> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Passport Library Item の設定
> Iru Endpoint で Passport Library Item を設定し、macOS ログインを ID プロバイダと同期します。IdP 認証、パスワード同期、SSO を設定します。
このガイドは Mac コンピュータに適用されます
### Passport について
Passport は、ユーザーが個別のローカルパスワードではなく、組織の ID プロバイダ（IdP）の資格情報を使用して Mac コンピュータにログインできるようにする Iru Endpoint の機能です。Passport は IdP と macOS のログインを接続します。
**2026 年 6 月 15 日**以降、Microsoft Entra ID では Passport サインインの条件付きアクセスの処理方法が変わります。
* **Macログイン:** テナントが影響を受けるかどうか、およびその日付までに何を更新する必要があるかを確認するには、[Entra ID Passport Macログイン](/ja/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-mac-login#june-2026-conditional-access-change) を参照してください。
* **Webログイン:** 更新が必要なのは、Webログイン を使用していて、条件付きアクセスで Passport を MFA の対象外にしたい場合のみです。[Entra ID Passport Webログイン](/ja/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-web-login#june-2026-conditional-access-change) を参照してください。
Microsoft は[こちらのドキュメント](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions)でこの変更について説明しています。
### 仕組み
Passport は ID プロバイダ（IdP）と統合され、macOS のログイン画面でユーザーを認証します。ユーザーが IdP の資格情報を入力すると、Passport は組織の ID システムに照らしてそれを検証し、それに応じてローカルの Mac ユーザーアカウントを作成または更新します。
Passport が他の Iru Endpoint および macOS の機能とどのように相互作用するかについて詳しくは、[Passport と macOS および Iru Endpoint 機能との互換性](/ja/endpoint/library/passport/passport-compatibility-with-macos-and-iru-endpoint-features#login-window)を参照してください。
### Passport 用に IdP を設定する
Iru Endpoint で Library Item を設定する前に、Passport 用に ID プロバイダを設定してください。IdP と認証モードに応じて、OIDC の well-known 設定 URL（発行者メタデータ URL）、アプリケーションのクライアント ID、さらに設定で必要な場合はクライアントシークレットやリダイレクト URI など、Iru Endpoint に入力する適切な値が必要になります。
ご使用の IdP に合ったガイドを使用してください。
Google Workspace の Secure LDAP と証明書の設定。
Okta の OIDC アプリケーションと Passport Library Item の設定。
Passport で MFA が必要な場合はこのガイドを使用します。
Passport で MFA が不要な場合はこのガイドを使用します。
OneLogin の OIDC アプリケーションと Passport Library Item の設定。
Iru Endpoint で **IDプロバイダー** として **その他** を使用する場合は、ベンダーのドキュメントを参照して、発行者の `.well-known/openid-configuration` URL と、Passport Library Item の **Webログイン** または **Macログイン** に対応するクライアント設定を取得してください。
### Passport Library Item を作成する
この Library Item を Iru Endpoint の Library に追加するには、[Library の概要](/ja/endpoint/library/library-items-profiles/library-overview)の記事に記載されている手順に従います。
新しい Passport Library Item にわかりやすい **名前** を付け、目的の [Blueprint](/ja/endpoint/getting-started/blueprints-and-library/configuring-blueprints) に割り当てます。
この記事で後述するように、**認証構成**、**ユーザープロビジョニング**、**アクセス**、**Login window**、**Help window** の設定を続けます。完了したら、Library Item で **保存** を選択します。
