Konfigurowanie logowania jednokrotnego platformy dla urządzeń z systemem macOS w usłudze Microsoft Intune

Możesz skonfigurować logowanie jednokrotne platformy, aby włączyć logowanie jednokrotne (SSO) dla urządzeń z systemem macOS przy użyciu uwierzytelniania bez użycia haseł, kont użytkownika usługi Microsoft Entra ID lub kart inteligentnych. Logowanie jednokrotne platformy to funkcja usługi Microsoft Entra, która rozszerza wtyczkę logowania jednokrotnego firmy Microsoft Enterprise i rozszerzenie aplikacji logowania jednokrotnego.

Ta funkcja ma zastosowanie do:

• macOS

Funkcja logowania jednokrotnego platformy loguje użytkowników na ich zarządzanych urządzeniach Mac przy użyciu poświadczeń usługi Microsoft Entra ID i identyfikatorów Touch ID. Użyj usługi Intune, aby skonfigurować logowanie jednokrotne platformy i wdrożyć konfigurację logowania jednokrotnego platformy na urządzeniach z systemem macOS.

Wtyczka Microsoft Enterprise SSO w usłudze Microsoft Entra ID zawiera dwie funkcje logowania jednokrotnego — logowanie jednokrotne platformy i rozszerzenie aplikacji logowania jednokrotnego. Ten artykuł koncentruje się na konfigurowaniu logowania jednokrotnego platformy za pomocą usługi Microsoft Entra ID.

W tym artykule pokazano, jak skonfigurować logowanie jednokrotne platformy dla urządzeń z systemem macOS w usłudze Intune. W przypadku niektórych typowych scenariuszy logowania jednokrotnego platformy, które można również skonfigurować, zobacz Typowe scenariusze logowania jednokrotnego platformy dla urządzeń z systemem macOS.

Korzyści

Oto niektóre zalety logowania jednokrotnego na platformie:

• Zawiera rozszerzenie aplikacji logowania jednokrotnego. Rozszerzenia aplikacji logowania jednokrotnego nie konfiguruje się oddzielnie.
• Możesz przejść na logowanie bez hasła dzięki poświadczeniom odpornym na wyłudzanie informacji, które są sprzętowo powiązane z urządzeniem Mac.
• Logowanie jest podobne do logowania się na urządzeniu z systemem Windows za pomocą konta służbowego, podobnie jak użytkownicy korzystają z funkcji Windows Hello dla firm.
• Pomaga to zminimalizować liczbę wprowadzanych poświadczeń usługi Microsoft Entra ID przez użytkowników.
• Pomaga zmniejszyć liczbę haseł do zapamiętania przez użytkowników.
• Możesz korzystać z funkcji dołączania do usługi Microsoft Entra, która umożliwia użytkownikowi z organizacji zalogowanie się na urządzeniu.
• Jest ona uwzględniona we wszystkich planach licencjonowania usługi Microsoft Intune.

Jak działa logowanie jednokrotne platformy

Gdy urządzenia Mac dołączają do dzierżawy usługi Microsoft Entra ID, uzyskują certyfikat dołączenia do miejsca pracy (WPJ). Ten certyfikat WPJ jest powiązany ze sprzętem i jest dostępny tylko za pomocą wtyczki logowania jednokrotnego Microsoft Enterprise. Aby uzyskać dostęp do zasobów chronionych przy użyciu dostępu warunkowego, aplikacje i przeglądarki internetowe wymagają tego certyfikatu WPJ.

Po skonfigurowaniu logowania jednokrotnego platformy rozszerzenie aplikacji logowania jednokrotnego działa jako broker uwierzytelniania usługi Microsoft Entra ID i dostępu warunkowego.

Konfigurowanie logowania jednokrotnego na platformie przy użyciu wykazu ustawień usługi Intune. Gdy zasady wykazu ustawień są gotowe, przypisz zasady. Firma Microsoft zaleca przypisanie zasad, gdy użytkownik rejestruje urządzenie w usłudze Intune. Można go jednak przypisać w dowolnym momencie, także na istniejących urządzeniach.

