Microsoft Intune での Apple デバイスのシングル サインオン (SSO) の概要とオプション

プラットフォーム SSO

この機能は、以下に適用されます:

• macOS

Microsoft Enterprise SSO プラグインには、プラットフォーム SSO と SSO アプリ拡張機能の 2 つの SSO 機能が含まれています。 このセクションでは 、プラットフォーム SSO について説明します。

macOS デバイスでは、ユーザーは通常、ローカル アカウントでサインインします。 次に、Microsoft Entra ID を使用してアプリや Web サイトにサインインします。

プラットフォーム SSO の場合:

• 組織は次のことができます。

  • ビジネス ニーズに合った認証方法を選択します。 オプションは、Secure Enclave のパスワードレス パスキー認証、Microsoft Entra ユーザー アカウント & パスワード、スマート カード認証です。

  • SSO アプリ拡張機能はプラットフォーム SSO の一部であるため、SSO アプリ拡張機能を使用します。 具体的には、以下の場合:

    • SSO アプリ拡張機能を使用して、Microsoft Entra ID でアプリや Web サイトにサインインします。
    • プラットフォーム SSO を使用して、SSO 構成を強化します。 さまざまな認証方法を構成したり、サインイン時に新しい組織ユーザーを作成したり、ユーザーに承認モードを割り当てたりすることができます。

• エンド ユーザー:

  • Microsoft Entra ID が Microsoft Enterprise SSO プラグインと統合されるため、より安全なサインイン エクスペリエンスが得られます。
  • シングルサインオン エクスペリエンスを SSO アプリ拡張機能と組み合わせることで、シングル サインオン エクスペリエンスを取得できます。 SSO アプリ拡張機能を使用すると、Microsoft Entra ID で Touch ID とパスキーを使用できます。
  • Microsoft Entra ユーザー アカウントでサインインすることで、macOS デバイスで Microsoft Entra 資格情報を入力する必要回数を最小限に抑えることができます。

プラットフォーム SSO の詳細と使用を開始するには、「Intune で macOS デバイスのプラットフォーム SSO を構成する」を参照してください。

プラットフォームの SSO 機能の概要

次の表は、Intune のプラットフォーム SSO 機能をまとめたものです。 この情報を使用して、Platform SSO が organization に適しているかどうかを判断します。

機能	詳細
プラットフォーム サポート	iOS/iPadOS macOS 13.0 以降
サポートされている登録の種類	デバイスの登録 自動デバイス登録 (監視あり) ユーザー登録 直接登録 (Apple Configurator)
サポートされている認証の種類	Secure Enclave (UserSecureEnclaveKey) パスワード (Microsoft Entra ID) スマートカード
サポートされているアプリの種類	Microsoft 365 アプリ Microsoft Entra ID と統合されたアプリ、Web サイト、またはサービス Apple Enterprise SSO をサポートし、オンプレミスの Active Directory と統合されているアプリ、Web サイト、またはサービス
Intune 管理センター ポリシーの種類	設定 カタログ ポリシー at: デバイス>デバイスを管理します>環境設定>作成>新しいポリシー>プラットフォーム用 macOS>プロファイルの種類 >認証>拡張シングル サインオン (SSO) 用の設定カタログ
推奨事項	推奨。 SSO アプリ拡張機能も含まれているため、プラットフォーム SSO を使用します。 SSO アプリ拡張機能は単独で使用できますが、お勧めできません。 プラットフォームSSOを使用するには、プラットフォームSSOのみを使用する必要があります。 個別の SSO アプリ拡張機能ポリシーを作成しないでください。

SSO アプリ拡張機能

この機能は、以下に適用されます。

• iOS/iPadOS
• macOS

Microsoft Enterprise SSO プラグインには、プラットフォーム SSO と SSO アプリ拡張機能の 2 つの SSO 機能が含まれています。 このセクションでは、 SSO アプリ拡張機能について説明します。

SSO アプリ拡張機能は、認証に Microsoft Entra ID を使用するアプリ、Web サイト、アカウントに、次のような SSO を提供します:

• Microsoft 365 Apps
• デバイス上のシングル サインオンでユーザー資格情報ストアを検索するように開発されたアプリ
• Apple のエンタープライズ SSO 機能をサポートするすべてのアプリにわたるオンプレミスの Active Directory アカウント

iOS/iPadOS デバイスの場合、SSO アプリ拡張機能は単独で使用できます。 そのため、アプリ & Web サイトの SSO アプリ拡張機能を構成して使用できます。

macOS デバイスの場合、SSO アプリ拡張機能は単独で使用でき、プラットフォーム SSO にも含まれています。 そのため、プラットフォーム SSO を使用しない場合は、SSO アプリ拡張機能のみを構成して使用できます。 プラットフォーム SSO を使用する場合は、SSO アプリ拡張機能が含まれているため、プラットフォーム SSO のみを設定します。

SSO アプリ拡張機能は、リダイレクトタイプの SSO アプリ拡張機能です。 これは、Intune、Jamf Pro、およびその他の MDM ソリューションで使用できます。 Intune では、SSO アプリ拡張機能は、SSO アプリ拡張機能の種類として Microsoft Entra ID を使用するデバイス構成ポリシーを使用します。

