Microsoft Intune で macOS デバイスのプラットフォーム SSO を構成する

パスワードレス認証、Microsoft Entra ID ユーザー アカウント、またはスマート カードを使用して、macOS デバイスのシングル サインオン (SSO) を有効にするようにプラットフォーム SSO を構成できます。 プラットフォーム SSO は、Microsoft Enterprise SSO プラグインと SSO アプリ拡張機能を強化する Microsoft Entra 機能です。

この機能は、以下に適用されます:

  • macOS

プラットフォーム SSO では、Microsoft Entra ID 資格情報と Touch ID を使用して、ユーザーを管理対象 Mac デバイスにサインインさせます。 Intune を使用してプラットフォーム SSO を構成し、プラットフォーム SSO 構成を macOS デバイスに展開します。

Microsoft Entra ID の Microsoft Enterprise SSO プラグインには、プラットフォーム SSO と SSO アプリ拡張機能の 2 つの SSO 機能が含まれています。 この記事では、Microsoft Entra ID を使用してプラットフォーム SSO を構成する方法について説明します。

この記事では、Intune で macOS デバイスのプラットフォーム SSO を構成する方法について説明します。 構成することもできますいくつかの一般的なプラットフォーム SSO シナリオについては、「 macOS デバイスの一般的なプラットフォーム SSO シナリオ」を参照してください。

利点

Platform SSO の利点は次のとおりです。

  • SSO アプリ拡張機能が含まれています。 SSO アプリ拡張機能を個別に構成する必要はありません。
  • Mac デバイスにハードウェアに紐付けられたフィッシングに強い資格情報を使用して、パスワードレスに実行できます。
  • サインイン エクスペリエンスは、ユーザーが Windows Hello for Business を使用する場合と同様に、職場または学校アカウントを使用して Windows Hello デバイスにサインインするのと似ています。
  • これにより、ユーザーが Microsoft Entra ID 資格情報を入力する必要がある回数を最小限に抑えることができます。
  • ユーザーが覚えておく必要のあるパスワードの数を減らすのに役立ちます。
  • Microsoft Entra 参加の利点があります。これにより、すべての organization ユーザーがデバイスにサインインできます。
  • すべての Microsoft Intune ライセンス プランに含まれています。

プラットフォーム SSO のしくみ

Mac デバイスが Microsoft Entra ID テナントに参加すると、デバイスは職場参加 (WPJ) 証明書を取得します。 この WPJ 証明書はハードウェア バインドされており、 Microsoft Enterprise SSO プラグインによってのみアクセスできます。 条件付きアクセスを使用して保護されたリソースにアクセスするには、アプリと Web ブラウザーにこの WPJ 証明書が必要です。

プラットフォーム SSO を構成すると、SSO アプリ拡張機能が Microsoft Entra ID 認証と条件付きアクセスのブローカーとして機能します。

プラットフォーム SSO は、Intune 設定カタログを使用して構成します。 設定カタログ ポリシーの準備ができたら、ポリシーを割り当てます。 Microsoft では、ユーザーがデバイスを Intune に登録するときにポリシーを割り当てることをお勧めします。 ただし、既存のデバイスを含めて、いつでも割り当てることができます。

前提条件

  • デバイスは macOS 13.0 以降を実行している必要があります。

  • デバイスにはMicrosoft Intune ポータル サイト アプリのバージョン 5.2404.0 以降が必要です。 このバージョンには、プラットフォームSSOが含まれています。

  • 次の Web ブラウザーは、プラットフォーム SSO をサポートしています。

    Intune を使用して、パッケージ (.pkg) ファイルやディスク イメージ (.dmg) ファイルなどの Web ブラウザー アプリを追加し、アプリを macOS デバイスに展開します。 開始するには、「Microsoft Intune にアプリを追加する] にアクセスしてください。

  • プラットフォーム SSO では、Intune 設定カタログを使用して必要な設定を構成します。 設定カタログ ポリシーを作成するには、少なくとも、次の Intune アクセス許可を持つアカウントで Microsoft Intune 管理センターにサインインします。

