Compartir a través de

macOS 平台单一登录概述

macOS 平台单一登录 (PSSO) 是由 Microsoft 企业 SSO 插件、macOS 平台凭据提供支持的一项新功能，使用户能够使用其 Microsoft Entra ID 凭据登录到 Mac 设备。 此功能为管理员带来了一些好处，它简化了用户的登录过程，并减少了用户需要记住的密码数量。 借助此功能，用户还可以使用智能卡或硬件绑定密钥通过 Microsoft Entra ID 进行身份验证。 此功能让用户不必记住两个单独的密码，这样管理员便无需管理本地帐户密码，从而改善了最终用户体验。

有三种不同的身份验证方法可以确定最终用户体验：

  • macOS 平台凭据：预配一个安全 Enclave 支持的硬件绑定加密密钥，可以在使用 Microsoft Entra ID 进行身份验证的应用中进行 SSO。 用户的本地帐户密码不受影响，但登录 Mac 时仍需要该密码。
  • 智能卡：用户使用外部智能卡或智能卡兼容的硬令牌（例如 Yubikey）登录到计算机。 设备解锁后，智能卡与 Microsoft Entra ID 一起使用，在使用 Microsoft Entra ID 进行身份验证的应用中授权 SSO。
  • 密码作为身份验证方法：将用户的 Microsoft Entra ID 密码与本地帐户同步，并在使用 Microsoft Entra ID 进行身份验证的应用中启用 SSO。

PSSO 由 Apple 设备中的 Microsoft 企业 SSO 插件提供支持，它具有以下功能：

  • 允许用户使用 Touch ID 进行无密码访问。
  • 基于 Windows Hello 企业版技术使用防网络钓鱼凭据。
  • 无需使用安全密钥，节省客户组织的成本。
  • 利用与安全 Enclave 的集成推进实现零信任目标。

若要启用该功能，管理员需要通过 Microsoft Intune 或其他受支持的 MDM 配置 PSSO。 根据设备的配置方式，最终用户可以借助安全隔区、智能卡或基于密码的身份验证方法，通过 PSSO 设置其设备。

要求

若要部署 macOS 平台 SSO，需要满足以下最低要求。

配置

有关如何配置的详细信息和说明，请参阅以下文章：

注释

如果要使用第三方 MDM 为 macOS 设备配置平台 SSO，请参阅 MDM 供应商提供的文档，获取有关如何配置平台 SSO 的具体说明。

如果你是第三方 MDM 解决方案的开发人员，请参阅 将 macOS 平台单一登录（PSSO）集成到 MDM 解决方案 指南中，了解有关如何将 PSSO 集成到 MDM 解决方案的详细信息。

部署

有关如何部署 macOS 平台 SSO 的详细信息和说明，请参阅以下文章。

Kerberos SSO 到本地 Active Directory 和 Microsoft Entra ID 的 Kerberos 资源

macOS 允许用户配置平台 SSO 以支持基于 Kerberos 的 SSO 到本地和云资源，以及 SSO 到 Microsoft Entra ID。 Kerberos SSO 是平台 SSO 中的可选功能，但如果用户仍需要访问使用 Kerberos 进行身份验证的本地 Active Directory 资源，则建议这样做。

若要了解详细信息，请参阅 Kerberos SSO 到本地 Active Directory 并Microsoft Entra ID Kerberos 资源。

图形 API 支持

可以使用 Microsoft 图形 API 来管理 PlatformCredential 身份验证方法。

以下 API 可用：

美国国家标准与技术研究院 (NIST)

美国国家标准与技术研究院 (NIST) 是美国商务部内部的一个非监管联邦机构。 NIST 制定并发布标准、指南和其他出版物，以帮助联邦机构管理经济高效的计划，保护其信息和信息系统。

故障排除

如果在实现 macOS 平台 SSO 的过程中遇到问题，请参阅文档 macOS Platform 单一登录已知问题和疑难解答

  • Last updated on