SSO konfigurieren unter macOS mit NinjaOne

Thema

In diesem Artikel wird erläutert, wie Sie mit NinjaOne Platform SSO für Ihre Apple macOS-Geräte mit Microsoft Entra ID einrichten. Außerdem wird der Registrierungsprozess Schritt für Schritt beschrieben, damit der Endnutzer erkennen kann, wann sein Gerät bei NinjaOne Mobile Device Management (MDM) registriert ist.

Umgebung

NinjaOne MDM
Apple macOS
Microsoft Entra

Beschreibung

Platform SSO ist eine von Apple für macOS entwickelte Technologie, die es Identitätsanbietern (IdPs) ermöglicht, SSO für ihre Unternehmensanwendungen auf der Grundlage der lokalen Anmeldung des Benutzers am Gerät selbst zu verwalten. Weitere Informationen zu diesem Produkt finden Sie auf der Entwickler-Website: Platform Single Sign-On für macOS – Apple Support (Externer Link).

Je nach konkreter Implementierung kann Platform SSO unterschiedliche Funktionen ermöglichen. Derzeit erhalten lokale Benutzerkonten auf einem macOS-Gerät eine Benachrichtigung, sich zu authentifizieren und für Platform SSO zu registrieren. Techniker können die Richtlinie optional so konfigurieren, dass nachfolgende lokale Benutzerkonten durch Authentifizierung beim IdP im lokalen Anmeldefenster des Geräts erstellt werden können.

Dieser Artikel enthält ein Beispiel für den Verteilungsprozess. Sie können auch andere kompatible Verteilungsmethoden verwenden, um die Software zu installieren.

Voraussetzungen

Um Platform SSO zu konfigurieren, müssen Sie unabhängig vom IdP und MDM bestimmte Voraussetzungen erfüllen, wobei die genauen Schritte je nach Implementierung variieren können.

Der IdP (z. B. Microsoft oder Okta) muss das Platform-SSO-Protokoll unterstützen.
Das macOS-Gerät muss bei MDM registriert sein.
Die entsprechende Platform SSO-Erweiterung (eine native macOS-App) muss auf dem Gerät bereitgestellt werden.
Das MDM-Profil der Platform SSO-Erweiterung muss auf dem Gerät bereitgestellt werden.

Platform SSO unterstützt drei Methoden der Authentifizierung für Nutzer. Der für die Authentifizierung verwendete IdP muss dieselben Methoden ebenfalls unterstützen; andernfalls steht für einen bestimmten IdP möglicherweise nur eine Teilmenge dieser Methoden zur Verfügung.

Durch die Secure Enclave geschützter Schlüssel: In den meisten Fällen ist dies die bevorzugte und sicherste Methode der Authentifizierung bei der Verwendung von Platform SSO mit einem IdP, der diese unterstützt. Bei dieser Methode erstellt der Benutzer ein lokales Passwort für das Gerät. Sobald Platform SSO registriert ist, generiert das Gerät einen hardwaregebundenen kryptografischen Schlüssel, der für SSO bei allen Websites und Anwendungen verwendet wird, die zur Authentifizierung mit dem IdP verbunden sind.
- Da der Authentifizierungsschlüssel an das physische Gerät gebunden ist und dem Endnutzer niemals bekannt ist, ermöglicht dies eine passwortfreie und phishingresistente Authentifizierungsmethode für Unternehmensanwendungen. Bei diesem Ansatz dient das lokale Gerätepasswort effektiv als persönliche Identifikationsnummer (PIN) des Geräts, die ausschließlich für den Zugriff auf das physische Gerät bestimmt ist.
Smartcard: Eine Smartcard oder ein Hard-Token wird verwendet, um sich lokal bei macOS anzumelden. Sobald man sich angemeldet hat, wird dieselbe Smartcard für das SSO bei allen Anwendungen verwendet, die zur Authentifizierung mit dem IdP verbunden sind.
Passcode: Das IdP-Passwort des Benutzers wird mit dem lokalen Gerätepasswort synchronisiert. Dieses Passwort wird für die SSO-Anmeldung bei allen Anwendungen verwendet, die zur Authentifizierung mit dem IdP verbunden sind.
- Dies bietet dem Endbenutzer zwar zusätzlichen Komfort, da das lokale Gerätepasswort nun mit seinem IdP-Passwort übereinstimmt, birgt jedoch auch ein erhöhtes Phishing-Risiko. Sollte ein böswilliger Dritter das IdP-Passwort in Erfahrung bringen, könnte er potenziell sowohl auf das physische Gerät als auch auf alle mit dem IdP verbundenen Unternehmensanwendungen zugreifen. Aus diesem Grund empfehlen wir die Verwendung eines durch die Secure Enclave geschützten Schlüssels, wenn ein einzelner Benutzer die Geräte hauptsächlich selbst nutzt.