    • デバイス構成 の読み取り、 作成、 更新、 割り当て のアクセス許可

    ポリシーおよびプロファイル マネージャーの Intune ロールなど、一部の組み込みロールにはこれらのアクセス許可があります。 Intune での RBAC ロールの詳細については、「Microsoft Intune を使用したロールベースのアクセス制御 (RBAC)」を参照してください。

  • ステップ 2 - プラットフォーム SSO ポリシーの作成 (この記事) では、プラットフォーム SSO に必要な設定を構成する設定カタログ ポリシーを作成します。 このポリシーでは、他の一般的なシナリオと設定を構成できます。 詳細については、「 macOS デバイスの一般的なプラットフォーム SSO のシナリオ」を参照してください。

    設定カタログ ポリシーを作成する前に、シナリオを確認します。 これにより、最初にポリシーを作成するときに必要な設定を構成できます。 最初にオプションのシナリオ設定を構成しなかった場合は、後でいつでもポリシーを編集できます。 グループに割り当てることができる SSO ポリシーは 1 つだけです。 そのため、これらのシナリオ設定を既存のプラットフォーム SSO 設定カタログ ポリシーに追加してください。

  • 既存のプラットフォーム SSO ポリシーを持つデバイスは、ポリシーの [Platform SSO > Authentication Method] 設定または [Platform SSO > Use Shared Device Keys (共有デバイス キーを使用する)] 設定を変更すると、Microsoft Entra に再登録されます。 追加または変更した他の設定については、Platform SSO ポリシーの割り当てを解除して再割り当てすると、デバイスが再登録されます。

  • 「手順 5 - デバイスの登録」(この記事) で、ユーザーは自分のデバイスを登録します。 これらのユーザーは、デバイスを Microsoft Entra ID に参加させる必要があります。 詳細については、「 デバイス設定の構成」を参照してください。

手順 1 - 認証方法を決定する

Intune でプラットフォーム SSO ポリシーを作成するときは、使用する認証方法を決定する必要があります。

プラットフォームSSOポリシーと選択した認証方法によって、ユーザーがデバイスにサインインする方法が変更されます。

  • プラットフォームSSOを構成すると、ユーザーは構成した認証方法でmacOSデバイスにサインインします。
  • プラットフォーム SSO を使用しない場合、ユーザーはローカル アカウントを使用して macOS デバイスにサインインします。 次に、Microsoft Entra ID を使用してアプリや Web サイトにサインインします。

この手順では、情報を使用して、認証方法と、それらがユーザーのサインイン エクスペリエンスに与える影響について説明します。

ヒント

プラットフォーム SSO を構成する場合、認証方法として Secure Enclave を使用することをお勧めします。

機能 Secure Enclave スマート カード Password
パスワードレス (フィッシング耐性) チェック アイコン チェック アイコン エラー アイコン
ロック解除用にサポートされている TouchID チェック アイコン チェック アイコン チェック アイコン
パスキーとして使用できます チェック アイコン エラー アイコン エラー アイコン
セットアップには MFA が必須です

多要素認証 (MFA) は常に推奨されます		 チェック アイコン チェック アイコン エラー アイコン
Entra ID と同期されたローカル Mac パスワード エラー アイコン エラー アイコン チェック アイコン
macOS 13.x + でサポートされています チェック アイコン エラー アイコン チェック アイコン
macOS 14.x + でサポートされています チェック アイコン チェック アイコン チェック アイコン
オプションで、新しいユーザーが Entra ID 資格情報を使用してログインできるようにします (macOS 14.x +) チェック アイコン チェック アイコン チェック アイコン

Secure Enclave 認証方法でプラットフォーム SSO を構成すると、SSO プラグインはハードウェアに紐付けられた暗号化キーを使用します。 アプリや Web サイトに対するユーザーの認証に Microsoft Entra 資格情報は使用されません。

Secure Enclave について詳しくは、 Secure Enclave (Apple の Web サイトが開きます) を参照してください。

Secure Enclave:

