Utilizzo di NinjaOne per configurare il Single Sign-On (SSO) della piattaforma su macOS

Argomento

Questo articolo spiega come configurare l'SSO della piattaforma per i dispositivi Apple macOS con Microsoft Entra ID utilizzando NinjaOne. Illustra inoltre la procedura di registrazione, in modo che l'utente finale possa verificare quando il proprio dispositivo viene registrato in NinjaOne Mobile Device Management (MDM).

Ambiente

NinjaOne MDM
Apple macOS
Microsoft Entra

Descrizione

Platform SSO è una tecnologia sviluppata da Apple per macOS che consente ai Provider di identità (IdP) di gestire l'SSO per le proprie app aziendali in base all'accesso locale dell'utente al dispositivo stesso. Maggiori informazioni su questo prodotto sono disponibili sul sito per gli sviluppatori: Platform Single Sign-on per macOS - Supporto Apple (link esterno).

A seconda della specifica implementazione, Platform SSO può supportare diversi tipi di funzionalità. Attualmente, gli account utente locali su un dispositivo macOS ricevono una notifica per autenticarsi e registrarsi a Platform SSO. I tecnici possono, facoltativamente, configurare la politica in modo da consentire la creazione di account utente locali successivi tramite autenticazione con l’IdP nella finestra di accesso locale del dispositivo.

Questo articolo fornisce un esempio del processo di distribuzione. È possibile utilizzare altri metodi di distribuzione compatibili per installare il software.

Prerequisiti

Per configurare Platform SSO, è necessario soddisfare determinati requisiti indipendentemente dall’IdP e dall’MDM, sebbene i passaggi esatti possano variare a seconda dell’implementazione.

L’IdP (ad esempio Microsoft o Okta) deve supportare il protocollo SSO della Piattaforma.
Il dispositivo macOS deve essere registrato nell’MDM.
L'estensione Platform SSO pertinente (un'app nativa per macOS) deve essere distribuita sul dispositivo.
Il profilo MDM dell’estensione Platform SSO deve essere distribuito sul dispositivo.

Platform SSO supporta tre metodi di autenticazione per gli utenti. Anche l’IdP utilizzato per l’autenticazione deve supportare questi stessi metodi; in caso contrario, per un determinato IdP potrebbe essere disponibile solo un sottoinsieme di tali metodi.

Chiave supportata da Secure Enclave: nella maggior parte dei casi, questo è il metodo di autenticazione preferito e più sicuro quando si utilizza Platform SSO con un IdP che lo supporta. Con questo metodo di autenticazione, l’utente crea una password locale per il dispositivo. Una volta registrato Platform SSO, il dispositivo genera una chiave crittografica legata all’hardware che viene utilizzata per l’SSO con qualsiasi sito web e app federati con l’IdP per l’autenticazione.
- Poiché la chiave di autenticazione è legata al dispositivo fisico e non è mai nota all’utente finale, ciò consente un metodo di autenticazione senza password e resistente al phishing per le app aziendali. Con questo approccio, la password locale del dispositivo funge effettivamente da numero di identificazione personale (PIN) del dispositivo per accedere esclusivamente al dispositivo fisico.
Smartcard: una smartcard o un token fisico viene utilizzata per effettuare l’accesso a macOS a livello locale. Una volta effettuato l’accesso, la stessa smartcard viene utilizzata per l’SSO su qualsiasi app federata con l’IdP.
Codice d'accesso: la password dell’IdP dell’utente viene sincronizzata con la password del dispositivo locale. Questa password viene utilizzata per l’accesso SSO a qualsiasi app federata con l’IdP ai fini dell’autenticazione.
- Sebbene ciò offra una maggiore comodità all’utente finale, poiché la password del dispositivo locale diventa la stessa della password dell’IdP, crea anche un rischio aggiuntivo di phishing. Se una terza parte malintenzionata venisse a conoscenza del codice di accesso dell’IdP, potrebbe potenzialmente accedere sia al dispositivo fisico che a qualsiasi app aziendale federata con l’IdP. Per questo motivo, raccomandiamo di utilizzare una chiave supportata da Secure Enclave quando un singolo utente utilizza prevalentemente i dispositivi.

