Verwenden Sie Platform SSO in Ihrer Organisation? Haben Sie nach dem macOS Golden Gate-Übergang ein Authentifizierungsproblem in Bezug auf Platform SSO erlebt? In den letzten Wochen habe ich von mehr als einem Unternehmen, das Platform SSO verwendet, Rückmeldungen wie diese erhalten: „Der Platform-SSO-Workflow, der problemlos funktionierte, begann nach dem Golden-Gate-Übergang Anmeldeprobleme zu zeigen.“ Benutzer erhalten die Warnung „Authentication failed. Try again or contact your administrator“ und können sich nicht bei ihren Computern anmelden und/oder den Platform SSO registration-Vorgang nicht abschließen.
Mitte Oktober 2026, zum Zeitpunkt des Schreibens dieses Artikels, wurde es von Microsoft und Apple nicht als ein „Known Issue“ erfasst. Wir sehen in den Release Notes der Beta-Versionen von macOS 26.2 nur die folgende Formulierung, die mit dem Thema zusammenhängen könnte:
The new Platform SSO login experience at FileVault unlock, at the Lock Screen, and at the login window is now only used automatically when AuthenticationMethod is set to OpenID, or when LoginPolicy, UnlockPolicy, or FileVaultPolicy are set to RequireTouchID or RequireTouchIDOrWatch. You can also set AlwaysUseLoginUI to true to enable the same experience for other supported authentication methods.
Lassen Sie mich erklären, was gesagt wird, ohne es eins zu eins zu übersetzen: Die auf der WWDC angekündigte webbasierte Login-Erfahrung wird ab 27.2 nur in den folgenden Fällen gültig sein:
- Falls OpenID als Authentication Method ausgewählt ist
- Falls für LoginPolicy, UnlockPolicy und FileVaultPolicy die Verifizierung mit Touch ID oder Apple Watch verwendet wird
Was wir aus dieser Erklärung verstehen, ist, dass vor 27.2 die neue Login-Erfahrung für alle Authentication-Methoden, einschließlich Password, verwendet wurde. Und das kann dazu geführt haben, dass sie nicht als Fallback auf den klassischen Login-Bildschirm zurückfallen konnte.
Bisher hat unter den Anbietern nur Okta dieses Thema dokumentiert. Okta geht in seinem Artikel mit dem Titel Platform SSO Authentication Failures Occur After Upgrading to macOS 27 auf dieses Problem ein. Sie schreiben, dass die dem Problem zugrunde liegende Ursache ist, dass die Platform SSO-Geräteverschlüsselungsschlüssel für einige Benutzer unzugänglich sind..
Lösungsvorschläge
Oktas erster Vorschlag für eine Lösung war „gehen Sie nicht auf macOS 27 über“. 🙂
Darüber hinaus haben sie zunächst einen Neustart empfohlen, damit das Gerät die notwendigen Verschlüsselungsschlüssel neu erzeugen kann, und danach die Eingabe des Gerätepassworts, um die Keychain entsperren zu können. Sie haben auch hinzugefügt, bei Bedarf erneut neu starten. Es ist wirklich sehr nett, dass Okta in guter Absicht einige Schritte für eine Lösung vorschlägt, aber das Problem hier ist ja bereits, dass das Gerätepasswort nicht akzeptiert wird.
Ein schneller Workaround
Um dieses Problem schnell loszuwerden, sollten Sie Ihren Mac von der macOS Recovery starten, das lokale Benutzerpasswort zurücksetzen und neu starten. Nachdem Sie dies getan haben, erscheint der Platform SSO Registration-Vorgang erneut vor Ihnen. Indem Sie den Schritten im sich öffnenden Platform SSO Registration-Pop-up folgen, können Sie das von Ihnen zurückgesetzte lokale Kontopasswort erneut mit dem IdP abgleichen.
Ich gehe nicht auf die Details ein, da ich sie zuvor in verschiedenen Artikeln behandelt habe. Aber für das Zurücksetzen des Passworts über die macOS Recovery benötigen Sie den FileVault-Wiederherstellungsschlüssel, falls er aktiviert ist, und das Recovery Lock-Passwort, ebenfalls falls es aktiviert ist. Beide dieser Informationen können Sie über das von Ihnen verwendete MDM erhalten.
Noch eine Alternative
Wenn die Optionen FileVault Policy, Login Policy und Unlock Policy in Ihrer Platform SSO-Konfiguration zuvor nicht aktiv waren, können Sie diese auch mit dem Schlüssel AttemptAuthentication aktivieren. Auf diese Weise wird sie zuerst die Anmeldung mit dem IdP– (Entra oder Okta) Kontopasswort versuchen und danach als Fallback beginnen, das lokale Benutzerpasswort zu versuchen. Natürlich ist auch dies keine endgültige Lösung des Problems. Es gibt in der MacAdmins-Slack-Gruppe Benutzer, die berichten, das Problem selbst dann zu erleben, wenn diese Optionen aktiv sind.
Von diesem Punkt an warten wir darauf, dass Apple die finale Version von macOS 27.2, dessen 4. Beta-Version es heute veröffentlicht hat, herausbringt und dass diese Version ein Heilmittel für dieses Leid ist.
Kommentar verfassen