單一登入 (SSO) Microsoft Intune 中適用於 Apple 裝置的概觀和選項

Apple 裝置可以使用單一登入 (SSO) 來使用其Microsoft Entra ID存取裝置、應用程式和網站。 SSO 可讓使用者登入並取得存取權，而不需要每次都輸入認證。

本功能適用於：

  • iOS/iPadOS
  • macOS

裝置和大部分應用程式，包括企業營運 (LOB) 應用程式，需要某種層級的使用者驗證。 在許多情況下，驗證會要求使用者重複輸入相同的認證。

系統管理員可以使用 Microsoft Intune 來建立和部署 SSO 原則。 開發人員可以建立支援和使用單一登入 (SSO) 的應用程式。 當您將 Intune SSO 原則與支援 SSO 的應用程式結合時，應用程式和網站的認證提示數目會減少。

若要在 Intune 中為 Apple 裝置設定 SSO，您有下列選項：

本文概述 Intune 中適用於 Apple 裝置及其支援的平台的 SSO 選項。

平台 SSO

本功能適用於：

  • macOS

Microsoft 企業 SSO 外掛程式包含兩個 SSO 功能：平台 SSO 和 SSO 應用程式擴充功能。 本節重點介紹 平台SSO。

在 macOS 裝置上，使用者通常會使用本機帳戶登入。 然後，他們會使用自己的 Microsoft Entra ID 登入應用程式和網站。

使用平台 SSO：

  • 組織可以:

    • 選擇符合您商務需求的驗證方法。 你的選項包括 Secure Enclave、無密碼通行金鑰驗證、Microsoft Entra使用者帳戶 & 密碼或智慧卡驗證。

    • 使用 SSO 應用程式擴充功能，因為 SSO 應用程式擴充功能是平台 SSO 的一部分。 具體而言，您：

      • 使用 SSO 應用程式擴充功能以透過 Microsoft Entra ID 登入應用程式和網站。
      • 使用平台 SSO 來增強您的 SSO 設定。 您可以設定不同的驗證方法、在登入時建立新的組織使用者，以及為使用者指派授權模式。

  • 使用者：

    • 由於 Microsoft Entra ID 與 Microsoft Enterprise SSO 外掛程式整合，因此可獲得更安全的登入體驗。
    • 與 SSO 應用程式擴充功能結合使用時，獲得單一登入體驗。 SSO 應用程式擴充功能允許搭配 Microsoft Entra ID 使用 Touch ID 和通行金鑰。
    • 可以使用其 Microsoft Entra 使用者帳戶登入，並儘量減少在 macOS 裝置上輸入 Microsoft Entra 認證的次數。

如需平台 SSO 詳細資訊並開始使用，請移至 在 Intune 中設定 macOS 裝置的平台 SSO。

平台 SSO 功能摘要

下表摘要說明 Intune 中的平台 SSO 功能。 使用此資訊來判斷平台 SSO 是否適合您的組織。

功能 詳細資料
平台支援 錯誤圖示 iOS/iPadOS
核取圖示 macOS 13.0 及更新版本
支援的註冊類型 核取圖示 裝置註冊
核取圖示 自動化裝置註冊 (受監督的)
錯誤圖示 使用者註冊
核取圖示 (Apple Configurator) 直接註冊
支援的驗證類型 核取圖示 Secure Enclave (UserSecureEnclaveKey)
核取圖示 密碼 (Microsoft Entra ID)
核取圖示 智慧卡
支援的應用程式類型 核取圖示 Microsoft 365 應用程式
核取圖示 與 Microsoft Entra ID 整合的應用程式、網站或服務
核取圖示 支援 Apple Enterprise SSO 並與內部部署的 Active Directory 整合的 App、網站或服務
Intune 系統管理中心原則類型 設定目錄 原則位於：