これらの設定により、リダイレクトの種類と資格情報の種類の SSO アプリ拡張機能が構成されます。 特に次のような場合です。

• リダイレクトの種類は、OpenID Connect、OAuth、SAML2 などの先進認証プロトコル用に設計されています。 Microsoft Entra SSO 拡張機能 (Microsoft Enterprise SSO プラグインと汎用リダイレクト拡張機能) のいずれかを選択できます。

• 資格情報の種類は、チャレンジ アンド レスポンス認証フロー用に設計されています。 Apple で提供される Kerberos 固有の資格情報拡張機能と汎用の資格情報拡張機能から選択できます。

  SSO アプリ拡張機能は、Microsoft 以外またはパートナーのあらゆる MDM で動作する必要があります。 この拡張機能は、kerberos SSO 拡張機能として展開するか、必要なすべてのプロパティが構成されたカスタム構成プロファイルとして展開する必要があります。

SSO アプリ拡張機能の詳細については、以下にアクセスしてください:

• iOS/iPadOS:

  • Intune の iOS/iPadOS デバイスで SSO アプリ拡張機能を使用する
  • SSO アプリ拡張機能の設定リスト - Intune の iOS/iPadOS

• macOS:

  • macOS デバイスで Intune の SSO アプリ拡張機能を使用する
  • SSO アプリ拡張機能の設定リスト - Intune の macOS

SSO アプリ拡張機能の機能の概要

次の表は、Intune の SSO アプリ拡張機能の機能をまとめたものです。 この情報を使用して、この SSO オプションが organization に適しているかどうかを判断します。

機能	詳細
プラットフォーム サポート	iOS/iPadOS 13.0 以降 macOS 10.15 以降
サポートされている登録の種類	iOS/iPadOS: デバイスの登録 自動デバイス登録 (監視あり) ユーザー登録 直接登録 (Apple Configurator) macOS: ユーザーが承認したデバイスの登録 自動デバイス登録 (監視あり) 直接登録 (Apple Configurator)
サポートされている認証の種類	Microsoft Entra ID を含むリダイレクト型 SSO アプリ拡張機能 資格情報アプリ拡張機能 Apple の組み込み Kerberos 拡張機能
サポートされているアプリの種類	Microsoft 365 アプリ Microsoft Entra ID と統合されたアプリ、Web サイト、またはサービス Apple のエンタープライズ SSO をサポートし、オンプレミスの Active Directory と統合されているアプリ、Web サイト、またはサービス
Intune 管理センター ポリシーの種類	デバイス機能 テンプレート: デバイス>デバイスを管理します>環境設定>作成>新しいポリシー>iOS/iPadOS または macOS のプラットフォーム >テンプレート>プロファイルの種類のデバイス機能>シングル サインオン アプリ拡張機能
推奨事項	iOS/iPadOS での推奨。 macOS デバイスでは推奨されません。 macOS デバイスでは、SSO アプリ拡張機能を単体で使用できます。 ただし、代わりにプラットフォームSSOを使用することをお勧めします。 macOS のプラットフォーム SSO も使用している場合は、別の SSO アプリ拡張機能ポリシーを作成しないでください。 SSO アプリ拡張機能は、プラットフォーム SSO 設定に含まれています。

シングル サインオン テンプレート

適用対象:

• iOS 7.0 以降
• iPadOS 13.0 以降

このシングル サインオン ポリシーは Kerberos に基づいています。 Kerberos とは、秘密鍵による暗号化を使用してクライアントとサーバー間でアプリケーションを認証するネットワーク認証プロトコルです。 Intune ポリシー設定では、サーバーまたは特定のアプリにアクセスするときの Kerberos アカウント情報を定義し、Web ページとネイティブ アプリの Kerberos チャレンジを処理します。

Intune で構成できる設定の一覧については、「iOS/iPadOS でのシングル サインオン」を参照してください。

シングル サインオンを使用するには、次の条件を満たしている必要があります。

• デバイス上のシングル サインオンでユーザー資格情報ストアを検索するように開発されたアプリ。
• iOS/iPadOS デバイスのシングル サインオン用に Intune が構成されていること。

シングル サインオン機能の概要

次の表は、Intune のシングル サインオン機能をまとめたものです。 この情報を使用して、この SSO オプションが organization に適しているかどうかを判断します。

機能	詳細
プラットフォーム サポート	iOS 7.0以降 iPadOS 13.0 以降 macOS
サポートされている登録の種類	デバイスの登録 自動デバイス登録 (監視あり) ユーザー登録 直接登録 (Apple Configurator)
サポートされている認証の種類	Kerberos SSO 認証のみを使用できます。 - ユーザーがサーバーまたはアプリにアクセスするときの Kerberos アカウント情報を入力します。 - Kerberos の Apple 実装ではありません。 - Web ページとアプリの Kerberos チャレンジを処理します
サポートされているアプリの種類	Kerberos 認証をサポートする Web サイトとネイティブ アプリ。 デバイス上のシングル サインオンでユーザー資格情報ストアを検索するようにアプリをコード化する必要があります。
Intune 管理センター ポリシーの種類	デバイス機能 テンプレート: デバイス>デバイスを管理します>環境設定>作成>新しいポリシー>プラットフォーム用の iOS/iPadOS>テンプレート>プロファイルの種類向けのデバイス機能>シングル サインオン
推奨事項	推奨されません。 代わりに、Microsoft では SSO アプリ拡張機能 を使用することをお勧めします (この記事内)。