SSO konfigurieren unter macOS mit NinjaOne

Thema

In diesem Artikel wird erläutert, wie Sie mit NinjaOne Platform SSO für Ihre Apple macOS-Geräte mit Microsoft Entra ID einrichten. Außerdem wird der Registrierungsprozess beschrieben, damit der Endbenutzer sehen kann, wann sein Gerät bei NinjaOne Mobile Device Management (MDM) registriert wurde.

Umgebung

NinjaOne MDM
Apple macOS
Microsoft Entra

Beschreibung

Platform SSO ist eine von Apple für macOS entwickelte Technologie, die es Identitätsanbietern (IdPs) ermöglicht, Single Sign-On (SSO) für ihre Unternehmensanwendungen auf der Grundlage der lokalen Anmeldung des Benutzers am Gerät selbst zu verwalten. Weitere Informationen zu diesem Produkt finden Sie auf der Entwickler-Website: Platform Single Sign-On für macOS – Apple Support (externer Link).

Je nach konkreter Implementierung kann Platform SSO unterschiedliche Funktionen ermöglichen. Derzeit erhalten bestehende lokale Benutzerkonten auf einem macOS-Gerät eine Benachrichtigung, sich für ihr Konto bei Platform SSO zu authentifizieren und zu registrieren. Techniker können optional eine Richtlinie festlegen, die es ermöglicht, dass nachfolgende lokale Benutzerkonten durch Authentifizierung beim IdP im lokalen Anmeldefenster des Geräts erstellt werden.

Dieser Artikel enthält ein Beispiel für den Bereitstellungsprozess. Sie können auch andere kompatible Bereitstellungsmethoden verwenden, um die Software zu installieren.

Voraussetzungen

Um Platform SSO zu konfigurieren, müssen Sie bestimmte Anforderungen erfüllen, unabhängig vom Identitätsanbieter (IdP) und vom MDM; die genauen Schritte können jedoch je nach Implementierung variieren.

Der IdP (z. B. Microsoft oder Okta) muss das Platform-SSO-Protokoll unterstützen.
Das macOS-Gerät muss bei MDM registriert sein.
Die entsprechende Platform SSO-Erweiterung (eine native macOS-App) muss auf dem Gerät bereitgestellt werden.
Das MDM-Profil für die Platform SSO-Erweiterung muss auf dem Gerät bereitgestellt werden.

Platform SSO unterstützt als Protokoll drei Authentifizierungsmethoden für Benutzer. Der für die Authentifizierung verwendete IdP muss ebenfalls dieselben Methoden unterstützen; andernfalls steht für einen bestimmten IdP möglicherweise nur eine Teilmenge dieser Methoden zur Verfügung.

Durch die Secure Enclave geschützter Schlüssel: In den meisten Fällen ist dies die bevorzugte und sicherste Authentifizierungsmethode bei der Verwendung von Platform SSO mit einem IdP, der diese unterstützt. Bei dieser Authentifizierungsmethode erstellt der Benutzer ein lokales Passwort für das Gerät. Sobald Platform SSO registriert ist, generiert das Gerät einen hardwaregebundenen kryptografischen Schlüssel, der für SSO mit allen Websites und Apps verwendet wird, die zur Authentifizierung mit dem IdP verbunden sind.
- Da der Authentifizierungsschlüssel an das physische Gerät gebunden ist und dem Endbenutzer niemals bekannt ist, ermöglicht dies eine passwortfreie und phishingresistente Authentifizierungsmethode für Unternehmensanwendungen. Bei diesem Ansatz fungiert das lokale Gerätepasswort effektiv als persönliche Identifikationsnummer (PIN) des Geräts, die ausschließlich für den Zugriff auf das physische Gerät verwendet wird.
Smartcard: Eine Smartcard oder ein Hardware-Token wird verwendet, um sich lokal bei macOS anzumelden. Nach der Anmeldung wird dieselbe Smartcard für SSO bei allen Apps verwendet, die zur Authentifizierung mit dem IdP verbunden sind.
Passcode: Das IdP-Passwort des Benutzers wird mit dem lokalen Gerätepasswort synchronisiert. Dieses Passwort wird für den SSO-Zugang zu allen Apps verwendet, die zur Authentifizierung mit dem IdP verbunden sind.
- Dies bietet dem Endbenutzer zwar zusätzlichen Komfort, da das Passwort für das lokale Gerät nun mit seinem IdP-Passwort übereinstimmt, birgt jedoch ein erhöhtes Phishing-Risiko. Sollte ein böswilliger Dritter das IdP-Passwort in Erfahrung bringen, könnte er potenziell sowohl auf das physische Gerät als auch auf alle mit dem IdP verbundenen Unternehmensanwendungen zugreifen. Aus diesem Grund empfehlen wir die Verwendung eines durch die Secure Enclave geschützten Schlüssels, wenn Geräte hauptsächlich von einem einzigen Benutzer genutzt werden.