### 認証の設定
**設定** の **認証構成** で **IDプロバイダー** を選択し、IdP を選びます。
**Google Workspace** 以外の **IDプロバイダー** を使用する場合は、この手順をスキップして、以下の **IDプロバイダーのURL を入力する**に進んでください。
**認証構成** で、Secure LDAP クライアントの圧縮された証明書をアップロードします。[ユーザープロビジョニング](#user-provisioning)に進みます。
**IDプロバイダーのURL** フィールドに、IdP の OIDC well-known 設定エンドポイントを入力します。想定される URL のパターンは IdP によって異なります。**IDプロバイダー** の選択に合ったタブを使用してください。
テナント ID がわからない場合は、[こちら](https://learn.microsoft.com/en-us/entra/fundamentals/how-to-find-tenant)の手順に従って確認してください。
```bash theme={null}
https://login.microsoftonline.com/{tenant}/v2.0/.well-known/openid-configuration
```
```bash theme={null}
https://{yourOktaDomain}/.well-known/openid-configuration
```
```bash theme={null}
https://{subdomain}.onelogin.com/oidc/2/.well-known/openid-configuration
```
```bash theme={null}
https://{OIDCDomainURL}/.well-known/openid-configuration
```
**Client ID (Password Sync)** フィールドに、ID プロバイダのプラットフォームで設定した OIDC アプリケーションのクライアント ID を入力します。
2 つのモードは、Mac のログインウインドウで異なる動作をします。
* **Webログイン:** Passport は IdP のサインインページの Web ビューを表示します。ユーザーはそのビュー内で IdP のサインイン（IdP で必要な場合は多要素認証を含む）を完了します。組織で許可されている場合は、[ローカルでサインイン](/ja/endpoint/library/passport/user-experience-with-passport#signing-in-with-only-your-mac-account-local-login)することもできます。
* **Macログイン:** Passport は Mac のユーザー名とパスワードのフィールドのみを表示します。ユーザーはそこに IdP の資格情報を入力し、Passport はログインウインドウで IdP の完全な Web サインインフローを実行せずに、IdP に照らして資格情報を確認します。
Mac のサインイン時に Passport で IdP の **MFA をサポート**する必要がある場合は、**Webログイン** を使用します。導入環境で Passport がその方法で MFA をサポートする必要が**ない**場合は、**Macログイン** を使用します。
FileVault が **FileVaultの自動ログインを許可しない** に設定され、**Webログイン** が選択されている場合、ユーザーはデバイスの電源投入または再起動後に合計 3 回認証する必要があります。
**Webログイン** を選択した場合は、IdP の設定記事の説明に従って、**Redirect URI** フィールドにリダイレクト URI を入力します。
IdP の OIDC アプリがクライアントシークレットを使用する場合は、**Client secret (optional)** フィールドに入力します。これは、IdP でアプリにシークレットが設定されている場合の **Macログイン** または **Webログイン** に適用されます（たとえば、一部の Webログイン アプリはコンフィデンシャルクライアントを使用します）。不明な場合は、IdP の設定記事に従ってください。
Microsoft Entra ID を使用している場合、「Client Secret」はクライアントシークレットの ID ではなく、クライアントシークレットの値です。クライアントシークレットの ID を使用すると、ログインエラーが発生します。
### ユーザープロビジョニング
ユーザーが初めて Mac にログインするときに適用するユーザープロビジョニング設定を構成します。アカウントの種類の割り当て方法や、アカウントがすでに存在する場合の処理を制御できます。
Passport は、ローカルの Mac ユーザーアカウントの 2 つの属性を使用します（`dscl` コマンドまたはディレクトリユーティリティアプリで確認できます）。
* `dsAttrTypeNative:io.kandji.KandjiLogin.LinkedAccount`: IdP アカウント固有の一意の値が含まれます。これは IdP によって異なり、数値、メールアドレス、または一意の識別子の場合があります
