Joindre un appareil Mac à Microsoft Entra ID à l’aide du Portail d’entreprise (préversion)

Article
05/10/2024

Dans ce tutoriel, vous allez apprendre à inscrire un appareil Mac auprès de l’authentification unique de la plateforme (PSSO) pour macOS, à l’aide du Portail d’entreprise et de l’inscription GPM Intune avec jonction Microsoft Entra. Il existe trois méthodes avec lesquelles vous pouvez inscrire un appareil Mac avec la PSSO : Secure Enclave, une carte à puce ou un mot de passe. Nous vous recommandons d’utiliser Secure Enclave ou une carte à puce pour la meilleure expérience sans mot de passe, mais il est important de noter que cette méthode sera prédéfinie par votre administrateur d’entreprise à l’aide de Microsoft Intune.

Prérequis

Une version minimale recommandée de macOS 14 Sonoma. Bien que macOS 13 Ventura soit pris en charge, nous vous recommandons vivement d’utiliser macOS 14 Sonoma pour une expérience optimale.
L’application Microsoft Intune Portail d’entreprise version 5.2404.0 ou ultérieure
Une charge utile GPM de l’extension SSO avec les paramètres PSSO configurés dans Intune par un administrateur
Microsoft Authenticator (recommandé), l’utilisateur doit être inscrit pour une forme d’authentification multifacteur (MFA) Microsoft Entra ID pour terminer l’inscription de l’appareil.
Pour la configuration des cartes à puce, l’authentification basée sur des certificats configurée et activée. Une carte à puce chargée avec un certificat pour l’authentification avec Microsoft Entra et la carte à puce appairée à un compte local.

GPM Intune et jonction Microsoft Entra à l’aide du Portail d’entreprise

Pour inscrire un appareil Mac auprès de la PSSO, vous devez d’abord inscrire votre appareil dans Microsoft Intune à l’aide de l’application Portail d’entreprise. Une fois inscrit, vous pouvez utiliser Secure Enclave, une carte à puce ou un mot de passe pour inscrire votre appareil auprès de la PSSO.

Ouvrez l’application Portail d’entreprise et sélectionnez Se connecter.
Entrez vos informations d’identification Microsoft Entra ID, puis sélectionnez Suivant.
Vous êtes invité à configurer l’accès {Société}. L’espace réservé « Société » peut différer en fonction de votre configuration. Sélectionnez Commencer, puis, sur l’écran suivant, sélectionnez Continuer.
Des étapes permettant d’installer le profil de gestion s’affichent, qui doivent être configurées par un administrateur à l’aide de Microsoft Intune. Sélectionnez Télécharger le profil.
Ouvrez Paramètres>Confidentialité et sécurité>Profils si cette page ne s’ouvre pas automatiquement. Sélectionnez Profil de gestion.
Sélectionnez Installer pour accéder aux ressources de l’entreprise.
Entrez le mot de passe de votre appareil local dans la fenêtre Profils qui s’affiche et sélectionnez Inscrire.
Une notification s’affiche dans le Portail d’entreprise indiquant que l’installation est terminée. Cliquez sur Terminé.

Inscription auprès de l’authentification unique de la plateforme (PSSO)

Maintenant que l’appareil est conforme au Portail d’entreprise, vous devez inscrire votre appareil auprès de la PSSO. Une fenêtre contextuelle Inscription requise s’affiche en haut à droite de l’écran une fois la GPM Intune et la jonction Microsoft Entra à l’aide du Portail d’entreprise terminées. Utilisez les onglets pour inscrire votre appareil auprès de la PSSO à l’aide de Secure Enclave, d’une carte à puce ou d’un mot de passe.

Accédez à la fenêtre contextuelle Inscription requise en haut à droite de l’écran. Pointez sur la fenêtre contextuelle et sélectionnez S’inscrire. Pour les utilisateurs macOS 14 Sonoma, vous verrez un message vous invitant à inscrire votre appareil auprès de Microsoft Entra. Cette invite n’apparaît pas pour macOS 13 Ventura.
Une fois votre compte déverrouillé avec Touch ID ou le mot de passe, sélectionnez le compte auquel vous connecter, entrez vos informations d’identification de connexion et sélectionnez Suivant.
L’authentification multifacteur est requise dans le cadre de ce flux de connexion. Ouvrez votre application Authenticator (recommandé) ou utilisez les autres méthodes MFA que vous avez inscrites, puis entrez le numéro affiché à l’écran pour terminer l’inscription.
Une fois le flux MFA terminé et que l’écran de chargement disparaît, votre appareil doit être inscrit auprès de la PSSO. Vous pouvez maintenant utiliser la PSSO pour accéder aux ressources d’application Microsoft.

