Apple ist heute eine beliebte Marke. Nicht nur, weil Sie in Ihrem örtlichen Starbucks oder einem beliebigen lokalen Café ein paar Leute an ihren MacBooks arbeiten sehen. Sie ist auch in der Unternehmenswelt sehr beliebt. Die Mac-Welle in Unternehmen begann damit, dass Entwickler Xcode verwenden wollten und das obere Management Macs für den persönlichen Gebrauch kaufte, und sie breitete sich rasch aus. Darüber hinaus mussten Unternehmensentscheider beim iPhone oder iPad nicht einmal überzeugt werden.
Natürlich war das in den 90ern und 2000ern nicht so. Apple hatte immer noch einen Unternehmensmarkt. Aber dieser Markt unterschied sich etwas von Microsofts Unternehmensmarkt. Wenn ein Unternehmen Macs verwendete, war es höchstwahrscheinlich in den Bereichen Werbeagentur, Verlagswesen oder Medien. Alle Unternehmen außerhalb dieser Bereiche verwendeten jedoch bereits Microsofts Windows. Microsoft begann Anfang der 2000er Jahre auch damit, Windows-Geräte im Netzwerk mit seiner serverbasierten Active Directory-Struktur unter einer einzigen Domain zu verwalten. Das war genau das, was die Unternehmenswelt wollte.
Apple verlagerte seinen Fokus gegen Ende der 1990er und Anfang der 2000er Jahre auf den Unterhaltungselektroniksektor. Der iMac, der iPod und später das iPhone und das iPad waren Produkte dieser Ära. Gleichzeitig entwickelte Apple Ende der 1990er Jahre ein Betriebssystem namens MacOS X Server und trat in den Markt für Serversysteme ein. In den folgenden Jahren würden Hardwareprodukte namens xServe und xServe Raid die MacOS-X-Server-Produktfamilie vervollständigen.
Apples MacOS X Server verwendete Open Directory, eine Active Directory ähnliche Domainstruktur. Aber das Problem war, dass Apple in den 2000er Jahren keinen Unternehmensmarkt hatte. Deshalb haben Active Directory und Microsoft-Serversoftware bis heute überlebt. Aber sowohl MacOS X Server als auch Open Directory sind nun Geschichte. Natürlich geschah Apples Wandel vom Fehlen jeglicher Präsenz im Unternehmensmarkt hin zu einer wünschenswerten Option selbst für Unternehmensfirmen nicht über Nacht. Es waren verschiedene Phasen daran beteiligt. Werfen wir einen Blick auf die Phasen, die wir durchlaufen haben, bevor wir beim heutigen Platform SSO angekommen sind.
Phase 1: Macs mit lokalen Konten
In den 1990er und 2000er Jahren, als Apple keine Präsenz in der Unternehmenswelt hatte, bedienten alle Mac-Benutzer ihre Computer über lokale Konten. Wie Sie wissen, erstellen Sie, wenn Sie einen neuen Mac kaufen und die Setup Assistant-Schritte durchlaufen, ein einziges Benutzerkonto. Dieses anfängliche Admin-Konto bleibt oft das einzige Konto für die Computernutzung. Selbst in Universitäten und Werbe-/Verlagsorganisationen, in denen Macs in den 90ern und 2000ern intensiver genutzt wurden, wurde nur ein Admin-Konto und ein Standard-Konto erstellt und auf diese Weise verwendet.
Tatsächlich ist diese Nutzung immer noch eine praktikable Option für kleine Arbeitsgruppen, die kein Budget für ein zentrales Verwaltungssystem bereitstellen möchten. Es gibt immer noch Institutionen, die weiterhin mit lokalen Konten arbeiten.
Phase 2: Active Directory Bind
Nach dem Anstieg der Beliebtheit von Microsoft Active Directory wurde die Anwendung Directory Utility ab MacOS X Panther (10.3) zum Betriebssystem hinzugefügt, und Macs wurden fähig, Active Directory-Domains beizutreten. Heute können wir jeden Mac manuell an eine AD-Umgebung binden ODER ihn über ein MDM-Profil binden. Infolgedessen können Mac-Benutzer sich mit auf AD definierten Kontoinformationen bei ihren Computern anmelden.
