Utilisation de NinjaOne pour configurer l'authentification unique (SSO) de la plate-forme sur macOS

Rubrique

Cet article explique comment configurer l’authentification unique (SSO) de la plateforme pour vos appareils Apple macOS avec Microsoft Entra ID à l’aide de NinjaOne. Il décrit également le processus d’enregistrement afin que l’utilisateur final puisse voir quand son appareil est inscrit dans NinjaOne Mobile Device Management (MDM).

Environnement

NinjaOne MDM
Apple macOS
Microsoft Entra

Description

Platform SSO est une technologie développée par Apple pour macOS qui permet aux fournisseurs d’identité (IdP) de gérer l’authentification unique (SSO) vers leurs applications d’entreprise en s’appuyant sur la connexion locale de l’utilisateur à l’appareil lui-même. Pour plus d’informations sur ce produit, consultez le site des développeurs : Platform Single Sign-on pour macOS - Assistance Apple (lien externe).

Selon la mise en œuvre spécifique, Platform SSO peut offrir différents types de fonctionnalités. Actuellement, les comptes utilisateurs locaux sur un appareil macOS reçoivent une notification les invitant à s’authentifier et à s’enregistrer auprès de Platform SSO. Les techniciens peuvent, s’ils le souhaitent, configurer la politique de manière à autoriser la création de comptes utilisateurs locaux ultérieurs par authentification auprès de l’IdP dans la fenêtre de connexion locale de l’appareil.

Cet article présente un exemple de processus de déploiement. Vous pouvez utiliser d’autres méthodes de déploiement compatibles pour installer le logiciel.

Prérequis

Pour configurer Platform SSO, vous devez remplir certaines conditions, quels que soient l’IdP et le MDM utilisés, bien que les étapes exactes puissent varier selon la mise en œuvre.

L’IdP (tel que Microsoft ou Okta) doit prendre en charge le protocole SSO de la plate-forme.
L'appareil macOS doit être inscrit dans le MDM.
L'extension Platform SSO correspondante (une application native macOS) doit être déployée sur l'appareil.
Le profil MDM de l’extension Platform SSO doit être déployé sur l’appareil.

Plate-forme SSO prend en charge trois méthodes d’authentification pour les utilisateurs. L’IdP utilisé pour l’authentification doit également prendre en charge ces mêmes méthodes ; sinon, seul un sous-ensemble de ces méthodes peut être disponible pour un IdP donné.

Clé sécurisée par Secure Enclave: dans la plupart des cas, il s’agit de la méthode d’authentification privilégiée et la plus sécurisée lorsque Platform SSO est utilisé avec un IdP qui la prend en charge. Avec cette méthode d’authentification, l’utilisateur crée un mot de passe local pour l’appareil. Une fois Platform SSO enregistré, l’appareil génère une clé cryptographique liée au matériel qui est utilisée pour l’authentification unique (SSO) avec n’importe quels sites web et applications fédérés avec l’IdP à des fins d’authentification.
- La clé d’authentification étant liée à l’appareil physique et n’étant jamais connue de l’utilisateur final, cela permet une méthode d’authentification sans mot de passe et résistante au phishing pour les applications d’entreprise. Avec cette approche, le mot de passe local de l’appareil fait office de numéro d’identification personnel (PIN) permettant d’accéder uniquement à l’appareil physique.
Carte à puce: une carte à puce ou un jeton matériel est utilisé pour se connecter localement à macOS. Une fois connecté, cette même carte à puce est utilisée pour l’authentification unique (SSO) vers toutes les applications fédérées avec l’IdP.
Code d’accès: le mot de passe de l’utilisateur auprès de l’IdP est synchronisé avec le mot de passe de l’appareil local. Ce mot de passe est utilisé pour l’authentification unique (SSO) vers toutes les applications fédérées avec l’IdP à des fins d’authentification.
- Si cela offre un gain de confort pour l’utilisateur final, le mot de passe de l’appareil local devenant identique à son mot de passe IdP, cela crée également un risque accru d’hameçonnage. Si un tiers malveillant venait à découvrir le mot de passe IdP, il pourrait potentiellement accéder à la fois à l’appareil physique et à toutes les applications d’entreprise fédérées avec l’IdP. C’est pourquoi nous recommandons d’utiliser une clé protégée par Secure Enclave lorsqu’un utilisateur unique utilise principalement ses appareils.