Plattform-SSO mit Microsoft Entra ID

Microsoft Entra ID unterstützt Plattform-SSO sowie alle drei Authentifizierungsoptionen für Endnutzer.

Benutzer sehen in der Regel die erste Systembenachrichtigung, nachdem sowohl der NinjaOne-Agent als auch die Microsoft-Unternehmensportal-Anwendungen auf dem Gerät installiert wurden, was nach der ersten MDM-Registrierung einige Minuten dauern kann. Sollte die Registrierungsbenachrichtigung nicht erscheinen, melden Sie sich lokal vom Gerät ab und melden Sie sich anschließend erneut an, um den Vorgang zu starten.

1. Stellen Sie die Intune-Unternehmensportal-App auf NinjaOne-Geräten bereit

Für Plattform-SSO mit Microsoft Entra ID nutzt Microsoft die Unternehmensportal-App, um die SSO-Funktionalität zu vermitteln. Die Unternehmensportal-App kann hier von Microsoft heruntergeladen werden(herunterladbare Paketdatei).

Nach dem Herunterladen können Sie die App mit den folgenden Schritten auf Ihren in NinjaOne MDM registrierten macOS-Geräten bereitstellen:

Navigieren Sie innerhalb von NinjaOne zu „Administration“ → „Bibliothek “ → „Automatisierungen“.
Klicken Sie auf „Hinzufügen“ und wählen Sie „Installation“ aus.

automation library_add installation.png — **Abbildung 1**: NinjaOne-Automatisierungsbibliothek → Automatisierung der Installation hinzufügen (zum Vergrößern anklicken)

Konfigurieren Sie im Dialogfeld „Anwendung installieren“ die folgenden Einstellungen und wählen Sie anschließend „Übermitteln“.
- Name: Geben Sie einen Namen ein, z. B. „Intune Company Portal“.
- Betriebssystem: „Mac“.
- Installationsprogramm: Belassen Sie die Dropdown-Liste auf der Standardoption „Datei hochladen “ und klicken Sie auf „Installationsdatei auswählen“. Laden Sie das PKG- Installationsprogramm für das Unternehmensportal hoch.

automation library_add installation_intune company portal.png — **Abbildung 2**: Beispiel für eine Installationsautomatisierung für das Intune-Unternehmensportal (zum Vergrößern anklicken)

Stellen Sie sicher, dass die Konfiguration die Überprüfung besteht und in der Automatisierungsbibliothek angezeigt wird. Die Validierung der Installation kann einige Minuten dauern.
Fügen Sie die Automatisierung Ihrer macOS-Richtlinie hinzu. Navigieren Sie zu „Verwaltung“ → „Richtlinien“ → „Agenten-Richtlinien“ und erstellen Sie eine neue Richtlinie oder bearbeiten Sie Ihre bestehende Richtlinie. Anleitungen zum Erstellen einer neuen Richtlinie finden Sie unter „NinjaOne-Richtlinien: Erstellen und Verwalten einer Richtlinie“.
Wählen Sie die Registerkarte „Geplante Automatisierungen “ aus und klicken Sie auf „Geplante Automatisierung hinzufügen“.

scheduled automation_add.png — **Abbildung 3**: Geplante Automatisierung hinzufügen zu einer NinjaOne-Richtlinie (zum Vergrößern anklicken)

Geben Sie der geplanten Automatisierung einen Namen und wählen Sie aus, dass die Automatisierung ausgeführt werden soll, die Sie zuvor in Schritt 3 hochgeladen haben. Wählen Sie einen geeigneten Zeitplan aus, z. B. „Sofort einmal ausführen“.

policies_scheduled automation_add_schedule.png — **Abbildung 4**: Geplante Automatisierung hinzufügen zu einer NinjaOne-Richtlinie → Hochladen der Automatisierung und Festlegen eines Zeitplans (zum Vergrößern anklicken)

Klicken Sie auf „Hinzufügen“. Speichern Sie anschließend die Richtlinie.

Die „Company Portal“-Anwendung sollte gemäß Ihrem konfigurierten Zeitplan auf allen verwalteten macOS-Geräten bereitgestellt werden.

