Использование подключаемого модуля единого входа Microsoft Enterprise на устройствах iOS/iPadOS

Подключаемый модуль единого входа Microsoft Enterprise — это функция в Microsoft Entra ID, предоставляющая функции единого входа (SSO) для устройств Apple. Этот подключаемый модуль использует инфраструктуру расширения приложения единого входа Apple.

Расширение для приложений с единым входом обеспечивает единый вход в приложения и веб-сайты, использующие Microsoft Entra ID для проверки подлинности, включая приложения Microsoft 365. Она сокращает количество запросов на проверку подлинности, получаемых пользователями при использовании устройств, управляемых Mobile Управление устройствами (MDM), включая любые запросы MDM, поддерживающие настройку профилей единого входа.

Данная функция применяется к:

В этой статье показано, как создать политику конфигурации расширения приложений единого входа для iOS / iPadOS Устройства Apple с Intune, Jamf Pro и другими решениями MDM.

Поддержка приложения

У ваших приложений есть два варианта, чтобы использовать подключаемый модуль единого входа Microsoft Enterprise.

  • Вариант 1 — MSAL. Приложения, поддерживающие библиотеку проверки подлинности Майкрософт (MSAL), автоматически используют подключаемый модуль единого входа Microsoft Enterprise. Например, приложения Microsoft 365 поддерживают MSAL. Таким образом, они автоматически используют плагин.

    Если ваша организация создает собственные приложения, разработчик приложений может добавить зависимость в MSAL. Эта зависимость позволяет приложению использовать подключаемый модуль единого входа Microsoft Enterprise.

    Пример руководства см. в руководстве "Вход пользователей и звонки в Microsoft Graph" из приложения iOS или macOS.

  • Вариант 2 — AllowList. Приложения, которые не поддерживают MSAL или не были разработаны с ее помощью, могут использовать расширение приложения единого входа. К таким приложениям относятся браузеры, такие как Safari, и приложения, использующие API веб-представлений Safari.

    Для этих приложений, не относящихся к MSAL, добавьте идентификатор или префикс пакета приложений в конфигурацию расширения в политике расширения приложений единого входа Intune (в этой статье).

    Например, чтобы разрешить приложение Майкрософт, которое не поддерживает MSAL, добавьте в политику Intune свойство com.microsoft.AppPrefixAllowList. Будьте осторожны с разрешенными приложениями: они могут обойти интерактивные запросы на вход для вошедшего пользователя.

    Дополнительные сведения см. в статье о подключаемом модуле единого входа Microsoft Enterprise для устройств Apple — приложениях, в которых не используется MSAL.

Предварительные условия

Чтобы использовать подключаемый модуль единого входа Microsoft Enterprise на устройствах с iOS/iPadOS:

  • Устройством управляет Intune.

  • Устройство должно поддерживать подключаемый модуль:

    • iOS и iPadOS версии 13.0 и более поздних версий;

  • На устройстве должно быть установлено приложение Microsoft Authenticator.

    Пользователи могут установить приложение Microsoft Authenticator вручную. Администраторы также могут развернуть приложение с помощью Intune. Сведения об установке приложения Microsoft Authenticator см. в статье "Управление корпоративными приложениями Apple".

  • Настроены требования к подключаемому модулю корпоративного единого входа, включая URL-адреса конфигурации сети Apple.

Примечание.

На устройствах с iOS и iPadOS Apple требует установить расширение приложения SSO и приложение Microsoft Authenticator. Пользователям не нужно использовать или настраивать приложение Microsoft Authenticator, его просто нужно установить на устройстве.

Подключаемый модуль единого входа Microsoft Enterprise и расширение единого входа Kerberos

При использовании расширения приложения с единым входом для проверки подлинности следует использовать тип полезной нагрузки SSO или Kerberos . Расширение приложения единого входа предназначено для улучшения процесса входа для приложений и веб-сайтов, использующих эти способы проверки подлинности.

Подключаемый модуль SSO Microsoft Enterprise использует тип полезных данных SSO с проверкой подлинности Redirect. На устройстве можно одновременно использовать оба типа расширения: SSO Redirect и Kerberos. Обязательно создайте отдельные профили устройств для каждого типа расширения, который планируется использовать на устройствах.

Чтобы определить правильный тип расширения единого входа для сценария, используйте следующую таблицу:

Подключаемый модуль единого входа Microsoft Enterprise для устройств Apple Расширение приложения единого входа с помощью Kerberos
Использует тип расширения приложения единого входа Microsoft Entra ID Использует Kerberos в качестве типа расширения приложения единого входа
Поддерживает перечисленные ниже возможности:
— Microsoft 365;
- Приложения, веб-сайты или службы, интегрированные с Microsoft Entra ID		 Поддерживает перечисленные ниже возможности:
— приложения, веб-сайты или службы, интегрированные с AD

Дополнительные сведения о расширении приложения единого входа см. в статье Обзор единого входа и параметры устройств Apple в Microsoft Intune.

Создание политики конфигурации расширения приложения единого входа

В Центре администрирования Microsoft Intune создайте профиль конфигурации устройства. Этот профиль включает параметры для настройки расширения приложения единого входа на устройствах.

  1. Войдите в Центр администрирования Microsoft Intune.

  2. Выберите Устройства>Управление устройствами>Конфигурация>Создать>Новая политика.