SSO della Piattaforma con Microsoft Entra ID

Microsoft Entra ID supporta l’SSO di piattaforma e tutte e tre le opzioni di autenticazione degli utenti finali.

In genere, gli utenti vedranno la notifica di sistema iniziale dopo che sia l’agente NinjaOne che le app del portale aziendale Microsoft saranno state installate sul dispositivo, operazione che potrebbe richiedere alcuni minuti dopo la registrazione MDM iniziale. Se la notifica di registrazione non compare, disconnettersi localmente dal dispositivo e poi effettuare nuovamente l’accesso per avviarla.

1. Distribuire l’app Portale aziendale di Intune sui dispositivi NinjaOne

Per l’SSO di piattaforma con Microsoft Entra ID, Microsoft utilizza l’app Company Portal per gestire la funzionalità SSO. L’app Company Portal può essere scaricata da Microsoft qui (file del pacchetto scaricabile).

Una volta scaricata, è possibile seguire i passaggi riportati di seguito per distribuirla sui dispositivi macOS registrati in NinjaOne MDM:

Entro NinjaOne, accedere a Amministrazione → Libreria → Automazione.
Fare clic su Aggiungi e selezionare Installazione.

automation library_add installation.png — **Figura 1**: Libreria di automazioni di NinjaOne → Aggiungi un’automazione di installazione (clicca per ingrandire)

Nella finestra di dialogo Installa applicazione, configurare le seguenti impostazioni, quindi selezionare Invia.
- Nome: inserire un nome come "Portale aziendale Intune".
- Sistema operativo: "Mac".
- Programma di installazione: lasciare il menu a discesa sull’opzione predefinita Carica file e fare clic su Scegliere un installer. Caricare il file PKG di installazione di Company Portal.

automation library_add installation_intune company portal.png — **Figura 2**: Esempio di automazione dell’installazione per Intune Company Portal (clicca per ingrandire)

Verifica che la configurazione superi la revisione e appaia nella Libreria di automazioni. La convalida dell’installazione potrebbe richiedere alcuni minuti.
Aggiungi un’automazione al proprio criterio macOS. Accedere a Amministrazione → Criteri → Criteri dell'agente e creare un nuovo criterio oppure modificare quello esistente. Se sono necessarie istruzioni per la creazione di un nuovo criterio, consultare Criteri NinjaOne: Creazione e gestione di un criterio.
Selezionare la scheda " Automazioni programmate " e fare clic su " Aggiungi un'automazione programmata".

scheduled automation_add.png — **Figura 3**: Aggiungi un’automazione programmata a un criterio NinjaOne (clicca per ingrandire)

Assegna un nome all’automazione pianificata e scegli di eseguire l’automazione che hai caricato in precedenza al Passo 3. Scegli una pianificazione appropriata, ad esempio “Esegui subito una volta”.

policies_scheduled automation_add_schedule.png — **Figura 4**: Aggiungi un’automazione programmata a una policy NinjaOne → Carica l’automazione e imposta una pianificazione (clicca per ingrandire)

Fare clic su “Aggiungi”. Quindi, salvare la policy.

L’app Company Portal dovrebbe essere distribuita su tutti i dispositivi macOS gestiti in base alla pianificazione configurata.

2. Configurare il profilo MDM dell’estensione SSO della piattaforma in NinjaOne

È possibile copiare il file mobileconfig riportato alla fine di questa sezione e incollarlo direttamente in un "Payload personalizzato" all’interno di una policy NinjaOne per macOS per configurare l’SSO della piattaforma con Entra ID.