Wymagania wstępne

• Na urządzeniach musi być uruchomiony system macOS 13.0 lub nowszy.

• Urządzenia wymagają aplikacji portalu firmy usługi Microsoft Intune w wersji 5.2404.0 lub nowszej. Ta wersja zawiera funkcję logowania jednokrotnego platformy.

• Następujące przeglądarki sieci Web obsługują logowanie jednokrotne platformy:

  • Microsoft Edge

  • Google Chrome z rozszerzeniem logowania jednokrotnego firmy Microsoft

    Za pomocą zasad pliku preferencji usługi Intune (plist) można wymusić zainstalowanie tego rozszerzenia. W pliku .plist potrzebne są niektóre informacje z zasad Chrome Enterprise - ExtensionInstallForcelist (otwiera stronę internetową Google).

    Ostrzeżenie

    Przykładowe .plist pliki można znaleźć w przykładach ManagedPreferencesApplications w witrynie GitHub. Firma Microsoft nie jest właścicielem, nie utrzymuje ani nie tworzy tego repozytorium GitHub. Korzystaj z tych informacji na własne ryzyko.

  • Program Safari

  • Firefox — konfigurowanie zasad MicrosoftEntraSSO (otwiera witrynę internetową Mozilli).

  Użyj usługi Intune, aby dodać aplikacje przeglądarki internetowej, w tym pliki pakietów (.pkg) i obrazów dysku (.dmg), oraz wdrożyć aplikację na urządzeniach z systemem macOS. Aby rozpocząć pracę, przejdź do tematu Dodawanie aplikacji do usługi Microsoft Intune.

• Funkcja logowania jednokrotnego na platformie używa katalogu ustawień usługi Intune do konfigurowania wymaganych ustawień. Aby utworzyć zasady wykazu ustawień, zaloguj się do centrum administracyjnego usługi Microsoft Intune co najmniej przy użyciu konta z następującymi uprawnieniami usługi Intune:

  • Konfiguracja urządzenia — odczyt, tworzenie, aktualizowanie i przypisywanie uprawnień

  Niektóre wbudowane role mają te uprawnienia, w tym rola Intune menedżera zasad i profilów. Aby uzyskać więcej informacji na temat ról RBAC w usłudze Intune, zobacz Kontrola dostępu oparta na rolach (RBAC) with Microsoft Intune.

• W kroku 2. Tworzenie zasad logowania jednokrotnego platformy (w tym artykule) utworzysz zasady wykazu ustawień, które skonfigurują wymagane ustawienia dla logowania jednokrotnego platformy. W ramach tych zasad można skonfigurować inne typowe scenariusze i ustawienia. Aby uzyskać więcej informacji, zobacz typowe scenariusze logowania jednokrotnego platformy dla urządzeń z systemem macOS.

  Przed utworzeniem zasad wykazu ustawień przejrzyj scenariusze. Dzięki temu można skonfigurować ustawienia potrzebne podczas początkowego tworzenia zasad. Jeśli początkowo nie skonfigurujesz ustawień scenariusza opcjonalnego, zawsze możesz edytować zasady później. Do grup można przypisać tylko jedną zasadę logowania jednokrotnego. Dlatego dodaj te ustawienia scenariusza do istniejących zasad wykazu ustawień logowania jednokrotnego platformy.

• Urządzenia z istniejącymi zasadami logowania jednokrotnego platformy są ponownie rejestrowane w usłudze Microsoft Entra po zmianie metody uwierzytelniania SSO > platformy lub logowania jednokrotnego > platformy Użyj ustawień Shared Device Keys w zasadach. W przypadku innych dodanych lub zmienionych ustawień anulowanie i ponowne przypisanie zasad logowania jednokrotnego platformy spowoduje ponowne zarejestrowanie urządzenia.

