ユーザー名ラベルをカスタマイズ: ユーザー名フィールドに表示されるカスタムラベルを追加します。最大 83 文字です。
-
パスワードリセットURLを含める: ユーザーがログインウインドウからパスワードをリセットできるようにします。完全な URL（たとえば
https://で始まる値）を入力します。
ヘルプウインドウをカスタマイズする
ユーザーは、Passport のログインウインドウの左下にあるヘルプの ? コントロールを選択します。開いたヘルプウインドウの上部には、ここで設定した内容に対応する Support、Device info、About の 3 つのタブがあります。Passport Library Item で カスタマイズ を選択すると、Customize Help window ドロワーが開きます。Support タブ
Support タブ
- Header: 必須です。最大 30 文字です。このテキストは Support タブのメインの見出しとして表示されます（例: Contact us）。
- 本文（任意）: 最大 250 文字です。このテキストは見出しの下に表示されます（例: ログインに失敗した場合は組織の IT 部門に連絡するよう求める説明）。
Device info タブ
Device info タブ
各トグルをオンまたはオフにして、その行を Device info タブに表示するかどうかを制御します。デフォルトでは、これらのオプションはすべて有効になっています。
- シリアル番号
- IP アドレス
- ホスト名
- macOS バージョン
- モデル情報
About タブ
About タブ
標準的な macOS の「このアプリケーションについて」ウインドウと同様に、Passport の名前、ビルド番号を含む バージョン 行、Iru の著作権表示が表示されます。
Passport のテスト
関連記事
Passport によるパスワードの管理
Passport でパスワードを管理する方法。
Passport と macOS および Iru Endpoint 機能との互換性
Passport と macOS および Iru 機能との互換性