Omówienie logowania jednokrotnego platformy macOS

Logowanie jednokrotne na platformie (PSSO) dla systemu macOS to nowa funkcja wspierana przez korporacyjną wtyczkę logowania jednokrotnego Microsoft oraz poświadczenia platformowe dla macOS, która umożliwia użytkownikom logowanie się do urządzeń Mac przy użyciu poświadczeń ID Entra firmy Microsoft. Ta funkcja zapewnia korzyści administratorom, upraszczając proces logowania użytkowników i zmniejszając liczbę haseł, które muszą zapamiętać. Umożliwia również użytkownikom uwierzytelnianie za pomocą identyfikatora Entra firmy Microsoft przy użyciu karty inteligentnej lub klucza powiązanego ze sprzętem. Ta funkcja usprawnia środowisko użytkownika końcowego, nie trzeba pamiętać dwóch oddzielnych haseł i zmniejsza potrzebę zarządzania hasłem konta lokalnego przez administratorów.

Istnieją trzy różne metody uwierzytelniania, które określają środowisko użytkownika końcowego;

  • Poświadczenia platformy dla systemu macOS: Aprobizuje klucz kryptograficzny oparty na bezpiecznej enklawie, powiązany ze sprzętem, który jest używany do logowania jednokrotnego w aplikacjach korzystających z Microsoft Entra ID do uwierzytelniania. Nie ma to wpływu na hasło konta lokalnego użytkownika i jest wymagane do zalogowania się na komputerze Mac.
  • Karta inteligentna: użytkownik loguje się do maszyny przy użyciu zewnętrznej karty inteligentnej lub tokenu twardego zgodnego z kartą inteligentną (na przykład Yubikey). Po odblokowaniu urządzenia karta inteligentna jest używana z identyfikatorem Entra firmy Microsoft do udzielania logowania jednokrotnego w aplikacjach korzystających z identyfikatora Entra firmy Microsoft do uwierzytelniania.
  • Hasło jako metoda uwierzytelniania: synchronizuje hasło microsoft Entra ID użytkownika z kontem lokalnym i włącza logowanie jednokrotne w aplikacjach, które używają identyfikatora Entra firmy Microsoft do uwierzytelniania.

Obsługiwane przez wtyczkę logowania jednokrotnego Microsoft Enterprise na urządzeniach Apple, PSSO;

  • Umożliwia użytkownikom korzystanie z funkcji Touch ID bez hasła.
  • Używa poświadczeń odpornych na phish w oparciu o technologię Windows Hello dla firm.
  • Oszczędza pieniądze organizacji klientów, usuwając potrzebę posiadania kluczy zabezpieczeń.
  • Rozwija cele Zero Trust za pomocą integracji z bezpieczną enklawą.

Aby ją włączyć, administrator musi skonfigurować logowanie jednokrotne (PSSO) za pośrednictwem usługi Microsoft Intune lub innego obsługiwanego MDM. W zależności od sposobu konfigurowania urządzenia użytkownik końcowy może ustawić swoje urządzenie za pomocą PSSO za pośrednictwem bezpiecznej enklawy, karty inteligentnej lub metody uwierzytelniania opartej na haśle.

Wymagania

Aby wdrożyć logowanie jednokrotne (SSO) platformy dla systemu macOS, musisz spełnić minimalne wymagania przedstawione poniżej.

Konfigurowanie

Więcej informacji i instrukcji dotyczących konfigurowania można znaleźć w następujących artykułach:

Uwaga / Notatka

Jeśli konfigurujesz logowanie jednokrotne platformy dla urządzeń z systemem macOS przy użyciu rozwiązania MDM innej firmy, zapoznaj się z dokumentacją dostarczoną przez dostawcę rozwiązania MDM, aby uzyskać szczegółowe instrukcje dotyczące konfigurowania logowania jednokrotnego platformy.

Jeśli jesteś twórcą zewnętrznego rozwiązania MDM, zapoznaj się z przewodnikiem Integrowanie logowania jednokrotnego do platformy macOS (PSSO) z rozwiązaniem MDM, aby uzyskać więcej informacji o tym, jak zintegrować PSSO z rozwiązaniem MDM.

Wdrożenie

Więcej informacji i instrukcji dotyczących wdrażania logowania jednokrotnego platformy dla systemu macOS można znaleźć w tych artykułach.