Authentification unique (SSO) de la plate-forme avec Microsoft Entra ID

Microsoft Entra ID prend en charge l’authentification unique (SSO) de la plate-forme ainsi que les trois options d’authentification des utilisateurs finaux.

Les utilisateurs verront généralement la notification système initiale une fois que l’agent NinjaOne et les applications du portail d’entreprise Microsoft auront été installés sur l’appareil, ce qui peut prendre plusieurs minutes après l’inscription initiale au MDM. Si la notification d’enregistrement n’apparaît pas, déconnectez-vous localement de l’appareil, puis reconnectez-vous pour la déclencher.

1. Déployez l’application « Company Portal » d’Intune sur les appareils NinjaOne

Pour l’authentification unique (SSO) de la plateforme avec Microsoft Entra ID, Microsoft utilise l’application « Company Portal » pour gérer la fonctionnalité SSO. L’application « Company Portal » peut être téléchargée depuis le site de Microsoft ici (fichier de package téléchargeable).

Une fois le téléchargement terminé, vous pouvez suivre les étapes suivantes pour la déployer sur vos appareils macOS inscrits à NinjaOne MDM :

Dans NinjaOne, accédez à Administration → Bibliothèque → Automatisation.
Cliquez sur « Ajouter » et sélectionnez « Installation ».

automation library_add installation.png — **Figure 1**: Bibliothèque d’automatisation NinjaOne → Ajouter une automatisation d’installation (cliquez pour agrandir)

Dans la boîte de dialogue Installer l’application, configurez les paramètres suivants, puis sélectionnez Soumettre.
- Nom: saisissez un nom tel que « Portail d'entreprise Intune ».
- Système d’exploitation: « Mac ».
- Programme d'installation: laissez le menu déroulant sur l'option par défaut « Télécharger un fichier », puis cliquez sur « Choisir un fichier d'installation ». Téléchargez le fichier d'installation PKG du Portail d'entreprise.

automation library_add installation_intune company portal.png — **Figure 2**: Exemple d’automatisation d’installation pour le portail d’entreprise Intune (cliquez pour agrandir)

Vérifiez que la configuration est validée et apparaît dans la Bibliothèque d’automatisation. La validation de l’installation peut prendre quelques minutes.
Ajoutez l’automatisation à votre stratégie macOS. Accédez à Administration → Stratégies → Stratégies d’agent, puis créez une nouvelle stratégie ou modifiez votre stratégie existante. Si vous avez besoin d’instructions pour créer une nouvelle stratégie, consultez la section Stratégies NinjaOne : Créer et gérer une stratégie.
Sélectionnez l’onglet « Automatisations programmées » et cliquez sur « Ajouter une automatisation programmée ».

scheduled automation_add.png — **Figure 3**: Ajouter une automatisation programmée à une politique NinjaOne (cliquez pour agrandir)

Donnez un nom à l’automatisation planifiée, puis choisissez d’exécuter l’automatisation que vous avez téléchargée précédemment à l’étape 3. Choisissez une planification appropriée, telle que « Exécuter une fois dès que possible ».

policies_scheduled automation_add_schedule.png — **Figure 4**: Ajouter une automatisation programmée à une politique NinjaOne → Importer l’automatisation et définir un calendrier (cliquez pour agrandir)

Cliquez sur « Ajouter ». Ensuite, enregistrez la stratégie.

L’application « Company Portal » devrait se déployer sur tous les appareils macOS gérés, conformément au calendrier que vous avez configuré.

2. Définir le profil MDM de l’extension SSO de la plate-forme dans NinjaOne

Vous pouvez copier le fichier mobileconfig situé à la fin de cette section et le coller directement dans une charge utile personnalisée (Custom Payload) d’une politique NinjaOne pour macOS afin de configurer le SSO de la plateforme avec Entra ID.

