Aggiungere un dispositivo Mac con Microsoft Entra ID usando Portale aziendale (anteprima)

Questa esercitazione descrive come registrare un dispositivo Mac con macOS Platform Single Sign-On (PSSO) usando Portale aziendale e la registrazione MDM di Intune con Microsoft Entra Join. Esistono tre metodi in cui è possibile registrare un dispositivo Mac con PSSO, enclave sicuro, smart card o password. È consigliabile usare l'enclave sicuro o la smart card per un'esperienza senza password ottimale, ma è importante notare che questo metodo verrà preimpostato dall'amministratore aziendale con Microsoft Intune.

Prerequisiti

• Si consiglia come versione minima macOS 14 Sonoma. Sebbene macOS 13 Ventura sia supportato, si consiglia l'uso di macOS 14 Sonoma per un'esperienza ottimale.
• Microsoft Intune Portale aziendale app versione 5.2404.0 o successiva
• Un dispositivo Mac registrato nella gestione di dispositivi mobili (MDM) con Microsoft Intune.
• Payload MDM dell'estensione SSO configurato con le impostazioni PSSO in Intune da un amministratore
• Microsoft Authenticator (scelta consigliata), l'utente deve essere registrato per qualche forma di autenticazione a più fattori (MFA) di Microsoft Entra ID per completare la registrazione del dispositivo.
• Per la configurazione della smart card, l'autenticazione basata su certificato configurata e abilitata. Una smart card caricata con un certificato per l'autenticazione con Microsoft Entra e la smart card associata all'account locale.

Intune MDM e Microsoft Entra Join con Portale aziendale

Per registrare un dispositivo Mac con PSSO, è prima necessario registrare il dispositivo in Microsoft Intune usando l'app Portale aziendale. Dopo la registrazione, è possibile usare l'enclave sicuro, la smart card o la password per registrare il dispositivo con PSSO.

1. Aprire l'app Portale aziendale e selezionare Accedi.

2. Immettere le credenziali di Microsoft Entra ID e selezionare Avanti.

3. Viene richiesto di configurare l'accesso a {Company}. Il segnaposto "Company" è diverso a seconda della configurazione. Selezionare Inizia, quindi nella schermata successiva selezionare Continua.

   

4. Vengono illustrati i passaggi per installare il profilo di gestione, che deve essere configurato da un amministratore tramite Microsoft Intune. Selezionare Scarica profilo.

   

5. Aprire Impostazioni>Privacy e Profili di sicurezza>se non viene visualizzato automaticamente. Selezionare Profilo di gestione.

   

6. Selezionare Installa per ottenere l'accesso alle risorse aziendali.

   

7. Immettere la password del dispositivo locale nella finestra Profili visualizzata e selezionare Registra.

   

8. Verrà visualizzata una notifica in Portale aziendale che l'installazione è stata completata. Selezionare Fatto.

Registrazione dell'accesso Single Sign-On di Platform

Ora che il dispositivo è conforme a Portale aziendale, è necessario registrare il dispositivo con PSSO. Viene visualizzata una finestra popup Registrazione obbligatoria nella parte superiore destra della schermata dopo il completamento riuscito di Intune MDM e Microsoft Entra Join usando Portale aziendale. Usare le schede per registrare il dispositivo con PSSO usando enclave sicuro, smart card o password.

Enclave sicura

1. Passare all'elemento popup Registrazione richiesta nella parte superiore destra della schermata. Passare il puntatore del mouse sull'elemento popup e selezionare Registra. Per gli utenti di macOS 14 Sonoma, verrà visualizzato un prompt che richiede la registrazione del dispositivo con Microsoft Entra. Questo prompt non viene visualizzato per macOS 13 Ventura.

   

2. Dopo aver sbloccato l'account con Touch ID o password, selezionare l'account a cui accedere, immettere le credenziali di accesso e selezionare Avanti.

3. L'autenticazione a più fattori è richiesta come parte di questo flusso di accesso. Aprire l'app Authenticator (scelta consigliata) o usare gli altri metodi MFA registrati e immettere il numero visualizzato nella schermata per completare la registrazione.

4. Quando il flusso dell'autenticazione a più fattori è stato completato e la schermata di caricamento scompare, il dispositivo deve essere registrato con PSSO. Adesso è possibile usare PSSO per accedere alle risorse app Microsoft.

Abilitare le credenziali della piattaforma per macOS da usare come passkey

La configurazione del dispositivo con il metodo dell'enclave sicura consente di utilizzare le credenziali risultanti salvate nel Mac come passkey nel browser. Per abilitarle:

1. Aprire l'app Impostazioni, quindi passare a Password>Opzioni password.

2. In Opzioni password, trovare Usa password e passkey da e abilitare il Portale aziendale con l'opzione di attivazione/disattivazione.

