Platform SSO — это результат сотрудничества Apple, компаний, занимающихся решениями для управления устройствами, и поставщиков идентификации (IdP). Это функция единого входа (SSO), разработанная Apple для своих устройств Mac. Она использует фреймворк расширения SSO (SSOe) от Apple для безопасной аутентификации без пароля с помощью Touch ID или защищенных токенов.
Благодаря платформе SSO пользователи получают преимущества от аутентификации без пароля, повышенной безопасности и единообразного взаимодействия на всех устройствах, в корпоративных приложениях и веб-браузерах.
Давайте разберемся, что такое Platform SSO и как его можно настроить в несколько простых шагов с помощью панели управления Scalefusion.
Что такое Platform SSO?
Платформа SSO Это расширенная функция единого входа (SSO), разработанная компанией Apple. Доступная для macOS 13 и более поздних версий, она заменяет привязку к Active Directory. Она позволяет администраторам настраивать единый вход на системном уровне, обеспечивая:
- Аутентификация пользователей на уровне платформы macOS
- Единообразное использование идентификационных данных во всех системных службах и приложениях.
- Улучшен процесс входа в систему для компьютеров Mac, находящихся под управлением корпоративных сервисов.
Как настроить единый вход платформы (SSO) в macOS
Предпосылки
Для полноценной реализации единого входа на платформе необходимо убедиться в следующем:
- На устройствах Mac установлена macOS 13 или более поздняя версия.
- Mac с процессором Apple Silicon или Mac на базе Intel с Touch ID.
- Сервис управления устройствами, такой как Scalefusion, поддерживающий расширяемые возможности. Единая точка входа конфигурация, которая включает настройки для единого входа на платформу (SSO).
- Приложение, содержащее расширение Platform SSO, совместимое с IdP.
- Поставщик идентификации (IdP), поддерживающий упрощенную настройку единого входа (SSO) для платформы.
Шаг 1: Создание конфигурации единого входа платформы (SSO)
На панели управления Scalefusion нажмите «Профили устройств и политики», а затем — «Конфигурация Apple». Начните с создания новой конфигурации единого входа платформы (SSO) в консоли управления. Дайте ей понятное имя, чтобы ее было легко идентифицировать в дальнейшем.
Важно отметить, что при включении параметра «Удалять эту конфигурацию при ослаблении политик на устройстве» конфигурация будет автоматически удалена в следующих сценариях:
- Когда политика смягчается, или
- Когда устройство разблокировано через панель управления
При удалении профиля устройства все связанные с ним конфигурации и данные будут удалены с устройства.
Шаг 2: Определение параметров расширения
Далее настройте расширение SSO, которое будет обрабатывать аутентификацию в macOS.
Здесь вы указываете идентификатор расширения и идентификатор команды, чтобы обеспечить использование правильного расширения. Вы также определяете URL-адреса, где должна применяться функция единого входа платформы (SSO).
Кроме того, вы можете управлять поведением аутентификации при заблокированном экране, а также исключать определенные приложения из использования единого входа на платформе. Запрещенные идентификаторы пакетови при необходимости передать в расширение приложения словарь произвольных данных.
Шаг 3: Выберите метод аутентификации
Выберите способ аутентификации пользователей с помощью единого входа на платформе.
Вы можете использовать аутентификацию на основе паролей, аутентификацию на основе защищенного анклава или аутентификацию с помощью смарт-карт (поддерживается в macOS 14 и более поздних версиях). Выбранный вами вариант определяет, какие дополнительные политики можно настроить.
Шаг 4: Настройка параметров идентификации
Настройте параметры, связанные с идентификацией, такие как регистрационный токен, который позволяет автоматически регистрировать устройство у поставщика идентификационных данных.
Вы также можете задать отображаемое имя учетной записи, которое пользователи будут видеть при входе в систему и при запросах от системы.
Шаг 5: Настройка политик FileVault, входа в систему и разблокировки.
Определите, как должна работать аутентификация при входе в систему macOS, использовании FileVault и разблокировке.
Вы можете либо разрешить попытки аутентификации через поставщика идентификации, либо потребовать их обязательного выполнения. Дополнительные настройки, такие как льготный период для работы в автономном режиме и льготный период для аутентификации, помогают управлять случаями, когда возможности сетевой аутентификации или повторной аутентификации ограничены.
Шаг 6: Настройка параметров пользователя и доступа.
