Utilisation de NinjaOne pour configurer l'authentification unique (SSO) de la plate-forme sur macOS

Sujet

Cet article explique comment configurer l’authentification unique (SSO) de la plateforme pour vos appareils Apple macOS avec Microsoft Entra ID à l’aide de NinjaOne. Il décrit également la procédure d’enregistrement afin que l’utilisateur final puisse voir quand son appareil est inscrit dans NinjaOne Mobile Device Management (MDM).

Environnement

NinjaOne MDM
Apple macOS
Microsoft Entra

Description

Platform SSO est une technologie développée par Apple pour macOS qui permet aux fournisseurs d’identité (IdP) de gérer l’authentification unique (SSO) vers leurs applications d’entreprise en s’appuyant sur la connexion locale de l’utilisateur à l’appareil lui-même. Pour plus d’informations sur ce produit, consultez le site des développeurs : Platform Single Sign-on pour macOS - Support Apple (lien externe).

Selon la mise en œuvre spécifique, Platform SSO peut offrir différents types de fonctionnalités. Actuellement, les comptes utilisateurs locaux existants sur un appareil macOS recevront une notification les invitant à s’authentifier et à s’enregistrer auprès de Platform SSO pour leur compte. Les techniciens peuvent, s’ils le souhaitent, définir une politique permettant la création ultérieure de comptes utilisateurs locaux via l’authentification auprès de l’IdP dans la fenêtre de connexion locale de l’appareil.

Cet article présente un exemple de processus de déploiement. Vous pouvez utiliser d’autres méthodes de déploiement compatibles pour installer le logiciel.

Prérequis

Pour configurer Platform SSO, vous devez respecter certaines exigences, quels que soient l’IdP et le MDM utilisés, bien que les étapes exactes puissent varier en fonction de la mise en œuvre.

L’IdP (tel que Microsoft ou Okta) doit prendre en charge le protocole SSO de la plateforme.
L'appareil macOS doit être inscrit dans le MDM.
L'extension Platform SSO correspondante (une application native macOS) doit être déployée sur l'appareil.
Le profil MDM de l’extension Platform SSO doit être déployé sur l’appareil.

Le SSO de la plateforme prend en charge trois méthodes d’authentification des utilisateurs en tant que protocole. L’IdP utilisé pour l’authentification doit également prendre en charge ces mêmes méthodes ; sinon, seul un sous-ensemble de ces méthodes peut être disponible pour un IdP particulier.

Clé adossée à Secure Enclave: dans la plupart des cas, il s’agit de la méthode d’authentification privilégiée et la plus sécurisée lorsque Platform SSO est utilisé avec un IdP qui la prend en charge. Avec cette méthode d’authentification, l’utilisateur crée un mot de passe local pour l’appareil. Une fois Platform SSO enregistré, l’appareil génère une clé cryptographique liée au matériel qui est utilisée pour l’authentification unique (SSO) avec tous les sites web et applications fédérés avec l’IdP à des fins d’authentification.
- La clé d’authentification étant liée à l’appareil physique et n’étant jamais connue de l’utilisateur final, cela permet une méthode d’authentification sans mot de passe et résistante au phishing pour les applications d’entreprise. Avec cette approche, le mot de passe local de l’appareil fait office de numéro d’identification personnel (PIN) utilisé uniquement pour accéder à l’appareil physique.
Carte à puce: une carte à puce ou un jeton matériel est utilisé pour se connecter localement à macOS. Une fois connecté, cette même carte à puce est utilisée pour l’authentification unique (SSO) vers toutes les applications fédérées avec l’IdP à des fins d’authentification.
Code d’accès: le mot de passe de l’utilisateur auprès de l’IdP est synchronisé avec le mot de passe local de l’appareil. Ce mot de passe est utilisé pour l’authentification unique (SSO) dans toutes les applications fédérées avec l’IdP à des fins d’authentification.
- Bien que cela offre un confort supplémentaire à l’utilisateur final, puisque le mot de passe de l’appareil local devient identique à son mot de passe IdP, cela crée un risque accru d’hameçonnage. Si un tiers malveillant venait à découvrir le code d’accès IdP, il pourrait potentiellement accéder à la fois à l’appareil physique et à toutes les applications d’entreprise fédérées avec l’IdP. C’est pourquoi nous recommandons d’utiliser une clé protégée par Secure Enclave lorsque les appareils sont principalement utilisés par un seul utilisateur.

Authentification unique (SSO) de la plateforme avec Microsoft Entra ID

Microsoft Entra ID prend en charge l’authentification unique (SSO) de la plateforme ainsi que les trois options d’authentification des utilisateurs finaux.