Prendere in considerazione i seguenti campi configurabili:

AuthenticationMethod: righe 13–14. Imposta uno dei seguenti valori a seconda dell’esperienza desiderata:
- UserSecureEnclaveKey
- Password
- SmartCard
AccountDisplayName: righe 15–16. Questo nome viene visualizzato agli utenti finali durante il processo di registrazione SSO della piattaforma.
EnableCreateUserAtLogin: righe 19–20. Se impostato su "true", i nuovi account utente locali verranno creati automaticamente dopo l’autenticazione con Entra ID nella schermata di accesso locale.
NewUserAuthorizationMode: righe 21–22. Se è consentito creare nuovi utenti, impostare questo parametro su uno dei seguenti valori per determinare il livello di autorizzazione degli account utente:
- Standard
- Amministratore
UserAuthorizationMode: righe 23–24. Supporta gli stessi valori di NewUserAuthorizationMode. L’autorizzazione si applica a un account ogni volta che l’utente effettua l’autenticazione.
TokenToUserMapping: righe 25–31. Se si desidera che i nuovi utenti locali vengano creati automaticamente, questo dizionario definisce i valori provenienti dall’IdP per il Nome account locale e il Nome e cognome.
AccountName: righe 28–29. Il valore stringa indicato nel modello rappresenta il nome del proprietario assegnato al dispositivo (esempio: preferred_username).
FullName: righe 30–31. I valori stringa elencati nel modello rappresentano il nome e il cognome del proprietario assegnato del dispositivo (Esempio: name).

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" 
"http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<PLIST version="1.0">
<DICT>
    <KEY>PayloadContent</KEY>
    <ARRAY>
        <DICT>
            <KEY>ScreenLockedBehavior</KEY>
            <STRING>DoNotHandle</STRING>
            <KEY>RegistrationToken</KEY>
            <STRING>${device.id}</STRING>
            <KEY>PlatformSSO</KEY>
            <DICT>
                <KEY>AuthenticationMethod</KEY>
                <STRING>UserSecureEnclaveKey</STRING>
                <KEY>AccountDisplayName</KEY>
                <STRING>Entra ID</STRING>
                <KEY>EnableAuthorization</KEY>
                <VERO />
                <KEY>EnableCreateUserAtLogin</KEY>
                <FALSO />
                <KEY>NewUserAuthorizationMode</KEY>
                <STRING>Standard</STRING>
                <KEY>UserAuthorizationMode</KEY>
                <STRING>Standard</STRING>
                <KEY>TokenToUserMapping</KEY>
                <DICT>
                    <KEY>AccountName</KEY>
                    <STRING>preferred_username</STRING>
                    <KEY>FullName</KEY>
                    <STRING>name</STRING>
                </DICT>
                <KEY>UseSharedDeviceKeys</KEY>
                <VERO />
            </DICT>
            <KEY>ExtensionData</KEY>
            <DICT>
                <KEY>AppPrefixAllowList</KEY>
                <STRING>com.microsoft.,com.apple.</STRING>
                <KEY>browser_sso_interaction_needed</KEY>
                <NUMERO intero>1</NUMERO intero>
                <KEY>disable_explicit_app_prompt</KEY>
                <NUMERO intero>1</NUMERO intero>
            </DICT>
            <KEY>TeamIdentifier</KEY>
            <STRING>UBF8T346G9</STRING>
            <KEY>ExtensionIdentifier</KEY>
            <STRING>com.microsoft.CompanyPortalMac.ssoextension</STRING>
            <KEY>Tipo</KEY>
            <STRING>Redirect</STRING>
            <KEY>URLs</KEY>
            <ARRAY>
                <STRING>https://login.microsoftonline.com</STRING>
                <STRING>https://login.microsoft.com</STRING>
                <STRING>https://sts.windows.net</STRING>
                <STRING>https://login.partner.microsoftonline.cn</STRING>
                <STRING>https://login.chinacloudapi.cn</STRING>
                <STRING>https://login.microsoftonline.us</STRING>
                <STRING>https://login-us.microsoftonline.com</STRING>
            </ARRAY>
            <KEY>PayloadIdentifier</KEY>
            <STRING>56DD5560-5BFF-41E5-8197-939FB3374BA3</STRING>
            <KEY>PayloadType</KEY>
            <STRING>com.apple.extensiblesso</STRING>
            <KEY>PayloadUUID</KEY>
            <STRING>56DD5560-5BFF-41E5-8197-939FB3374BA3</STRING>
            <KEY>PayloadVersion</KEY>
            <NUMERO intero>1</NUMERO intero>
        </DICT>
    </ARRAY>
    <KEY>PayloadDisplayName</KEY>
    <STRING>Microsoft PSSO</STRING>
    <KEY>PayloadIdentifier</KEY>
    <STRING>Microsoft.PSSO-EAE14F52-5119-4CF3-AACE-EA485054A4FD</STRING>
    <KEY>PayloadType</KEY>
    <STRING>Configurazione</STRING>
    <KEY>PayloadUUID</KEY>
    <STRING>EAE14F52-5119-4CF3-AACE-EA485054A4FD</STRING>
    <KEY>PayloadVersion</KEY>
    <NUMERO intero>1</NUMERO intero>
</DICT>
</PLIST>