* `dsAttrTypeNative:io.kandji.KandjiLogin.LinkedAccountName`: リンクされたユーザーアカウントの RecordName 属性の値（メールアドレスなど）が含まれます
Passport は RecordName 属性に追加の値として、IdP アカウントのメールアドレスも追加します。
Passport が新しいローカルユーザーアカウントを作成する場合、Passport は適切な属性と値を持つローカル Mac アカウントを作成します。
Passport が既存のローカルユーザーアカウントとリンクする場合、Passport は既存の RecordName 属性に値を追加し、既存のローカルユーザーアカウントに 2 つの追加の属性と値を追加します。
**ユーザープロビジョニング** の **ユーザーアカウントの種類** ドロップダウンには、**Administrator**（デフォルト）、**標準**、**IDプロバイダーグループごとに指定** があります。Passport が新しいローカルユーザーアカウントを作成する場合、その種類はこの設定に従います。
* **Administrator** または **標準** を選択した場合、Passport は最初の Passport ログイン時にローカルアカウントの権限を確認します。
* IdP のグループメンバーシップに基づいて新しいアカウントの種類を設定するために **IDプロバイダーグループごとに指定** を選択した場合:
* **ユーザーアカウントの種類** を **IDプロバイダーグループごとに指定** に設定した状態で、その下のアカウントの種類のドロップダウンを開き、Administrator または Standard ユーザーを選択します。ユーザーがさらに下の **IDプロバイダーグループ** の行に一致する場合、Passport はその行のアカウントの種類を代わりに使用します。
* Iru Endpoint の **IDプロバイダーグループ** フィールドのグループが、IdP のグループと一致していることを確認します
* Microsoft Entra ID の場合、Microsoft の推奨事項に基づき、グループ名ではなく Entra ID グループのオブジェクト ID を使用します。
* Google Workspace の場合、入力する名前はグループ名ではなく、Google のグループのメールアドレスのプレフィックスにする必要があります。
* あるグループで管理者に、別のグループで標準ユーザーに指定されているユーザーのアカウントの種類は、**Administrator** になります。
* **IDプロバイダーグループごとに指定** が選択されている場合、Passport はユーザーがログインするたびにユーザーのグループメンバーシップを確認します。グループメンバーシップの変更または設定の変更によってユーザーが次のようになる場合、Passport はユーザーのアカウントの種類を更新します。
* 標準アカウントから管理者アカウントへの変更
* 管理者アカウントから標準アカウントへの変更（この変更では、ユーザーアカウントを降格して変更を確実に反映させるため、ユーザーは Mac の再起動を求められます）
IdP アカウントを既存のローカルユーザーにリンクするオプションをユーザーに提示するかどうかを選択します。このオプションは一度だけ表示されます。
* **常に**. これはデフォルトの設定です。ユーザーが IdP の資格情報を使用して Mac にログインすると、Passport はリンク先の既存のローカル Mac アカウントを選択するようユーザーに求めます。ユーザーの IdP アカウント名が Mac アカウント名と一致するかどうかわからない場合に適したオプションです。**常に** を選択すると、2 つの追加オプションが表示されます。
* **既存のローカルユーザーとのリンクを要求**: ユーザーは IdP アカウントを既存のローカルユーザーアカウントにリンクする必要があります。
* **ローカルユーザーを除外**: ユーザーの初回ログイン時にリンク可能なローカルユーザーのリストから、特定のアカウントを除外します。**Local user short name** に短い名前を入力し、複数の行が必要な場合は **Add user** を選択します。一般的なユースケースは、IT 管理者アカウントやサービスアカウントへのリンクをユーザーに求めないようにすることです。
* **ローカルユーザー名が一致する場合**. ユーザーが IdP の資格情報を使用して Mac にログインすると、Passport はユーザー名が一致する Mac アカウントを自動的に見つけ、リンクするようユーザーに求めます。ユーザーは別のアカウントにリンクすることはできません。
* **しない**. ユーザーが IdP の資格情報を使用してログインすると、既存のアカウントに関係なく、Passport は Mac に新しいユーザーアカウントを作成します。
### アクセス
Mac にログインできるユーザーと、FileVault の自動ログインの動作を設定します。パスワード管理の詳細については、[Passport によるパスワードの管理](/ja/endpoint/library/passport/managing-passwords-with-passport)を参照してください。
これらの設定は、IdP で認証された新規または既存の Passport ユーザーにのみ適用されます。その他のローカルユーザーのサインインを制御するには、以下の **Local user access** を使用します。
