이 Library Item은 Apple 기기에서 사용할 수 있습니다
Single Sign-On 확장이란 무엇입니까?
SSO(Single Sign-On) 확장은 Apple의 Extensible Enterprise Single Sign-on 프레임워크를 사용하는 macOS, iOS, iPadOS 및 visionOS용 애플리케이션 유형입니다. 이러한 애플리케이션, 즉 확장을 통해 ID 공급자(IdP)는 기본 macOS 애플리케이션과 브라우저 전반에서 사용자의 로그인 상태를 유지하는 애플리케이션을 빌드할 수 있습니다. 이를 통해 확장에 한 번 로그인하면 macOS, iOS, iPadOS 및 visionOS 전반에서 인증됩니다. SSO 확장을 사용하면 사용자의 로컬 macOS 암호를 IdP 암호와 동기화할 수도 있습니다.Single Sign-On 확장은 어떻게 배포합니까?
- iOS, iPadOS 및 visionOS 확장의 경우 먼저 Apple Business 또는 Apple School Manager의 Apps and Books를 통해 SSO 확장이 포함된 앱을 배포해야 합니다.
- macOS 확장의 경우 먼저 Apple Business 또는 Apple School Manager의 Apps and Books를 통해, 또는 Iru의 Custom App을 통해 SSO 확장이 포함된 앱을 배포해야 합니다.
- 확장을 배포한 후 Single Sign-On 프로파일을 구성하여 기기에 배포합니다.
Single Sign-On Extension 프로파일 구성
이 Library Item을 Iru Endpoint Library에 추가하려면 Library 개요 문서에 설명된 단계를 따르세요.1
Library Item 이름 지정
새 Single Sign-On Extension Library Item에 이름을 지정합니다.
2
Blueprints에 할당
원하는 Blueprints에 할당합니다.
Redirect
1
확장 유형 선택
확장 유형은 로그인 권한 부여 유형입니다. Redirect를 선택합니다.
2
확장 식별자 구성
Extension identifier는 Single Sign-On을 수행하는 앱 확장의 번들 식별자입니다. 앱의 info.plist 파일에서 찾을 수 있습니다.
3
Team identifier 설정
Team identifier는 Single Sign-On을 수행하는 앱 확장의 팀 식별자입니다. Library Item이 Mac 컴퓨터에 할당된 경우 필수이며, 10자의 영숫자 문자열이어야 합니다.
4
URL 구성
URLs는 확장이 로그인을 처리하는 ID 공급자의 URL 접두사입니다. 각 접두사에 대해 추가를 선택합니다.쿼리 매개변수와 URL 조각은 허용되지 않습니다. 각 URL은
http:// 또는 https://로 시작해야 하며, 기기에 설치된 Single Sign-On Extension 프로파일 전체에서 고유해야 합니다.5
Denied Bundle Identifiers 설정
Denied Bundle Identifiers는 이 확장의 SSO를 사용하지 않아야 하는 앱의 번들 식별자입니다. 각 앱에 대해 Add Bundle Identifier를 선택합니다. 이는 iOS 15 이상, iPadOS 15 이상 및 macOS 12 이상에 적용됩니다.
6
Screen locked behavior 설정
Screen locked behavior는 화면이 잠겨 있을 때 확장의 동작을 설정합니다. 기본값은 구성되지 않음입니다.
- 구성되지 않음: Iru가 이 설정을 보내지 않습니다.
- 취소: 화면이 잠겨 있는 동안 인증 요청을 취소합니다.
- Do not handle: 화면이 잠겨 있는 동안 인증 요청을 처리하지 않습니다.
7
추가 확장 설정 구성
확장에 추가 구성 데이터가 필요한 경우 Set additional extension configuration을 선택합니다.
OpenID를 사용하려는 경우 ID 공급자에 문의하여 Platform SSO와 함께 OpenID를 지원하는지 확인하세요.