  • パスワードレスと見なされ、フィッシングに強い多要素 (MFA) 要件を満たしています。 概念的には Windows Hello for Business に似ています。 条件付きアクセスなど、Windows Hello for Business と同じ機能を使用することもできます。
  • ローカル アカウントのユーザー名とパスワードはそのままにします。 これらの値は変更されません。この動作は、ロック解除キーとしてローカル パスワードを使用する Apple の FileVault ディスク暗号化による仕様です。
  • デバイスを再起動した後、ユーザーはローカル アカウントのパスワードを入力する必要があります。 この最初のマシンのロック解除の後、Touch ID を使用してデバイスのロックを解除できます。
  • ロック解除後、デバイスはデバイス全体の SSO のためにハードウェアでバックアップされたプライマリ更新トークン (PRT) を取得します。
  • Web ブラウザーでは、この PRT キーは WebAuthN API を使用してパスキーとして使用できます。
  • そのセットアップは、MFA 認証または Microsoft Temporary Access Pass (TAP) 用の認証アプリでブートストラップできます。
  • Microsoft Entra ID パスキーの作成と使用を有効にします。

手順 2 - Intune でプラットフォーム SSO ポリシーを作成する

プラットフォーム SSO ポリシーを構成するには、このセクションの手順を使用して Intune 設定カタログ ポリシーを作成します。 Microsoft Enterprise SSO プラグインには、一覧に記載されている設定が必要です。

  1. Microsoft Intune 管理センターにサインインします。

  2. [デバイス]>[デバイスの管理]>[構成]>[作成]>[新しいポリシー] の順に選択します。

  3. 次のプロパティを入力します。

    • プラットフォーム: macOS を選択します。
    • プロファイルの種類: [設定カタログ] を選択します。

  4. [作成] を選択します。

  5. [Basics]\(基本\) で次のプロパティを入力します。

    • 名前: ポリシーのわかりやすい名前を入力します。 後で簡単に識別できるよう、ポリシーに名前を付けます。 たとえば、ポリシーに macOS - Platform SSO という名前を付けます。
    • [説明]: ポリシーの説明を入力します。 この設定は省略可能ですが、推奨されます。

  6. [次へ] を選択します。

  7. [構成設定] で、[追加の追加] を選択します。 設定ピッカーで、[認証] を展開し、[拡張可能シングル サインオン (SSO)] を選択します。

    Microsoft Intune での認証と拡張 SSO カテゴリの選択を示す設定カタログ ピッカーのスクリーンショット。

    一覧で、次の設定を選択します。

    • 認証方法 (非推奨) (macOS 13 でのみ選択)
    • 拡張子識別子
    • プラットフォームSSOを展開します。
      • 認証方法の選択 (macOS 14+ 用に選択)
      • FileVault ポリシーの選択 (macOS 15+ 用に選択)
      • トークンからユーザーへのマッピングの選択
      • [共有デバイス キーを使用する] を選択する
    • 登録トークン
    • 画面がロックされる動作
    • Team 識別子
    • Type
    • URL

    設定ピッカーを閉じます。

    ヒント

    Kerberos SSO の有効化、Touch ID 生体認証の使用、Microsoft 以外のアプリでの SSO の有効化など、さまざまなシナリオを構成する、ポリシーに追加できるプラットフォーム SSO 設定が他にもあります。 これらのシナリオとその必要な設定の詳細については、「 macOS デバイスの共通プラットフォーム SSO シナリオ」を参照してください。

    最初にオプションのシナリオ設定を構成しなかった場合は、後でいつでもポリシーを編集できます。

  8. 次の必要な設定を構成します。

    名前 構成値 説明
    認証方法 (非推奨)
    (macOS 13 のみ)    		 パスワード または UserSecureEnclaveKey ステップ 1 - 認証方法を決定する (本記事内) で選択したプラットフォーム SSO 認証方法を選択します。

    この設定は、macOS 13 にのみ適用されます。 macOS 14.0 以降の場合は、[ プラットフォーム SSO>認証方法 ] 設定を使用します。
    拡張子識別子 com.microsoft.CompanyPortalMac.ssoextension この値をコピーして、設定に貼り付けます。

    この ID は、プロファイルが SSO を機能させるために必要な SSO アプリ拡張機能です。

    拡張機能識別子とチーム識別子の値は連携して動作します。
    プラットフォーム SSO>認証方法
    (macOS 14+)    		 パスワード、 UserSecureEnclaveKey、または スマートカード ステップ 1 - 認証方法を決定する (本記事内) で選択したプラットフォーム SSO 認証方法を選択します。