* **Allow all users to log in** は、すべての IdP ユーザーが Passport のログインウインドウで Mac にログインできるようにします。
* **Specify which IdP users can log in** は、指定したユーザーのみが Passport のログインウインドウで Mac にログインできるようにします。
* **デバイスレコードに割り当てられたユーザーを自動的に含める**: Iru Endpoint のデバイスレコードに割り当てられたユーザーのログインを自動的に許可します。
* **追加のIdPユーザーを指定**: Iru Endpoint のデバイスレコードに割り当てられていない場合でも、特定の IdP ユーザーのログインを許可します。
既存のローカルユーザーがサインインできるようにするか、アクセスをローカル管理者または特定のローカルユーザーに制限するかを選択します。
* **Allow all local users to log in** は、すべてのローカルユーザーが Passport のログインウインドウで Mac にログインできるようにします。Mac がネットワークに接続されていて IdP に到達できる場合、Passport は IdP に照らしてユーザーの資格情報を確認します。Mac がネットワークに接続されていない場合、ユーザーはローカル Mac アカウントの資格情報でログインできます。これはデフォルトの設定です。
* **Allow local administrators to log in** は、ローカル管理者ユーザーのみが Passport のログインウインドウで Mac にログインできるようにします。
* **Specify which local users can log in** は、指定したユーザーのみが Passport のログインウインドウで Mac にログインできるようにします。
これらのオプションは、FileVault のパススルー認証（FileVault の自動ログインとも呼ばれます）を制御します。つまり、ユーザーが Passport ウインドウで別途サインインせずに、FileVault のロックを解除してデスクトップに到達できるかどうかを制御します。
* **FileVaultの自動ログインを許可**: ユーザーは FileVault のログインウインドウでのみサインインします。ログアウトしない限り、Passport のログインウインドウは表示されません。FileVault のログインウインドウでは、IdP に照らした資格情報の確認は行われません。
* **FileVaultの自動ログインを許可しない**: これはデフォルトです。ユーザーが Mac の電源を入れると、Passport のログインウインドウが表示されます。ユーザーは FileVault のログインウインドウでサインインし、さらに Passport のログインウインドウでもサインインします。
**FileVaultの自動ログインを許可しない** が選択されている場合、ユーザーはシステムを再起動するたびに、FileVault ウインドウで認証し、さらに Passport のログインウインドウで認証します。
オプションで、ユーザーの現在のパスワードを専用のキーチェーンに保存できます。これにより、Passport は可能な場合に追加のプロンプトなしでログインウインドウでのパスワード変更を処理できます。
* **パスワードを安全に保存**: パスワード変更を支援するため、ユーザーの IdP の資格情報を Mac 上の専用キーチェーンに保存します。ユーザーが IdP でパスワードを変更してから Mac にログインすると、新しい資格情報を入力するだけで、Passport が Mac のパスワードをバックグラウンドで更新します。ユーザーがすでにログインしている状態で IdP でパスワードを変更した場合、Passport は 5 分以内にローカルパスワードを更新するようユーザーに求めます。ユーザーはローカルパスワードを入力する必要はなく、IdP のパスワードを入力するだけで、Passport がローカルパスワードを IdP のパスワードに一致するよう変更します。このキーチェーンの場所は `/Library/Keychains/iru.keychain` です。そのキーチェーンを削除すると、Passport はエラーやユーザーへの通知を生成することなく、その場所に新しいキーチェーンを自動的に作成して使用します。
* **Webログイン Passthrough:** **Webログイン** でこのオプションを選択すると、ユーザーには初回ログイン時にのみ追加のパスワード確認画面が表示されます。以降のログインでは、Webログイン ウインドウで一度認証するだけでログインプロセスが完了します。
* **パスワードを保存しない**: このオプションを設定すると、Passport はログイン時にのみパスワードの同期を確認して適用します。ユーザーがログインセッションの間にパスワードを変更した場合、ローカルパスワードは次回のログインまで同期されないままになります。
### ログインウインドウをカスタマイズする
ユーザー向けに Passport のログインウインドウをカスタマイズできます。**カスタマイズ** を選択すると、以下のオプションを含む **Customize login window** ドロワーが表示されます。