Credential
Credential에서는 Platform SSO를 사용할 수 없습니다.1
확장 유형 선택
확장 유형에서 Credential을 선택합니다.
2
확장 식별자 구성
Extension identifier는 Single Sign-On을 수행하는 앱 확장의 번들 식별자입니다. 앱의 info.plist 파일에서 찾을 수 있습니다.
3
Team identifier 설정
Team identifier는 Single Sign-On을 수행하는 앱 확장의 팀 식별자입니다. Library Item이 Mac 컴퓨터에 할당된 경우 필수이며, 10자의 영숫자 문자열이어야 합니다.
4
Realm 설정
Realm은 선택 사항입니다. 자격 증명에 대해 대소문자를 올바르게 표기한 영역 이름을 입력합니다.
5
Hosts 설정
Hosts는 확장이 인증할 수 있는 도메인 또는 호스트 이름입니다. 각 이름에 대해 추가를 선택합니다. 각 이름은 기기에 설치된 Single Sign-On Extension 프로파일 전체에서 고유해야 합니다.
6
Denied Bundle Identifiers 설정
Denied Bundle Identifiers는 이 확장의 SSO를 사용하지 않아야 하는 앱의 번들 식별자입니다. 각 앱에 대해 Add Bundle Identifier를 선택합니다. 이는 iOS 15 이상, iPadOS 15 이상 및 macOS 12 이상에 적용됩니다.
7
Screen locked behavior 설정
Screen locked behavior는 화면이 잠겨 있을 때 확장의 동작을 설정합니다. 기본값은 구성되지 않음입니다.
- 구성되지 않음: Iru가 이 설정을 보내지 않습니다.
- 취소: 화면이 잠겨 있는 동안 인증 요청을 취소합니다.
- Do not handle: 화면이 잠겨 있는 동안 인증 요청을 처리하지 않습니다.
8
추가 확장 구성 설정
Set additional extension configuration을 선택하여 확장에 필요한 기타 구성 데이터를 입력합니다.
Kerberos
Kerberos에서는 Platform SSO를 사용할 수 없습니다. Apple의 Kerberos 확장에는 다음 단계를 사용하세요.1
확장 유형 선택
확장 유형에서 Kerberos를 선택합니다.
2
Realm 설정
Realm은 필수입니다. Active Directory 도메인 이름의 대문자 형식과 같이 대소문자를 올바르게 표기한 영역 이름을 입력합니다. 예를 들어 accuhive.io는
ACCUHIVE.IO가 됩니다.3
Hosts 설정
Hosts는 확장이 인증할 수 있는 도메인 또는 호스트 이름입니다. 각 이름에 대해 추가를 선택합니다. 각 이름은 기기에 설치된 Single Sign-On Extension 프로파일 전체에서 고유해야 합니다.Hosts는 비워 둘 수 있습니다. 엔터프라이즈 애플리케이션이 AD FS를 사용하고 AD FS가 Kerberos 인증을 허용하는 경우 AD FS 호스트(예:
adfs.accuhive.io)를 추가합니다.4
Screen locked behavior 설정
Screen locked behavior는 화면이 잠겨 있을 때 확장의 동작을 설정합니다. 기본값은 구성되지 않음입니다.
- 구성되지 않음: Iru가 이 설정을 보내지 않습니다.
- 취소: 화면이 잠겨 있는 동안 인증 요청을 취소합니다.
- Do not handle: 화면이 잠겨 있는 동안 인증 요청을 처리하지 않습니다.
암호 옵션
체크박스를 선택하면 해당 설정이 전송됩니다. 일부 체크박스에는 입력할 값이 표시됩니다.- Disallow automatic login: 암호가 키체인에 저장되지 않습니다.
- Disallow password change: 암호 변경을 비활성화합니다. macOS 10.15 이상에서 사용할 수 있습니다.
- Require complex passwords: 암호가 Active Directory의 복잡성 정의를 충족해야 합니다. macOS 10.15 이상에서 사용할 수 있습니다.