   

Smart card

Associare la smart card all'account locale

Prima di poter registrare il dispositivo con una smart card, è necessario associare la smart card all'account locale. Aprire l'app Terminale ed eseguire i comandi seguenti per trovare l'hash della chiave pubblica del certificato della smart card e associarla all'account locale, quindi verificare che l'operazione sia stata eseguita correttamente. L'operazione deve essere eseguita usando sudo.

sc_auth identities
sudo sc_auth pair -h <HASH> -u <USERNAME>
sc_auth list

Registrare il dispositivo con la smart card

1. Passare all'elemento popup Registrazione richiesta nella parte superiore destra della schermata. Passare il puntatore del mouse sull'elemento popup e selezionare Registra. Se la smart card è associata all'account locale, verrà visualizzato un prompt che richiede di immettere il pin della smart card

   

2. L'amministratore potrebbe aver configurato l'autenticazione a più fattori per il flusso di registrazione del dispositivo. In tal caso, aprire l'app Authenticator nel dispositivo mobile e completare il flusso di autenticazione a più fattori.

   

3. Se il certificato non è già associato all'account locale, verrà visualizzato un prompt che richiede di utilizzare la smart card. Selezionare Smart card.

4. Verrà richiesto di immettere il pin della smart card. Immettere il pin e selezionare Invia pin della smart card. Se viene immesso il pin corretto, la registrazione PSSO con autenticazione tramite smart card viene completata.

5. Adesso è possibile usare PSSO per accedere alle risorse app Microsoft e sbloccare il dispositivo con il pin della smart card. Si dovrà usare la password locale per eseguire l’accesso dopo un riavvio per sbloccare l'accesso portachiavi.

Password

1. Passare all'elemento popup Registrazione richiesta nella parte superiore destra della schermata. Passare il puntatore del mouse sull'elemento popup e selezionare Registra.

   • Per gli utenti di MacOS 13 Riceverai un prompt per registrare il dispositivo con Microsoft Entra ID. Immettere le credenziali di accesso e selezionare Avanti.

   

2. Viene richiesto di registrare il dispositivo con Microsoft Entra ID. Immettere le credenziali di accesso e selezionare Avanti.

   1. L'amministratore potrebbe aver configurato l'autenticazione a più fattori per il flusso di registrazione del dispositivo. In tal caso, aprire l'app Authenticator nel dispositivo mobile e completare il flusso di autenticazione a più fattori.

   

3. Quando viene visualizzata una finestra Single Sign-On , immettere la password dell'account locale e selezionare OK. Se si usa macOS 14,

   

4. Se la password locale è diversa dalla password di Microsoft Entra ID, viene visualizzato l'elemento popup Autenticazione richiesta nella parte superiore destra della schermata. Passare il puntatore del mouse sul banner e selezionare Accedi.

5. Quando viene visualizzata una finestra Microsoft Entra, immettere la password di Microsoft Entra ID e selezionare Accedi.

   

6. Dopo aver sbloccato il Mac, adesso è possibile usare PSSO per accedere alle risorse app Microsoft. D'ora in avanti, la vecchia password non funzionerà perché PSSO è abilitato per il dispositivo.

Verificare lo stato di registrazione del dispositivo

Dopo aver completato i passaggi precedenti, è buona prassi verificare lo stato di registrazione del dispositivo.

1. Per verificare che la registrazione sia stata completata correttamente, passare a Impostazioni, quindi selezionare Utenti e gruppi.

2. Selezionare Modifica accanto a Server account di rete e verificare che Platform SSO sia indicato come Registrato.

3. Per verificare il metodo usato per l'autenticazione, passare al nome utente nella finestra Utenti e gruppi, quindi selezionare l'icona Informazioni. Controllare il metodo elencato, che deve essere Enclave sicura, Smart Card o Password.

   Nota

   Inoltre, è possibile usare l'app Terminale per controllare lo stato della registrazione. Eseguire il comando seguente per verificare lo stato della registrazione del dispositivo. Nella parte inferiore dell'output verrò indicato che i token SSO sono stati recuperati. Per gli utenti di macOS 13 Ventura, questo comando è necessario per controllare lo stato della registrazione.

   app-sso platform -s
   

Aggiornare il dispositivo Mac per abilitare l'accesso PSSO

Per gli utenti macOS il cui dispositivo è già registrato in Portale aziendale, l'amministratore può abilitare PSSO aggiornando il profilo di estensione SSO del dispositivo. Dopo aver distribuito e installato il profilo PSSO nel dispositivo, viene richiesto di registrare il dispositivo con PSSO tramite la notifica Registrazione richiesta nella parte superiore destra della schermata. In questo modo verrà rimossa la registrazione SSO precedente dal dispositivo al posto della nuova registrazione PSSO.

Anche se è consigliabile farlo immediatamente, è possibile scegliere di selezionarlo e avviare la registrazione del dispositivo alla volta.

Vedi anche

• Aggiungere un dispositivo Mac con Microsoft Entra ID durante l'esperienza predefinita
• Opzioni di autenticazione senza password per Microsoft Entra ID
• Pianificare una distribuzione dell'autenticazione senza password in Microsoft Entra ID
• Plug-in Microsoft Enterprise SSO per dispositivi Apple