• W kroku 5 — Rejestrowanie urządzenia (w tym artykule) użytkownicy rejestrują swoje urządzenia. Ci użytkownicy muszą mieć możliwość dołączania urządzeń do usługi Tożsamość Microsoft Entra ID. Aby uzyskać więcej informacji, zobacz Konfigurowanie ustawień urządzenia.

Krok 1 — Wybieranie metody uwierzytelniania

Podczas tworzenia zasad logowania jednokrotnego platformy w programie Intune musisz zdecydować, jaka metoda uwierzytelniania ma być używana.

Zasady logowania jednokrotnego platformy i wybrana metoda uwierzytelniania zmieniają sposób logowania użytkowników do urządzeń.

• Po skonfigurowaniu logowania jednokrotnego platformy użytkownicy logują się do swoich urządzeń z systemem macOS przy użyciu skonfigurowanej metody uwierzytelniania.
• Jeśli nie korzystasz z logowania jednokrotnego platformy, użytkownicy logują się do swoich urządzeń z systemem macOS przy użyciu konta lokalnego. Następnie logują się do aplikacji i witryn internetowych za pomocą swojego identyfikatora Microsoft Entra ID.

W tym kroku skorzystaj z tych informacji, aby poznać różnice między metodami uwierzytelniania i ich wpływ na środowisko logowania użytkownika.

Funkcja	Bezpieczna enklawa	Karta inteligentna	Password (hasło)
Bez hasła (odporne na wyłudzanie informacji)
Funkcja TouchID obsługiwana podczas odblokowywania
Może być używany jako klucz dostępu
Uwierzytelnianie wieloskładnikowe obowiązkowe do przeprowadzenia konfiguracji Uwierzytelnianie wieloskładnikowe jest zawsze zalecane
Lokalne hasło Mac zsynchronizowane z usługą Tożsamość Entra
Obsługiwane w systemie macOS 13.x +
Obsługiwane w systemie macOS 14.x +
Opcjonalnie zezwól nowym użytkownikom na logowanie się przy użyciu poświadczeń Tożsamość Entra (macOS 14.x +)

Krok 2. Tworzenie zasad logowania jednokrotnego platformy w usłudze Intune

Aby skonfigurować zasady logowania jednokrotnego platformy, wykonaj kroki opisane w tej sekcji, aby utworzyć zasady katalogu ustawień usługi Intune. Wtyczka Microsoft Enterprise SSO wymaga wymienionych ustawień.

1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune.

2. Wybierz kolejno pozycje Urządzenia>Zarządzanie urządzeniami>Konfiguracja>Utwórz>Nowe zasady.

3. Wprowadź następujące właściwości:

   • Platforma: wybierz macOS.
   • Typ profilu: wybierz pozycję Katalog ustawień.

4. Wybierz pozycję Utwórz.

5. W obszarze Podstawy wprowadź następujące właściwości:

   • Nazwa: wprowadź opisową nazwę zasad. Nadaj nazwę zasadom, aby można było je później łatwo rozpoznać. Na przykład nadaj zasadom nazwę macOS — Platform SSO.
   • Opis: wprowadź opis zasad. To ustawienie jest opcjonalne, ale zalecane.

6. Wybierz pozycję Dalej.

7. W obszarze Ustawienia konfiguracji wybierz pozycję Dodaj ustawienia. W selektorze ustawień rozwiń węzeł Uwierzytelnianie i wybierz pozycję Rozszerzalne logowanie jednokrotne:

   

   Z listy wybierz następujące ustawienia:

   • Metoda uwierzytelniania (przestarzałe) (wybierz tylko dla systemu macOS 13)
   • Identyfikator rozszerzenia
   • Rozwiń logowanie jednokrotne platformy:
     • Wybierz metodę uwierzytelniania (wybierz dla systemu macOS 14+)
     • Wybierz zasady FileVault (wybierz dla systemu macOS 15+)
     • Wybierz mapowanie tokenu na użytkownika
     • Wybierz pozycję Użyj współużytkowanych kluczy urządzeń
   • Token rejestracji
   • Zachowanie przy zablokowanym ekranie
   • Identyfikator zespołu
   • Type
   • Adresy URL

   Zamknij selektor ustawień.

