> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Single Sign-On Extension Library Item 구성

> Iru Endpoint에서 SSO Extension Library Item을 설정하여 Mac, iPhone 및 iPad 기기의 앱과 웹사이트 전반에서 Single Sign-On을 활성화합니다.

<Callout icon="apple" color="#B84A7A" iconType="regular">이 Library Item은 Apple 기기에서 사용할 수 있습니다</Callout>

## Single Sign-On 확장이란 무엇입니까?

SSO(Single Sign-On) 확장은 Apple의 Extensible Enterprise Single Sign-on 프레임워크를 사용하는 macOS, iOS, iPadOS 및 visionOS용 애플리케이션 유형입니다. 이러한 애플리케이션, 즉 *확장*을 통해 ID 공급자(IdP)는 기본 macOS 애플리케이션과 브라우저 전반에서 사용자의 로그인 상태를 유지하는 애플리케이션을 빌드할 수 있습니다. 이를 통해 확장에 한 번 로그인하면 macOS, iOS, iPadOS 및 visionOS 전반에서 인증됩니다. SSO 확장을 사용하면 사용자의 로컬 macOS 암호를 IdP 암호와 동기화할 수도 있습니다.

<Warning>
  Okta Device Trust를 배포하는 경우 SSO 확장 기능이 Okta Device Trust 배포의 일부로 포함되므로 이 Single Sign-On Extension을 별도로 배포할 필요가 없습니다.
</Warning>

## Single Sign-On 확장은 어떻게 배포합니까?

* iOS, iPadOS 및 visionOS 확장의 경우 먼저 Apple Business 또는 Apple School Manager의 Apps and Books를 통해 SSO 확장이 포함된 앱을 배포해야 합니다.
* macOS 확장의 경우 먼저 Apple Business 또는 Apple School Manager의 Apps and Books를 통해, 또는 Iru의 Custom App을 통해 SSO 확장이 포함된 앱을 배포해야 합니다.
* 확장을 배포한 후 Single Sign-On 프로파일을 구성하여 기기에 배포합니다.

## Single Sign-On Extension 프로파일 구성

이 Library Item을 Iru Endpoint Library에 추가하려면 [Library 개요](/ko/endpoint/library/library-items-profiles/library-overview) 문서에 설명된 단계를 따르세요.

<Steps>
  <Step title="Library Item 이름 지정">
    새 Single Sign-On Extension Library Item에 **이름**을 지정합니다.
  </Step>

  <Step title="Blueprints에 할당">
    원하는 [Blueprints](/ko/endpoint/getting-started/blueprints-and-library/configuring-blueprints)에 할당합니다.
  </Step>
</Steps>

### Redirect

<Steps>
  <Step title="확장 유형 선택">
    **확장 유형**은 로그인 권한 부여 유형입니다. **Redirect**를 선택합니다.
  </Step>

  <Step title="확장 식별자 구성">
    **Extension identifier**는 Single Sign-On을 수행하는 앱 확장의 번들 식별자입니다. 앱의 *info.plist* 파일에서 찾을 수 있습니다.
  </Step>

  <Step title="Team identifier 설정">
    **Team identifier**는 Single Sign-On을 수행하는 앱 확장의 팀 식별자입니다. Library Item이 Mac 컴퓨터에 할당된 경우 필수이며, 10자의 영숫자 문자열이어야 합니다.
  </Step>

  <Step title="URL 구성">
    **URLs**는 확장이 로그인을 처리하는 ID 공급자의 URL 접두사입니다. 각 접두사에 대해 **추가**를 선택합니다.

    쿼리 매개변수와 URL 조각은 허용되지 않습니다. 각 URL은 `http://` 또는 `https://`로 시작해야 하며, 기기에 설치된 Single Sign-On Extension 프로파일 전체에서 고유해야 합니다.
  </Step>

  <Step title="Denied Bundle Identifiers 설정">
    **Denied Bundle Identifiers**는 이 확장의 SSO를 사용하지 않아야 하는 앱의 번들 식별자입니다. 각 앱에 대해 **Add Bundle Identifier**를 선택합니다. 이는 iOS 15 이상, iPadOS 15 이상 및 macOS 12 이상에 적용됩니다.
  </Step>

  <Step title="Screen locked behavior 설정">
    **Screen locked behavior**는 화면이 잠겨 있을 때 확장의 동작을 설정합니다. 기본값은 **구성되지 않음**입니다.