Klicken Sie einfach auf die Schaltfläche Edit (oder Join, je nach Ihrer Version), die sich direkt neben der Option Network Account Server in System Settings > Users & Groups befindet, um den Prozess zu starten. Der sich öffnende Bildschirm enthält einen Link zur Anwendung Directory Utility. Sie können Directory Utility starten. Da dieser Artikel mit seinem aktuellen Inhalt bereits ziemlich lang ist, werde ich diese Methode hier nicht Schritt für Schritt erklären, aber grundsätzlich können Sie Ihren Mac mit der Adresse Ihres Active Directory-Servers und den Details eines Admin-Benutzers auf AD an AD binden. Wenn Sie möchten, können Sie auch die Option Mobile Account aktivieren, um Kontoinformationen zwischenzuspeichern. Dies ermöglicht es Benutzern außerhalb des Unternehmens, die auf Ihrem On-Premises-AD-Server registriert sind, sich von überall bei ihren Computern anzumelden.
Obwohl das Hinzufügen von Macs zu Active Directory Domains für manche immer noch eine praktikable Option ist, kann es bestimmte Probleme verursachen. Lassen Sie uns das ein wenig ausführen.
Nehmen wir an, wir haben einen neu gekauften Mac, der mit dem Setup Assistant eingerichtet wurde. Wenn Sie den Schritt im Setup Assistant erreichen, in dem Sie ein Computerkonto erstellen, legen Sie einen Benutzernamen und ein Passwort fest. Das Passwort, das Sie erstellen, ist das Passwort für den Admin-Benutzer, das Ihnen die Anmeldung bei Ihrem Computer ermöglicht. Dieses Passwort wird jedoch auch zum Schutz der Keychain-Datenbank verwendet. Wenn Sie das Passwort ändern, das Sie für die Computeranmeldung verwenden (Hinweis: Ich sage nicht, wenn Sie es zurücksetzen), ändert sich das Keychain-Passwort automatisch synchron damit.
Aber wenn Sie Ihr Passwort vergessen und es zurücksetzen müssen, dann ändert sich die Situation. Wenn Sie Ihr Passwort zurücksetzen, setzen Sie nur das Login-Passwort für die Computeranmeldung zurück. Das Keychain-Passwort synchronisiert sich nicht damit. Sie können sich möglicherweise bei Ihrem Computer anmelden, aber Sie müssen sich von den in der Keychain-Datenbank gespeicherten Elementen verabschieden und Ihr Leben fortsetzen, indem Sie eine neue Keychain erstellen.
Nun komme ich zu dem Teil, der sich auf Active Directory bezieht. Wenn ein Benutzer vom AD-Admin ein Zurücksetzen des Passworts anfordert und angibt, dass er sein Passwort vergessen hat, kann dieses Passwort einfach über AD zurückgesetzt werden. Der Benutzer kann dann mit seinem neuen Passwort auf Outlook Web Access und viele andere Online-Orte zugreifen. Wenn er jedoch versucht, sich bei seinem Computer anzumelden, ist das Passwort auf dem Computer nicht mit dem AD-Passwort synchronisiert. Und er kann sich nicht beim Computer anmelden.
Aus diesen und ähnlichen Gründen ist die Option AD Bind zu einer Methode mit wenig bis gar keiner Verwendung im Apple-Ökosystem geworden und wird nicht bevorzugt. Anders als viele andere MDM-Lösungen bietet Microsoft Intune kein fertiges Profil oder ähnliches Werkzeug zum Binden von Macs an AD-Domains. Wenn Sie dies tun möchten, können Sie Ihre Konfiguration mit Anwendungen wie Apple Configurator oder iMazing Profile Editor vorbereiten, sie in Intune hochladen und an Mac-Benutzer verteilen.
