Použití modulu plug-in Microsoft Enterprise SSO na zařízeních s iOS/iPadOS

  • Článek

Modul plug-in Microsoft Enterprise SSO (SSO) poskytuje jednotné přihlašování aplikacím a webům, které k ověřování používají Microsoft Entra ID, včetně Microsoftu 365. Tento modul plug-in používá architekturu rozšíření aplikace pro jednotné přihlašování Apple. Snižuje počet výzev k ověření, které se uživatelům zobrazí při používání zařízení spravovaných přes Mobile Správa zařízení (MDM), včetně všech MDM, které podporují konfiguraci profilů jednotného přihlašování.

Po nastavení aplikace, které podporují knihovnu Microsoft Authentication Library (MSAL), automaticky využívají modul plug-in Microsoft Enterprise SSO. Aplikace, které nepodporují knihovnu MSAL, můžou toto rozšíření používat, včetně prohlížečů, jako je Safari, a aplikací, které používají rozhraní API webového zobrazení Safari. Stačí do konfigurace rozšíření přidat ID nebo předponu sady aplikací.

Pokud například chcete povolit aplikaci Microsoftu, která nepodporuje MSAL, přidejte com.microsoft. do vlastnosti AppPrefixAllowList . Buďte opatrní s aplikacemi, které povolíte, budou moct obejít interaktivní výzvy k přihlášení pro přihlášeného uživatele.

Další informace najdete v tématu Modul plug-in Microsoft Enterprise SSO pro zařízení Apple – aplikace, které nepoužívají MSAL.

Poznámka

V březnu 2024 bylo oznámeno, že Microsoft Entra ID se přesune z klíčenky apple kvůli ukládání klíčů identity zařízení. Od 3. čtvrtletí 2026 budou všechny nové registrace zařízení ve výchozím nastavení používat zabezpečenou enklávu společnosti Apple. Další informace najdete v článku Modul plug-in Microsoft Enterprise SSO pro zařízení Apple.

Tento článek se týká:

  • iOS/iPadOS

V tomto článku se dozvíte, jak nasadit modul plug-in Microsoft Enterprise SSO pro zařízení Apple s iOS/iPadOS s Intune, Jamf Pro a dalšími řešeními MDM.

Požadavky

Použití modulu plug-in Microsoft Enterprise SSO na zařízeních s iOS/iPadOS:

  • Zařízení spravuje Intune.

  • Zařízení musí podporovat modul plug-in:

    • iOS/iPadOS 13.0 a novější

  • Na zařízení musí být nainstalovaná aplikace Microsoft Authenticator.

    Uživatelé můžou aplikaci Microsoft Authenticator nainstalovat ručně. Nebo můžou správci nasadit aplikaci pomocí Intune. Informace o tom, jak nainstalovat aplikaci Microsoft Authenticator, najdete v tématu Správa hromadně zakoupených aplikací Apple.

Poznámka

Na zařízeních s iOS/iPadOS vyžaduje Společnost Apple instalaci rozšíření aplikace jednotného přihlašování a aplikace Microsoft Authenticator. Uživatelé nemusí aplikaci Microsoft Authenticator používat ani konfigurovat, stačí ji nainstalovat na zařízení.

Modul plug-in Microsoft Enterprise SSO vs. rozšíření Kerberos SSO

Když používáte rozšíření aplikace s jednotným přihlašováním, použijete k ověřování typ jednotné přihlašování nebo datové části Kerberos . Rozšíření aplikace s jednotným přihlašováním je navržené tak, aby zlepšilo přihlašování pro aplikace a weby, které používají tyto metody ověřování.

Modul plug-in Microsoft Enterprise SSO používá typ datové části jednotného přihlašování s ověřováním přesměrovávání . Typy rozšíření Přesměrování jednotného přihlašování a Kerberos je možné použít na zařízení současně. Nezapomeňte vytvořit samostatné profily zařízení pro každý typ rozšíření, který chcete na svých zařízeních používat.

Pokud chcete určit správný typ rozšíření jednotného přihlašování pro váš scénář, použijte následující tabulku:

Modul plug-in Microsoft Enterprise SSO pro zařízení Apple Rozšíření aplikace pro jednotné přihlašování pomocí protokolu Kerberos
Používá typ rozšíření aplikace Microsoft Entra ID jednotného přihlašování. Používá typ rozšíření aplikace s jednotným přihlašováním Kerberos .
Podporuje následující aplikace:
– Microsoft 365
– Aplikace, weby nebo služby integrované s Microsoft Entra ID		 Podporuje následující aplikace:
– Aplikace, weby nebo služby integrované s AD

Další informace o rozšíření jednotného přihlašování najdete v tématu Rozšíření aplikace pro jednotné přihlašování.

Vytvoření konfiguračního profilu rozšíření aplikace pro jednotné přihlašování

V Centru pro správu Microsoft Intune vytvořte profil konfigurace zařízení. Tento profil obsahuje nastavení pro konfiguraci rozšíření aplikace jednotného přihlašování na zařízeních.

  1. Přihlaste se do Centra pro správu Microsoft Intune.

  2. Vyberte Vytvořitkonfiguraci>zařízení>.

  3. Zadejte tyto vlastnosti:

    • Platforma: Vyberte iOS/iPadOS.
    • Typ profilu: Vyberte Šablony>Funkce zařízení.

  4. Vyberte Vytvořit:

    Snímek obrazovky, který ukazuje, jak vytvořit konfigurační profil funkcí zařízení pro iOS/iPadOS v Intune

  5. V Základy zadejte následující vlastnosti:

    • Název: Zadejte popisný název zásady. Zásady pojmenujte, abyste je později mohli snadno identifikovat. Dobrým názvem zásady je například iOS: Modul plug-in Microsoft Enterprise SSO.
    • Popis: Zadejte popis zásady. Toto nastavení není povinné, ale doporučujeme ho zadat.

