Настройка единого входа платформы для устройств macOS в Microsoft Intune

Вы можете настроить единый вход в Platform, чтобы включить единый вход (SSO) для устройств macOS с помощью проверки подлинности без пароля, Microsoft Entra ID учетных записей пользователей или смарт-карт. Единый вход на платформе — это Microsoft Entra функция, которая расширяет подключаемый модуль единого входа Microsoft Enterprise и расширение приложения единого входа.

Данная функция применяется к:

  • macOS

Единый вход платформы выполняет вход пользователей на управляемые устройства Mac с помощью учетных данных Microsoft Entra ID и Touch ID. Используйте Intune, чтобы настроить единый вход платформы и развернуть конфигурацию единого входа платформы на устройствах macOS.

Подключаемый модуль единого входа Microsoft Enterprise Microsoft Entra ID включает две функции единого входа: единый вход на платформе и расширение приложения единого входа. Эта статья посвящена настройке единого входа platform с помощью Microsoft Entra ID.

В этой статье показано, как настроить единый вход платформы для устройств macOS в Intune. Некоторые распространенные сценарии единого входа на платформе, которые также можно настроить, см. в статье Общие сценарии единого входа платформы для устройств macOS.

Преимущества

Ниже перечислены некоторые преимущества единого входа platform.

  • Он включает расширение приложения единого входа. Расширение приложения единого входа не настраивается отдельно.
  • Вы можете использовать учетные данные без пароля, устойчивые к фишингу, которые привязаны к устройству Mac.
  • Процесс входа аналогичен входу на устройство с Windows с помощью рабочей или учебной учетной записи, как и при использовании Windows Hello для бизнеса.
  • Это помогает свести к минимуму количество попыток ввода пользователями Microsoft Entra ID учетных данных.
  • Это помогает сократить количество паролей, которые пользователи должны запоминать.
  • Вы получаете преимущества Microsoft Entra присоединения, что позволяет любому пользователю организации войти на устройство.
  • Он входит в состав всех планов лицензирования Microsoft Intune.

Принцип работы единого входа на платформе

Когда устройства Mac присоединяются к клиенту Microsoft Entra ID, они получают сертификат wpj. Этот сертификат WPJ привязан к оборудованию и доступен только подключаемым модулем единого входа Microsoft Enterprise. Для доступа к ресурсам, защищенным с помощью условного доступа, приложениям и веб-браузерам требуется этот сертификат WPJ.

При настройке единого входа в Платформу расширение приложения единого входа выступает в качестве брокера для проверки подлинности Microsoft Entra ID и условного доступа.

Единый вход платформы настраивается с помощью каталога параметров Intune. Когда политика каталога параметров будет готова, назначьте ее. Корпорация Майкрософт рекомендует назначить политику, когда пользователь регистрирует устройство в Intune. Но его можно назначить в любое время, в том числе на существующих устройствах.

Предварительные условия

  • Устройства должны работать под управлением macOS 13.0 и более поздней версии.

  • Устройствам требуется Microsoft Intune Корпоративный портал версии приложения5.2404.0 или более поздней. Эта версия включает единый вход платформы.

  • Следующие веб-браузеры поддерживают единый вход platform:

    Используйте Intune, чтобы добавить приложения веб-браузера, включая файлы пакетов (.pkg) и образов диска (.dmg), а также развернуть приложение на устройствах macOS. Чтобы приступить к работе, перейдите в раздел Добавление приложений в Microsoft Intune.

  • Единый вход платформы использует каталог параметров Intune для настройки необходимых параметров. Чтобы создать политику каталога параметров, как минимум, войдите в Центр администрирования Microsoft Intune с учетной записью, которая имеет следующие разрешения Intune:

    • Разрешение на чтение, создание, обновление и назначение разрешений на чтение, обновление и назначение конфигурации устройства

    Некоторые встроенные роли имеют эти разрешения, включая роль Диспетчер политик и профилей Intune. Дополнительные сведения о ролях RBAC в Intune см. в статье Управление доступом на основе ролей (RBAC) с Microsoft Intune.