    この設定は macOS 14 以降に適用されます。 macOS 13 の場合は、[ 認証方法 (非推奨)] 設定を使用します。
    プラットフォーム SSO>FileVault ポリシー
    (macOS 15+)    		 AttemptAuthentication [認証方法] 設定で [パスワード] を選択した場合に適用されます。 この値をコピーして、設定に貼り付けます。

    この設定を使用すると、デバイスは、Mac デバイスの電源が入っているときの FileVault ロック解除画面で、Microsoft Entra を使用して Microsoft Entra を使用して Microsoft Entra ID パスワードを検証できます。

    この設定は、macOS 15 以降に適用されます。
    プラットフォーム SSO>共有デバイス キーを使用します
    (macOS 14+)    		 Enabled (有効) 有効にすると、プラットフォームSSOは同じデバイス上のすべてのユーザーに対して同じ署名キーと暗号化キーを使用します。

    macOS 13.x から 14.x にアップグレードするユーザーには、再登録を求めるメッセージが表示されます。
    登録トークン {{DEVICEREGISTRATION}} この値をコピーして、設定に貼り付けます。 中かっこを含める必要があります。

    この登録トークンの詳細については、「Microsoft Entra デバイスの登録を構成する」を参照してください。

    この設定では、 AuthenticationMethod 設定も構成する必要があります。

    - macOS 13 デバイスのみを使用する場合は、[ 認証方法 (非推奨)] 設定を構成します。
    - macOS 14+デバイスのみを使用する場合は、 プラットフォームSSO>認証方法 設定を構成します。
    - macOS 13 デバイスと macOS 14+ デバイスが混在している場合は、同じプロファイルで両方の認証設定を構成します。
    画面がロックされる動作 処理しない [ 処理しない] に設定すると、要求は SSO なしで続行されます。
    トークンからユーザーへのマッピング>アカウント名 com.apple.PlatformSSO.AccountShortName または preferred_username 値をコピーして設定に貼り付けます。

    com.apple.PlatformSSO.AccountShortName: 推奨。 ID プロバイダー (IDP) のユーザー プリンシパル名 (UPN) プレフィックスを、macOS アカウントのアカウント名 ( user@contoso.comなど) のローカル アカウント名 (ユーザーの短い名前) として使用します。 自動デバイス登録中のプラットフォーム SSO では、UPN プレフィックスを使用するには、キー値を com.apple.PlatformSSO.AccountShortName に設定します。 詳細については、「 プラットフォーム SSO: オンデマンド アカウントの作成 (Apple ドキュメント)」を参照してください。

    preferred_username: このトークンは、Microsoft Entra preferred_username属性の値が macOS アカウントの [アカウント名] の値に使用されることを指定します。

    自動デバイス登録中のプラットフォーム SSO の場合、このアカウント名の設定は LAPS の値を上書きし、LAPS SamAccountNameは無視されます。
    トークンからユーザーへのマッピング>フルネーム name この値をコピーして、設定に貼り付けます。

    このトークンは、Microsoft Entra name クレームが macOS アカウントの Full Name 値に使用されることを指定します。
    Team 識別子 UBF8T346G9 この値をコピーして、設定に貼り付けます。

    この識別子は、Enterprise SSO プラグイン アプリ拡張機能のチーム識別子です。
    Type Redirect
    URL 以下の URL をすべてコピーして貼り付けます。

    https://login.microsoftonline.com
    https://login.microsoft.com
    https://sts.windows.net

    環境で Azure Government や Azure China 21Vianet などのソブリン クラウド ドメインを許可する必要がある場合は、次の URL も追加します。

    https://login.partner.microsoftonline.cn
    https://login.chinacloudapi.cn
    https://login.microsoftonline.us
    https://login-us.microsoftonline.com    		 これらの URL プレフィックスは、SSO アプリ拡張機能を行う ID プロバイダーです。 URL は リダイレクト ペイロードに必要であり、 資格情報 ペイロードでは無視されます。