Activer les informations d’identification de la plateforme pour macOS en tant que clé d’accès

La configuration de votre appareil à l’aide de la méthode Secure Enclave vous permet d’utiliser les informations d’identification obtenues enregistrées sur le Mac en tant que clé d’accès dans le navigateur. Pour l’activer :

Ouvrez l’application Paramètres, puis accédez à Mots de passe>Options de mot de passe.
Sous Options de mot de passe, recherchez Utiliser des mots de passe et des clés d’accès à partir de et activez Portail d’entreprise via le commutateur bascule.

Appairer la carte à puce à votre compte local

Avant de pouvoir inscrire votre appareil avec une carte à puce, vous devez appairer la carte à puce à votre compte local. Ouvrez l’application Terminal et exécutez les commandes suivantes pour rechercher le hachage de clé publique du certificat de carte à puce et l’appairer à votre compte local, puis vérifiez que l’opération a réussi. Cette opération doit être exécutée à l’aide de sudo.

sc_auth identities
sudo sc_auth pair -h <HASH> -u <USERNAME>
sc_auth list

Inscrire votre appareil avec la carte à puce

Accédez à la fenêtre contextuelle Inscription requise en haut à droite de l’écran. Pointez sur la fenêtre contextuelle et sélectionnez S’inscrire. Si votre carte à puce est appairée à votre compte local, une invite s’affiche pour entrer le code pin de la carte à puce
Votre administrateur a peut-être configuré l’authentification multifacteur pour le flux d’inscription d’appareil. Si c’est le cas, ouvrez votre application Authenticator sur votre appareil mobile et terminez le flux MFA.
Si le certificat n’est pas déjà appairé au compte local, l’utilisateur voit un message l’invitant à utiliser la carte à puce. Sélectionnez Carte à puce.
Vous êtes invité à entrer le code pin de votre carte à puce. Entrez votre code pin et sélectionnez Entrer le code pin pour la carte à puce. Lorsque le code pin correct est entré, l’inscription à la PSSO avec l’authentification par carte à puce est terminée.
Vous pouvez maintenant utiliser la PSSO pour accéder aux ressources d’application Microsoft et déverrouiller l’appareil avec le code pin de la carte à puce. Vous devrez utiliser le mot de passe local pour vous connecter après un redémarrage pour déverrouiller l’accès à la chaîne de clé.

Vérifier l’état de l’inscription de votre appareil

Une fois que vous avez effectué les étapes ci-dessus, il est judicieux de vérifier l’état de l’inscription de votre appareil.

Pour vérifier que l’inscription s’est terminée correctement, accédez à Paramètres, puis sélectionnez Utilisateurs et groupes.
Sélectionnez Modifier en regard de Serveur de compte réseau et vérifiez que PSSO est répertoriée comme Inscrite.
Pour vérifier la méthode utilisée pour l’authentification, accédez à votre nom d’utilisateur dans la fenêtre Utilisateurs et groupes, puis sélectionnez l’icône Informations. Vérifiez la méthode répertoriée, qui doit être Secure Enclave, Carte à puce ou Mot de passe.
Remarque

Vous pouvez également utiliser l’application Terminal pour vérifier l’état de l’inscription. Exécutez la commande suivante pour vérifier l’état de l’inscription de votre appareil. Vous devez voir en bas de la sortie que les jetons SSO sont récupérés. Pour les utilisateurs macOS 13 Ventura, cette commande est requise pour vérifier l’état de l’inscription.
```
app-sso platform -s
```

Mettre à jour votre appareil Mac pour activer la PSSO

Pour les utilisateurs macOS dont l’appareil est déjà inscrit dans le Portail d’entreprise, votre administrateur peut activer la PSSO en mettant à jour le profil d’extension SSO de votre appareil. Une fois le profil PSSO déployé et installé sur votre appareil, vous êtes invité à inscrire votre appareil auprès de la PSSO via la notification Inscription requise en haut à droite de l’écran. Cette opération supprime l’ancienne inscription SSO de votre appareil et la remplace par la nouvelle inscription à la PSSO.

Bien qu’il soit recommandé de le faire immédiatement, vous pouvez choisir de le sélectionner et de démarrer l’inscription de votre appareil quand cela sera pratique pour vous.

Partage via