Plattform-SSO mit Microsoft Entra ID

Microsoft Entra ID unterstützt Plattform-SSO sowie alle drei Authentifizierungsoptionen für Endbenutzer.

Benutzer erhalten in der Regel die erste Systembenachrichtigung, nachdem sowohl der NinjaOne-Agent als auch die Microsoft Company Portal-App auf dem Gerät installiert wurden, was nach der ersten MDM-Registrierung einige Minuten dauern kann. Sollte die Registrierungsbenachrichtigung nicht erscheinen, melden Sie sich lokal vom Gerät ab und melden Sie sich anschließend erneut an, um den Vorgang zu starten.

1. Stellen Sie die Intune-Unternehmensportal-App auf NinjaOne-Geräten bereit

Für Plattform-SSO mit Microsoft Entra ID nutzt Microsoft die Company Portal-App, um die SSO-Funktionalität zu vermitteln. Die Company Portal-App kann hier bei Microsoft heruntergeladen werden(herunterladbare Paketdatei).

Nach dem Herunterladen können Sie die App mit den folgenden Schritten auf Ihren in NinjaOne MDM registrierten macOS-Geräten bereitstellen:

Navigieren Sie in der NinjaOne-Konsole zu „Administration “ → „Bibliothek “ → „Automatisierung“.
Klicken Sie auf „Hinzufügen“ und wählen Sie „Installation“ aus.

automation library_add installation.png — **Abbildung 1**: NinjaOne-Automatisierungsbibliothek → Installationsautomatisierung hinzufügen

Konfigurieren Sie im Modalfenster „Anwendung installieren“ die folgenden Einstellungen und wählen Sie anschließend „Übermitteln“.
- Name: Geben Sie einen Namen ein, z. B. „Intune Company Portal“.
- Betriebssystem: „Mac“.
- Installationsprogramm: Belassen Sie die Dropdown-Liste auf der Standardoption „Datei hochladen “ und klicken Sie auf „Installationsdatei auswählen“. Laden Sie das PKG- Installationsprogramm für das Unternehmensportal hoch.

automation library_add installation_intune company portal.png — **Abbildung 2**: Beispiel für eine Installationsautomatisierung für das Intune-Unternehmensportal

Stellen Sie sicher, dass die Konfiguration die Überprüfung besteht und in der Automatisierungsbibliothek angezeigt wird. Die Validierung der Installation kann einige Minuten dauern.
Fügen Sie die Automatisierung Ihrer Mac-Richtlinie hinzu. Navigieren Sie zu „Verwaltung“ → „Richtlinien“ → „Agent-Richtlinien“ und erstellen Sie eine neue Richtlinie oder bearbeiten Sie Ihre bestehende Richtlinie. Anleitungen zum Erstellen einer neuen Richtlinie finden Sie unter „NinjaOne-Richtlinien: Eine Richtlinie erstellen und verwalten“.
Wählen Sie die Registerkarte „Geplante Automatisierungen “ aus und klicken Sie auf „Geplante Automatisierung hinzufügen“.

scheduled automation_add.png — **Abbildung 3**: Hinzufügen einer geplanten Automatisierung zu einer NinjaOne-Richtlinie

Geben Sie der geplanten Automatisierung einen Namen und wählen Sie aus, dass die Automatisierung ausgeführt werden soll, die Sie zuvor in Schritt 3 hochgeladen haben. Wählen Sie einen geeigneten Zeitplan aus, z. B. „Einmal sofort ausführen“.

policies_scheduled automation_add_schedule.png — **Abbildung 4**: Hinzufügen einer geplanten Automatisierung zu einer NinjaOne-Richtlinie → Hochladen der Automatisierung und Festlegen eines Zeitplans

Klicken Sie auf „Hinzufügen“. Speichern Sie anschließend die Richtlinie.

