Was ist microsoft Single Sign-On für Linux?

Microsoft Single Sign-On (SSO) für Linux wird vom Microsoft Identity Broker unterstützt, einer Softwarekomponente, die Linux-Geräte mit Microsoft Entra ID integriert. Mit dieser Lösung können benutzer sich einmal mit ihren Microsoft Entra ID-Anmeldeinformationen authentifizieren und ohne wiederholte Authentifizierungsaufforderungen auf mehrere Anwendungen und Ressourcen zugreifen. Das Feature vereinfacht den Anmeldevorgang für Benutzer und reduziert den Aufwand für die Kennwortverwaltung für Administratoren.

Features

Mit diesem Feature können Benutzer auf Linux-Desktopclients ihre Geräte mit Microsoft Entra ID verbinden, sich bei der Intune-Verwaltung registrieren und gerätebasierte Richtlinien für bedingten Zugriff beim Zugriff auf ihre Unternehmensressourcen erfüllen.

Stellt Microsoft Entra ID-Registrierung und Anmeldung für Linux-Desktops bereit
Stellt SSO-Funktionen für systemeigene und Webanwendungen bereit (z. B. Azure CLI, Microsoft Edge, Teams PWA), um auf microsoft 365- und Azure-geschützte Ressourcen zuzugreifen
Stellt SSO für Microsoft Entra-Konten für Anwendungen bereit, die MSAL für .NET oder MSAL für Python verwenden, sodass Kunden microsoft Authentication Library (MSAL) verwenden können, um SSO in benutzerdefinierte Apps zu integrieren.
Aktiviert Richtlinien für bedingten Zugriff, die Webanwendungen über Microsoft Edge schützen
Aktiviert standardmäßige Intune-Compliancerichtlinien
Aktiviert die Unterstützung für Bash-Skripts für benutzerdefinierte Compliancerichtlinien

Die Teams-Webanwendung und eine Progressive Web App (PWA) für Linux verwenden die Konfiguration für bedingten Zugriff, die über Microsoft Intune angewendet wird, um Linux-Benutzern den Zugriff auf Teams mithilfe von Microsoft Edge zu ermöglichen.

Voraussetzungen

Unterstützte Betriebssysteme

Microsoft Single Sign-On für Linux wird auf den folgenden Betriebssystemen unterstützt (physische oder Hyper-V Computer mit x86/64 CPUs):

Ubuntu Desktop 26.04 LTS (Langzeitunterstützung)
Ubuntu Desktop 24.04 LTS (Langzeitsupport)
Red Hat Enterprise Linux 9 (langfristiger Support)
Red Hat Enterprise Linux 10 (langfristiger Support)

Systemanforderungen

Internetkonnektivität für paketinstallation und Microsoft Entra ID-Kommunikation
Administratorrechte für die Installation
Desktopumgebung (GNOME, KDE oder ähnlich)

Microsoft Entra-ID-Anforderungen

Microsoft Entra ID-Mandant
Benutzerkonten, die mit microsoft Entra-ID synchronisiert oder erstellt wurden
Geeignete Lizenzierung für Richtlinien für bedingten Zugriff (falls zutreffend)
Device settings muss im Entra-Portal für die Zielbenutzer mit Users may join devices to Microsoft Entra konfiguriert sein.

Screenshot des Bereichs „Geräteeinstellungen“ im Entra-Portal mit Fokus auf die erforderliche Einstellung, mit der Benutzer Geräte über Microsoft Entra hinzufügen können.

Important

Microsoft Single Sign-On für Linux ab Version 2.0.2 verwendet Microsoft Entra Join zur Gerätevertrauensstellung. Frühere Versionen haben Microsoft Entra Registrierung verwendet.

Daher müssen Organisationen, die auf Version 2.0.2 oder höher aktualisieren, sicherstellen, dass betroffene Benutzer durch die Einstellung Users may join devices to Microsoft Entra im Microsoft Entra Admin Center > Geräte > Geräteeinstellungen zugelassen werden. Die Users may register their devices with Microsoft Entra Einstellung reicht nicht mehr für diese Geräte aus.
Weitere Informationen finden Sie unter Verwalten von Geräteidentitäten in Microsoft Entra ID.

Einmaliges Anmelden (Single Sign-On, SSO)

Die folgende Animation zeigt die Anmeldeerfahrung für vermittelte Abläufe unter Linux.

Kennwortauthentifizierung
Phishing-sichere Mehrfaktorauthentifizierung

Verwenden der Kennwortauthentifizierung unter Linux, wie in der folgenden Animation gezeigt.

Demo der Linux-Anmeldeerfahrung mit PRMFA.

Hinweis

microsoft-identity-broker Version 3.0.x und frühere Versionen unterstützen derzeit keine FIPS-Compliance.