Phase 3: Enterprise Connect
Viele Technologieunternehmen haben First-Level-Support-Teams, die Benutzern mit ihren Produkten helfen. Für Probleme, die von diesen kostenlosen Support-Teams nicht gelöst werden können, können Sie jedoch die kostenpflichtigen Dienste des Herstellers erwerben, die als Professional Services bekannt sind. Auf diese Weise wird ein vom Hersteller zugewiesener Ingenieur an Ihrem Problem in Bezug auf die von Ihnen verwendete MDM-Lösung arbeiten.
Apple hat ebenfalls ein Professional Services-Team. Tatsächlich gibt es nicht nur ein Team; es gibt verschiedene Teams für verschiedene Regionen. Diese Teams helfen Ihnen (gegen eine Gebühr) bei der Umsetzung Ihrer Unternehmens-Apple-Projekte. Informationen über die APS-Dienste finden Sie unter dieser Adresse.
Enterprise Connect ist eine Anwendung, die für die Verwendung durch Apple Professional Services-Teams in ihren Projekten konzipiert ist. Also, was tut sie? Sie ermöglicht es Macs, mit einer On-Premises-Active Directory-Umgebung zu kommunizieren, unabhängig davon, ob die Macs an Active Directory gebunden sind oder nicht. Sie tut dies, indem sie den in macOS integrierten Kerberos-Client verwendet. Sie stellt sicher, dass jeder Benutzer ein gültiges Kerberos TGT erhalten kann.
Sie erfordert nicht, dass Mac an AD gebunden ist, und funktioniert mit lokalen Konten, indem sie deren Passwörter mit AD-Passwörtern synchronisiert. Sie sendet Benachrichtigungen an Benutzer, wenn ihr Passworterneuerungsdatum näher rückt. Und sie ermöglicht es Benutzern, ihre AD-Passwörter über eine kleine, zur Menüleiste hinzugefügte Anwendung zu ändern.
Enterprise Connect wurde nun eingestellt. Ab macOS Catalina (10.15) wurde es durch die Kerberos SSO Extension ersetzt, die ich unten beschreibe. Aber selbst während seiner Nutzungsdauer war es keine öffentlich verfügbare Anwendung. Es wurde nur für die Verwendung in vom APS-Team umgesetzten Projekten entwickelt. Da die Verteilung dieser Anwendung etwas geschlossen war, werden Sie in Ihrer MDM-Lösung keinen Abschnitt zur Konfiguration von Enterprise Connect finden. Um es zu konfigurieren, werden Mobile-Config-Dateien verwendet, wie es in vielen Bereichen üblich ist. Es gibt sogar ein Payload in der Anwendung Profile Creator, das es Ihnen ermöglicht, Enterprise Connect einfach zu konfigurieren. Aber lassen Sie mich wiederholen, diese Anwendung existiert nicht mehr.
Phase 4: Kerberos SSO / Extensible SSO
Die Enterprise Connect-App wurde ab macOS Catalina durch eine neue, mit MDM verwaltbare Struktur ersetzt. Apple nennt diese Struktur das Extensible Enterprise Single Sign-On Framework, und sie ermöglicht es, dass von verschiedenen IdP-Anbietern gehaltene Authentifizierungsinformationen mit unseren Systemen kommunizieren. Ich empfehle, die folgende Apple Developer-Präsentation zu diesem Thema anzusehen (Englisch).
Es ist möglich, zwei separate SSO-Plugins zu verwenden, um Benutzern zu ermöglichen, sich mit IdP-Anmeldeinformationen beim Computer anzumelden und nach der Anmeldung auf verschiedene Anwendungen und Ressourcen zuzugreifen. Eines davon ist Kerberos SSO, und das andere ist Extensible SSO.
Kerberos SSO
Die Kerberos SSO-Erweiterung, die als das Äquivalent von Enterprise Connect betrachtet werden kann, ermöglicht es Benutzern, sich mit ihren AD-Konten bei ihren Macs anzumelden. Wenn Ihre Umgebung einen On-Premises-Active Directory-Server hat:
- Macs verwalten, ohne sie an Active Directory-Domains zu binden
- Die lokalen Konten der Benutzer mit ihren AD-Kontopasswörtern synchronisieren
- Benachrichtigungen bezüglich der Passwortänderungszeiten senden
- Benutzern ermöglichen, ihr AD-Passwort direkt von ihrem Mac aus zu ändern
Für solche Aufgaben sollten Sie die Kerberos SSO-Erweiterung verwenden. Apples Dokumentation zur Kerberos SSO-Erweiterung und ihrer Verwendung finden Sie unter dieser Adresse.