  • На шаге 2. Создание политики единого входа платформы (эта статья) вы создадите политику каталога параметров, которая настраивает необходимые параметры для единого входа на платформе. В этой политике можно настроить другие распространенные сценарии и параметры. Дополнительные сведения см. в статье Общие сценарии единого входа платформы для устройств macOS.

    Прежде чем создавать политику каталога параметров, ознакомьтесь ссценариями. Таким образом, можно настроить параметры, необходимые при первоначальном создании политики. Если вы не настраиваете необязательные параметры сценария изначально, вы всегда можете изменить политику позже. Вы можете назначить группам только одну политику единого входа. Поэтому добавьте эти параметры сценария в существующую политику каталога параметров единого входа платформы.

  • Устройства с существующей политикой единого входа платформы повторно зарегистрируйтесь в Microsoft Entra при изменении в политике параметра Platform SSO > Authentication Method or Platform SSO > Use Shared Device Keys (Использование общих ключей устройств). Для других параметров, которые вы добавляете или изменяете, если вы отмените и переназначаете политику единого входа платформы, устройство повторно зарегистрирует.

  • На шаге 5. Регистрация устройства (эта статья) пользователи регистрируют свои устройства. Этим пользователям должно быть разрешено присоединять устройства к Microsoft Entra ID. Дополнительные сведения см. в разделе Настройка параметров устройства.

Шаг 1. Определение метода проверки подлинности

При создании политики единого входа платформы в Intune необходимо выбрать метод проверки подлинности, который вы хотите использовать.

Политика единого входа платформы и выбранный метод проверки подлинности изменяют способ входа пользователей на устройства.

  • При настройке единого входа в platform пользователи входят на свои устройства macOS с помощью настроенного метода проверки подлинности.
  • Если вы не используете единый вход в Platform, пользователи входят на свои устройства macOS с помощью локальной учетной записи. Затем они входят в приложения и веб-сайты со своими Microsoft Entra ID.

На этом шаге используйте сведения, чтобы узнать о различиях с методами проверки подлинности и о том, как они влияют на процесс входа пользователя.

Совет

Корпорация Майкрософт рекомендует использовать Безопасный анклав в качестве метода проверки подлинности при настройке единого входа в Platform.

Функция Безопасный анклав Смарт-карта Пароль
Без пароля (защита от фишинга) значок проверка значок проверка Значок ошибки
TouchID, поддерживаемый для разблокировки значок проверка значок проверка значок проверка
Может использоваться в качестве ключа доступа значок проверка Значок ошибки Значок ошибки
MFA является обязательным для установки

Всегда рекомендуется использовать многофакторную проверку подлинности (MFA)		 значок проверка значок проверка Значок ошибки
Пароль локального компьютера Mac, синхронизированный с идентификатором Entra Значок ошибки Значок ошибки значок проверка
Поддерживается в macOS 13.x и более поздних версий значок проверка Значок ошибки значок проверка
Поддерживается в macOS 14.x + значок проверка значок проверка значок проверка
При необходимости разрешите новым пользователям входить с учетными данными Entra ID (macOS 14.x +) значок проверка значок проверка значок проверка

При настройке единого входа в Platform с помощью метода проверки подлинности Secure Enclave подключаемый модуль единого входа использует аппаратные криптографические ключи. Учетные данные Microsoft Entra не используются для проверки подлинности пользователя в приложениях и веб-сайтах.

Дополнительные сведения о безопасном анклаве см. в разделе Безопасный анклав (открывается веб-сайт Apple).