- Password history: 이 도메인에서 재사용할 수 없는 이전 암호의 개수를 입력합니다. macOS 10.15 이상에서 사용할 수 있습니다.
- Password length: 이 도메인의 최소 암호 길이(문자 수)를 입력합니다. macOS 10.15 이상에서 사용할 수 있습니다.
- Sync password with local user: Active Directory 암호를 로컬 사용자 암호로 사용합니다. 사용자가 모바일 계정으로 로그인한 경우에는 작동하지 않습니다. macOS 10.15 이상에서 사용할 수 있습니다.
- Change password URL: 암호 변경 중에 확장이 여는 URL을 입력합니다. macOS 10.15.4 이상에서 사용할 수 있습니다.
- Password expiration notification: 암호 만료 며칠 전부터 사용자에게 알림을 보낼지 입력합니다.
- Minimum password age: 이 도메인에서 암호를 변경할 수 있기까지의 최소 기간(일)을 입력합니다.
고급
체크박스를 선택하면 해당 설정이 전송됩니다. 일부 체크박스에는 입력할 값이 표시됩니다.- Bundle ID access: TGT(ticket-granting ticket)에 액세스할 수 있는 각 번들 ID에 대해 추가를 선택합니다.
- Autofill username: 주체 이름을 입력합니다. 영역은 포함하지 마세요.
- Default realm: 둘 이상의 Kerberos 확장 구성이 설치된 경우 이 영역을 사용합니다.
- Require user presence: 키체인 항목에 액세스하려면 사용자가 Touch ID, Face ID 또는 패스코드를 제공해야 합니다.
- Site Code: Kerberos 확장이 사용해야 하는 Active Directory 사이트를 입력합니다. 대부분의 관리자는 이 값을 설정하지 않아도 됩니다. 일반적으로 확장이 사이트를 자동으로 찾을 수 있습니다.
- Disable Autodiscover for site name: 확장이 LDAP 및 DNS를 사용하여 Active Directory 사이트 이름을 확인하지 않습니다.
- Custom Username Label: 사용자 이름 대신 표시할 레이블을 입력합니다. 예: Company ID. macOS 11 이상에서 사용할 수 있습니다.
- Delay User Setup: 관리자가
app-sso도구로 활성화하거나 Kerberos 챌린지를 받을 때까지 사용자에게 Kerberos 확장 설정을 요청하지 않습니다. macOS 11 이상에서 사용할 수 있습니다. - Help Text: 도움말 정보나 고지 사항과 같이 Kerberos 로그인 창 하단에 표시할 텍스트를 입력합니다. iOS 14 이상 및 macOS 11 이상에서 사용할 수 있습니다.
- Include Managed Apps in Bundle ACL: Bundle ID access의 번들 ID 외에 관리 앱만 자격 증명에 액세스하고 사용할 수 있습니다. iOS 14 이상에서 사용할 수 있습니다.
- Disable Monitor Credentials Cache: 다음으로 일치하는 Kerberos 챌린지 또는 네트워크 변경 시 자격 증명을 요청합니다. 자격 증명이 만료되었거나 없으면 새로 생성됩니다. macOS 11 이상에서 사용할 수 있습니다.
- Disallow smart card: 사용자가 인터페이스를 스마트 카드 모드로 전환할 수 없습니다. macOS 15 이상에서 사용할 수 있습니다.
- Disallow password: 사용자가 인터페이스를 암호 모드로 전환할 수 없습니다. macOS 15 이상에서 사용할 수 있습니다.
- Start in smart card mode: 인터페이스가 스마트 카드 모드로 시작됩니다. macOS 15 이상에서 사용할 수 있습니다.
- Smart Card Identity Issuer Auto Select Filter: 발급자별로 사용 가능한 스마트 카드를 필터링하기 위해 와일드카드가 포함된 문자열을 입력합니다. 카드가 하나만 남으면 자동으로 선택됩니다. 둘 이상 남으면 목록이 짧아집니다.