Wenn Sie Kerberos SSO über Microsoft Intune konfigurieren möchten, können Sie den Abschnitt Extensible Single Sign On Kerberos unter der Option Authentication im Settings Catalog verwenden.
Extensible SSO
Ihre Arbeit ist nicht getan, nur weil sich Ihre Benutzer mit ihren Active Directory-Konten bei Mac anmelden. Sie müssen auch das Problem lösen, dass Benutzer für alle Anwendungen und Dienste, auf die sie zugreifen, separate Benutzernamen und Passwörter eingeben müssen. Extensible SSO-Plugins ermöglichen es uns, dies zu tun. Sobald der Benutzer den Authentifizierungsschritt passiert, wird er automatisch bei zum Beispiel Microsoft Teams oder einem beliebigen Unternehmens-CalDav-Dienst angemeldet. Die Extensible SSO-Konfiguration hat zwei Hauptnutzungsarten: Redirect und Credentials. Diese Unterscheidung variiert je nachdem, wo sich die Anwendungen und Dienste befinden, auf die Ihre Benutzer zugreifen sollen. Wenn die Dienste, auf die Ihre Benutzer zugreifen werden, hauptsächlich Cloud-Dienste sind und sie mit Methoden wie OIDC, OAuth oder SAML2 darauf zugreifen müssen, müssen Sie die Extensible SSO-Erweiterung mit der Methode Redirect konfigurieren. Wenn ein Benutzer auf eine beliebige Anwendung zugreifen möchte, wird diese Anfrage von der SSO Extension an den IdP weitergeleitet, und der Zugriff auf die Anwendung wird mit der von dort erhaltenen Antwort autorisiert.
Wenn die Dienste, auf die zugegriffen werden soll, ebenfalls On-Premises sind, dann sollte die bevorzugte Methode Credentials sein. Dies ermöglicht den Zugriff auf Ressourcen wie Intranet-Portale, Unternehmens-Dateifreigabeumgebungen und Drucker mit einem auf diese Weise erhaltenen Kerberos Ticket. Wenn Sie Extensible SSO über Microsoft Intune konfigurieren möchten, können Sie den Abschnitt Extensible Single Sign On unter der Option Authentication im Settings Catalog verwenden.
Phase 5: Primadonna des Artikels, Platform SSO
Ich weiß, dieser Beitrag ist etwas lang. Aber wir sind erst jetzt zum Hauptpunkt gekommen. Wenn Sie bei dieser Zeile nicht eingeschlafen sind oder Ihr Telefon in die Hand genommen haben, um in Instagram Stories oder TikTok einzutauchen, gratuliere ich Ihnen. 🎉 Lassen Sie mich Ihnen eine sehr kurze Zusammenfassung geben. Diese Zusammenfassung wird auch die PSSO-Verwendung unter den anderen Optionen positionieren.
- Wenn Sie eine Lösung für die Geräte eines 5-Personen-Unternehmens suchen, das von einer einzigen Adresse aus operiert, suchen Sie nicht weiter. Verwenden Sie lokale Benutzer für deren Geräte. Sie können weitermachen, indem Sie auf einige grundlegende Gerätesicherheitsschritte achten.
- Wenn Sie ein kleines Mac-Team in einer Organisation mit einem On-Prem-Active Directory haben und die Computer dieser Benutzer manuell an AD gebunden sind, können sie vorerst so weitermachen. Das Wichtigste, was zu beachten ist, sind die Passwortänderungszeiten.
- Wenn Sie ein kleines Mac-Team in einer Organisation mit einem On-Premises-Active Directory haben und eine Lösung suchen, um diesen Benutzern die Anmeldung bei ihren Computern mit AD-Anmeldeinformationen zu ermöglichen, wird die Kerberos SSO-Erweiterung die Aufgabe erfüllen. Zusätzlich zur Kerberos SSO-Erweiterung können Sie Ihren Benutzern durch die Verwendung der Extensible SSO-Erweiterung ermöglichen, sich automatisch bei verschiedenen Ressourcen anzumelden.