Les utilisateurs verront généralement la notification système initiale une fois que les applications NinjaOne Agent et Microsoft Company Portal auront été installées sur l’appareil, ce qui peut prendre plusieurs minutes après l’inscription MDM initiale. Si la notification d’enregistrement n’apparaît pas, déconnectez-vous localement de l’appareil, puis reconnectez-vous pour la déclencher.

1. Déployez l’application Intune Company Portal sur les appareils NinjaOne

Pour l’authentification unique (SSO) de la plateforme avec Microsoft Entra ID, Microsoft utilise l’application Company Portal pour gérer la fonctionnalité SSO. L’application Company Portal peut être téléchargée depuis le site de Microsoft ici (fichier de package téléchargeable).

Une fois le téléchargement terminé, vous pouvez suivre les étapes suivantes pour la déployer sur vos appareils macOS inscrits à NinjaOne MDM :

Dans la console NinjaOne, accédez à Administration → Bibliothèque → Automatisation.
Cliquez sur « Ajouter » et sélectionnez « Installation ».

automation library_add installation.png — **Figure 1**: Bibliothèque d’automatisation NinjaOne → Ajouter une automatisation d’installation

Dans la fenêtre modale « Installer l'application », configurez les paramètres suivants, puis sélectionnez « Soumettre ».
- Nom: saisissez un nom tel que « Portail d'entreprise Intune ».
- Système d’exploitation: « Mac ».
- Programme d'installation: laissez le menu déroulant sur l'option par défaut « Télécharger un fichier », puis cliquez sur « Choisir le fichier d'installation ». Téléchargez le programme d'installation PKG du portail d'entreprise.

automation library_add installation_intune company portal.png — **Figure 2**: Exemple d’automatisation d’installation pour le portail d’entreprise Intune

Vérifiez que la configuration est validée et apparaît dans la bibliothèque d’automatisation. La validation de l’installation peut prendre quelques minutes.
Ajoutez l’automatisation à votre stratégie Mac. Accédez à Administration → Stratégies → Stratégies d’agent, puis créez une nouvelle stratégie ou modifiez votre stratégie existante. Si vous avez besoin d’instructions pour créer une nouvelle stratégie, consultez la section Stratégies NinjaOne : Créer et gérer une stratégie.
Sélectionnez l’onglet « Automatisations planifiées » et cliquez sur « Ajouter une automatisation planifiée ».

scheduled automation_add.png — **Figure 3**: Ajouter une automatisation planifiée à une stratégie NinjaOne

Donnez un nom à l’automatisation planifiée, puis choisissez d’exécuter l’automatisation que vous avez téléchargée précédemment à l’étape 3. Choisissez une planification appropriée, telle que « Exécuter une fois immédiatement ».

policies_scheduled automation_add_schedule.png — **Figure 4**: Ajouter une automatisation planifiée à une politique NinjaOne → Importer l’automatisation et définir un calendrier

Cliquez sur « Ajouter ». Ensuite, enregistrez la politique.

L’application Company Portal devrait se déployer sur tous les appareils macOS gérés, conformément à la planification que vous avez configurée.

2. Configurer le profil MDM de l’extension SSO de la plateforme dans NinjaOne

Vous pouvez copier le fichier mobileconfig situé à la fin de cette section et le coller directement dans une charge utile personnalisée (Custom Payload) d’une politique NinjaOne pour macOS afin de configurer l’authentification unique (SSO) de la plateforme avec Entra ID.

Tenez compte des champs configurables suivants :

AuthenticationMethod: lignes 13 à 14. Définissez l’une des valeurs suivantes en fonction de l’expérience souhaitée :
- UserSecureEnclaveKey
- Mot de passe
- SmartCard
AccountDisplayName: lignes 15 à 16. Ce nom s'affiche pour les utilisateurs finaux lors du processus d'enregistrement SSO de la plateforme.
EnableCreateUserAtLogin: lignes 19 à 20. Si cette option est définie sur « true », de nouveaux comptes d’utilisateurs locaux seront créés automatiquement après l’authentification avec Entra ID sur l’écran de connexion local.
NewUserAuthorizationMode: lignes 21 à 22. Si la création de nouveaux utilisateurs est autorisée, définissez cette option sur l’une des valeurs suivantes pour déterminer le niveau d’autorisation des comptes utilisateurs :
- Standard
- Admin
UserAuthorizationMode: lignes 23 à 24. Cette option prend en charge les mêmes valeurs que NewUserAuthorizationMode. L’autorisation s’applique à un compte à chaque fois que l’utilisateur s’authentifie.
TokenToUserMapping: lignes 25 à 31. Si la création automatique de nouveaux utilisateurs locaux est autorisée, ce dictionnaire définit les valeurs provenant du fournisseur d’identité (IDP) utilisées pour le nom de compte local et le nom complet.
AccountName: lignes 28 à 29. La valeur de chaîne indiquée dans le modèle correspond au prénom du propriétaire attribué à l’appareil (exemple : preferred_username).
FullName: lignes 30 à 31. Les valeurs de chaîne répertoriées dans le modèle représentent le prénom et le nom du propriétaire attribué à l’appareil (exemple : name).