    これらの URL の詳細については、「 Apple デバイス用の Microsoft Enterprise SSO プラグイン」を参照してください。

    重要

    環境に macOS 13 デバイスと macOS 14+ デバイスが混在している場合は、同じプロファイルで プラットフォーム SSO>認証方法 と 認証方法 (非推奨) 認証設定を構成します。

    プロファイルが準備できた場合は、次の例のようになります。

    Intune MDM プロファイルの推奨されるプラットフォーム SSO 設定のスクリーンショット。

  9. [次へ] を選択します。

  10. スコープ タグ (オプション) で、US-NC IT Team や JohnGlenn_ITDepartment など、特定の IT グループにプロファイルをフィルター処理するためのタグを割り当てます。 スコープ タグの詳細については、「 分散型 IT に RBAC ロールとスコープ タグを使用する」を参照してください。

    [次へ] を選択します。

  11. [ 割り当て] で、プロファイルを受け取るユーザーまたはデバイス グループを選択します。 ユーザー アフィニティを持つデバイスの場合は、ユーザーまたはユーザー グループに割り当てます。 ユーザー アフィニティなしで登録されている複数のユーザーがいるデバイスの場合、デバイスまたはデバイス グループに割り当てます。

    重要

    ユーザー アフィニティを持つデバイスのプラットフォーム SSO 設定の場合、デバイス グループまたはフィルターへの割り当てはサポートされていません。 ユーザー アフィニティを持つデバイスで、デバイス グループの割り当てまたはユーザー グループの割り当てをフィルター付きで使用すると、ユーザーは条件付きアクセスによって保護されたリソースにアクセスできない可能性があります。 この問題が発生する可能性があります:

    • プラットフォームの SSO 設定が正しく適用されていない場合、または
    • プラットフォーム SSO が有効になっていない場合にポータル サイト アプリが Microsoft Entra デバイスの登録をバイパスする場合

    プロファイルの割り当ての詳細については、ユーザーおよびデバイス プロファイルの割り当てに関するページを参照してください。

    [次へ] を選択します。

  12. [確認と作成] で、設定を確認します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 また、ポリシーがプロファイル リストに表示されます。

デバイスによって次に構成の更新が確認されるときに、構成した設定が適用されます。

SSO プラグインの詳細

手順 3 - macOS 用のポータル サイト アプリを展開する

macOS 用のポータル サイト アプリは、Microsoft Enterprise SSO プラグインを展開してインストールします。 このプラグインは、プラットフォームSSOを有効にします。

Intune を使用して、ポータル サイト アプリを追加し、必須アプリとして macOS デバイスに展開できます。

プラットフォーム SSO 用にアプリを構成するための特定の手順はありません。 最新のポータル サイト アプリが Intune に追加され、macOS デバイスに展開されていることを確認してください。

古いバージョンのポータル サイト アプリがインストールされている場合、プラットフォーム SSO は失敗します。

手順 4 - デバイスを登録し、ポリシーを適用する

プラットフォーム SSO を使用するには、次のいずれかの方法を使用して、デバイスを Intune に MDM 登録する必要があります。

  • organization 所有のデバイスの場合、次のことができます。

    • Apple Business Manager または Apple School Manager を使用して、 自動デバイス登録 ポリシーを作成します。
    • Apple Configurator を使用して 、直接登録 ポリシーを作成します。

  • 個人所有のデバイスの場合は、デバイス登録ポリシーを作成します。 この登録方法を使用すると、エンド ユーザーはポータル サイト アプリを開き、Microsoft Entra ID を使用してサインインします。 正常にサインインすると、登録ポリシーが適用されます。

新しいデバイスの場合は、登録ポリシーを含む、必要なすべてのポリシーを事前に作成して構成します。 その後、デバイスが Intune に登録されると、ポリシーが自動的に適用されます。

Intune に既に登録されている既存のデバイスの場合は、プラットフォーム SSO ポリシーをユーザーまたはユーザー グループに割り当てます。 次回デバイスが Intune サービスと同期またはチェックインするときに、作成したプラットフォーム SSO ポリシー設定を受け取ります。