Platform SSO, endlich
Platform SSO wurde von Apple entwickelt, um dieser konzeptionellen Verwirrung ein Ende zu setzen und das Gleichgewicht in der Macht wiederherzustellen. Wie Sie oben gelesen haben, benötigten wir separate Konfigurationen: eine, damit sich Benutzer bei ihrem Mac anmelden, und eine andere, um ihnen den Zugriff auf alle Unternehmensressourcen und -anwendungen mit einem einzigen Passwort zu ermöglichen, während sie ihren Mac verwenden. Platform SSO kombiniert diese beiden. Mit einer einzigen Konfiguration können wir Benutzern ermöglichen, sich mit ihren IdP-Anmeldeinformationen bei Mac anzumelden und auch den Zugriff auf Unternehmensressourcen zu autorisieren.
PSSO wurde erstmals mit macOS Ventura veröffentlicht. In den folgenden macOS-Versionen wurden weiterhin neue Funktionen hinzugefügt. Die mit macOS Tahoe hinzugefügten werde ich unten besprechen. Microsoft war der erste IdP, der PSSO mit Entra ID integrierte. Okta folgte mit Desktop Password Sync. Alle anderen IdPs werden diese neue und moderne Erweiterung der Reihe nach unterstützen.
Die Platform SSO-Konfiguration befindet sich in vielen MDMs typischerweise innerhalb der Extensible SSO-Konfiguration. In diesem Zusammenhang können Sie, wenn Sie Platform SSO über Microsoft Intune konfigurieren möchten, den Abschnitt Extensible Single Sign On unter der Option Authentication im Settings Catalog verwenden. Platform SSO ist eine separate Kategorie innerhalb von Extensible Single Sign On. Sie können Platform SSO wie im untenstehenden Screenshot gezeigt konfigurieren und an Benutzer senden. Viele dieser Konfigurationseinstellungen stammen aus diesem Microsoft-Artikel.
Je nach Ihren Präferenzen hinsichtlich der internen Kontoverwaltung können Sie Änderungen vornehmen, insbesondere im Abschnitt Authentication Method. In diesem Bereich sind drei Optionen verfügbar.
Password:
Diese Option wird verwendet, um die Passwörter lokaler Konten auf den Computern Ihrer Benutzer mit den in Entra ID definierten Passwörtern abzugleichen. Änderungen, die gemäß den Passwortrichtlinien Ihrer Organisation vorgenommen werden, wirken sich direkt auf die Benutzerpasswörter aus. Der Benutzerkontoname bleibt unverändert, und nur das Passwort wird synchronisiert. Benutzer können biometrische Authentifizierungsfunktionen wie Touch ID verwenden. Wie Sie jedoch wissen, muss das Entra ID-Passwort nach jedem Neustart erneut eingegeben werden. Dies ist tatsächlich auch bei lokalen Konten der Fall.
In einigen Fällen kann der Benutzer das Passwort verwenden, das er beim Erstellen seines lokalen Kontos verwendet hat, anstelle seines Entra ID-Passworts. Da die FileVault-Festplattenverschlüsselung an das erste Passwort gebunden ist, wird jenes Passwort nicht vom Gerät gelöscht.
Secure Enclave:
Sie haben möglicherweise noch nichts davon gehört. Secure Enclave ist eine Hardwarekomponente, die in allen iPhone 5s– und späteren Modellen, allen Mac-Modellen seit dem ersten MacBook Pro mit Touch Bar (und natürlich anderer Apple-Hardware) verwendet wird. Diese Komponente speichert die biometrischen Daten, die wir auf unseren Geräten verwenden (wie Fingerabdrücke und Gesichter). Zusätzlich zu biometrischen Daten werden auch Secure Boot-Präferenzen und FileVault-Schlüssel in diesem als Secure Enclave bezeichneten Bereich gespeichert.