Installation

Das Microsoft Single Sign-On für Linux-App-Paket ist unter https://packages.microsoft.com/ verfügbar. Weitere Informationen zur Verwendung, Installation und Konfiguration von Linux-Softwarepaketen für Microsoft Produkte finden Sie unter Linux Software Repository für Microsoft Produkte.

Ein Beispielskript zum Installieren des Microsoft Single Sign-On für Linux & Die Intune-App und ihre Abhängigkeiten von Ihrem Gerät sind auf GitHub verfügbar. Lesen Sie die Anweisungen sorgfältig, bevor Sie die Installation ausführen.

Führen Sie die folgenden Befehle in einer Befehlszeile aus, um das microsoft Single Sign-On (microsoft-identity-broker) und dessen Abhängigkeiten auf Ihrem Gerät manuell zu installieren.

Installieren Sie Curl.
```
sudo apt install curl gpg
```

Installieren Sie den Microsoft-Paketsignaturschlüssel.

# Ubuntu 26.04+ repos are signed with a newer Microsoft GPG key
if dpkg --compare-versions "$RELEASE" ge "26.04"; then
    MS_GPG_KEY_URL="https://packages.microsoft.com/keys/microsoft-2025.asc"
else
    MS_GPG_KEY_URL="https://packages.microsoft.com/keys/microsoft.asc"
fi

# Import Microsoft GPG key (always refresh to pick up key rotations)
curl -fsSL "$MS_GPG_KEY_URL" | gpg --dearmor > "$HOME/microsoft.gpg"
sudo install -o root -g root -m 644 "$HOME/microsoft.gpg" /usr/share/keyrings/
rm -f "$HOME/microsoft.gpg"

Fügen Sie das Microsoft Linux Repository der Systemrepositoryliste hinzu, und aktualisieren Sie es.

sudo sh -c 'echo "deb [arch=amd64 signed-by=/usr/share/keyrings/microsoft.gpg] https://packages.microsoft.com/ubuntu/$(lsb_release -rs)/prod $(lsb_release -cs) main" >> /etc/apt/sources.list.d/microsoft-ubuntu-$(lsb_release -cs)-prod.list'
sudo apt update

Installieren Sie die Microsoft Single Sign-On-App (Microsoft-Identity-Broker).
```
sudo apt install microsoft-identity-broker
```
Starten Sie das Gerät neu.

Mögliche Voraussetzungen je nach Systemkonfiguration.

# This fixes gpg key issues
sudo dnf update redhat-release

# Update to the latest release
sudo dnf upgrade -y

# RHEL 10 does not ship `webkitgtk6.0` in its default repos. You must enable EPEL first:
sudo dnf install -y https://dl.fedoraproject.org/pub/epel/epel-release-latest-10.noarch.rpm

Fügen Sie das Microsoft-Repository hinzu.

sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc
sudo dnf install -y dnf-plugins-core
sudo dnf config-manager --add-repo https://packages.microsoft.com/yumrepos/microsoft-rhel$(rpm -E %rhel).0-prod

Installieren Sie die Microsoft Single Sign-On-App (Microsoft-Identity-Broker).
```
sudo dnf install microsoft-identity-broker
```
Installieren Sie die Microsoft Single Sign-On-App (Microsoft-Identity-Broker).
```
sudo dnf update
sudo dnf install microsoft-identity-broker
```
Starten Sie das Gerät neu.

Mögliche Voraussetzungen je nach Systemkonfiguration.

# This fixes any gpg key issues
sudo dnf update redhat-release

# Update to the latest release
sudo dnf upgrade -y

# RHEL 10 does not ship `webkitgtk6.0` in its default repos. You must enable EPEL first:
sudo dnf install -y https://dl.fedoraproject.org/pub/epel/epel-release-latest-10.noarch.rpm

Installieren Sie den Signaturschlüssel des Microsoft-Produktionspakets. RHEL 10-Pakete werden mit einem neueren Microsoft GPG-Schlüssel (RSA-4096) signiert, anders als der microsoft.asc für RHEL 8/9 verwendete Schlüssel.
```
# Legacy key (needed for Edge)
sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc

# New key for RHEL 10 packages
sudo rpm --import https://packages.microsoft.com/rhel/10/prod/repodata/repomd.xml.key
```

Fügen Sie dann das Repository hinzu, indem Sie unter dem folgenden Inhalt eine neue Repositorydatei /etc/yum.repos.d/ erstellen:

sudo tee /etc/yum.repos.d/microsoft-prod.repo > /dev/null <<EOF
[microsoft-prod]
name=Microsoft prod - RHEL 10
baseurl=https://packages.microsoft.com/rhel/10/prod
enabled=1
gpgcheck=1
gpgkey=https://packages.microsoft.com/rhel/10/prod/repodata/repomd.xml.key
EOF

Aktualisieren des Microsoft Identity Brokers

Führen Sie die folgenden Befehle aus, um den Microsoft Identity Broker manuell zu aktualisieren.