   Porada

   Istnieje więcej ustawień logowania jednokrotnego platformy, które można dodać do zasad, aby skonfigurować różne scenariusze, takie jak włączanie logowania jednokrotnego Kerberos, używanie uwierzytelniania biometrycznego Touch ID czy włączanie logowania jednokrotnego w aplikacjach firm innych niż Microsoft. Aby dowiedzieć się więcej o tych scenariuszach i ich wymaganych ustawieniach, przejdź do typowych scenariuszy logowania jednokrotnego na platformie dla urządzeń z systemem macOS.

   Jeśli początkowo nie skonfigurujesz ustawień scenariusza opcjonalnego, zawsze możesz edytować zasady później.

8. Skonfiguruj następujące wymagane ustawienia:

   Name (Nazwa)	Wartość konfiguracji	Opis
   Metoda uwierzytelniania (przestarzałe) (tylko macOS 13)	Password lub UserSecureEnclaveKey	Wybierz metodę uwierzytelniania logowania jednokrotnego platformy wybraną w kroku 1 — Określenie metody uwierzytelniania (w tym artykule). To ustawienie dotyczy tylko systemu macOS 13. W przypadku systemu macOS 14.0 lub nowszego użyj ustawieniaMetoda uwierzytelnianialogowania jednokrotnego> platformy.
   Identyfikator rozszerzenia	com.microsoft.CompanyPortalMac.ssoextension	Skopiuj i wklej tę wartość w ustawieniu. Ten identyfikator jest rozszerzeniem aplikacji logowania jednokrotnego, którego profil potrzebuje do działania logowania jednokrotnego. Wartości w polach Identyfikator rozszerzenia i Identyfikator zespołu współpracują ze sobą.
   Logowanie jednokrotne> platformyMetoda uwierzytelniania(macOS 14+)	Password, UserSecureEnclaveKey lub SmartCard	Wybierz metodę uwierzytelniania logowania jednokrotnego platformy wybraną w kroku 1 — Określenie metody uwierzytelniania (w tym artykule). To ustawienie dotyczy systemu macOS 14 i nowszych. W systemie macOS 13 użyj ustawienia Metoda uwierzytelniania (przestarzałe).
   Logowanie jednokrotne> platformyZasady usługi FileVault(macOS 15+)	AttemptAuthentication	Ma zastosowanie w przypadku wybrania hasła dla ustawienia metody uwierzytelniania . Skopiuj i wklej tę wartość w ustawieniu. To ustawienie umożliwia urządzeniu zweryfikowanie hasła usługi Microsoft Entra ID za pomocą usługi Microsoft Entra na ekranie odblokowywania funkcji FileVault, gdy urządzenie Mac jest włączone. To ustawienie dotyczy systemu macOS 15 i nowszych.
   Logowanie jednokrotne> platformyUżywanie współużytkowanych kluczy urządzeń(macOS 14+)	Włączone	Po włączeniu funkcja logowania jednokrotnego platformy używa tych samych kluczy podpisywania i szyfrowania dla wszystkich użytkowników na tym samym urządzeniu. Użytkownicy uaktualniający system macOS 13.x do 14.x są monitowani o ponowną rejestrację.
   Token rejestracji	{{DEVICEREGISTRATION}}	Skopiuj i wklej tę wartość w ustawieniu. Należy uwzględnić nawiasy klamrowe. Aby dowiedzieć się więcej o tym tokenie rejestracji, przejdź do strony Konfigurowanie rejestracji urządzenia usługi Microsoft Entra. To ustawienie wymaga także jego konfiguracji AuthenticationMethod . - Jeśli używasz tylko urządzeń z systemem macOS 13, skonfiguruj ustawienie Metoda uwierzytelniania (przestarzałe). - Jeśli używasz tylko urządzeń z systemem macOS 14+, skonfiguruj ustawieniemetody uwierzytelnianialogowania jednokrotnego> platformy. - Jeśli masz kombinację urządzeń z systemem macOS 13 i macOS 14+, skonfiguruj oba ustawienia uwierzytelniania w tym samym profilu.