Wenn diese Methode ausgewählt ist, bleiben der lokale Benutzername und das Passwort unverändert. Beim Zugriff auf eine beliebige Anwendung oder Webressource, die ein Passwort erfordert, verwendet sie einen in der Secure Enclave gespeicherten kryptografischen Schlüssel anstelle des Entra ID-Passworts. Der Hauptzweck der Verwendung dieser Methode ist es, die Verwendung von MFA (Multi-Factor Authentication) zu fördern und die Abhängigkeit von Passwörtern zu reduzieren.
Smart Card:
Diese Methode, die das in der vom Benutzer gehaltenen Smartcard definierte Zertifikat und die PIN-Nummer als Authentifizierungsmethode verwendet, ist darauf ausgelegt, den Bedarf an Passwörtern zu beseitigen, genau wie Secure Enclave. Der lokale Benutzername und das Passwort vor der PSSO-Konfiguration bleiben unverändert und geschützt.
Eine Vergleichstabelle für diese drei Authentifizierungsmethoden finden Sie unter dieser Adresse. Obwohl Microsofts Artikel angibt, dass die empfohlene Methode Secure Enclave ist, wird die Priorität für IT-Administratoren die Password Authentication sein. Der Grund für diese Präferenz kann darauf zurückgeführt werden, die Anzahl der Passwörter zu reduzieren, die sich Benutzer merken müssen, und Benutzern zu ermöglichen, sich mit ihren Entra ID-Passwörtern bei ihren Macs anzumelden. Wie Sie aus dem Vergleich im oben erwähnten Microsoft-Artikel sehen können, beinhalten die Secure Enclave– und Smart Card–Authentication-Methoden keine Synchronisierung des lokalen Kontopassworts mit Entra ID.
Wie funktioniert es nach der Verteilung der Konfiguration?
Fahren wir mit zwei verschiedenen Szenarien fort:
1. Derzeit aktiv genutzte Geräte
2. Von Grund auf einzurichtende Geräte.
1. In Gebrauch befindliche Geräte (Device Enrollment)
Wenn ein Mac zuvor ausgepackt, einem Benutzer übergeben wurde und noch in Gebrauch ist, können Sie jenes Gerät in einem MDM registrieren, ohne es zurückzusetzen. Der Name dieser Registrierungsmethode kann je nach MDM-Anbieter variieren. Apple nennt sie jedoch Device Enrollment. Der Prozess ist für fast jede MDM-Lösung ähnlich. Ihr MDM-Server stellt typischerweise einen Registrierungslink über eine URL bereit. Der Benutzer greift auf jenen Link zu und lädt das MDM Enrollment Profile herunter. Er installiert das Profil über die System Settings mit Admin-Berechtigungen, und das Gerät wird dann im betreffenden MDM registriert.
Die Art und Weise, dies speziell in Intune zu tun, ist manuell über die Company Portal-App. Microsoft stellt uns keine URL bereit, sondern sagt uns stattdessen, die Company Portal-App zu verwenden. Sie können die Company Portal-App unter dieser Adresse herunterladen. Der von Ihnen heruntergeladene Installer wird im .PKG-Format vorliegen, und Sie benötigen Admin-Berechtigungen, um ihn auf Ihrem Computer zu installieren. Nach Abschluss der Installation erscheint beim ersten Öffnen ein Bildschirm, der den Benutzer auffordert, seine in Entra ID definierten Benutzerinformationen einzugeben.
Im nächsten Schritt erscheint ein mit Begin beginnender Bildschirm auf dem Company Portal-Bildschirm. Dies ist der erste Schritt beim Herunterladen des oben von mir beschriebenen MDM-Enrollment-Profils über das Company Portal. Klicken Sie auf die Schaltfläche Begin. Im nächsten Schritt sehen Sie Informationen darüber, was Ihre Organisation über ein MDM auf Ihrem Gerät tun kann und was nicht. Klicken Sie auf die Schaltfläche Continue und dann auf die Schaltfläche Download, um das Enrollment-Profil herunterzuladen. Nachdem das Profil heruntergeladen wurde, sehen Sie eine Profile Downloaded-Benachrichtigung wie die untenstehende. Sie können den Rest des Prozesses über die System Settings fortsetzen.