裝置>管理裝置>設定>建立>新原則>適用於平台>的 macOS 設定檔類型的>設定目錄驗證>可延伸單一登入 (SSO)
建議 核取圖示 推薦項目。

使用平台 SSO，因為它也包含 SSO 應用程式擴充功能。 您可以單獨使用 SSO 應用程式擴充功能，但這不是偏好。

若要使用平台SSO，您必須只使用平台SSO。 不要建立個別的 SSO 應用程式擴充功能原則。

SSO 應用程式擴充功能

本功能適用於：

  • iOS/iPadOS
  • macOS

Microsoft 企業 SSO 外掛程式包含兩個 SSO 功能：平台 SSO 和 SSO 應用程式擴充功能。 本節重點介紹 SSO 應用程式擴充功能。

SSO 應用程式擴充功能可將 SSO 提供給使用 Microsoft Entra ID 進行驗證的應用程式、網站和帳戶，包括：

  • Microsoft 365 應用程式
  • 開發用於在裝置上的單一登入中尋找使用者認證的應用程式
  • 所有支援 Apple 企業 SSO 功能的應用程式內部部署 Active Directory 帳戶

核取圖示 針對 iOS/iPadOS 裝置，SSO 應用程式擴充功能可單獨使用。 因此，您可以為應用程式 & 網站設定和使用 SSO 應用程式擴充功能。

check-icon 對於 macOS 裝置，SSO 應用程式擴充功能可單獨使用，也會包含在平台 SSO 中。 因此，如果您不想使用Platform SSO，可以只設定和使用SSO應用程式擴充功能。 如果您使用Platform SSO，則只會設定Platform SSO，因為它包含SSO應用程式擴充功能。

SSO 應用程式擴充功能是重新導向類型 SSO 應用程式擴充功能。 它適用於 Intune、Jamf Pro 和其他 MDM 解決方案。 在 Intune 中，SSO 應用程式擴充功能會使用裝置設定原則，並將 Microsoft Entra ID 做為 SSO 應用程式擴充功能類型。

這些設定會設定重新導向類型和認證類型 SSO 應用程式擴充功能。 特別是：

  • 重新導向類型是專為新式驗證通訊協定所設計，例如 OpenID Connect、OAuth 和 SAML2。 您可以選擇 Microsoft Entra SSO 擴充功能 (Microsoft Enterprise SSO 外掛程式，以及一般重新導向擴充功能。

  • 認證類型是針對挑戰和回應驗證流程所設計。 您可以選擇 Apple 提供的 Kerberos 特定認證延伸模組，以及一般認證延伸模組。

    SSO 應用程式擴充功能應該可搭配任何非 Microsoft 或合作夥伴 MDM 使用。 擴充功能必須部署為 Kerberos SSO 延伸項目，或部署為已設定所有必要屬性的自訂組態設定檔。

如需 SSO 應用程式擴充功能的詳細資訊，請移至：

SSO 應用程式擴充功能摘要

下表摘要說明 Intune 中的 SSO 應用程式擴充功能。 使用此資訊來判斷此 SSO 選項是否適合您的組織。

功能 詳細資料
平台支援 勾選圖示 iOS/iPadOS 13.0 及更新版本
核取圖示 macOS 10.15 及更新版本
支援的註冊類型 iOS/iPadOS：
核取圖示 裝置註冊
核取圖示 自動化裝置註冊 (受監督的)
核取圖示 使用者註冊
核取圖示 (Apple Configurator) 直接註冊

macOS：
核取圖示 使用者核准的裝置註冊
核取圖示 自動化裝置註冊 (受監督的)
核取圖示 (Apple Configurator) 直接註冊
支援的驗證類型 核取圖示 重新導向類型 SSO 應用程式擴充功能，包括 Microsoft Entra ID
核取圖示 認證應用程式擴充功能
核取圖示 Apple 內建的 Kerberos 延伸模組
支援的應用程式類型 核取圖示 Microsoft 365 應用程式
核取圖示 與 Microsoft Entra ID 整合的應用程式、網站或服務
核取圖示 支援 Apple 企業 SSO 並與內部部署的 Active Directory 整合的 App、網站或服務
Intune 系統管理中心原則類型 裝置功能 範本位於：

裝置>管理裝置>設定>建立>新原則>iOS/iPadOS 或 macOS 平台>範本> 設定檔類型的>裝置功能單一登入應用程式擴充功能
建議 核取圖示 建議在 iOS/iPadOS 上使用。