   Zachowanie przy zablokowanym ekranie	Nie obsługuj	Po ustawieniu wartości Nie obsługuj żądanie jest kontynuowane bez logowania jednokrotnego.
   Mapowanie >tokenu na użytkownikaNazwa konta	com.apple.PlatformSSO.AccountShortName lub preferred_username	Skopiuj i wklej swoją wartość w ustawieniu: com.apple.PlatformSSO.AccountShortName: Zalecane. Używa prefiksu głównej nazwy użytkownika (UPN) dostawcy tożsamości (IDP) jako nazwy konta lokalnego (krótkiej nazwy użytkownika) dla wartości nazwy konta macOS, np user@contoso.com. . W przypadku logowania jednokrotnego platformy podczas automatycznej rejestracji urządzeń ustaw wartość klucza, aby com.apple.PlatformSSO.AccountShortName użyć prefiksu UPN. Aby dowiedzieć się więcej, zobacz Logowanie jednokrotne platformy: tworzenie konta na żądanie (dokumenty firmy Apple). preferred_usernameTen token określa, że wartość atrybutu usługi Microsoft Entra preferred_username jest używana dla wartości Nazwa konta macOS. W przypadku logowania jednokrotnego platformy podczas automatycznej rejestracji urządzeń to ustawienie nazwy konta zastępuje wartość w parametrze LAPS , a ustawienie LAPS SamAccountName jest ignorowane. Aby działała onPremisesSamAccountName wartość w funkcji LAPS . Należy wdrożyć aplikację Portal firmy w wersji 2608.0 lub nowszej ORAZ skonfigurować ustawienie Włącz tworzenie pierwszego użytkownika podczas konfiguracji w obszarze PSSO na wartość false. Jeśli PSSO zostało skonfigurowane w ten sposób, użytkownik końcowy musi wykonać trzy autoryzacje podczas rejestracji.
   Mapowanie >tokenu na użytkownikaImię i nazwisko	name	Skopiuj i wklej tę wartość w ustawieniu. Ten token określa, że oświadczenie usługi Microsoft Entra name jest używane dla wartości imienia i nazwiska konta macOS.
   Identyfikator zespołu	UBF8T346G9	Skopiuj i wklej tę wartość w ustawieniu. Ten identyfikator jest identyfikatorem zespołu rozszerzenia aplikacji wtyczki logowania jednokrotnego przedsiębiorstwa.
   Type	Przekieruj
   Adresy URL	Skopiuj i wklej wszystkie następujące adresy URL: https://login.microsoftonline.com https://login.microsoft.com https://sts.windows.net Jeśli Twoje środowisko musi zezwalać na suwerenne domeny chmury, takie jak Azure Government lub Azure (Chiny) — 21Vianet, dodaj również następujące adresy URL: https://login.partner.microsoftonline.cn https://login.chinacloudapi.cn https://login.microsoftonline.us https://login-us.microsoftonline.com	Te prefiksy adresów URL są dostawcami tożsamości, które wykonują rozszerzenia aplikacji logowania jednokrotnego. Adresy URL są wymagane dla ładunków przekierowywania i są ignorowane w przypadku ładunków poświadczeń . Aby uzyskać więcej informacji na temat tych adresów URL, odwiedź stronę wtyczki Microsoft Enterprise SSO dla urządzeń firmy Apple.

   Ważna

   Jeśli Twoje środowisko zawiera kombinację urządzeń z systemami macOS 13 i macOS 14+, skonfiguruj ustawieniauwierzytelniania Metoda uwierzytelnianiaSSO> platformy i Metoda uwierzytelniania (Przestarzałe) w tym samym profilu.