Безопасный анклав:

  • Считается параметром без пароля и соответствует требованиям многофакторной защиты от фишинга (MFA). Это концептуально похоже на Windows Hello для бизнеса. Он также может использовать те же функции, что и Windows Hello для бизнеса, например условный доступ.
  • Оставляет имя пользователя и пароль локальной учетной записи как есть. Эти значения не изменяются. Это поведение обусловлено шифрованием диска FileVault apple, которое использует локальный пароль в качестве ключа разблокировки.
  • После перезагрузки устройства пользователи должны ввести пароль локальной учетной записи. После начальной разблокировки компьютера для разблокировки устройства можно использовать Touch ID.
  • После разблокировки устройство получает аппаратный основной маркер обновления (PRT) для единого входа на уровне устройства.
  • В веб-браузерах этот ключ PRT можно использовать в качестве ключа доступа с помощью API WebAuthN.
  • Его настройку можно загрузить с помощью приложения проверки подлинности для проверки подлинности MFA или временного доступа Майкрософт (TAP).
  • Позволяет создавать и использовать ключи доступа Microsoft Entra ID.

Шаг 2. Создание политики единого входа платформы в Intune

Чтобы настроить политику единого входа платформы, выполните действия, описанные в этом разделе, чтобы создать политику каталога параметров Intune. Подключаемый модуль единого входа Microsoft Enterprise требует указанных параметров.

  1. Войдите в Центр администрирования Microsoft Intune.

  2. Выберите Устройства>Управление устройствами>Конфигурация>Создать>Новая политика.

  3. Укажите следующие свойства:

    • Платформа: выберите macOS.
    • Тип профиля: выберите Каталог параметров.

  4. Нажмите Создать.

  5. В разделе Основные укажите следующие свойства.

    • Имя: введите понятное имя для политики. Назначьте имена политикам, чтобы можно было легко различать их. Например, назовите политику macOS — Единый вход на платформе.
    • Описание: введите описание политики. Этот необязательный параметр, но мы рекомендуем его использовать.

  6. Нажмите кнопку Далее.

  7. В разделе Параметры конфигурации нажмите Add settings (Добавить параметры). В окне выбора параметров разверните узел Проверка подлинности и выберите Расширяемый Единый вход (SSO):

    Снимок экрана: средство выбора каталога параметров, показывающее проверку подлинности и расширяемый выбор категории единого входа в Microsoft Intune.

    В списке выберите следующие параметры:

    • Метод проверки подлинности (не рекомендуется) (выберите только для macOS 13)
    • Идентификатор расширения
    • Разверните узел Единый вход в платформу.
      • Выбор метода проверки подлинности (выбор для macOS 14 и более поздних версий)
      • Выберите FileVault Policy (Выберите для macOS 15 и более поздних версий)
      • Выбор сопоставления маркера с пользователем
      • Выберите Использовать общие ключи устройства.
    • Маркер регистрации
    • Поведение блокировки экрана
    • Идентификатор группы
    • Type
    • Url

    Закройте средство выбора параметров.

    Совет

    В политику можно добавить дополнительные параметры единого входа платформы, которые настраивают различные сценарии, например включение единого входа Kerberos, использование биометрической проверки подлинности Touch ID и включение единого входа в приложениях сторонних разработчиков. Дополнительные сведения об этих сценариях и их обязательных параметрах см. в статье Общие сценарии единого входа на платформе для устройств macOS.

    Если вы не настраиваете необязательные параметры сценария изначально, вы всегда можете изменить политику позже.

  8. Настройте следующие обязательные параметры:

    Имя Значение конфигурации Описание
    Метод проверки подлинности (не рекомендуется)
    (только для macOS 13)    		 Password или UserSecureEnclaveKey Выберите метод проверки подлинности единого входа платформы, выбранный на шаге 1. Определение метода проверки подлинности (в этой статье).

    Этот параметр применяется только к macOS 13. Для macOS 14.0 и более поздних версий используйте параметрМетод проверки подлинностиединого входа> платформы.
    Идентификатор расширения com.microsoft.CompanyPortalMac.ssoextension Скопируйте и вставьте это значение в параметр.

    Этот идентификатор является расширением приложения единого входа, которое необходимо профилю для работы единого входа.