Uwierzytelnianie bez hasła

Hasła są podstawowym wektorem ataku dla złych aktorów. Używają one ataków inżynierii społecznej, wyłudzania informacji i sprayu w celu naruszenia haseł. Strategia uwierzytelniania bezhasłowego ogranicza ryzyko tych ataków.

Dowiedz się, jak używać SSO platformy na macOS, aby włączyć uwierzytelnianie bezhasłowe dla swojej organizacji.

Poświadczenie platformowe dla systemu macOS może być również wykorzystywane jako poświadczenie odporne na phishing w wyzwaniach WebAuthn (w tym w scenariuszach ponownego uwierzytelniania w przeglądarce). Jeśli używasz ograniczeń dotyczących kluczy w polityce FIDO, musisz dodać identyfikator AAGUID dla poświadczenia platformowego macOS do listy dozwolonych identyfikatorów AAGUID: 7FD635B3-2EF9-4542-8D9D-164F2C771EFC

Logowanie jednokrotne platformy Microsoft: Polityka biometryczna klucza bezpiecznej enklawy użytkownika

Logowanie jednokrotne platformy Microsoft obsługuje opcję UserSecureEnclaveKeyBiometricPolicy w przypadku korzystania z logowania jednokrotnego platformy z metodą uwierzytelniania UserSecureEnclaveKey. Te zasady zwiększają bezpieczeństwo, wymagając od użytkowników uwierzytelniania za pomocą funkcji Touch ID za każdym razem, gdy trzeba uzyskać dostęp do Klucza Zabezpieczonej Enklawy Użytkownika.

  • Po włączeniu tych zasad użytkownicy są monitowani o uwierzytelnianie za pomocą funkcji Touch ID za każdym razem, gdy jest uzyskiwany dostęp do bezpiecznego klucza enklawy użytkownika. Monit będzie wyświetlany podczas rejestracji PSSO, w scenariuszach ponownego uwierzytelniania przeglądarki z użyciem klucza użytkownika jako klucza dostępu oraz podczas uwierzytelniania przy logowaniu się w celu uzyskania tokenu PSSO.
  • Włączenie tych zasad wymaga, aby urządzenie obsługiwało uwierzytelnianie biometryczne touch ID. Użytkownicy muszą skonfigurować funkcję Touch ID, aby kontynuować rejestrację PSSO. Administratorzy powinni upewnić się, że użytkownicy mają urządzenie obsługiwane biometrycznie lub zewnętrzną klawiaturę obsługującą funkcję Touch ID przed włączeniem tych zasad.

Uwaga / Notatka

Nie ma możliwości awaryjnego użycia hasła podczas uwierzytelniania za pomocą klucza User Secure Enclave Key, gdy włączona jest opcja UserSecureEnclaveKeyBiometricPolicy. W związku z tym użytkownicy nie będą mogli uwierzytelniać się w usłudze Microsoft Entra ID, jeśli nie mają dostępnej biometrii Touch ID.

Wymagania dotyczące elementu UserSecureEnclaveKeyBiometricPolicy

  • System operacyjny: macOS 14.6 lub nowszy

  • Portal firmy w wersji 2504 lub nowszej

    Ważne

    Jeśli ta funkcja jest włączona po zakończeniu rejestracji PSSO, wszyscy użytkownicy będą musieli przejść pełny proces ponownej rejestracji PSSO, aby zasady zaczęły obowiązywać. Ten proces ponownej rejestracji musi być sterowany przez administratora, ponieważ użytkownicy nie zobaczą monitu o ponowną rejestrację. Administratorzy powinni dokładnie rozważyć, czy włączyć te zasady i odpowiednio zaplanować wdrożenie usługi PSSO.

Jak włączyć politykę UserSecureEnclaveKeyBiometricPolicy

Klienci z wysokimi zabezpieczeniami mogą wyrazić zgodę na włączenie tej funkcji, ustawiając flagę w słowniku danych rozszerzenia logowania jednokrotnego.

  • Nazwa klucza: enable_se_key_biometric_policy
  • Wartość: true

Zrzut ekranu przedstawiający konfigurację UserSecureEnclaveKeyBiometricPolicy w usłudze Microsoft Intune.

Zalety funkcji UserSecureEnclaveKeyBiometricPolicy

  • Zwiększone zabezpieczenia: Dostęp do klucza bezpiecznego enklawy użytkownika jest chroniony sprzętowo i może być dostępny tylko po pomyślnym uwierzytelnieniu za pomocą funkcji Touch ID, zapewniając dodatkową warstwę zabezpieczeń.