Wenn Sie zu System Settings > General > Device Management gehen, sehen Sie das Enrollment-Profil, das auf das Laden wartet. Doppelklicken Sie darauf, um den Ladevorgang zu starten, und geben Sie Ihr Admin-Passwort ein, wenn Sie dazu aufgefordert werden. Nachdem das Enrollment-Profil installiert ist, werden alle Profile und Anwendungen automatisch geladen. Wenn Sie auch Platform SSO konfiguriert und an alle Geräte gesendet haben, erscheint PSSO ebenfalls unter den Profilen, die automatisch installiert werden.
Wenn die von Ihnen verwalteten Geräte diese Konfiguration erhalten, erscheint dem derzeit angemeldeten Benutzer eine Benachrichtigung mit dem Titel Registration Required. Wenn der Benutzer auf diese Benachrichtigung klickt, öffnet sich eine Seite mit dem Titel “Single Sign-On for Mac”. Nach Eingabe seines lokalen Kontopassworts, gefolgt von dem in Entra ID definierten Benutzernamen und Passwort, wird der aktuelle lokale Benutzer mit den Benutzerinformationen in Entra ID verknüpft. Nach Eingabe des Entra ID-Passworts muss der Benutzer sich auch mit Microsoft Authenticator für MFA verifizieren.
2. Zum ersten Mal einzurichtende Geräte (Automated Device Enrollment)
Wenn Ihre Benutzer ihre Geräte noch nicht in Besitz genommen haben, kann die Methode Automated Device Enrollment für die automatische Registrierung in MDM verwendet werden. Um diese Methode zu verwenden, müssen Sie Intune als MDM-Server mit dem Apple Business Manager konfigurieren und dann die Geräte, die Sie verwalten werden, von ABM zu Intune zuweisen.
Geräte, die im Abschnitt Devices des Apple Business Manager aufgelistet und Intune als MDM-Server zugewiesen sind, rufen das Enrollment-Profil während ihres ersten Starts von Intune ab. Dazu müssen Sie zuerst ein Enrollment Profile in Intune vorbereiten. Gehen Sie dazu zum Intune Admin Portal, navigieren Sie zu Devices > macOS > Enrollment > Enrollment program tokens und wählen Sie das zuvor erstellte DEP-Enrollment-Profil aus. Nach der Auswahl dieses Profils klicken Sie auf die Schaltfläche +Create im Abschnitt Profiles der sich öffnenden Seite, um Ihre MDM-Enrollment-Profileinstellungen zu konfigurieren. Die Enrollment-Profileinstellungen in Intune können in einem separaten Artikel behandelt werden. Aber um die Einstellungen dort kurz zu erklären, gibt es drei Hauptpunkte, auf die Sie achten müssen: Management Settings, Setup Assistant und Account Settings.
Unter dem Abschnitt Management Settings können Sie bestimmen, ob während der Registrierung eine Benutzerauthentifizierung mit den User Affinity-Optionen erforderlich sein soll. Dieser Prozess fordert während der Ersteinrichtung des Computers Entra ID-Informationen an, und das Gerät kann (selbst bei Zurücksetzung) nicht von jemandem ohne ein aktives Konto aktiviert oder geöffnet werden. Zusätzlich befindet sich die Funktion Locked Enrollment, die verhindert, dass der Benutzer das MDM-Enrollment-Profil löscht, ebenfalls unter Management Settings. Unter dem Abschnitt Setup Assistant können Sie wählen, welche Schritte während der Ersteinrichtung eines Mac angezeigt und welche ausgeblendet werden sollen. Wenn Sie Geräte mit der Methode Zero Touch Deployment bereitstellen, verhindert dieser Prozess, dass Benutzer während der Ersteinrichtung für sie irrelevante Bildschirme sehen. Unter dem Abschnitt Account Settings können Sie ein verstecktes Admin-Konto für die IT-Verwaltungsnutzung erstellen, automatisch ein lokales Konto für die Endbenutzernutzung erstellen, den Kontotyp (Standard oder Admin) auswählen und ermöglichen, dass der Benutzername basierend auf den in User Affinity ausgefüllten Informationen automatisch ausgefüllt wird. Das Passwort für den versteckten Admin-Benutzer, den die IT-Verwaltung verwenden wird, wird in diesem Bereich nicht festgelegt. Ein automatisch von LAPS generiertes Passwort wird erstellt, und dieses Passwort kann innerhalb von Intune aus den Gerätedatensätzen angezeigt werden.