Ubuntu
Red Hat Enterprise Linux

Aktualisieren Sie das Paket-Repository und die Metadaten.
```
sudo apt update
```
Aktualisieren Sie das Microsoft Identity Broker-Paket.
```
sudo apt upgrade microsoft-identity-broker
```

Führen Sie einen der folgenden Befehle aus, um den Microsoft Identity Broker zu aktualisieren.

Aktualisieren Sie auf die neueste Version, die das neueste Microsoft Identity Broker-Paket enthält.
```
sudo dnf update
```
Aktualisieren Sie nur das Microsoft Identity Broker-Paket.
```
sudo dnf update microsoft-identity-broker
```

Deinstallieren des Microsoft Identity Brokers

Führen Sie die folgenden Befehle aus, um den Microsoft Identity Broker zu deinstallieren und lokale Konfigurationsdaten zu entfernen.

Ubuntu
Red Hat Enterprise Linux

Entfernen Sie den Microsoft Identity Broker aus Ihrem System.
```
sudo apt remove microsoft-identity-broker
```

Entfernen Sie die lokalen Konfigurationsdaten.

sudo apt purge intune-portal
sudo apt purge microsoft-identity-broker

Führen Sie die folgenden Befehle aus, um den Microsoft Identity Broker zu deinstallieren und lokale Registrierungsdaten unter Red Hat Enterprise Linux zu entfernen.

Entfernen Sie das Microsoft Identity Broker-Paket.
```
sudo dnf remove microsoft-identity-broker
```

Entfernen Sie die lokalen Registrierungsdaten.

sudo rm -rf /var/opt/microsoft/identity-broker
sudo rm -rf /etc/opt/microsoft/identity-broker
sudo rm -rf /opt/microsoft/identity-broker

Warnung

Beachten Sie, dass durch die Deinstallation des Microsoft Identity Broker weder die Verbindung Ihres Geräts mit Microsoft Entra ID automatisch getrennt noch Ihr Gerät aus der Intune-Verwaltung abgemeldet wird. Um die Geräteregistrierung zu entfernen, können Sie entweder das Dsregcmd-Tool verwenden oder das Gerät aus dem Microsoft Entra ID-Portal entfernen.

Geräteverknüpfung mit dsregc aufheben

Mit der Veröffentlichung von Version 2.5.x des microsoft-identity-broker haben wir ein neues Dienstprogramm namens dsreg-Tool hinzugefügt, mit dem Sie die Registrierung Ihres Geräts bei Microsoft Entra ID verwalten können.

Um die Verbindung Ihres Geräts mit Microsoft Entra ID mithilfe des Tools dsreg zu trennen, führen Sie den folgenden Befehl in Ihrem Terminal aus, wobei Sie <tenant-guid> durch die GUID Ihres Microsoft Entra ID-Mandanten ersetzen:

sudo dsreg --tenant-id <tenant-guid> --unregister

Wenn Ihr System in einen schlechten Zustand gelangt und Sie alle lokalen Registrierungsdaten und schlüsselmaterial bereinigen möchten, können Sie die --cleanup Option mit dem dsreg Tool verwenden. Dieser Hilfsmodus ist in Szenarien hilfreich, in denen Sie sicherstellen möchten, dass alle lokalen Ablaufverfolgungen des Microsoft Identity Brokers vom Gerät entfernt werden, z. B. bei der Problembehandlung oder beim Vorbereiten des Geräts für einen neuen Benutzer.

Um die Verknüpfung aufzuheben und alle Schlüsselmaterialien mithilfe des Dsreg-Tools zu entfernen, führen Sie den folgenden Befehl in Ihrem Terminal aus:

# Clean broker state including certificates (requires sudo)
sudo dsreg --cleanup

Warnung

Die --cleanup-Option ist unumkehrbar und entfernt alle Schlüsseldaten vom Gerät. Mit Vorsicht verwenden.

Aktivieren von Phish-Resistant MFA (PRMFA) auf Linux-Geräten

Ab Version 2.0.2 des Microsoft-Identitätsbrokers wird Phish-Resistant MFA (PRMFA) auf Linux-Geräten unterstützt, die Folgendes verwenden:

SmartCard
Die Zertifikatbasierte Authentifizierung (CBA)
USB-Token mit einem PIV/Smartcard-Applet

Die SmartCard-Integration wird nur für die folgenden Verteilungen unterstützt:

Ubuntu Desktop 24.04 LTS (Langzeitsupport)
Ubuntu Desktop 22.04 LTS (Langzeitunterstützung)
Red Hat Enterprise Linux 10 (langfristiger Support)

Die zertifikatbasierte Clientauthentifizierung wird über das Tls/SSL-Protokoll (Secure Sockets Layer) implementiert. In diesem Prozess signiert der Client einen zufällig generierten Datenblock mit seinem privaten Schlüssel und überträgt dann sowohl das Zertifikat als auch die signierten Daten an den Server. Der Server überprüft die Signatur und überprüft das Zertifikat, bevor der Zugriff gewährt wird.

