macOS 的「平台單一登入」

使用「平台單一登入」（平台 SSO），開發者可以建構會延伸到 macOS 登入視窗的 SSO 延伸功能，讓使用者與識別身分供應商（IdP）同步本機帳號憑證。本機帳號密碼會自動保持同步，因此雲端密碼和本機密碼會相符。使用者也可透過 Touch ID 和 Apple Watch 解鎖 Mac。

Mac 視窗顯示使用者已使用「平台 SSO」登入。

「平台 SSO」需要下列項目：

macOS 13 或以上版本
支援「可延伸單一登入」承載資料（包含「平台 SSO」的支援）的行動裝置管理（MDM）解決方案
「平台 SSO」認證通訊協定的 IdP 支援
兩種支援認證方式的其中一種：
- 透過支援「安全隔離區」的密鑰認證：以此方式，登入其 Mac 的使用者可以使用支援「安全隔離區」的密鑰來透過 IdP 認證而無需密碼。「安全隔離區」密鑰會在使用者註冊程序期間透過 IdP 設定。
- 密碼認證：以此方式，使用者會透過本機密碼或 IdP 密碼認證。

【注意】若 Mac 從 MDM 解決方案取消註冊，則也會從 IdP 取消註冊。

平台 SSO 功能

功能	支援的最低作業系統	說明
需要認證	macOS 15	要求跨「檔案保險箱」、「鎖定螢幕」和登入視窗的 IdP 認證。
需要認證	macOS 15	選擇是否設定離線和認證寬限期，讓使用者可以在離線時登入或解鎖螢幕。
需要認證	macOS 15	選擇是否設定 Touch ID 或 Apple Watch 來解鎖螢幕。
「系統設定」中的使用者註冊狀態	macOS 14	使用者可以在「系統設定」中註冊其裝置或其使用者帳號來搭配 SSO 使用。選單項目也會顯示目前註冊狀態和表示可能已發生的任何錯誤，提供改進的使用者透明度。這會讓使用者得知是否需要再次完成註冊。
由使用者建立的本機帳號	macOS 14	若要輔助共享部署中的帳號管理，使用者可以用其 IdP 使用者名稱和密碼或智慧卡來登入「檔案保險箱」已解鎖的 Mac 和建立本機帳號。全新 `TokenToUserMapping` 密鑰可用來定義由 IdP 提供的哪個屬性會用來選取本機使用者名稱。若要使用此功能，必須具備以下條件：必須完成「設定輔助程式」和建立初始本機管理者帳號。裝置必須註冊支援 Bootstrap 代號的 MDM 解決方案。使用者的 Mac 必須具備包含「平台 SSO」以及已啟用 `UseSharedDeviceKeys` 和 `EnableCreateUserAtLogin` 選項的「可延伸單一登入」承載資料。智慧卡支援需要搭配 IdP 註冊智慧卡，而且在 Mac 上需有設定的智慧卡屬性對應。
出現授權提示時使用非本機 IdP 使用者帳號	macOS 14	「平台 SSO」會將 IdP 憑證的使用擴展到 Mac 上沒有本機使用者帳號的使用者來進行授權。這些帳號會使用與「群組」管理相同的群組。例如，若使用者為其中一個管理者群組的成員，該帳號便可用於 macOS 管理者授權提示。這會排除需要安全代號、擁有者權限，或由目前登入使用者之認證的任何授權提示。
在使用者透過其 IdP 認證時更新其群組成員資格	macOS 14	群組成員資格可用來以更細緻的方式管理 macOS 中的 IdP 使用者權限。每次使用者搭配 IdP 進行認證，其群組成員資格便會更新。有三種陣列密鑰可用來定義群組成員資格： AdministratorGroups：若使用者是列於此陣列中群組的一員，則會擁有本機管理者權限。 AuthorizationGroups：用來管理內建或自訂定義授權權利的特定群組。該權利會授予加入指定群組的所有使用者。例如，指派給授權權利 `system.preferences.network` 的群組成員資格可讓使用者修改網路設定，或是 `system.preferences.printing` 則可讓使用者修改印表機設定。 AdditionalGroups：可由作業系統使用，例如定義 `sudo` 權限。若群組不存在，此陣列中的項目會在本機目錄中製作群組。
WS-Trust 同盟	macOS 13.3	這可讓「平台 SSO」在使用者帳號受透過 Microsoft Entra ID 聯合的 IdP 管理時成功認證使用者。

也請參閱Apple 平台部署的 iCloud 搭配 Apple 裝置的單一登入簡介 Apple 裝置的「可延伸單一登入」MDM 承載資料設定

有幫助？

翻译：