    Значения идентификатора расширения и идентификатора группы работают вместе.
    Единый вход> платформыМетод
    проверки подлинности(macOS 14+)    		 Password, UserSecureEnclaveKey или SmartCard Выберите метод проверки подлинности единого входа платформы, выбранный на шаге 1. Определение метода проверки подлинности (в этой статье).

    Этот параметр применяется к macOS 14 и более поздних версий. Для macOS 13 используйте параметр Метод проверки подлинности (не рекомендуется).
    Единый вход> платформыПолитика
    FileVault(macOS 15+)    		 AttemptAuthentication Применяется при выборе пароля для параметра Метод проверки подлинности . Скопируйте и вставьте это значение в параметр.

    Этот параметр позволяет устройству проверять пароль Microsoft Entra ID с помощью Microsoft Entra на экране разблокировки FileVault, когда устройство Mac включено.

    Этот параметр применяется к macOS 15 и более поздних версий.
    Единый вход> платформыИспользование общих ключей
    устройств(macOS 14+)    		 Enabled Если этот параметр включен, единый вход платформы использует одни и те же ключи подписывания и шифрования для всех пользователей на одном устройстве.

    Пользователям, обновляющим macOS 13.x до 14.x, будет предложено зарегистрироваться еще раз.
    Маркер регистрации {{DEVICEREGISTRATION}} Скопируйте и вставьте это значение в параметр. Необходимо включить фигурные скобки.

    Дополнительные сведения об этом маркере регистрации см. в разделе Настройка регистрации Microsoft Entra устройства.

    Для этого параметра требуется также настроить AuthenticationMethod параметр .

    — Если вы используете только устройства macOS 13, настройте параметр Метод проверки подлинности (не рекомендуется).
    — Если вы используете только устройства macOS 14 и более поздних версий, настройте параметрМетод проверки подлинностиединого входа> платформы.
    — Если у вас есть несколько устройств macOS 13 и macOS 14+, настройте оба параметра проверки подлинности в одном профиле.
    Поведение блокировки экрана Не обрабатывать Если задано значение Do Not Handle, запрос будет продолжаться без единого входа.
    Сопоставление маркера с пользователем>Имя учетной записи com.apple.PlatformSSO.AccountShortName или preferred_username Скопируйте и вставьте значение в параметр:

    com.apple.PlatformSSO.AccountShortName:Рекомендуется. Использует префикс имени участника-пользователя поставщика удостоверений (IDP) в качестве имени локальной учетной записи (краткое имя пользователя) для значения имени учетной записи macOS, например user@contoso.com. Для параметра Единый вход платформы во время автоматической регистрации устройств задайте для ключа значение com.apple.PlatformSSO.AccountShortName , чтобы использовать префикс имени участника-пользователя. Дополнительные сведения см. в статье Единый вход платформы: создание учетной записи по запросу (документация Apple).

    preferred_username: этот токен указывает, что значение атрибута Microsoft Entra preferred_username используется для значения имени учетной записи macOS.

    Для единого входа платформы во время автоматической регистрации устройств этот параметр имя учетной записи перезаписывает значение в LAPS , а LAPS SamAccountName игнорируется.
    Сопоставление маркера с пользователем>Полное имя name Скопируйте и вставьте это значение в параметр.

    Этот маркер указывает, что утверждение Microsoft Entra name используется для значения полного имени учетной записи macOS.
    Идентификатор группы UBF8T346G9 Скопируйте и вставьте это значение в параметр.

    Этот идентификатор является идентификатором команды расширения подключаемого модуля единого входа Enterprise.
    Type Перенаправление
    Url Скопируйте и вставьте все следующие URL-адреса:

    https://login.microsoftonline.com
    https://login.microsoft.com
    https://sts.windows.net

    Если в вашей среде необходимо разрешить домены национальных облаков, например Azure для государственных организаций или Azure для Китая (21Vianet), добавьте следующие URL-адреса:

    https://login.partner.microsoftonline.cn
    https://login.chinacloudapi.cn
    https://login.microsoftonline.us
    https://login-us.microsoftonline.com    		 Эти префиксы URL-адресов являются поставщиками удостоверений, которые выполняют расширения приложений единого входа. URL-адреса необходимы для полезных данных перенаправления и игнорируются для полезных данных учетных данных .