Теперь определим, как осуществляется управление пользователями и правами доступа.
Вы можете назначать роли пользователей (стандартная или администраторская) или сопоставлять разрешения на основе членства в группах. Учетные записи поставщиков идентификации также могут быть включены для запросов авторизации на системном уровне.
Вы также можете сопоставлять атрибуты идентификации с полями пользователя macOS, контролировать требования к частоте входа в систему и включать синхронизацию изображений профиля от поставщика идентификации.
Шаг 7: Настройка создания нового пользователя
Управляйте процессом создания новых пользователей на устройствах macOS.
Вы можете разрешить создание пользователей в окне входа в систему, указать, являются ли новые пользователи стандартными, администраторскими или групповыми, и даже включить временные сеансы для использования совместно используемых устройств.
Также можно включить создание первого пользователя во время работы мастера настройки для автоматической регистрации без участия пользователя.
Шаг 8: Настройка аутентификации для новых пользователей
Выберите доступные для новых пользователей методы аутентификации, такие как пароль, смарт-карта или ключ доступа.
Для ключа доступа можно дополнительно настроить следующее:
- Идентификатор группы считывателей ключей доступа: Этот параметр определяет, какую группу считывателей ключей доступа должна использовать система.
- UUID идентификатора терминала доступа: Этот параметр связывает ключ доступа с определенным набором идентификационных данных, настроенных на устройстве.
- Разрешить режим экспресс-доступа с помощью ключа доступа: При включении функция «Ключ доступа» может использоваться в экспресс-режиме, что позволяет применять её без дополнительных шагов аутентификации.
Шаг 9: Настройка групп и авторизации
Настройте управление доступом на основе групп, назначив группы администраторов, создав дополнительные группы и сопоставив права авторизации с конкретными группами для управления на основе ролей.
Шаг 10: Сохраните и разверните
Наконец, проверьте все настройки, сохраните конфигурацию и разверните ее на устройствах macOS. После этого Platform SSO обеспечит применение определенных политик аутентификации и доступа ко всей системе.
Повысьте уровень безопасности во всей экосистеме macOS.
Platform SSO устраняет разрыв между безопасностью и простотой, делая SSO встроенной функцией Apple. Благодаря этому организации могут еще больше укрепить свою безопасность, легко внедрив SSO на всех устройствах Mac и повысив эффективность своих рабочих процессов.
Scalefusion Обеспечивает бесперебойную поддержку единого входа на платформе и упрощает внедрение для ИТ-команд через централизованную панель управления. Это снижает накладные расходы ИТ-отдела и упрощает процесс. управление macOSЭто позволяет всем пользователям войти в систему один раз и получить доступ ко всем своим рабочим приложениям, не запоминая индивидуальные пароли. Кроме того, это повышает общую безопасность управляемой системы, предотвращая взломы с помощью фишинга паролей и атак с подбором учетных данных.
Часто задаваемые вопросы (FAQ)
1. Поддерживает ли PSSO развертывание без участия пользователя (zero-touch deployment)?
Да, Apple PSSO поддерживает развертывание без участия пользователя. В macOS 15 и более поздних версиях регистрация PSSO может происходить непосредственно в Мастере настройки macOS, что обеспечивает рабочий процесс без участия пользователя, когда пользователь входит в систему, используя свои учетные данные поставщика идентификации, и машина немедленно настраивается.
2. Можно ли с помощью PSSO создать первую учетную запись пользователя на Mac?
Да, PSSO на macOS может создать локальную учетную запись пользователя в окне входа в систему, используя учетные данные поставщика идентификации (IdP), например, Microsoft Entra ID или Okta. Это часто называют «созданием учетной записи по запросу» или «предоставлением доступа в режиме реального времени». Этот процесс позволяет пользователям аутентифицироваться с помощью своих корпоративных учетных данных, создавая локальную учетную запись Mac с синхронизированными паролями или паролями, защищенными Secure Enclave.
3. Нужно ли мне решение MDM для настройки PSSO?
Да. Для настройки единого входа на платформе требуется решение MDM для развертывания профилей конфигурации идентификации, обеспечения соблюдения политик и связывания устройств с вашим поставщиком идентификации. Scalefusion поддерживает единый вход на платформе и предоставляет мощный набор функций для дальнейшей настройки параметров в соответствии со специфическими потребностями организации.