Die „Company Portal“-App sollte gemäß Ihrem konfigurierten Zeitplan auf allen verwalteten macOS-Geräten bereitgestellt werden.

2. Richten Sie das MDM-Profil „Platform SSO Extension“ in NinjaOne ein

Sie können die „mobileconfig“-Datei am Ende dieses Abschnitts kopieren und direkt in eine benutzerdefinierte Payload in einer macOS-NinjaOne-Richtlinie einfügen, um Platform SSO mit Entra ID zu konfigurieren.

Beachten Sie die folgenden konfigurierbaren Felder:

AuthenticationMethod: Zeilen 13–14. Legen Sie je nach gewünschter Funktionsweise einen der folgenden Werte fest:
- UserSecureEnclaveKey
- Passwort
- SmartCard
AccountDisplayName: Zeilen 15–16. Dieser Name wird den Endbenutzern während des Plattform-SSO-Registrierungsprozesses angezeigt.
EnableCreateUserAtLogin: Zeilen 19–20. Wenn dieser Wert auf „true“ gesetzt ist, werden nach der Authentifizierung mit Entra ID auf dem lokalen Anmeldebildschirm automatisch neue lokale Benutzerkonten erstellt.
NewUserAuthorizationMode: Zeilen 21–22. Wenn das Anlegen neuer Benutzer zulässig ist, legen Sie diesen Wert auf eine der folgenden Optionen fest, um die Berechtigungsstufe der Benutzerkonten zu bestimmen:
- Standard
- Admin
UserAuthorizationMode: Zeilen 23–24. Hier werden dieselben Werte wie bei „NewUserAuthorizationMode“ unterstützt. Die Berechtigung gilt für ein Konto bei jeder Authentifizierung des Benutzers.
TokenToUserMapping: Zeilen 25–31. Wenn die automatische Erstellung neuer lokaler Benutzer zugelassen ist, definiert dieses Wörterbuch die Werte aus dem IDP, die für den lokalen Kontonamen und den vollständigen Namen verwendet werden.
AccountName: Zeilen 28–29. Der in der Vorlage aufgeführte Zeichenfolgenwert steht für den Vornamen des zugewiesenen Besitzers des Geräts (Beispiel: preferred_username).
FullName: Zeilen 30–31. Die in der Vorlage aufgeführten Zeichenfolgenwerte stehen für den Vornamen und den Nachnamen des zugewiesenen Besitzers des Geräts (Beispiel: name).