   Gdy profil jest gotowy, wygląda podobnie jak w poniższym przykładzie:

   

9. Wybierz pozycję Dalej.

10. W obszarze Tagi zakresu (opcjonalnie) przypisz tag, aby filtrować profil do określonych grup IT, takich jak US-NC IT Team lub JohnGlenn_ITDepartment. Aby uzyskać więcej informacji na temat tagów zakresu, przejdź do tematu Używanie ról RBAC i tagów zakresu dla rozproszonej infrastruktury IT.

    Wybierz pozycję Dalej.

11. W obszarze Zadania wybierz użytkownika lub grupy urządzeń, które otrzymają Twój profil. W przypadku urządzeń z koligacją użytkownika przypisz do użytkowników lub grup użytkowników. W przypadku urządzeń z wieloma użytkownikami, którzy zostali zarejestrowani bez koligacji użytkowników, przypisz je do urządzeń lub grup urządzeń.

    Ważna

    W przypadku ustawień logowania jednokrotnego platformy na urządzeniach z koligacją użytkownika nie jest obsługiwane przypisywanie do grup ani filtrów urządzeń. W przypadku korzystania z przypisania grupy urządzeń lub przypisania grupy użytkowników z filtrami na urządzeniach z koligacją użytkownika użytkownik może nie być w stanie uzyskać dostępu do zasobów chronionych przez dostęp warunkowy. Ten problem może wystąpić:

    • Jeśli ustawienia logowania jednokrotnego platformy są stosowane nieprawidłowo lub
    • Jeśli aplikacja Portal firmy pomija rejestrację urządzenia usługi Microsoft Entra, gdy logowanie jednokrotne platformy nie jest włączone

    Aby uzyskać więcej informacji na temat przypisywania profilów, zobacz Przypisywanie profilów użytkowników i urządzeń.

    Wybierz pozycję Dalej.

12. W obszarze Przeglądanie + tworzenie przejrzyj ustawienia. Po wybraniu pozycji Utwórz zmiany zostaną zapisane, a profil przypisany. Zasady są również wyświetlane na liście profilów.

Następnym razem, gdy urządzenie sprawdzi dostępność aktualizacji konfiguracji, skonfigurowane ustawienia zostaną zastosowane.

Więcej informacji o wtyczce logowania jednokrotnego

• Aby dowiedzieć się więcej o wtyczce, zobacz Wtyczka Microsoft Enterprise SSO dla urządzeń Apple.
• Aby uzyskać szczegółowe informacje na temat ustawień pakietu danych rozszerzonego logowania jednokrotnego, zobacz Ustawienia pakietu danych Extensible Single Sign-on MDM dla urządzeń Apple (otwiera witrynę internetową Apple).

Krok 3. Wdrażanie aplikacji Portal firmy dla systemu macOS

Aplikacja Portal firmy dla systemu macOS wdraża i instaluje wtyczkę Microsoft Enterprise SSO. Ta wtyczka umożliwia korzystanie z logowania jednokrotnego platformy.

Korzystając z usługi Intune, możesz dodać aplikację Portal firmy i wdrożyć ją jako wymaganą aplikację na urządzeniach z systemem macOS:

• Dodawanie aplikacji Portal firmy dla systemu macOS zawiera listę kroków.
• Skonfiguruj aplikację Portal firmy tak, aby uwzględnić informacje o organizacji (opcjonalnie). Aby uzyskać instrukcje, zobacz Jak skonfigurować aplikacje aplikacji Intune — Portal firmy, witrynę internetową Portal firmy i aplikację Intune.

Nie ma żadnych konkretnych kroków konfigurowania aplikacji na potrzeby logowania jednokrotnego platformy. Upewnij się tylko, że najnowsza aplikacja Portal firmy została dodana do usługi Intune i wdrożona na urządzeniach z systemem macOS.

Jeśli masz zainstalowaną starszą wersję aplikacji Portal firmy, logowanie jednokrotne platformy kończy się niepowodzeniem.