Die einfachste Möglichkeit zum Konfigurieren Certificate-Based Authentication (CBA) besteht darin, eine PKI-Lösung (Private Key Infrastructure) zu verwenden, die Benutzerzertifikate auf Linux-Geräten ausgibt. Diese Zertifikate können dann für die Authentifizierung mit der Microsoft Entra-ID verwendet werden. Um Linux so zu konfigurieren, dass diese Zertifikate für die Authentifizierung akzeptiert werden, müssen Sie in der Regel die entsprechenden Zertifikatspeicher einrichten und sicherstellen, dass die Authentifizierungsmechanismen des Systems für die Verwendung dieser Zertifikate konfiguriert sind.

Smartcard-Authentifizierung

Die Smartcardauthentifizierung erweitert zertifikatbasierte Methoden, indem ein physisches Token eingeführt wird, das Benutzerzertifikate speichert. Wenn die Karte in einen Reader eingefügt wird, ruft das System die Zertifikate ab und führt eine Überprüfung durch.

Das Konfigurieren der SmartCard-Unterstützung umfasst das Einrichten der erforderlichen Bibliotheken und Module, um die zertifikatbasierte Authentifizierung mithilfe physischer Token zu ermöglichen. Es gibt verschiedene SmartCard-Lösungen, z. B. YubiKey, die in verschiedene Linux-Distributionen integriert werden können. Anweisungen zu den beiden unterstützten Plattformen finden Sie in der Verteilungsdokumentation:

Beispiel für eine Smartcardkonfiguration

In den folgenden Schritten wird ein Referenzbeispiel für die Verwendung der YubiKey/Edge-Brücke-Integration konfiguriert, andere Smartcardanbieter können jedoch ähnlich konfiguriert werden. Dies ist nur eine Beispielkonfiguration, und Ihre Konfiguration kann je nach Anbieter variieren. Spezifische Konfigurationsanweisungen finden Sie in der Dokumentation Ihres Smartcardanbieters.

Ubuntu
RHEL 10

Installieren von Smartcardtreibern und YubiKey-Unterstützung:
```
sudo apt install pcscd yubikey-manager
```
Installieren Sie YubiKey/Edge Bridge-Komponenten:
```
sudo apt install opensc libnss3-tools openssl
```

Konfigurieren der Netzwerksicherheitsdienstdatenbank (Network Security Service, NSS) für den aktuellen Benutzer:

mkdir -p $HOME/.pki/nssdb
chmod 700 $HOME/.pki
chmod 700 $HOME/.pki/nssdb
modutil -force -create -dbdir sql:$HOME/.pki/nssdb
modutil -force -dbdir sql:$HOME/.pki/nssdb -add 'SC Module' -libfile /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so

Installieren Sie die Unterstützung von SmartCard-Treibern. Hinweis: Die meisten dieser Pakete werden wahrscheinlich bereits als Abhängigkeiten des Microsoft-Identity-Brokers installiert, aber falls dies nicht der Fall ist, können Sie sie mit dem folgenden Befehl installieren:
```
sudo dnf install -y pcsc-lite pcsc-lite-libs opensc nss-tools p11-kit p11-kit-devel
```
Aktivieren Sie den pcscd-Dienst zum Lesen von Smartcards vom Leser, und initialisieren Sie die Netzwerksicherheitsdienst-Datenbank (Network Security Service, NSS) für den aktuellen Benutzer:
```
sudo systemctl enable --now pcscd

mkdir -p $HOME/.pki/nssdb
certutil -d sql:$HOME/.pki/nssdb -N --empty-password
```

Important

Microsoft unterstützt die Anwendungsintegration mit Microsoft Single Sign-on for Linux über unterstützte Versionen der Microsoft Authentication Library (MSAL) (MSAL).

Anwendungen, die MSAL umgehen und direkt mit Brokerimplementierungsschnittstellen oder internen Kommunikationskanälen kommunizieren, werden nicht unterstützt. Diese Schnittstellen sind Implementierungsdetails und können sich zwischen Releases ohne vorherige Ankündigung ändern.

Weitere Informationen finden Sie unter Microsoft Authentication Library (MSAL) (MSAL)-Übersicht.

Weitere Informationen finden Sie in der folgenden Intune-Dokumentation:

Feedback

War diese Seite hilfreich?

Last updated on 2026-08-25