  3. Укажите следующие свойства:

    • Платформа. Выберите iOS/iPadOS.
    • Тип профиля: Выберите "Шаблоны>"Функции устройства.

  4. Нажмите кнопку "Создать".

    Снимок экрана, на котором показано, как создать профиль конфигурации функций устройства для iOS или iPadOS в Microsoft Intune.

  5. В разделе Основные укажите следующие свойства.

    • Имя: введите понятное имя для политики. Назначьте имена политикам, чтобы можно было легко различать их. Например, хорошее имя политики — iOS: Расширение приложения единого входа.
    • Описание: введите описание политики. Этот необязательный параметр, но мы рекомендуем его использовать.

  6. Нажмите кнопку Далее.

  7. В окне Параметры конфигурации выберите Расширение приложения единого входа и настройте следующие свойства:

    • Тип расширения приложения единого входа: выберите Microsoft Entra ID.

      Снимок экрана, на котором показан тип расширения приложения SSO и Microsoft Entra ID для iOS / iPadOS в Intune.

    • Включите режим общего устройства:

      • Не настроено: Intune не изменяет или не обновляет этот параметр.

        Для большинства сценариев, включая общее устройство iPad, личные устройства и устройства с сопоставлением пользователей или без него, выберите этот параметр.

      • Да. Выбирайте этот параметр, только если целевые устройства используют режим общего устройства Microsoft Entra. Дополнительные сведения см. в статье Обзор режима общего устройства.

    • Идентификатор пакета приложений: введите список идентификаторов пакетов для приложений, которые не поддерживают MSAL и которым разрешено использовать единый вход. Дополнительные сведения см. в разделе "Приложения, не использующие MSAL".

    • Дополнительная конфигурация: для настройки взаимодействия с пользователем можно добавить следующие свойства. Эти свойства — значения по умолчанию, используемые расширением единого входа Майкрософт, но их можно настроить в соответствии с потребностями вашей организации:

      Key Тип Описание
      AppPrefixAllowList Строка Рекомендуемое значение: com.apple.

      Введите список префиксов для приложений, которые не поддерживают MSAL и которым разрешено использовать единый вход. Например, введите ВВОД com.microsoft.,com.apple. , чтобы разрешить все приложения Microsoft и Apple.

      Убедитесь, что эти приложения соответствуют требованиям списка разрешений.
      browser_sso_interaction_enabled Целое число Рекомендуемое значение: 1

      Если задано значение 1, пользователи смогут входить в браузер Safari из приложений, которые не поддерживают MSAL. Включение этого параметра позволяет пользователям выполнять начальную загрузку расширения из Safari или других приложений.
      disable_explicit_app_prompt Целое число Рекомендуемое значение: 1

      Некоторые приложения могут неправильно применять запросы пользователя на уровне протокола. Если вы столкнулись с этой проблемой, пользователи получат запрос на вход, даже если подключаемый модуль единого входа Microsoft Enterprise работает для других приложений.

      Если задано значение 1 (один), количество этих запросов сокращается.

      Совет

      Дополнительные сведения об этих и других свойствах, которые можно настроить, см. в статье Подключаемый модуль единого входа Microsoft Enterprise для устройств Apple.

      Когда вы завершите настройку параметров и разрешите приложения Microsoft & Apple, параметры будут выглядеть примерно так, как указано ниже в вашем профиле конфигурации Intune:

      Снимок экрана, на котором показаны параметры конфигурации взаимодействия с конечным пользователем для подключаемого модуля единого входа предприятия на устройствах с iOS и iPadOS в Intune.

  8. Продолжайте создание профиля и назначьте профиль пользователям или группам, которые будут принимать эти параметры. Конкретные действия см. в разделе "Создание профиля".

    Инструкции по назначению профилей см. в статье Назначение профилей пользователей и устройств.

Когда устройство регистрируется в службе Intune, оно получает этот профиль. Дополнительные сведения см. в разделе Интервалы обновления политики.

Чтобы проверка, что профиль развернут правильно, в Центре администрирования Intune перейдите в раздел "Устройства>" "Управление устройствами>""Конфигурация>", выберите созданный профиль и сформируйте отчет.

Снимок экрана, на котором показан отчет о развертывании профиля конфигурации устройства iOS/iPadOS в Intune.

Работа конечных пользователей

Блок-схема конечного пользователя при установке расширения приложения с единым входом на устройствах iOS/iPadOS.

  • Если вы не разворачиваете приложение Microsoft Authenticator с помощью политики приложения, пользователи должны установить его вручную. Пользователям не нужно использовать приложение Authenticator, его просто нужно установить на устройстве.

  • Пользователи могут войти в любое поддерживаемое приложение или веб-сайт для начальной загрузки расширения. Начальная загрузка — это процесс первого входа в систему, который настраивает расширение.

  • После успешного входа пользователей это расширение автоматически используется для входа в любые другие поддерживаемые приложения и на веб-сайты.

Вы можете протестировать единый вход, открыв Safari в приватном режиме (открывает веб-сайт Apple) и открыв https://portal.office.com сайт. Имя пользователя и пароль не требуются.

Анимация, показывающая интерфейс единого входа в iPadOS

Совет

Дополнительные сведения о работе подключаемого модуля единого входа и устранении неполадок с расширением единого входа Microsoft Enterprise см. в руководстве по устранению неполадок с единым входом для устройств Apple.

  • Last updated on