3. Registrazione con Platform SSO sul dispositivo utilizzando una chiave Secure Enclave

Per avviare questa fase della procedura, il dispositivo macOS deve essere registrato in NinjaOne MDM. Per le istruzioni su come procedere, consultare NinjaOne MDM: Registrazione dei dispositivi macOS.

Se si utilizza la registrazione automatica dei dispositivi (ADE) per registrare il dispositivo macOS in NinjaOne MDM, è necessario configurare un account utente locale ed effettuare l'accesso al dispositivo. Dopo la registrazione, l'agente NinjaOne verrà distribuito automaticamente e l'app Company Portal verrà installata in base alla pianificazione di automazione configurata (passaggio 1.6 di questo articolo). L'operazione potrebbe richiedere alcuni minuti.

Una volta completata l’installazione sia del profilo MDM che dell’app Company Portal, l’utente del dispositivo riceverà una notifica per registrarsi al Platform SSO. Se ignorata, questa notifica verrà visualizzata periodicamente.

registration required.png — **Figura 5**: Esempio di notifica di registrazione (clicca per ingrandire)

I passaggi seguenti illustrano le istruzioni che l’utente deve seguire sul proprio dispositivo:

Fare clic su Registrati. Nella finestra di dialogo, fare clic su Continua e seguire le istruzioni per inserire le credenziali dell’amministratore del dispositivo.
Effettuare l’autenticazione con le credenziali Entra ID. Se obbligatorio, potrebbe essere richiesto un secondo fattore di autenticazione.
Se l’SSO della piattaforma è configurato per utilizzare una chiave Secure Enclave, verrà richiesto di consentire al Portale aziendale di utilizzare una passkey. Fare clic su "Apri impostazioni di sistema", quindi attivare la passkey come mostrato nell’immagine.

enable entra id passkey.png — **Figura 6**: Esempio di notifica di registrazione (fare clic per ingrandire)

La registrazione di Platform SSO è ora completata. L’utente dovrebbe ora essere in grado di utilizzare l’SSO per autenticarsi automaticamente in qualsiasi richiesta di accesso a Microsoft Entra ID. Questa autenticazione sarà associata all’account locale sul dispositivo macOS. Quando l’utente accede all’account locale, questo autorizzerà il successivo SSO in base alla chiave Secure Enclave.