2. Richten Sie das MDM-Profil „Platform SSO Extension“ in NinjaOne ein

Sie können die „mobileconfig“-Datei am Ende dieses Abschnitts kopieren und direkt in eine benutzerdefinierte Payload in einer macOS-NinjaOne-Richtlinie einfügen, um Platform SSO mit Entra ID zu konfigurieren.

Beachten Sie die folgenden konfigurierbaren Felder:

AuthenticationMethod: Zeilen 13–14. Stellen Sie je nach gewünschter Funktionsweise einen der folgenden Werte ein:
- UserSecureEnclaveKey
- Passwort
- SmartCard
AccountDisplayName: Zeilen 15–16. Dieser Name wird den Endbenutzern während des Plattform-SSO-Registrierungsprozesses angezeigt.
EnableCreateUserAtLogin: Zeilen 19–20. Bei der Einstellung „true“ werden neue lokale Benutzerkonten automatisch erstellt, nach der Authentifizierung mit Entra ID auf dem lokalen Anmeldebildschirm.
NewUserAuthorizationMode: Zeilen 21–22. Wenn das Erstellen neuer Nutzer zugelassen ist, legen Sie diesen Wert auf eine der folgenden Optionen fest, um die Berechtigungsstufe der Benutzerkonten zu bestimmen:
- Standard
- Verwaltung
UserAuthorizationMode: Zeilen 23–24. Hier werden dieselben Werte wie bei „NewUserAuthorizationMode“ unterstützt. Die Berechtigung gilt für ein Konto bei jeder Authentifizierung des Benutzers.
TokenToUserMapping: Zeilen 25–31. Wenn neue lokale Benutzer automatisch angelegt werden sollen, definiert dieses Wörterbuch die Werte aus dem IdP für den lokalen Account Name und den vollständigen Namen.
AccountName: Zeilen 28–29. Der in der Vorlage aufgeführte Zeichenfolgenwert steht für den Vornamen des zugewiesenen Geräteeigentümers (Beispiel: preferred_username).
FullName: Zeilen 30–31. Die in der Vorlage aufgeführten Zeichenfolgenwerte stehen für den Vornamen und den Nachnamen des zugewiesenen Besitzers des Geräts (Beispiel: name).

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" 
"http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<PLIST version="1.0">
<DICT>
    <KEY>PayloadContent</KEY>
    <ARRAY>
        <DICT>
            <KEY>ScreenLockedBehavior</KEY>
            <STRING>DoNotHandle</STRING>
            <KEY>RegistrationToken</KEY>
            <STRING>${device.id}</STRING>
            <KEY>PlatformSSO</KEY>
            <DICT>
                <KEY>AuthenticationMethod</KEY>
                <STRING>UserSecureEnclaveKey</STRING>
                <KEY>AccountDisplayName</KEY>
                <STRING>Entra ID</STRING>
                <KEY>EnableAuthorization</KEY>
                <TRUE />
                <KEY>EnableCreateUserAtLogin</KEY>
                <FALSE />
                <KEY>NewUserAuthorizationMode</KEY>
                <STRING>Standard</STRING>
                <KEY>UserAuthorizationMode</KEY>
                <STRING>Standard</STRING>
                <KEY>TokenToUserMapping</KEY>
                <DICT>
                    <KEY>AccountName</KEY>
                    <STRING>preferred_username</STRING>
                    <KEY>FullName</KEY>
                    <STRING>Name</STRING>
                </DICT>
                <KEY>UseSharedDeviceKeys</KEY>
                <TRUE />
            </DICT>
            <KEY>ExtensionData</KEY>
            <DICT>
                <KEY>AppPrefixAllowList</KEY>
                <STRING>com.microsoft.,com.apple.</STRING>
                <KEY>browser_sso_interaction_needed</KEY>
                <GANZE Zahl>1</GANZE Zahl>
                <KEY>disable_explicit_app_prompt</KEY>
                <GANZE Zahl>1</GANZE Zahl>
            </DICT>
            <KEY>TeamIdentifier</KEY>
            <STRING>UBF8T346G9</STRING>
            <KEY>ExtensionIdentifier</KEY>
            <STRING>com.microsoft.CompanyPortalMac.ssoextension</STRING>
            <KEY>Typ</KEY>
            <STRING>Redirect</STRING>
            <KEY>URLs</KEY>
            <ARRAY>
                <STRING>https://login.microsoftonline.com</STRING>
                <STRING>https://login.microsoft.com</STRING>
                <STRING>https://sts.windows.net</STRING>
                <STRING>https://login.partner.microsoftonline.cn</STRING>
                <STRING>https://login.chinacloudapi.cn</STRING>
                <STRING>https://login.microsoftonline.us</STRING>
                <STRING>https://login-us.microsoftonline.com</STRING>
            </ARRAY>
            <KEY>PayloadIdentifier</KEY>
            <STRING>56DD5560-5BFF-41E5-8197-939FB3374BA3</STRING>
            <KEY>PayloadType</KEY>
            <STRING>com.apple.extensiblesso</STRING>
            <KEY>PayloadUUID</KEY>
            <STRING>56DD5560-5BFF-41E5-8197-939FB3374BA3</STRING>
            <KEY>PayloadVersion</KEY>
            <GANZE Zahl>1</GANZE Zahl>
        </DICT>
    </ARRAY>
    <KEY>PayloadDisplayName</KEY>
    <STRING>Microsoft PSSO</STRING>
    <KEY>PayloadIdentifier</KEY>
    <STRING>Microsoft.PSSO-EAE14F52-5119-4CF3-AACE-EA485054A4FD</STRING>
    <KEY>PayloadType</KEY>
    <STRING>Konfiguration</STRING>
    <KEY>PayloadUUID</KEY>
    <STRING>EAE14F52-5119-4CF3-AACE-EA485054A4FD</STRING>
    <KEY>PayloadVersion</KEY>
    <INTEGER>1</INTEGER>
</DICT>
</PLIST>