    Дополнительные сведения об этих URL-адресах см. в статье Подключаемый модуль единого входа Microsoft Enterprise для устройств Apple.

    Важно!

    Если ваша среда включает в себя сочетание устройств macOS 13 и macOS 14+, настройтепараметры проверки подлинностиединого входа платформы> и метод проверки подлинности (не рекомендуется) в одном профиле.

    Когда профиль будет готов, он выглядит примерно так, как показано в следующем примере:

    Снимок экрана: рекомендуемые параметры единого входа на платформе в профиле MDM Intune.

  9. Нажмите кнопку Далее.

  10. В поле Теги области (необязательно) назначьте тег для фильтрации профиля по конкретным ИТ-группам, например US-NC IT Team или JohnGlenn_ITDepartment. Дополнительные сведения о тегах область см. в статье Использование ролей RBAC и область тегов для распределенной ИТ-службы.

    Нажмите кнопку Далее.

  11. В разделе Назначения выберите пользователей или группы устройств, которые получают ваш профиль. Для устройств с сходством пользователей назначьте пользователей или группы пользователей. Для устройств с несколькими пользователями, зарегистрированных без сопоставления пользователей, назначьте устройствам или группам устройств.

    Важно!

    Для параметров единого входа платформы на устройствах с сходством пользователей не поддерживается назначение группам устройств или фильтрам. При использовании назначения группы устройств или назначения группы пользователей с фильтрами на устройствах с сходством пользователей пользователь может не получить доступ к ресурсам, защищенным условным доступом. Эта проблема может произойти:

    • Если параметры единого входа платформы применены неправильно, или
    • Если приложение Корпоративный портал обходит регистрацию Microsoft Entra устройства, если единый вход платформы не включен

    Дополнительные сведения о назначении профилей см. в статье Назначение профилей пользователей и устройств.

    Нажмите кнопку Далее.

  12. Проверьте параметры в окне Проверка и создание. При выборе Создать внесенные изменения сохраняются и назначается профиль. Политика также отображается в списке профилей.

В следующий раз, когда устройство будет проверять наличие обновлений конфигурации, будут применены настроенные параметры.

Дополнительные сведения о подключаемом модуле единого входа

Шаг 3. Развертывание приложения Корпоративный портал для macOS

Приложение Корпоративный портал для macOS развертывает и устанавливает подключаемый модуль единого входа Microsoft Enterprise. Этот подключаемый модуль включает единый вход в Platform.

С помощью Intune можно добавить приложение Корпоративный портал и развернуть его в качестве обязательного приложения на устройствах macOS:

Для настройки приложения для единого входа платформы нет никаких конкретных действий. Просто убедитесь, что последнее приложение Корпоративный портал добавлено в Intune и развернуто на устройствах macOS.

Если у вас установлена более ранняя версия приложения Корпоративный портал, единый вход платформы завершается ошибкой.

Шаг 4. Регистрация устройств и применение политик

Чтобы использовать единый вход платформы, устройства должны быть зарегистрированы в Intune с помощью одного из следующих методов:

  • Для устройств, принадлежащих организации, вы можете:

  • Для личных устройств создайте политику регистрации устройств . С помощью этого метода регистрации пользователи открывают приложение Корпоративный портал и войдите в систему с помощью Microsoft Entra ID. При успешном входе применяется политика регистрации.

Для новых устройств предварительно создайте и настройте все необходимые политики, включая политику регистрации. Затем, когда устройства регистрироваться в Intune, политики применяются автоматически.

Для существующих устройств, уже зарегистрированных в Intune, назначьте политику единого входа платформы пользователям или группам пользователей. В следующий раз, когда устройства синхронизируются или проверка со службой Intune, они получают параметры политики единого входа платформы, которые вы создаете.