* **ロゴを表示**: ログインウインドウに組織のロゴを表示します。Passport Library Item が **Webログイン** を使用している場合、ユーザーが **Local Login** を選択するまで、Passport はロゴの代わりに Web ビューを表示します。**Local Login** を選択すると、ユーザー名とパスワードのフィールドとともにロゴが再表示されます。
* **Logo:** 背景が透明な 128 x 128 ピクセルの PNG を使用します。ファイルをアップロード領域にドラッグするか、**upload** を選択します。JPEG と PNG が使用できます。
* **デスクトップピクチャをカスタマイズ**: オンにすると、ログインウインドウの背景用の画像をアップロードできます。
* **デスクトップピクチャ**: 3840 x 2160 ピクセルの JPEG または PNG を推奨します。ファイルをアップロード領域にドラッグするか、**upload** を選択します。
* **ネットワークマネージャ**: メニューバーに Wi-Fi ネットワークマネージャーを表示し、ユーザーがまだネットワークに接続していない場合に Passport のログインウインドウで接続できるようにします。
* **セキュリティ保護されていないWi-Fiネットワークへの接続を許可**: **ネットワークマネージャ** がオンの場合、ユーザーはこれを使用して暗号化を必要としないネットワークに接続できます。
キャプティブポータルのネットワークはサポートされていません。
**ロックメッセージ**: ロックメッセージを表示するか非表示にするかを選択します。オプションは **Don't display a lock message**、**Display a custom lock message**、**Inherit system settings** です。カスタムメッセージの場合は、テキストフィールドに最大 220 文字を入力します。
**ポリシーバナー**: ポリシーバナーを表示するか非表示にするかを選択します。オプションは **Don't display a policy banner**、**Display a plain-text policy banner**、**Display an RTF policy banner**、**Inherit system settings** です。プレーンテキストは最大 900 文字まで入力できます。RTF の場合は、ドロップゾーンを使用するか **upload** を選択してファイルを添付します。
ログインウインドウから使用できる電源コントロールを指定します。デフォルトでは、3 つすべてが有効になっています。
* **システム終了ボタン**
* **再起動ボタン**
* **スリープボタン**
* **ユーザー名ラベルをカスタマイズ**: ユーザー名フィールドに表示されるカスタムラベルを追加します。最大 83 文字です。
* **パスワードリセットURLを含める**: ユーザーがログインウインドウからパスワードをリセットできるようにします。完全な URL（たとえば `https://` で始まる値）を入力します。
### ヘルプウインドウをカスタマイズする
ユーザーは、Passport のログインウインドウの左下にあるヘルプの **?** コントロールを選択します。開いたヘルプウインドウの上部には、ここで設定した内容に対応する **Support**、**Device info**、**About** の 3 つのタブがあります。Passport Library Item で **カスタマイズ** を選択すると、**Customize Help window** ドロワーが開きます。
* **Header:** 必須です。最大 30 文字です。このテキストは Support タブのメインの見出しとして表示されます（例: **Contact us**）。
* **本文（任意）**: 最大 250 文字です。このテキストは見出しの下に表示されます（例: ログインに失敗した場合は組織の IT 部門に連絡するよう求める説明）。
各トグルをオンまたはオフにして、その行を Device info タブに表示するかどうかを制御します。デフォルトでは、これらのオプションはすべて有効になっています。
* **シリアル番号**
* **IP アドレス**
* **ホスト名**
* **macOS バージョン**
* **モデル情報**
標準的な macOS の「このアプリケーションについて」ウインドウと同様に、**Passport** の名前、ビルド番号を含む **バージョン** 行、Iru の著作権表示が表示されます。
### Passport のテスト
Passport をテストする場合:
* 変更を行った後、`sudo iru library` コマンドを使用して、新しい Passport Library Item の設定を強制的に適用できます。
* ユーザとグループの設定（またはユーザとグループの環境設定）を使用して、Passport に関連付けられたユーザーアカウントを削除できます。
* これらの手順を実行した後、安全にログアウトし、テスト用 IdP ユーザーアカウントの資格情報を使用して、新しい Passport 設定で再度ログインを試すことができます。
### 関連記事
Passport でパスワードを管理する方法。
Passport と macOS および Iru 機能との互換性