    * **구성되지 않음**: Iru가 이 설정을 보내지 않습니다.
    * **취소**: 화면이 잠겨 있는 동안 인증 요청을 취소합니다.
    * **Do not handle**: 화면이 잠겨 있는 동안 인증 요청을 처리하지 않습니다.
  </Step>

  <Step title="추가 확장 설정 구성">
    확장에 추가 구성 데이터가 필요한 경우 **Set additional extension configuration**을 선택합니다.
  </Step>
</Steps>

Platform SSO는 **Redirect**에서만 사용할 수 있습니다. 이러한 확장 설정을 마친 후 [Platform Single Sign-On 구성](/ko/endpoint/library/library-items-profiles/configure-platform-single-sign-on)으로 계속 진행하세요. 다른 확장 유형의 경우 [Credential](#credential) 또는 [Kerberos](#kerberos)로 이동하세요.

<Note>
  **OpenID**를 사용하려는 경우 ID 공급자에 문의하여 Platform SSO와 함께 OpenID를 지원하는지 확인하세요.
</Note>

### Credential

**Credential**에서는 Platform SSO를 사용할 수 없습니다.

<Steps>
  <Step title="확장 유형 선택">
    **확장 유형**에서 **Credential**을 선택합니다.
  </Step>

  <Step title="확장 식별자 구성">
    **Extension identifier**는 Single Sign-On을 수행하는 앱 확장의 번들 식별자입니다. 앱의 *info.plist* 파일에서 찾을 수 있습니다.
  </Step>

  <Step title="Team identifier 설정">
    **Team identifier**는 Single Sign-On을 수행하는 앱 확장의 팀 식별자입니다. Library Item이 Mac 컴퓨터에 할당된 경우 필수이며, 10자의 영숫자 문자열이어야 합니다.
  </Step>

  <Step title="Realm 설정">
    **Realm**은 선택 사항입니다. 자격 증명에 대해 대소문자를 올바르게 표기한 영역 이름을 입력합니다.
  </Step>

  <Step title="Hosts 설정">
    **Hosts**는 확장이 인증할 수 있는 도메인 또는 호스트 이름입니다. 각 이름에 대해 **추가**를 선택합니다. 각 이름은 기기에 설치된 Single Sign-On Extension 프로파일 전체에서 고유해야 합니다.
  </Step>

  <Step title="Denied Bundle Identifiers 설정">
    **Denied Bundle Identifiers**는 이 확장의 SSO를 사용하지 않아야 하는 앱의 번들 식별자입니다. 각 앱에 대해 **Add Bundle Identifier**를 선택합니다. 이는 iOS 15 이상, iPadOS 15 이상 및 macOS 12 이상에 적용됩니다.
  </Step>

  <Step title="Screen locked behavior 설정">
    **Screen locked behavior**는 화면이 잠겨 있을 때 확장의 동작을 설정합니다. 기본값은 **구성되지 않음**입니다.

    * **구성되지 않음**: Iru가 이 설정을 보내지 않습니다.
    * **취소**: 화면이 잠겨 있는 동안 인증 요청을 취소합니다.
    * **Do not handle**: 화면이 잠겨 있는 동안 인증 요청을 처리하지 않습니다.
  </Step>

  <Step title="추가 확장 구성 설정">
    **Set additional extension configuration**을 선택하여 확장에 필요한 기타 구성 데이터를 입력합니다.
  </Step>
</Steps>

### Kerberos

**Kerberos**에서는 Platform SSO를 사용할 수 없습니다. Apple의 Kerberos 확장에는 다음 단계를 사용하세요.

<Steps>
  <Step title="확장 유형 선택">
    **확장 유형**에서 **Kerberos**를 선택합니다.
  </Step>

  <Step title="Realm 설정">
    **Realm**은 필수입니다. Active Directory 도메인 이름의 대문자 형식과 같이 대소문자를 올바르게 표기한 영역 이름을 입력합니다. 예를 들어 accuhive.io는 `ACCUHIVE.IO`가 됩니다.
  </Step>

  <Step title="Hosts 설정">
    **Hosts**는 확장이 인증할 수 있는 도메인 또는 호스트 이름입니다. 각 이름에 대해 **추가**를 선택합니다. 각 이름은 기기에 설치된 Single Sign-On Extension 프로파일 전체에서 고유해야 합니다.

    **Hosts**는 비워 둘 수 있습니다. 엔터프라이즈 애플리케이션이 AD FS를 사용하고 AD FS가 Kerberos 인증을 허용하는 경우 AD FS 호스트(예: `adfs.accuhive.io`)를 추가합니다.
  </Step>

  <Step title="Screen locked behavior 설정">
    **Screen locked behavior**는 화면이 잠겨 있을 때 확장의 동작을 설정합니다. 기본값은 **구성되지 않음**입니다.