Krok 4 — Zarejestruj urządzenia i zastosuj zasady

Aby używać logowania jednokrotnego na platformie, urządzenia muszą być zarejestrowane w usłudze MDM w usłudze Intune przy użyciu jednej z następujących metod:

• W przypadku urządzeń należących do organizacji możesz:

  • Tworzenie zasad automatycznej rejestracji urządzeń przy użyciu usługi Apple Business Manager lub Apple School Manager.
  • Utwórz zasadę rejestracji bezpośredniej przy użyciu aplikacji Apple Configurator.

• W przypadku urządzeń należących do użytkownika utwórz zasady rejestracji urządzeń . Przy użyciu tej metody rejestracji użytkownicy końcowi otwierają aplikację Portal firmy i logują się przy użyciu usługi Microsoft Entra ID. Po pomyślnym zalogowaniu się mają zastosowanie zasady rejestracji.

W przypadku nowych urządzeń utwórz i skonfiguruj wszystkie niezbędne zasady, w tym zasady rejestracji. Następnie, gdy urządzenia zarejestrują się w usłudze Intune, zasady zostaną automatycznie zastosowane.

W przypadku istniejących urządzeń już zarejestrowanych w usłudze Intune przypisz zasady logowania jednokrotnego platformy do użytkowników lub grup użytkowników. Przy następnej synchronizacji lub zaewidencjonowaniu w usłudze Intune urządzenia otrzymają utworzone przez Ciebie ustawienia zasad logowania jednokrotnego platformy.

Krok 5 — Zarejestruj urządzenie

Gdy urządzenie otrzyma zasady, w Centrum powiadomień zostanie wyświetlone powiadomienie Wymagana rejestracja .

• Użytkownicy końcowi wybierają to powiadomienie, logują się do wtyczki Tożsamość Microsoft Entra za pomocą konta organizacji i w razie potrzeby przeprowadzają uwierzytelnianie wieloskładnikowe (MFA).

  Uwaga

  MFA to funkcja usługi Microsoft Entra. Upewnij się, że w dzierżawie jest włączone uwierzytelnianie MFA. Aby uzyskać więcej informacji, w tym wszelkie inne wymagania dotyczące aplikacji, przejdź do uwierzytelniania wieloskładnikowego usługi Microsoft Entra.

• Po pomyślnym uwierzytelnieniu urządzenie jest dołączone do organizacji przez usługę Microsoft Entra, a certyfikat dołączania do miejsca pracy (WPJ) jest powiązany z urządzeniem.

W następujących artykułach przedstawiono procedurę obsługi w zależności od metody rejestracji:

• Dołącz do urządzenia Mac za pomocą usługi Microsoft Entra ID.
• Dołącz do urządzenia Mac za pomocą usługi Microsoft Entra ID podczas OOBE za pomocą logowania jednokrotnego platformy macOS.

Krok 6 — Potwierdź ustawienia na urządzeniu

Po zakończeniu rejestracji logowania jednokrotnego platformy możesz potwierdzić, że funkcja logowania jednokrotnego platformy jest skonfigurowana. Aby uzyskać instrukcje, przejdź do pozycji Tożsamość usługi Microsoft Entra — Sprawdź stan rejestracji urządzenia.

Na urządzeniach zarejestrowanych w usłudze Intune możesz również przejść do pozycji Ustawienia> Prywatnośći>zabezpieczenia Profile. Twój profil logowania jednokrotnego platformy zostanie wyświetlony w obszarze com.apple.extensiblesso Profile. Wybierz profil, aby wyświetlić skonfigurowane ustawienia łącznie z adresami URL.

Aby rozwiązać problemy z logowaniem jednokrotnym na platformie, zobacz Znane problemy i rozwiązywanie problemów z logowaniem jednokrotnym na platformie macOS.