手順 5 - デバイスを登録する

デバイスがポリシーを受信すると、通知センターに [登録が必要] 通知が表示されます。

Microsoft Intune でプラットフォーム SSO を構成するときに、エンド ユーザー デバイスで登録が必要なプロンプトのスクリーンショット。

  • エンド ユーザーはこの通知を選択し、organization アカウントで Microsoft Entra ID プラグインにサインインし、必要に応じて多要素認証 (MFA) を完了します。

    注:

    MFA は Microsoft Entra の機能です。 テナントで MFA が有効になっていることを確認します。 その他のアプリ要件などの詳細については、「Microsoft Entra 多要素認証」を参照してください。

  • 正常に認証されると、デバイスは organization に Microsoft Entra 参加し、職場参加 (WPJ) 証明書がデバイスにバインドされます。

次の記事では、登録方法に応じたユーザー エクスペリエンスを示します。

手順 6 - デバイスの設定を確認する

Platform SSO の登録が完了すると、Platform SSO が設定されていることを確認できます。 手順については、「Microsoft Entra ID - デバイスの登録状態を確認する」を参照してください。

登録済みの Intune デバイスでは、[設定]>プライバシーとセキュリティ>プロファイル] に移動することもできます。 [プラットフォーム SSO] プロファイルが [ com.apple.extensiblesso Profile] の下に表示されます。 プロファイルを選択すると、URL など、構成した設定が表示されます。

プラットフォーム SSO をトラブルシューティングするには、「 macOS プラットフォーム シングル サインオンの既知の問題とトラブルシューティング」を参照してください。

手順 7 - 既存の SSO アプリ拡張機能プロファイルの割り当てを解除する

設定カタログ ポリシーが機能していることを確認したら、Intune デバイス機能テンプレートを使用して作成された既存の SSO アプリ拡張機能プロファイルの割り当てを解除します。

両方のポリシーを維持すると、競合が発生する可能性があります。

他の MDM を使用してプラットフォーム SSO を構成する

他のモバイル デバイス管理サービス (MDM) がプラットフォーム SSO をサポートしている場合は、その MDM を使用してプラットフォーム SSO を構成できます。 別の MDM サービスを使用する場合は、次のガイダンスを使用してください。

  • この記事に記載されている設定は、構成する必要がある Microsoft の推奨設定です。 この記事の設定値をコピーして、MDM サービス ポリシーに貼り付けることができます。

    MDM サービスの構成手順は異なる場合があります。 MDM サービス ベンダーと協力して、これらのプラットフォームの SSO 設定を正しく構成および展開します。

  • プラットフォーム SSO を使用したデバイスの登録は、より安全で、ハードウェアに紐付けられたデバイス証明書を使用します。 これらの変更は、 デバイス コンプライアンス パートナーとの統合など、一部の MDM フローに影響を与える可能性があります。

    MDM でプラットフォーム SSO がテストされ、ソフトウェアがプラットフォーム SSO で適切に動作することが証明され、プラットフォーム SSO を使用してお客様をサポートする準備ができているかどうかを確認するには、MDM サービス ベンダーにお問い合わせください。

一般的なプラットフォームの SSO エラー

プラットフォームSSOを構成すると、次のエラーが表示されることがあります。

  • 10001: misconfiguration in the SSOe payload.

    このエラーは、次の場合に発生する可能性があります。

    設定カタログ プロファイルで構成する認証設定は、macOS 13.x デバイスと 14.x デバイスでは異なります。

    環境に macOS 13 および macOS 14 デバイスがある場合は、1 つの設定カタログ ポリシーを作成し、同じポリシーでそれぞれの認証設定を構成する必要があります。 この情報については、手順 2 - Intune でのプラットフォーム SSO ポリシーの作成 (本記事内) に文書化されています。

  • 10002: multiple SSOe payloads configured.

    複数の SSO 拡張機能ペイロードがデバイスに適用されており、競合しています。 デバイスに存在する拡張プロファイルは 1 つだけであり、そのプロファイルは設定カタログ プロファイルである必要があります。

    デバイス機能テンプレートを使用して以前に SSO アプリ拡張機能プロファイルを作成した場合は、そのプロファイルの割り当てを解除します。 設定カタログ プロファイルは、デバイスに割り当てる必要がある唯一のプロファイルです。

  • Last updated on