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" 
"http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>ScreenLockedBehavior</key>
            <string>DoNotHandle</string>
            <key>RegistrationToken</key>
            <string>${device.id}</string>
            <key>PlatformSSO</key>
            <dict>
                <key>AuthenticationMethod</key>
                <string>UserSecureEnclaveKey</string>
                <key>AccountDisplayName</key>
                <string>Entra ID</string>
                <key>EnableAuthorization</key>
                <true />
                <key>EnableCreateUserAtLogin</key>
                <false />
                <key>NewUserAuthorizationMode</key>
                <string>Standard</string>
                <key>UserAuthorizationMode</key>
                <string>Standard</string>
                <key>TokenToUserMapping</key>
                <dict>
                    <key>AccountName</key>
                    <string>preferred_username</string>
                    <key>FullName</key>
                    <string>nom</string>
                </dict>
                <key>UseSharedDeviceKeys</key>
                <true />
            </dict>
            <key>ExtensionData</key>
            <dict>
                <key>AppPrefixAllowList</key>
                <string>com.microsoft.,com.apple.</string>
                <key>browser_sso_interaction_needed</key>
                <integer>1</integer>
                <key>disable_explicit_app_prompt</key>
                <integer>1</integer>
            </dict>
            <key>TeamIdentifier</key>
            <string>UBF8T346G9</string>
            <key>ExtensionIdentifier</key>
            <string>com.microsoft.CompanyPortalMac.ssoextension</string>
            <key>Type</key>
            <string>Redirect</string>
            <key>URLs</key>
            <array>
                <string>https://login.microsoftonline.com</string>
                <string>https://login.microsoft.com</string>
                <string>https://sts.windows.net</string>
                <string>https://login.partner.microsoftonline.cn</string>
                <string>https://login.chinacloudapi.cn</string>
                <string>https://login.microsoftonline.us</string>
                <string>https://login-us.microsoftonline.com</string>
            </array>
            <key>PayloadIdentifier</key>
            <string>56DD5560-5BFF-41E5-8197-939FB3374BA3</string>
            <key>PayloadType</key>
            <string>com.apple.extensiblesso</string>
            <key>PayloadUUID</key>
            <string>56DD5560-5BFF-41E5-8197-939FB3374BA3</string>
            <key>PayloadVersion</key>
            <integer>1</integer>
        </dict>
    </array>
    <key>PayloadDisplayName</key>
    <string>Microsoft PSSO</string>
    <key>PayloadIdentifier</key>
    <string>Microsoft.PSSO-EAE14F52-5119-4CF3-AACE-EA485054A4FD</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadUUID</key>
    <string>EAE14F52-5119-4CF3-AACE-EA485054A4FD</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
</dict>
</plist>

3. Enregistrement auprès de Platform SSO sur l’appareil à l’aide d’une clé Secure Enclave

Pour commencer cette étape du processus, l’appareil macOS doit être inscrit dans NinjaOne MDM. Pour savoir comment procéder, consultez la section NinjaOne MDM : Inscription d’appareils macOS.

Si vous utilisez ADE pour inscrire l’appareil macOS dans NinjaOne MDM, vous devez créer un compte utilisateur local et vous connecter à l’appareil. Une fois l’inscription terminée, l’agent RMM NinjaOne sera automatiquement déployé, puis l’application Company Portal s’installera conformément à l’automatisation planifiée que vous avez configurée (étape 1.6 de cet article). Cette opération peut prendre quelques minutes.