Um PSSO mit der Methode Automated Device Enrollment zu verwenden, müssen die folgenden drei Bedingungen erfüllt sein:
- Das Gerät muss über den Apple Business Manager zu Intune zugewiesen sein
- Ein Enrollment-Profil muss in Intune erstellt werden
- Die PSSO-Konfiguration muss vorbereitet und an das Gerät gesendet werden
Wenn diese Bedingungen erfüllt sind, erscheint der Microsoft Sign-in-Bildschirm unter den Setup Assistant-Bildschirmen, wenn das Gerät zum ersten Mal eingeschaltet wird. Nachdem der Benutzer seine Anmeldeinformationen eingegeben und die MFA-Verifizierung durchgeführt hat, wird der Registrierungsprozess fortgesetzt.
Beim Einrichten des Enrollment Profile innerhalb von Intune wird die ausgewählte Funktion Prefill Account Info verwendet, um den auf dem Sign-In-Bildschirm eingegebenen Benutzernamen im Fenster Create a Mac Account auszufüllen. In diesem Bereich wird erwartet, dass nur das Passwortfeld ausgefüllt wird. Dieses Passwort ist das Passwort für das auf dem Computer erstellte lokale Konto.
Nach Abschluss der Setup Assistant-Schritte und Erreichen des Schreibtischs ist der Prozess dem Registrierungsschritt im Device Enrollment-Prozess sehr ähnlich. Dem Benutzer erscheint eine Benachrichtigung mit der Aufschrift “Registration Required”. Wenn der Benutzer auf diese Benachrichtigung klickt, öffnet sich eine Seite mit dem Titel “Single Sign-On for Mac”. Wenn der Benutzer zuerst sein lokales Kontopasswort und dann seinen Entra ID-Benutzernamen und sein Passwort eingibt, wird der bestehende lokale Benutzer mit den Benutzerinformationen in Entra ID verknüpft. Nachdem der Benutzer sein Entra ID-Passwort eingegeben hat, muss er sich auch mit Microsoft Authenticator für MFA verifizieren. Im letzten Schritt wird eine weitere Benachrichtigung angezeigt, die bestätigt, dass die Verknüpfung abgeschlossen wurde.
Nach Abschluss des Registrierungsprozesses können Sie, wenn Sie die Ticket Viewer-Anwendung von macOS öffnen, das aktive Kerberos-Ticket sehen. Sie können schnell mit einer Spotlight-Suche auf die Ticket Viewer-Anwendung zugreifen. Aber ihre Adresse innerhalb des Systems lautet wie folgt: Macintosh HD / System / Library / CoreServices / Applications / Ticket Viewer.app
Was ist neu in macOS Tahoe?
Wie Apple auf seiner WWDC 2025-Veranstaltung im Juni ankündigte, wird es nun Platform SSO im Setup Assistant unterstützen. Mit dieser Unterstützung müssen Sie nicht auf eine auf Ihrem Schreibtisch erscheinende Benachrichtigung klicken und den oben von mir erwähnten Schritten folgen, um den Platform SSO-Registrierungsprozess abzuschließen. Sie werden den Registrierungsprozess im Setup Assistant abschließen und auf Ihren Schreibtisch zugreifen können. Die Präsentation über What’s new in Apple device management and Identity von der WWDC 25 können Sie unten ansehen (Englisch).
Letztes Wort
Vielen Dank, dass Sie diesen langen Artikel bis zum Ende gelesen haben.
Falls Sie der Meinung sind, dass die deutsche Übersetzung Fehler enthält, schreiben Sie bitte eine E-Mail an melih.sancar@settings.blog
Kommentar verfassen