  6. Vyberte Další.

  7. V nastavení konfigurace vyberte Rozšíření aplikace jednotného přihlašování a nakonfigurujte následující vlastnosti:

    • Typ rozšíření aplikace s jednotným přihlašováním: Vyberte Microsoft Entra ID.

      Snímek obrazovky znázorňující typ rozšíření aplikace s jednotným přihlašováním a Microsoft Entra ID pro iOS/iPadOS v Intune

    • Povolit režim sdíleného zařízení:

      • Nenakonfigurované: Intune toto nastavení nemění ani neaktualizuje.

        Pro většinu scénářů, včetně sdíleného iPadu, osobních zařízení a zařízení s přidružením uživatele nebo bez, vyberte tuto možnost.

      • Ano: Tuto možnost vyberte jenom v případě, že cílová zařízení používají Microsoft Entra režim sdíleného zařízení. Další informace najdete v článku Přehled režimu sdíleného zařízení.

    • ID sady aplikací: Zadejte seznam ID sad pro aplikace, které nepodporují MSAL a můžou používat jednotné přihlašování. Další informace najdete v tématu Aplikace, které nepoužívají knihovnu MSAL.

    • Další konfigurace: Pokud chcete přizpůsobit prostředí koncového uživatele, můžete přidat následující vlastnosti. Tyto vlastnosti jsou výchozí hodnoty používané rozšířením Microsoftu pro jednotné přihlašování, ale dají se přizpůsobit potřebám vaší organizace:

      Klíč Typ Popis
      AppPrefixAllowList String Doporučená hodnota: com.apple.

      Zadejte seznam předpon pro aplikace, které nepodporují knihovnu MSAL a můžou používat jednotné přihlašování. Zadáním například com.microsoft.,com.apple. povolíte všechny aplikace Microsoftu a Apple.

      Ujistěte se, že tyto aplikace splňují požadavky na seznam povolených.
      browser_sso_interaction_enabled Celé číslo Doporučená hodnota: 1

      Pokud je tato možnost nastavená na 1, uživatelé se můžou přihlašovat z prohlížeče Safari a z aplikací, které msal nepodporují. Povolení tohoto nastavení umožní uživatelům spustit rozšíření ze Safari nebo jiných aplikací.
      disable_explicit_app_prompt Celé číslo Doporučená hodnota: 1

      Některé aplikace můžou nesprávně vynucovat výzvy koncových uživatelů ve vrstvě protokolu. Pokud narazíte na tento problém, zobrazí se uživatelům výzva k přihlášení, i když modul plug-in Microsoft Enterprise SSO funguje pro jiné aplikace.

      Při nastavení na 1 hodnotu (jedna) se tyto výzvy zmenšují.

      Tip

      Další informace o těchto vlastnostech a dalších vlastnostech, které můžete konfigurovat, najdete v tématu Modul plug-in Microsoft Enterprise SSO pro zařízení Apple.

      Až dokončíte konfiguraci nastavení a povolíte aplikace Microsoft & Apple, budou nastavení vypadat podobně jako následující hodnoty ve vašem Intune konfiguračním profilu:

      Snímek obrazovky znázorňující možnosti konfigurace prostředí koncového uživatele pro modul plug-in Podnikové jednotné přihlašování na zařízeních s iOS/iPadOS v Intune

  8. Pokračujte ve vytváření profilu a přiřaďte ho uživatelům nebo skupinám, které obdrží tato nastavení. Konkrétní kroky najdete v tématu Vytvoření profilu.

    Pokyny k přiřazování profilů najdete v tématu Přiřazení profilů uživatelů a zařízení.

Když se zařízení přihlásí ke službě Intune, obdrží tento profil. Další informace najdete v tématu Intervaly aktualizace zásad.

Pokud chcete zkontrolovat, jestli je profil správně nasazený, přejděte v Centru pro správu Intune dočásti Konfigurace>zařízení>, vyberte profil, který jste vytvořili, a vygenerujte sestavu:

Snímek obrazovky znázorňující sestavu nasazení konfiguračního profilu zařízení s iOS/iPadOS v Intune

Prostředí koncového uživatele

Vývojový diagram koncového uživatele při instalaci rozšíření aplikace s jednotným přihlašováním na zařízeních s iOS/iPadOS

  • Pokud aplikaci Microsoft Authenticator nenasazujete pomocí zásad aplikace, musí ji uživatelé nainstalovat ručně. Uživatelé nemusí používat aplikaci Authenticator, stačí ji nainstalovat na zařízení.

  • Uživatelé se přihlásí k jakékoli podporované aplikaci nebo webu, aby mohli rozšíření spustit. Bootstrap je proces prvního přihlášení, který nastavuje rozšíření.

  • Po úspěšném přihlášení uživatelů se rozšíření automaticky použije k přihlášení k jakékoli jiné podporované aplikaci nebo webu.

Jednotné přihlašování můžete otestovat tak, že otevřete Safari v privátním režimu (otevře web společnosti Apple) a otevřete https://portal.office.com web. Nebude vyžadováno uživatelské jméno a heslo.

Animace znázorňující jednotné přihlašování v iPadOS

Tip

Další informace o tom, jak modul plug-in pro jednotné přihlašování funguje a jak řešit potíže s rozšířením Microsoft Enterprise SSO, najdete v průvodci odstraňováním potíží s jednotným přihlašováním pro zařízení Apple.

Další kroky