Per verificare la registrazione dell’SSO della piattaforma, è possibile visualizzare l’account utente locale in Impostazioni → Utenti e gruppi e selezionare il nome utente. Nella sezione SSO della piattaforma, è possibile vedere l’utente Microsoft Entra ID per il quale l’SSO è attivo. Se necessario, è possibile riparare la registrazione o effettuare nuovamente l’autenticazione per aggiornare i token SSO.

microsoft entra_users and groups_enclave key.png — **Figura 7**: Verifica del metodo di registrazione di un utente in Entra (clicca per ingrandire)

4. (Facoltativo) Salta l’informativa sulla privacy obbligatoria per Microsoft AutoUpdater

Normalmente, quando si installa il Portale aziendale, viene installato anche Microsoft AutoUpdater e viene visualizzata una nota informativa sulla privacy obbligatoria che l’utente deve accettare.

Distribuendo il seguente payload personalizzato, è possibile saltare la visualizzazione di questa nota. Se si sta già distribuendo un payload personalizzato per configurare Microsoft AutoUpdate, è possibile includere la chiave `AcknowledgedDataCollectionPolicy`, con il valore impostato sulla stringa `RequiredDataOnly` alle righe 8–9:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<PLIST version="1.0">
    <DICT>
		<KEY>PayloadContent</KEY>
        <ARRAY>
            <DICT>
                <KEY>AcknowledgedDataCollectionPolicy</KEY>
                <STRING>RequiredDataOnly</STRING>
                <KEY>PayloadType</KEY>
                <STRING>com.microsoft.autoupdate2</STRING>
				<KEY>PayloadDisplayName</KEY>
                <STRING>Impostazioni di Microsoft AutoUpdate</STRING>
                <KEY>PayloadIdentifier</KEY>
                <STRING>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</STRING>
				<KEY>PayloadUUID</KEY>
                <STRING>0F4CE0C7-22AD-454C-B9FE-FF025EED58EF</STRING>
                <KEY>PayloadVersion</KEY>
                <NUMERO intero>1</NUMERO intero>
            </DICT>
		</ARRAY>
        <KEY>PayloadDisplayName</KEY>
        <STRING>Impostazioni di Microsoft AutoUpdate</STRING>
        <KEY>PayloadIdentifier</KEY>
        <STRING>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</STRING>
        <KEY>PayloadUUID</KEY>
		<STRING>CB4A399D-1CCF-458C-A192-AD1066F7E7B6</STRING>
        <KEY>PayloadType</KEY>
        <STRING>Configurazione</STRING>
        <KEY>PayloadVersion</KEY>
        <INTEGER>1</INTEGER>    
    </DICT>
</PLIST>

5. (Facoltativo) Consentire ad altri utenti di accedere con le proprie credenziali Entra ID

Se il profilo MDM SSO della piattaforma è configurato con EnableCreateUserAtLogin impostato su "true", gli altri utenti potranno effettuare l'accesso al dispositivo utilizzando le proprie credenziali Entra ID.

Dalla pagina di accesso, selezionare l’opzione per accedere con un utente “Altro…”, quindi inserire direttamente nei campi il nome utente e la password di Entra ID. L’account utente locale verrà creato automaticamente, con il nome dell’account e il nome visualizzato ricavati dai valori di ricerca presenti nel dizionario TokenToUserMapping del profilo MDM.

Note

L’utente potrà utilizzare immediatamente l’SSO per le richieste di autenticazione Entra ID, ma gli verrà comunque richiesto di completare la procedura di registrazione SSO della piattaforma. È necessario completarla una sola volta per rimuovere le notifiche. A seconda del valore di NewUserAuthorizationMode, l’account verrà creato come account standard o come amministratore.
Quando si condivide lo schermo da un altro dispositivo, assicurarsi di aver impostato l’opzione «Consenti notifiche » in «Durante il mirroring o la condivisione dello schermo », altrimenti non verrà visualizzata la finestra di dialogo che richiede di registrare Entra ID.

**Figura 8**: Notifiche (clicca per ingrandire)

Risorse aggiuntive

Per scoprire di più sull’SSO e sugli altri servizi di gestione delle identità in NinjaOne, consultare le seguenti risorse: Autenticazione e gestione delle identità: Catalogo delle risorse.