Une fois que le profil MDM et l’application Company Portal ont tous deux terminé leur installation, l’utilisateur de l’appareil recevra une notification l’invitant à s’enregistrer pour l’authentification unique (SSO) de la plateforme. S’il ignore cette notification, celle-ci s’affichera régulièrement.

registration required.png — **Figure 5**: Exemple de notification d’inscription

Les étapes suivantes décrivent les instructions que l’utilisateur doit suivre sur son appareil :

Cliquez sur « S’inscrire ». Dans la boîte de dialogue, cliquez sur « Continuer » et suivez les instructions pour saisir les identifiants de l’administrateur local de l’appareil afin de poursuivre.
Authentifiez-vous à l’aide de vos identifiants Entra ID. Si nécessaire, un deuxième facteur d’authentification pourra vous être demandé.
Si l’authentification unique (SSO) de la plateforme est configurée pour utiliser une clé Secure Enclave, il vous sera demandé d’autoriser le Portail d’entreprise à utiliser une clé d’accès. Cliquez sur « Ouvrir les paramètres système », puis activez la clé d’accès comme indiqué sur l’image.

enable entra id passkey.png — **Figure 6**: Exemple de notification d’enregistrement (cliquez pour agrandir)

L’enregistrement de l’authentification unique (SSO) de la plateforme est ainsi terminé. L’utilisateur devrait désormais pouvoir utiliser l’authentification unique (SSO) pour s’authentifier automatiquement à chaque invite de connexion Microsoft Entra ID. Cette authentification sera liée au compte local sur l’appareil macOS. Lorsqu’il se connectera à son compte local, cela autorisera les authentifications SSO suivantes en fonction de la clé Secure Enclave.

Pour valider l’enregistrement du SSO de la plateforme, vous pouvez consulter le compte utilisateur local sous « Paramètres » → « Utilisateurs et groupes » et sélectionner le nom d’utilisateur. Dans la section « SSO de la plateforme », vous pouvez voir l’utilisateur Microsoft Entra ID pour lequel le SSO est actif. Si nécessaire, vous pouvez réparer l’enregistrement ou vous authentifier à nouveau pour actualiser les jetons SSO.

microsoft entra_users and groups_enclave key.png — **Figure 7**: Valider la méthode d’enregistrement d’un utilisateur dans Entra (cliquez pour agrandir)

4. (Facultatif) Ignorer la notification de confidentialité obligatoire pour Microsoft AutoUpdater

Normalement, lors de l’installation du Portail d’entreprise, Microsoft AutoUpdater est également installé automatiquement et une notification de confidentialité obligatoire s’affiche, que l’utilisateur doit accepter.

En déployant la charge utile personnalisée suivante, vous pouvez ignorer l’affichage de cette notification. Si vous déployez déjà une charge utile personnalisée pour configurer Microsoft AutoUpdate, il vous suffit d’inclure la clé `AcknowledgedDataCollectionPolicy`, dont la valeur doit être définie sur la chaîne `RequiredDataOnly` aux lignes 8 et 9 :

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
    <dict>
		<key>PayloadContent</key>
        <array>
            <dict>
                <key>AcknowledgedDataCollectionPolicy</key>
                <string>RequiredDataOnly</string>
                <key>PayloadType</key>
                <string>com.microsoft.autoupdate2</string>
				<key>PayloadDisplayName</key>
                <string>Paramètres de Microsoft AutoUpdate</string>
                <key>PayloadIdentifier</key>
                <string>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</string>
				<key>PayloadUUID</key>
                <string>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</string>
                <key>PayloadVersion</key>
                <integer>1</integer>
            </dict>
		</array>
        <key>PayloadDisplayName</key>
        <string>Paramètres de mise à jour automatique Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</string>
        <key>PayloadUUID</key>
		<string>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadVersion</key>
        <integer>1</integer>    
    </dict>
</plist>

5. (Facultatif) Autoriser d’autres utilisateurs à se connecter avec leurs identifiants Entra ID

Si le profil MDM SSO de la plateforme est configuré avec la valeur « true » pour EnableCreateUserAtLogin, les autres utilisateurs pourront alors se connecter à l’appareil à l’aide de leurs identifiants Entra ID.

Sur la page de connexion, choisissez de vous connecter en tant qu’utilisateur « Autre… », puis saisissez directement le nom d’utilisateur et le mot de passe Entra ID dans les champs prévus à cet effet. Le compte utilisateur local sera automatiquement créé ; le nom du compte et le nom d’affichage seront renseignés à partir des valeurs de correspondance du dictionnaire « TokenToUserMapping » du profil MDM.

L’utilisateur pourra immédiatement utiliser l’authentification unique (SSO) pour les invites d’authentification Entra ID, mais il sera tout de même invité à terminer le processus d’enregistrement SSO de la plateforme. Il devra effectuer cette opération une seule fois pour supprimer les notifications. En fonction de la valeur de NewUserAuthorizationMode, le compte sera créé en tant que compte standard ou en tant qu’administrateur.

Ressources supplémentaires

Consultez les ressources suivantes pour en savoir plus sur l’authentification unique (SSO) et les autres services de gestion des identités dans NinjaOne : Authentification et gestion des identités : catalogue de ressources.

Utilisation de NinjaOne pour configurer l’authentification unique (SSO) de la plate-forme sur macOS