Шаг 5. Регистрация устройства

Когда устройство получает политику, в Центре уведомлений появится уведомление о необходимости регистрации .

Снимок экрана: запрос на регистрацию на устройствах конечных пользователей при настройке единого входа платформы в Microsoft Intune.

  • Конечные пользователи выбирают это уведомление, войдите в подключаемый модуль Microsoft Entra ID с помощью учетной записи организации и при необходимости выполните многофакторную проверку подлинности (MFA).

    Примечание.

    MFA — это функция Microsoft Entra. Убедитесь, что MFA включена в клиенте. Дополнительные сведения, включая другие требования к приложению, см. в статье Microsoft Entra многофакторной проверки подлинности.

  • После успешной проверки подлинности устройство Microsoft Entra присоединено к организации, а сертификат присоединения к рабочему месту (WPJ) привязывается к устройству.

В следующих статьях показано взаимодействие с пользователем в зависимости от способа регистрации:

Шаг 6. Подтверждение параметров на устройстве

После завершения регистрации единого входа платформы вы можете подтвердить, что единый вход платформы настроен. Инструкции см. в разделе Microsoft Entra ID — проверка состояния регистрации устройства.

На Intune зарегистрированных устройствах можно также перейти в раздел Параметры>Профили конфиденциальности и безопасности>. Профиль единого входа платформы появится в разделе com.apple.extensiblesso Profile. Выберите профиль, чтобы просмотреть настроенные параметры, включая URL-адреса.

Сведения об устранении неполадок единого входа в Platform см. в статье Известные проблемы с единым входом платформы macOS и устранение неполадок.

Шаг 7. Отмена назначения существующих профилей расширений приложений единого входа

Убедившись, что политика каталога параметров работает, отмените назначение существующих профилей расширений приложений единого входа, созданных с помощью шаблона функций Intune устройств.

Если сохранить обе политики, могут возникнуть конфликты.

Настройка единого входа платформы с другими MDM

Вы можете настроить единый вход платформы с другими службами управления мобильными устройствами (MDM), если mdm поддерживает единый вход на платформе. При использовании другой службы MDM используйте следующие рекомендации.

  • Параметры, перечисленные в этой статье, являются рекомендуемыми параметрами Майкрософт, которые следует настроить. Вы можете скопировать и вставить значения параметров из этой статьи в политику службы MDM.

    Действия по настройке в службе MDM могут отличаться. Обратитесь к поставщику службы MDM, чтобы правильно настроить и развернуть эти параметры единого входа платформы.

  • Регистрация устройств с помощью единого входа platform является более безопасной и использует аппаратные сертификаты устройств. Эти изменения могут повлиять на некоторые потоки MDM, например интеграцию с партнерами по соответствию устройств.

    Обратитесь к поставщику службы MDM, чтобы узнать, сертифицирован ли единый вход платформы, протестированный MDM, что его программное обеспечение правильно работает с единым входом platform, и готово ли поддерживать клиентов, использующих единый вход платформы.

Распространенные ошибки единого входа платформы

При настройке единого входа в Platform могут возникнуть следующие ошибки:

  • 10001: misconfiguration in the SSOe payload.

    Эта ошибка может возникнуть, если:

    Параметры проверки подлинности, настроенные в профиле каталога параметров, отличаются для устройств macOS 13.x и 14.x.

    Если в вашей среде есть устройства macOS 13 и macOS 14, необходимо создать одну политику каталога параметров и настроить соответствующие параметры проверки подлинности в той же политике. Эти сведения описаны в разделе Шаг 2. Создание политики единого входа платформы в Intune (в этой статье).

  • 10002: multiple SSOe payloads configured.

    Несколько полезных данных расширения единого входа применяются к устройству и конфликтуют. На устройстве должен быть только один профиль расширения, и этот профиль должен быть профилем каталога параметров.

    Если вы ранее создали профиль расширения приложения единого входа с помощью шаблона Функций устройств, отключите этот профиль. Профиль каталога параметров — это единственный профиль, который должен быть назначен устройству.

  • Last updated on