3. Registrierung bei Platform SSO auf dem Gerät mithilfe eines Secure-Enclave-Schlüssels

Um diesen Schritt des Vorgangs zu beginnen, muss das macOS-Gerät bei NinjaOne MDM registriert sein. Die Anweisungen dazu finden Sie unter „NinjaOne MDM: Registrieren von macOS-Geräten“.

Wenn Sie die automatisierte Geräteregistrierung (Automated Device Enrollment, ADE) verwenden, um das macOS-Gerät bei NinjaOne MDM zu registrieren, müssen Sie ein lokales Benutzerkonto einrichten und sich auf dem Gerät anmelden. Nach der Registrierung wird der NinjaOne-Agent automatisch bereitgestellt und die Company Portal-App gemäß Ihrem konfigurierten Automatisierungszeitplan installiert (Schritt 1.6 dieses Artikels). Dies kann einige Minuten dauern.

Sobald die Installation des MDM-Profils und der Company Portal-App vollständig abgeschlossen ist, erhält der Benutzer des Geräts eine Benachrichtigung zur Registrierung für Platform SSO. Wird diese ignoriert, wird die Benachrichtigung regelmäßig erneut angezeigt.

registration required.png — **Abbildung 5**: Beispiel für eine Benachrichtigung zur Registrierung (zum Vergrößern anklicken)

Die folgenden Schritte beschreiben die Anweisungen, die der Nutzer auf seinem Gerät ausführen muss:

Klicken Sie auf „Registrieren“. Klicken Sie im Dialogfeld auf „Weiter“ und folgen Sie den Aufforderungen, um die Anmeldedaten des lokalen Geräteadministrators einzugeben.
Authentifizieren Sie sich mit den Entra-ID-Anmeldeinformationen. Wenn erforderlich, werden Sie zur Eingabe eines zweiten Authentifizierungsfaktors aufgefordert.
Wenn „Platform SSO“ für die Verwendung eines Secure-Enclave-Schlüssels konfiguriert ist, werden Sie aufgefordert, dem Unternehmensportal die Verwendung eines Passkeys zu zulassen. Klicken Sie auf „Systemeinstellungen öffnen“ und aktivieren Sie den Passkey wie in der Abbildung gezeigt.

enable entra id passkey.png — **Abbildung 6**: Beispiel für eine Benachrichtigung zur Registrierung (zum Vergrößern anklicken)

Damit ist die Registrierung für Platform SSO abgeschlossen. Der Benutzer sollte nun in der Lage sein, sich über SSO automatisch bei jeder Anmeldeaufforderung von Microsoft Entra ID zu authentifizieren. Diese Authentifizierung ist an das lokale Konto auf dem macOS-Gerät gebunden. Wenn er sich beim lokalen Konto anmeldet, wird das nachfolgende SSO auf Basis des Secure-Enclave-Schlüssels autorisiert.