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" 
"http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>ScreenLockedBehavior</key>
            <string>DoNotHandle</string>
            <key>RegistrationToken</key>
            <string>${device.id}</string>
            <key>PlatformSSO</key>
            <dict>
                <key>AuthenticationMethod</key>
                <string>UserSecureEnclaveKey</string>
                <key>AccountDisplayName</key>
                <string>Entra-ID</string>
                <key>EnableAuthorization</key>
                <true />
                <key>EnableCreateUserAtLogin</key>
                <false />
                <key>NewUserAuthorizationMode</key>
                <string>Standard</string>
                <key>UserAuthorizationMode</key>
                <string>Standard</string>
                <key>TokenToUserMapping</key>
                <dict>
                    <key>AccountName</key>
                    <string>preferred_username</string>
                    <key>FullName</key>
                    <string>name</string>
                </dict>
                <key>UseSharedDeviceKeys</key>
                <true />
            </dict>
            <key>ExtensionData</key>
            <dict>
                <key>AppPrefixAllowList</key>
                <string>com.microsoft.,com.apple.</string>
                <key>browser_sso_interaction_needed</key>
                <integer>1</integer>
                <key>disable_explicit_app_prompt</key>
                <integer>1</integer>
            </dict>
            <key>TeamIdentifier</key>
            <string>UBF8T346G9</string>
            <key>ExtensionIdentifier</key>
            <string>com.microsoft.CompanyPortalMac.ssoextension</string>
            <key>Type</key>
            <string>Redirect</string>
            <key>URLs</key>
            <array>
                <string>https://login.microsoftonline.com</string>
                <string>https://login.microsoft.com</string>
                <string>https://sts.windows.net</string>
                <string>https://login.partner.microsoftonline.cn</string>
                <string>https://login.chinacloudapi.cn</string>
                <string>https://login.microsoftonline.us</string>
                <string>https://login-us.microsoftonline.com</string>
            </array>
            <key>PayloadIdentifier</key>
            <string>56DD5560-5BFF-41E5-8197-939FB3374BA3</string>
            <key>PayloadType</key>
            <string>com.apple.extensiblesso</string>
            <key>PayloadUUID</key>
            <string>56DD5560-5BFF-41E5-8197-939FB3374BA3</string>
            <key>PayloadVersion</key>
            <integer>1</integer>
        </dict>
    </array>
    <key>PayloadDisplayName</key>
    <string>Microsoft PSSO</string>
    <key>PayloadIdentifier</key>
    <string>Microsoft.PSSO-EAE14F52-5119-4CF3-AACE-EA485054A4FD</string>
    <key>PayloadType</key>
    <string>Konfiguration</string>
    <key>PayloadUUID</key>
    <string>EAE14F52-5119-4CF3-AACE-EA485054A4FD</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
</dict>
</plist>

3. Registrierung bei Platform SSO auf dem Gerät mithilfe eines Secure-Enclave-Schlüssels

Um diesen Schritt des Vorgangs zu beginnen, muss das macOS-Gerät bei NinjaOne MDM registriert sein. Eine Anleitung dazu finden Sie unter „NinjaOne MDM: Registrieren von macOS-Geräten“.

Wenn Sie das macOS-Gerät mithilfe von ADE bei NinjaOne MDM registrieren, müssen Sie ein lokales Benutzerkonto einrichten und sich auf dem Gerät anmelden. Nach der Registrierung wird der NinjaOne RMM-Agent automatisch bereitgestellt, woraufhin die Company Portal-App gemäß Ihrer konfigurierten automatisierten Zeitplanung installiert wird (Schritt 1.6 dieses Artikels). Dies kann einige Minuten dauern.

Sobald die Installation des MDM-Profils und der Company Portal-App abgeschlossen ist, erhält der Benutzer des Geräts eine Benachrichtigung, sich für Platform SSO zu registrieren. Wird diese ignoriert, wird die Benachrichtigung in regelmäßigen Abständen erneut angezeigt.

registration required.png — **Abbildung 5**: Beispiel für eine Registrierungsbenachrichtigung

Die folgenden Schritte beschreiben die Anweisungen, die der Benutzer auf seinem Gerät ausführen muss:

Klicken Sie auf „Registrieren“. Klicken Sie im Dialogfeld auf „Weiter“ und folgen Sie den Anweisungen, um die Anmeldedaten des lokalen Geräteadministrators einzugeben und fortzufahren.
Authentifizieren Sie sich mit den Entra-ID-Anmeldedaten. Gegebenenfalls werden Sie zur Eingabe eines zweiten Authentifizierungsfaktors aufgefordert.
Wenn „Platform SSO“ für die Verwendung eines Secure-Enclave-Schlüssels konfiguriert ist, werden Sie aufgefordert, dem Unternehmensportal die Verwendung eines Passkeys zu gestatten. Klicken Sie auf „Systemeinstellungen öffnen“ und aktivieren Sie anschließend den Passkey wie in der Abbildung gezeigt.

enable entra id passkey.png — **Abbildung 6**: Beispiel für eine Registrierungsbenachrichtigung (zum Vergrößern anklicken)

Damit ist die Registrierung für Platform SSO abgeschlossen. Der Benutzer sollte nun in der Lage sein, sich über SSO automatisch bei jeder Anmeldeaufforderung von Microsoft Entra ID zu authentifizieren. Diese Authentifizierung ist an das lokale Konto auf dem macOS-Gerät gebunden. Wenn sich der Benutzer beim lokalen Konto anmeldet, wird das nachfolgende SSO auf Basis des Secure-Enclave-Schlüssels autorisiert.