    * **구성되지 않음**: Iru가 이 설정을 보내지 않습니다.
    * **취소**: 화면이 잠겨 있는 동안 인증 요청을 취소합니다.
    * **Do not handle**: 화면이 잠겨 있는 동안 인증 요청을 처리하지 않습니다.
  </Step>
</Steps>

#### 암호 옵션

체크박스를 선택하면 해당 설정이 전송됩니다. 일부 체크박스에는 입력할 값이 표시됩니다.

* **Disallow automatic login**: 암호가 키체인에 저장되지 않습니다.
* **Disallow password change**: 암호 변경을 비활성화합니다. macOS 10.15 이상에서 사용할 수 있습니다.
* **Require complex passwords**: 암호가 Active Directory의 복잡성 정의를 충족해야 합니다. macOS 10.15 이상에서 사용할 수 있습니다.
* **Password history**: 이 도메인에서 재사용할 수 없는 이전 암호의 개수를 입력합니다. macOS 10.15 이상에서 사용할 수 있습니다.
* **Password length**: 이 도메인의 최소 암호 길이(문자 수)를 입력합니다. macOS 10.15 이상에서 사용할 수 있습니다.
* **Sync password with local user**: Active Directory 암호를 로컬 사용자 암호로 사용합니다. 사용자가 모바일 계정으로 로그인한 경우에는 작동하지 않습니다. macOS 10.15 이상에서 사용할 수 있습니다.
* **Change password URL**: 암호 변경 중에 확장이 여는 URL을 입력합니다. macOS 10.15.4 이상에서 사용할 수 있습니다.
* **Password expiration notification**: 암호 만료 며칠 전부터 사용자에게 알림을 보낼지 입력합니다.
* **Minimum password age**: 이 도메인에서 암호를 변경할 수 있기까지의 최소 기간(일)을 입력합니다.

#### 고급

체크박스를 선택하면 해당 설정이 전송됩니다. 일부 체크박스에는 입력할 값이 표시됩니다.

* **Bundle ID access**: TGT(ticket-granting ticket)에 액세스할 수 있는 각 번들 ID에 대해 **추가**를 선택합니다.
* **Autofill username**: 주체 이름을 입력합니다. 영역은 포함하지 마세요.
* **Default realm**: 둘 이상의 Kerberos 확장 구성이 설치된 경우 이 영역을 사용합니다.
* **Require user presence**: 키체인 항목에 액세스하려면 사용자가 Touch ID, Face ID 또는 패스코드를 제공해야 합니다.
* **Site Code**: Kerberos 확장이 사용해야 하는 Active Directory 사이트를 입력합니다. 대부분의 관리자는 이 값을 설정하지 않아도 됩니다. 일반적으로 확장이 사이트를 자동으로 찾을 수 있습니다.
* **Disable Autodiscover for site name**: 확장이 LDAP 및 DNS를 사용하여 Active Directory 사이트 이름을 확인하지 않습니다.
* **Custom Username Label**: **사용자 이름** 대신 표시할 레이블을 입력합니다. 예: Company ID. macOS 11 이상에서 사용할 수 있습니다.
* **Delay User Setup**: 관리자가 `app-sso` 도구로 활성화하거나 Kerberos 챌린지를 받을 때까지 사용자에게 Kerberos 확장 설정을 요청하지 않습니다. macOS 11 이상에서 사용할 수 있습니다.
* **Help Text**: 도움말 정보나 고지 사항과 같이 Kerberos 로그인 창 하단에 표시할 텍스트를 입력합니다. iOS 14 이상 및 macOS 11 이상에서 사용할 수 있습니다.
* **Include Managed Apps in Bundle ACL**: **Bundle ID access**의 번들 ID 외에 관리 앱만 자격 증명에 액세스하고 사용할 수 있습니다. iOS 14 이상에서 사용할 수 있습니다.
* **Disable Monitor Credentials Cache**: 다음으로 일치하는 Kerberos 챌린지 또는 네트워크 변경 시 자격 증명을 요청합니다. 자격 증명이 만료되었거나 없으면 새로 생성됩니다. macOS 11 이상에서 사용할 수 있습니다.
* **Disallow smart card**: 사용자가 인터페이스를 스마트 카드 모드로 전환할 수 없습니다. macOS 15 이상에서 사용할 수 있습니다.
* **Disallow password**: 사용자가 인터페이스를 암호 모드로 전환할 수 없습니다. macOS 15 이상에서 사용할 수 있습니다.
* **Start in smart card mode**: 인터페이스가 스마트 카드 모드로 시작됩니다. macOS 15 이상에서 사용할 수 있습니다.
* **Smart Card Identity Issuer Auto Select Filter**: 발급자별로 사용 가능한 스마트 카드를 필터링하기 위해 와일드카드가 포함된 문자열을 입력합니다. 카드가 하나만 남으면 자동으로 선택됩니다. 둘 이상 남으면 목록이 짧아집니다.