Um die Plattform-SSO-Registrierung zu überprüfen, können Sie das lokale Benutzerkonto unter „Einstellungen“ → „Benutzer & Gruppen“ aufrufen und den Benutzernamen auswählen. Im Abschnitt „Plattform-SSO“ sehen Sie den Microsoft Entra ID-Benutzer, für den SSO aktiv ist. Bei Bedarf können Sie die Registrierung reparieren oder sich erneut authentifizieren, um die SSO-Token zu aktualisieren.

microsoft entra_users and groups_enclave key.png — **Abbildung 7**: Methode der Registrierung eines Nutzers in Entra überprüfen (zum Vergrößern anklicken)

4. (Optional) Die erforderliche Datenschutzerklärung für den Microsoft AutoUpdater überspringen

Normalerweise wird bei der Installation des Unternehmensportals auch der Microsoft AutoUpdater installiert und eine obligatorische Anzeige zum Datenschutz angezeigt, die der Nutzer bestätigen muss.

Durch die Bereitstellung der folgenden benutzerdefinierten Payload können Sie die Anzeige dieses Hinweises überspringen. Wenn Sie bereits eine benutzerdefinierte Payload zur Konfiguration von Microsoft AutoUpdate bereitstellen, können Sie den Schlüssel „AcknowledgedDataCollectionPolicy“ einschließen, dessen Wert in den Zeilen 8–9 auf die Zeichenfolge „RequiredDataOnly“ gesetzt ist:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<PLIST version="1.0">
    <DICT>
		<KEY>PayloadContent</KEY>
        <ARRAY>
            <DICT>
                <KEY>AcknowledgedDataCollectionPolicy</KEY>
                <STRING>RequiredDataOnly</STRING>
                <KEY>PayloadType</KEY>
                <STRING>com.microsoft.autoupdate2</STRING>
				<KEY>PayloadDisplayName</KEY>
                <STRING>Microsoft AutoUpdate-Einstellungen</STRING>
                <KEY>PayloadIdentifier</KEY>
                <STRING>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</STRING>
				<KEY>PayloadUUID</KEY>
                <STRING>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</STRING>
                <KEY>PayloadVersion</KEY>
                <GANZE Zahl>1</GANZE Zahl>
            </DICT>
		</ARRAY>
        <KEY>PayloadDisplayName</KEY>
        <STRING>Microsoft AutoUpdate-Einstellungen</STRING>
        <KEY>PayloadIdentifier</KEY>
        <STRING>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</STRING>
        <KEY>PayloadUUID</KEY>
		<STRING>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</STRING>
        <KEY>PayloadType</KEY>
        <STRING>Konfiguration</STRING>
        <KEY>PayloadVersion</KEY>
        <INTEGER>1</INTEGER>    
    </DICT>
</PLIST>

5. (Optional) Anderen Benutzern die Anmeldung mit ihren Entra-ID-Anmeldeinformationen zulassen

Wenn im Platform SSO-MDM-Profil die Einstellung „EnableCreateUserAtLogin“ auf „true“ gesetzt ist, können sich andere Benutzer mit ihren Entra ID-Anmeldeinformationen auf dem Gerät anmelden.

Wählen Sie auf der Anmeldeseite die Option „Anderer Benutzer…“ und geben Sie dann den Entra-ID-Benutzernamen und das Passwort direkt in die Felder ein. Das lokale Benutzerkonto wird automatisch erstellt, wobei der Kontoname und der Anzeigename aus den Nachschlagewerten im „TokenToUserMapping“-Wörterbuch des MDM-Profils übernommen werden.

Anmerkungen

Der Benutzer kann SSO für Entra-ID-Authentifizierungsaufforderungen sofort nutzen, wird jedoch weiterhin aufgefordert, den SSO-Registrierungsprozess der Plattform abzuschließen. Er sollte diesen einmalig durchführen, um die Benachrichtigungen zu entfernen. Je nach Wert von „NewUserAuthorizationMode“ wird das Konto als Standardkonto oder als Administratorkonto angelegt.
Wenn Sie den Bildschirm von einem anderen Gerät aus freigeben, stellen Sie sicher , dass Sie unter „Beim Spiegeln oder Freigeben des Bildschirms“ die Option „Benachrichtigungen zulassen“ aktiviert haben , da Sie sonst die Aufforderung zur Registrierung von Entra ID nicht sehen.

**Abbildung 8**: Benachrichtigungen (zum Vergrößern anklicken)

Zusätzliche Ressourcen

Mehr über SSO und andere Identitätsmanagement-Dienste in NinjaOne erfahren Sie in den folgenden Ressourcen: Identitätsauthentifizierung und -verwaltung: Ressourcenkatalog.