錯誤圖示 不偏好在 macOS 裝置上。

在 macOS 裝置上，您可以單獨使用 SSO 應用程式擴充功能。 但是，我們建議您改用平台 SSO。 如果您也使用適用於 macOS 的平台 SSO，則請勿建立個別的 SSO 應用程式擴充功能原則。 SSO應用程式擴充功能包含在平台SSO設定中。

單一登入範本

注意事項

Apple 建議您使用本文) 中 (的 SSO 應用程式擴充功能 ，而非這些 SSO 設定。

適用於：

  • iOS 7.0 及更新版本
  • iPadOS 13.0 及更新版本

此單一登入原則是以 Kerberos 為基礎。 Kerberos 是一種網路驗證通訊協定，它使用秘密金鑰加密來驗證主從式應用程式。 Intune 原則設定會定義存取伺服器或特定應用程式時的 Kerberos 帳戶資訊，並處理網頁和原生應用程式的 Kerberos 挑戰。

如需您可以在 Intune 中設定的設定清單，請移至 iOS/iPadOS 上的單一登入。

若要使用單一登入，請確定您已：

  • 專為在裝置上的單一登入中尋找使用者認證存放區而開發的應用程式。
  • 針對 iOS/iPadOS 裝置單一登入設定 Intune。

單一登入功能摘要

下表摘要說明 Intune 中的單一登入功能。 使用此資訊來判斷此 SSO 選項是否適合您的組織。

功能 詳細資料
平台支援 核取圖示 iOS 7.0 及更新版本
勾選圖示 iPadOS 13.0 及更新版本
錯誤圖示 macOS
支援的註冊類型 核取圖示 裝置註冊
核取圖示 自動化裝置註冊 (受監督的)
錯誤圖示 使用者註冊
錯誤圖示 (Apple Configurator) 直接註冊
支援的驗證類型 只能使用 Kerberos SSO 驗證。
- 輸入使用者存取伺服器或應用程式時的 Kerberos 帳戶資訊。
- 不是 Apple 實作的 Kerberos 嗎？
- 處理網頁和應用程式的 Kerberos 挑戰
支援的應用程式類型 支援 Kerberos 驗證的網站和原生應用程式。 應用程式必須經過編碼，才能在裝置上的單一登入中尋找使用者認證存放區。
Intune 系統管理中心原則類型 裝置功能 範本位於：

裝置>管理裝置>設定>建立>新原則>iOS/iPadOS 平台>範本> 設定檔類型的>裝置功能單一登入
建議 錯誤圖示 不建議使用。 相反地，Microsoft建議使用本文) 中 (的 SSO 應用程式擴充功能 。

SSO 應用程式擴充功能與 SSO 範本

單一登入應用程式擴充功能與單一登入功能不同。 使用下表進行比較。

單一登入應用程式擴充功能 單一登入
支援的平台 勾選圖示 iOS/iPadOS 13.0 及更新版本
核取圖示 macOS 10.15 及更新版本		 核取圖示 iOS 7.0 及更新版本
勾選圖示 iPadOS 13.0 及更新版本
錯誤圖示 macOS
描述 定義延伸模組，供身分識別提供者或組織使用，以提供順暢的企業登入體驗。 它使用 Apple 作業系統進行驗證。 定義使用者存取伺服器或應用程式時的 Kerberos 帳戶資訊。
驗證 從應用程式開發的觀點來看，可以使用任何類型的重新導向 SSO 或認證 SSO 驗證。 從應用程式開發的觀點來看，只能使用 Kerberos SSO 驗證。
Apple 實作 由 Apple 開發並內建於 iOS/iPadOS 13.0+ 和 macOS 10.15+ 平台。 內建的 Kerberos 擴充功能可用來將使用者登入至支援 Kerberos 驗證的原生應用程式和網站。 不是 Apple 實作的 Kerberos。
建議 推薦項目。

提供改善的使用者體驗。 它會處理網頁的 Kerberos 挑戰、支援密碼變更，並在企業網路中表現更好。

決定在 SSO 應用程式擴充功能 或 單一登入 範本中使用 Kerberos 時，建議使用 SSO 應用程式擴充功能，因為該擴充功能已改善效能和功能。		 不建議。

它確實會處理網頁的 Kerberos 挑戰。
  • 上次更新時間：