Tenez compte des champs configurables suivants :

AuthenticationMethod: lignes 13 à 14. Définissez l’une des valeurs suivantes en fonction de l’expérience souhaitée :
- UserSecureEnclaveKey
- Mot de passe
- SmartCard
AccountDisplayName: lignes 15 à 16. Ce nom s'affiche pour les utilisateurs finaux lors du processus d'enregistrement SSO de la plateforme.
EnableCreateUserAtLogin: lignes 19 à 20. Si cette option est définie sur « true », de nouveaux comptes d’utilisateurs locaux seront créés automatiquement après l’authentification avec Entra ID sur l’écran de connexion local.
NewUserAuthorizationMode: lignes 21 à 22. Si la création de nouveaux utilisateurs est autorisée, définissez cette option sur l’une des valeurs suivantes pour déterminer le niveau d’autorisation des comptes utilisateurs :
- Standard
- Admin
UserAuthorizationMode: lignes 23 à 24. Ce paramètre prend en charge les mêmes valeurs que NewUserAuthorizationMode. L’autorisation s’applique à un compte à chaque fois que l’utilisateur effectue l’authentification.
TokenToUserMapping: lignes 25 à 31. Si de nouveaux utilisateurs locaux doivent être créés automatiquement, ce dictionnaire définit les valeurs provenant de l’IdP pour le nom du compte local et le nom complet.
AccountName: lignes 28 à 29. La valeur de chaîne indiquée dans le modèle représente le prénom du propriétaire attribué à l’appareil (exemple : preferred_username).
FullName: lignes 30 à 31. Les chaînes de caractères indiquées dans le modèle représentent le prénom et le nom du propriétaire attribué à l’appareil (exemple : name).

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" 
"http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<PLIST version="1.0">
<DICT>
    <KEY>PayloadContent</KEY>
    <ARRAY>
        <DICT>
            <KEY>ScreenLockedBehavior</KEY>
            <STRING>DoNotHandle</STRING>
            <KEY>RegistrationToken</KEY>
            <STRING>${device.id}</STRING>
            <KEY>PlatformSSO</KEY>
            <DICT>
                <KEY>AuthenticationMethod</KEY>
                <STRING>UserSecureEnclaveKey</STRING>
                <KEY>AccountDisplayName</KEY>
                <STRING>Entra ID</STRING>
                <KEY>EnableAuthorization</KEY>
                <VRAI />
                <KEY>EnableCreateUserAtLogin</KEY>
                <FAUX />
                <CLÉ>Mode d’autorisation des nouveaux utilisateurs</CLÉ>
                <STRING>Standard</STRING>
                <CLÉ>Mode d’autorisation des utilisateurs</CLÉ>
                <STRING>Standard</STRING>
                <CLÉ>Mappage jeton-utilisateur</CLÉ>
                <DICT>
                    <CLÉ>Nom du compte</CLÉ>
                    <STRING>preferred_username</STRING>
                    <CLÉ>Nom complet</CLÉ>
                    <STRING>nom</STRING>
                </DICT>
                <KEY>UseSharedDeviceKeys</KEY>
                <TRUE />
            </DICT>
            <KEY>ExtensionData</KEY>
            <DICT>
                <KEY>AppPrefixAllowList</KEY>
                <STRING>com.microsoft.,com.apple.</STRING>
                <KEY>browser_sso_interaction_needed</KEY>
                <ENTIER>1</ENTIER>
                <KEY>disable_explicit_app_prompt</KEY>
                <ENTIER>1</ENTIER>
            </DICT>
            <KEY>TeamIdentifier</KEY>
            <STRING>UBF8T346G9</STRING>
            <KEY>ExtensionIdentifier</KEY>
            <STRING>com.microsoft.CompanyPortalMac.ssoextension</STRING>
            <KEY>Type</KEY>
            <STRING>Redirect</STRING>
            <KEY>URLs</KEY>
            <ARRAY>
                <STRING>https://login.microsoftonline.com</STRING>
                <STRING>https://login.microsoft.com</STRING>
                <STRING>https://sts.windows.net</STRING>
                <STRING>https://login.partner.microsoftonline.cn</STRING>
                <STRING>https://login.chinacloudapi.cn</STRING>
                <STRING>https://login.microsoftonline.us</STRING>
                <STRING>https://login-us.microsoftonline.com</STRING>
            </ARRAY>
            <KEY>PayloadIdentifier</KEY>
            <STRING>56DD5560-5BFF-41E5-8197-939FB3374BA3</STRING>
            <KEY>PayloadType</KEY>
            <STRING>com.apple.extensiblesso</STRING>
            <KEY>PayloadUUID</KEY>
            <STRING>56DD5560-5BFF-41E5-8197-939FB3374BA3</STRING>
            <KEY>PayloadVersion</KEY>
            <NOMBRE entier>1</NOMBRE entier>
        </DICT>
    </ARRAY>
    <KEY>PayloadDisplayName</KEY>
    <STRING>Microsoft PSSO</STRING>
    <KEY>PayloadIdentifier</KEY>
    <STRING>Microsoft.PSSO-EAE14F52-5119-4CF3-AACE-EA485054A4FD</STRING>
    <KEY>PayloadType</KEY>
    <STRING>Configuration</STRING>
    <KEY>PayloadUUID</KEY>
    <STRING>EAE14F52-5119-4CF3-AACE-EA485054A4FD</STRING>
    <KEY>PayloadVersion</KEY>
    <INTEGER>1</INTEGER>
</DICT>
</PLIST>