Um die Registrierung für „Platform SSO“ zu überprüfen, können Sie das lokale Benutzerkonto unter „Einstellungen“ → „Benutzer & Gruppen“ aufrufen und den Benutzernamen auswählen. Im Abschnitt „Platform SSO“ sehen Sie den Microsoft Entra ID-Benutzer, für den SSO aktiviert ist. Bei Bedarf können Sie die Registrierung reparieren oder sich erneut authentifizieren, um die SSO-Token zu aktualisieren.

microsoft entra_users and groups_enclave key.png — **Abbildung 7**: Registrierungsmethode eines Benutzers in Entra überprüfen (zum Vergrößern anklicken)

4. (Optional) Den erforderlichen Datenschutzhinweis für den Microsoft AutoUpdater überspringen

Normalerweise wird bei der Installation des Unternehmensportals automatisch auch der Microsoft AutoUpdater installiert und ein Datenschutzhinweis angezeigt, den der Benutzer bestätigen muss.

Durch die Bereitstellung der folgenden benutzerdefinierten Payload können Sie die Anzeige dieses Hinweises überspringen. Wenn Sie bereits eine benutzerdefinierte Payload zur Konfiguration von Microsoft AutoUpdate bereitstellen, können Sie einfach den Schlüssel „AcknowledgedDataCollectionPolicy“ einfügen, dessen Wert in Zeile 8–9 auf die Zeichenfolge „RequiredDataOnly“ gesetzt ist:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
    <dict>
		<key>PayloadContent</key>
        <array>
            <dict>
                <key>AcknowledgedDataCollectionPolicy</key>
                <string>RequiredDataOnly</string>
                <key>PayloadType</key>
                <string>com.microsoft.autoupdate2</string>
				<key>PayloadDisplayName</key>
                <string>Microsoft AutoUpdate-Einstellungen</string>
                <key>PayloadIdentifier</key>
                <string>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</string>
				<key>PayloadUUID</key>
                <string>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</string>
                <key>PayloadVersion</key>
                <integer>1</integer>
            </dict>
		</array>
        <key>PayloadDisplayName</key>
        <string>Microsoft AutoUpdate-Einstellungen</string>
        <key>PayloadIdentifier</key>
        <string>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</string>
        <key>PayloadUUID</key>
		<string>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</string>
        <key>PayloadType</key>
        <string>Konfiguration</string>
        <key>PayloadVersion</key>
        <integer>1</integer>    
    </dict>
</plist>

5. (Optional) Anderen Benutzern die Anmeldung mit ihren Entra-ID-Anmeldedaten ermöglichen

Wenn im SSO-MDM-Profil der Plattform „EnableCreateUserAtLogin“ auf „true“ gesetzt ist, können sich andere Benutzer mit ihren Entra-ID-Anmeldedaten auf dem Gerät anmelden.

Wählen Sie auf der Anmeldeseite die Option „Anderer…“ aus und geben Sie dann den Entra-ID-Benutzernamen und das Passwort direkt in die entsprechenden Felder ein. Das lokale Benutzerkonto wird automatisch erstellt, wobei der Kontoname und der Anzeigename aus den Nachschlagewerten im „TokenToUserMapping“-Wörterbuch des MDM-Profils übernommen werden.

Der Benutzer kann sofort SSO für Entra-ID-Authentifizierungsaufforderungen nutzen, wird jedoch weiterhin aufgefordert, den SSO-Registrierungsprozess der Plattform abzuschließen. Dies sollte einmalig durchgeführt werden, um die Benachrichtigungen zu entfernen. Je nach Wert von „NewUserAuthorizationMode“ wird das Konto als Standardkonto oder als Administratorkonto angelegt.

Weitere Ressourcen

Weitere Informationen zu SSO und anderen Identitätsmanagement-Diensten in NinjaOne finden Sie in den folgenden Ressourcen: Identitätsauthentifizierung und -verwaltung: Ressourcenkatalog.