Wady funkcji UserSecureEnclaveKeyBiometricPolicy

  • Więcej monitów: użytkownicy otrzymują dodatkowe monity podczas rejestracji PSSO, ponieważ klucz jest odczytywany wielokrotnie podczas tego procesu.
  • Biometric-Only Access: dostęp do klucza dostępu PSSO można uzyskać tylko za pomocą uwierzytelniania biometrycznego. Nie ma alternatywnego hasła. Jeśli urządzenie zostanie odblokowane przy użyciu hasła, użytkownicy będą nadal monitowani o uwierzytelnienie biometryczne w celu uzyskania tokenu PSSO.

Logowanie jednokrotne Kerberos do lokalnej usługi Active Directory i zasobów protokołu Kerberos identyfikatora Entra firmy Microsoft

System macOS umożliwia użytkownikom konfigurowanie Platform SSO w celu obsługi SSO opartego na protokole Kerberos do zasobów lokalnych i w chmurze, oraz SSO do Microsoft Entra ID. Kerberos SSO to opcjonalna funkcja w ramach Platform SSO, ale zaleca się jej użycie, jeśli użytkownicy powinni nadal uzyskiwać dostęp do lokalnych zasobów Active Directory, które używają protokołu Kerberos do uwierzytelniania.

Aby dowiedzieć się więcej, zobacz Kerberos SSO dla lokalnego usługi Active Directory oraz zasobów Kerberos Microsoft Entra ID.

Obsługa interfejsu API programu Graph

Interfejs API programu Microsoft Graph umożliwia zarządzanie metodą uwierzytelniania PlatformCredential.

Dostępne są następujące interfejsy API:

Narodowy Instytut Standardów i Technologii (NIST)

Narodowy Instytut Standaryzacji i Technologii (NIST) jest federalną agencją niergulacyjną działającą w ramach Departamentu Handlu Stanów Zjednoczonych. NIST opracowuje standardy, wytyczne i inne publikacje, aby pomóc agencjom federalnym w zarządzaniu opłacalnymi programami w celu ochrony swoich systemów informacyjnych i informacyjnych.

Więcej informacji na temat korzystania z Platformy SSO dla macOS w celu spełnienia wymagań NIST znajdziesz w tych artykułach.

Single Sign-On platform (PSSO) z funkcją EnableRegistrationDuringSetup

Platform Single Sign-On (PSSO) z ustawieniem EnableRegistrationDuringSetup umożliwia urządzeniom z systemem macOS automatyczne ukończenie rejestracji PSSO podczas automatycznej rejestracji urządzeń (ADE).

Aby włączyć tę możliwość, administrator musi skonfigurować PSSO za pośrednictwem Microsoft Intune lub innego obsługiwanego rozwiązania MDM. W zależności od sposobu konfigurowania urządzenia użytkownik końcowy może ustawić swoje urządzenie za pomocą PSSO za pośrednictwem bezpiecznej enklawy, karty inteligentnej lub metody uwierzytelniania opartej na haśle.

W połączeniu z Asystentem konfiguracji z nowoczesnym uwierzytelnianiem i rozszerzeniem SSO aplikacji Portal firmy usługa Intune może ukończyć inicjalizację tożsamości i rejestrację urządzenia we wczesnym etapie procesu rejestracji, ograniczając liczbę monitów i zapewniając, że urządzenie jest gotowe do użycia zaraz po wyświetleniu pulpitu.

Aby uzyskać instrukcje krok po kroku dotyczące konfigurowania funkcji PSSO przy użyciu EnableRegistrationDuringSetup w usłudze Intune, zapoznaj się z tym dokumentem: Konfigurowanie logowania jednokrotnego na platformie (PSSO) podczas zautomatyzowanej rejestracji urządzeń dla urządzeń z systemem macOS

Uwaga / Notatka

Uwierzytelnianie za pomocą karty inteligentnej w Asystencie ustawień nie jest obsługiwane. Jeśli chcesz używać karty Smart Card jako metody uwierzytelniania, musisz ukończyć rejestrację PSSO po zakończeniu działania Asystenta ustawień.

Rozwiązywanie problemów

Jeśli występują problemy podczas implementowania logowania jednokrotnego platformy systemu macOS, zapoznaj się z naszą dokumentacją dotyczącą znanych problemów z logowaniem jednokrotnym platformy macOS i rozwiązywania problemów

  • Ostatnia aktualizacja o