3. Inscription à Platform SSO sur l’appareil à l’aide d’une clé Secure Enclave

Pour commencer cette étape du processus, l’appareil macOS doit être inscrit dans NinjaOne MDM. Pour savoir comment procéder, consultez la section NinjaOne MDM : Inscription d’appareils macOS.

Si vous utilisez l’inscription automatisée des appareils (ADE) pour inscrire l’appareil macOS dans NinjaOne MDM, vous devez créer un compte utilisateur local et vous connecter à l’appareil. Après l’inscription, l’agent NinjaOne se déploiera automatiquement et l’application Company Portal sera installée selon le calendrier d’automatisation que vous avez configuré (étape 1.6 de cet article). Cette opération peut prendre quelques minutes.

Une fois que le profil MDM et l’application Company Portal auront tous deux été installés, l’utilisateur de l’appareil recevra une notification l’invitant à s’enregistrer pour l’authentification unique (SSO) de la plateforme. S’il ignore cette notification, celle-ci s’affichera régulièrement.

registration required.png — **Figure 5**: Exemple de notification d’inscription (cliquez pour agrandir)

Les étapes suivantes décrivent les instructions que l’utilisateur doit suivre sur son appareil :

Cliquez sur « S’inscrire ». Dans la boîte de dialogue, cliquez sur « Continuer » et suivez les invites pour saisir les identifiants de l’administrateur local de l’appareil.
Authentifiez-vous avec vos identifiants Entra ID. Si nécessaire, un deuxième facteur d’authentification pourra vous être demandé.
Si le SSO de la plateforme est configuré pour utiliser une clé Secure Enclave, il vous sera demandé d’autoriser le Portail d’entreprise à utiliser une clé d’accès. Cliquez sur « Ouvrir les paramètres système », puis activez la clé d’accès comme indiqué sur l’image.

enable entra id passkey.png — **Figure 6**: Exemple de notification d’inscription (cliquez pour agrandir)

L’enregistrement de l’authentification unique (SSO) de la plateforme est ainsi terminé. L’utilisateur devrait désormais pouvoir utiliser l’authentification unique (SSO) pour s’authentifier automatiquement à chaque invite de connexion Microsoft Entra ID. Cette authentification sera liée au compte local sur l’appareil macOS. Lorsqu’il se connectera à son compte local, cela autorisera les authentifications SSO suivantes en fonction de la clé Secure Enclave.