Krok 7. Anulowanie przypisania istniejących profilów rozszerzeń aplikacji logowania jednokrotnego

Po potwierdzeniu, że zasady wykazu ustawień działają, usuń przypisanie wszystkich istniejących profilów rozszerzeń aplikacji logowania jednokrotnego utworzonych przy użyciu szablonu funkcji urządzenia usługi Intune.

Jeśli zachowasz obie zasady, może dojść do konfliktów.

Konfigurowanie logowania jednokrotnego platformy przy użyciu innych MDM

Możesz skonfigurować logowanie jednokrotne platformy z innymi usługami zarządzania urządzeniami przenośnymi (MDM), jeśli ta MDM obsługuje logowanie jednokrotne platformy. Jeśli używasz innej usługi MDM, zastosuj się do następujących wskazówek:

• Ustawienia wymienione w tym artykule są zalecane przez firmę Microsoft, które należy skonfigurować. Wartości ustawień z tego artykułu można skopiować i wkleić do zasad usługi MDM.

  Czynności konfiguracyjne w usłudze MDM mogą się różnić. We współpracy z dostawcą usługi MDM możesz poprawnie skonfigurować i wdrożyć te ustawienia logowania jednokrotnego platformy.

• Rejestracja urządzenia za pomocą logowania jednokrotnego platformy jest bezpieczniejsza i używa certyfikatów urządzeń powiązanych ze sprzętem. Te zmiany mogą mieć wpływ na niektóre przepływy MDM, takie jak integracja z partnerami zgodności urządzeń.

  Skontaktuj się z dostawcą usługi MDM, aby dowiedzieć się, czy funkcja MDM przetestowała logowanie jednokrotne platformy, uzyskała certyfikat poprawnego współdziałania oprogramowania z logowaniem jednokrotnym platformy i czy jest gotowa do obsługi klientów korzystających z tej funkcji.

Typowe błędy logowania jednokrotnego platformy

Podczas konfigurowania logowania jednokrotnego platformy mogą zostać wyświetlone następujące błędy:

• 10001: misconfiguration in the SSOe payload.

  Ten błąd może wystąpić, jeśli:

  • Nie skonfigurowano wymaganego ustawienia w profilu wykazu ustawień.
  • Skonfigurowano ustawienie w profilu wykazu ustawień, które nie ma zastosowania dla ładunku typu przekierowania.

  Ustawienia uwierzytelniania konfigurowane w profilu wykazu ustawień są różne dla urządzeń z systemem macOS 13.x i 14.x.

  Jeśli w Twoim środowisku znajdują się urządzenia z systemem macOS 13 i macOS 14, musisz utworzyć jedną zasadę wykazu ustawień i skonfigurować odpowiednie dla nich ustawienia uwierzytelniania w tych samych zasadach. Te informacje są udokumentowane w kroku 2 — tworzenie zasad logowania jednokrotnego platformy w usłudze Intune (w tym artykule).

• 10002: multiple SSOe payloads configured.

  Do urządzenia jest stosowanych wiele rozszerzeń logowania jednokrotnego i występują one w konflikcie. Na urządzeniu powinien istnieć tylko jeden profil rozszerzenia i tym profilem powinien być profil wykazu ustawień.

  Jeśli wcześniej utworzono profil rozszerzenia aplikacji logowania jednokrotnego przy użyciu szablonu Funkcje urządzenia, anuluj przypisanie tego profilu. Profil katalogu ustawień jest jedynym profilem, który powinien być przypisany do urządzenia.

Artykuły pokrewne

• Typowe scenariusze logowania jednokrotnego platformy dla urządzeń z systemem macOS
• Omówienie logowania jednokrotnego na platformie macOS
• Wtyczka logowania jednokrotnego Microsoft Enterprise
• Używanie rozszerzenia aplikacji Microsoft Enterprise SSO na urządzeniach z systemem macOS
• Co to jest podstawowy token odświeżania (PRT)?
• Znane problemy i rozwiązywanie problemów z logowaniem jednokrotnym na platformie macOS