Pour valider l’enregistrement du SSO de la plateforme, vous pouvez consulter le compte utilisateur local dans Paramètres → Utilisateurs et groupes, puis sélectionner le nom d’utilisateur. Dans la section SSO de la plateforme, vous pouvez voir l’utilisateur Microsoft Entra ID pour lequel le SSO est actif. Si nécessaire, vous pouvez réparer l’enregistrement ou vous authentifier à nouveau pour actualiser les jetons SSO.

microsoft entra_users and groups_enclave key.png — **Figure 7**: Valider la méthode d’inscription d’un utilisateur dans Entra (cliquez pour agrandir)

4. (Facultatif) Ignorer la notification de confidentialité obligatoire pour Microsoft AutoUpdater

Normalement, lors de l’installation du Portail d’entreprise, Microsoft AutoUpdater est également installé et une notification de confidentialité obligatoire s’affiche, que l’utilisateur doit accepter.

En déployant la charge utile personnalisée suivante, vous pouvez ignorer l’affichage de cette notification. Si vous déployez déjà une charge utile personnalisée pour configurer Microsoft AutoUpdate, vous pouvez inclure la clé `AcknowledgedDataCollectionPolicy`, dont la valeur doit être définie sur la chaîne `RequiredDataOnly` aux lignes 8 à 9 :

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<PLIST version="1.0">
    <DICT>
		<KEY>PayloadContent</KEY>
        <ARRAY>
            <DICT>
                <KEY>AcknowledgedDataCollectionPolicy</KEY>
                <STRING>RequiredDataOnly</STRING>
                <KEY>PayloadType</KEY>
                <STRING>com.microsoft.autoupdate2</STRING>
				<KEY>PayloadDisplayName</KEY>
                <STRING>Paramètres de Microsoft AutoUpdate</STRING>
                <KEY>PayloadIdentifier</KEY>
                <STRING>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</STRING>
				<KEY>PayloadUUID</KEY>
                <STRING>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</STRING>
                <KEY>PayloadVersion</KEY>
                <INTEGER>1</INTEGER>
            </DICT>
		</ARRAY>
        <KEY>PayloadDisplayName</KEY>
        <STRING>Paramètres de mise à jour automatique Microsoft</STRING>
        <KEY>PayloadIdentifier</KEY>
        <STRING>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</STRING>
        <KEY>PayloadUUID</KEY>
		<STRING>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</STRING>
        <KEY>PayloadType</KEY>
        <STRING>Configuration</STRING>
        <KEY>PayloadVersion</KEY>
        <INTEGER>1</INTEGER>    
    </DICT>
</PLIST>

5. (Facultatif) Autoriser d’autres utilisateurs à se connecter avec leurs identifiants Entra ID

Si le profil MDM SSO de la plateforme est configuré avec le paramètre EnableCreateUserAtLogin défini sur « true », les autres utilisateurs pourront alors se connecter à l’appareil à l’aide de leurs identifiants Entra ID.

Depuis la page de connexion, choisissez de vous connecter en tant qu’utilisateur « Autre… », puis saisissez directement le nom d’utilisateur et le mot de passe Entra ID dans les champs prévus à cet effet. Le compte utilisateur local sera automatiquement créé ; le nom du compte et le nom affiché seront renseignés à partir des valeurs de correspondance du dictionnaire TokenToUserMapping du profil MDM.

Notes

L’utilisateur pourra immédiatement utiliser l’authentification unique (SSO) pour les invites d’authentification Entra ID, mais il sera tout de même invité à effectuer la procédure d’enregistrement SSO sur la plateforme. Il devra compléter cette opération une seule fois pour supprimer les notifications. En fonction de la valeur de NewUserAuthorizationMode, le compte sera créé en tant que compte standard ou en tant qu’administrateur.
Lorsque vous partagez votre écran depuis un autre appareil, assurez-vous d’avoir défini l’option « Autoriser les notifications » dans les paramètres de mise en miroir ou de partage d’écran ; sinon, la boîte de dialogue vous invitant à enregistrer votre Entra ID ne s’affichera pas.

**Figure 8**: Notifications (cliquez pour agrandir)

Ressources complémentaires

Consultez les références suivantes pour en savoir plus sur l’authentification unique (SSO) et les autres services de gestion des identités dans NinjaOne : Authentification et gestion des identités : catalogue de ressources.

Utilisation de NinjaOne pour configurer l’authentification unique (SSO) de la plate-forme sur macOS