Usare il plug-in SSO di Microsoft Enterprise nei dispositivi macOS

  • Articolo

Il plug-in SSO di Microsoft Enterprise fornisce l'accesso Single Sign-On (SSO) ad app e siti Web che usano Microsoft Entra ID per l'autenticazione, tra cui Microsoft 365. Questo plug-in usa il framework di estensione dell'app Single Sign-On di Apple. Riduce il numero di richieste di autenticazione che gli utenti ricevono quando usano dispositivi gestiti da Mobile Gestione dispositivi (MDM), inclusi tutti i dispositivi MDM che supportano la configurazione dei profili SSO.

Dopo la configurazione, le app che supportano Microsoft Authentication Library (MSAL) sfruttano automaticamente il plug-in Microsoft Enterprise SSO. Le app che non supportano MSAL possono usare l'estensione, inclusi browser come Safari e app che usano le API di visualizzazione Web safari. È sufficiente aggiungere l'ID bundle dell'applicazione o il prefisso alla configurazione dell'estensione.

Ad esempio, per consentire a un'app Microsoft che non supporta MSAL, aggiungere com.microsoft. alla proprietà AppPrefixAllowList . Prestare attenzione alle app consentite, saranno in grado di ignorare le richieste di accesso interattive per l'utente connesso.

Per altre informazioni, vedere Plug-in SSO di Microsoft Enterprise per dispositivi Apple: app che non usano MSAL.

Nota

Annunciato nel marzo 2024, Microsoft Entra ID si sposterà dal keychain di Apple per archiviare le chiavi di identità del dispositivo. A partire dal terzo trimestre 2026, tutte le nuove registrazioni dei dispositivi useranno l'enclave sicuro di Apple per impostazione predefinita. Per altre informazioni, vedere Plug-in SSO di Microsoft Enterprise per dispositivi Apple.

Questo articolo si applica a:

  • macOS

Questo articolo illustra come distribuire il plug-in Microsoft Enterprise SSO per dispositivi Apple macOS con Intune, Jamf Pro e altre soluzioni MDM.

Prerequisiti

Per usare il plug-in SSO di Microsoft Enterprise nei dispositivi macOS:

  • Il dispositivo viene gestito da Intune.
  • Il dispositivo deve supportare il plug-in:
    • macOS 10.15 e versioni successive
  • L'app Microsoft Portale aziendale deve essere installata e configurata nel dispositivo.

Plug-in Microsoft Enterprise SSO e estensione Kerberos SSO

Quando si usa l'estensione dell'app SSO, si usa il tipo di payload SSO o Kerberos per l'autenticazione. L'estensione dell'app SSO è progettata per migliorare l'esperienza di accesso per le app e i siti Web che usano questi metodi di autenticazione.

Il plug-in SSO di Microsoft Enterprise usa il tipo di payload SSO con l'autenticazione di reindirizzamento . I tipi di estensione Reindirizzamento SSO e Kerberos possono essere usati contemporaneamente in un dispositivo. Assicurarsi di creare profili di dispositivo separati per ogni tipo di estensione che si prevede di usare nei dispositivi.

Per determinare il tipo di estensione SSO corretto per lo scenario, usare la tabella seguente:

Plug-in Microsoft Enterprise SSO per dispositivi Apple Estensione dell'app Single Sign-On con Kerberos
Usa il tipo di estensione dell'app SSO Microsoft Entra ID Usa il tipo di estensione dell'app Kerberos SSO
Supporta le app seguenti:
- Microsoft 365
- App, siti Web o servizi integrati con Microsoft Entra ID		 Supporta le app seguenti:
- App, siti Web o servizi integrati con AD

Per altre informazioni sull'estensione Single Sign-On, passare all'estensione dell'app Single Sign-On.

Creare un profilo di configurazione dell'estensione dell'app Single Sign-On

Nell'interfaccia di amministrazione Microsoft Intune creare un profilo di configurazione del dispositivo. Questo profilo include le impostazioni per configurare l'estensione dell'app SSO nei dispositivi.

  1. Accedere all'interfaccia di amministrazione Microsoft Intune.

  2. Selezionare Device Configuration Create (Crea configurazione>dispositivi>).

  3. Immettere le seguenti proprietà:

    • Piattaforma: selezionare macOS.
    • Tipo di profilo: selezionare Modelli>Funzionalità del dispositivo.

  4. Selezionare Crea:

    Screenshot che mostra come creare un profilo di configurazione delle funzionalità del dispositivo per macOS in Intune.

  5. In Informazioni di base immettere le seguenti proprietà:

    • Nome: immettere un nome descrittivo per il criterio. Assegnare ai criteri nomi che possano essere identificati facilmente in un secondo momento. Ad esempio, un nome di criterio valido è macOS: plug-in SSO di Microsoft Enterprise.
    • Descrizione: immettere una descrizione per il criterio. Questa impostazione è facoltativa ma consigliata.

  6. Seleziona Avanti.

  7. In Impostazioni di configurazione selezionare Estensione dell'app Single Sign-On e configurare le proprietà seguenti:

    • Tipo di estensione dell'app SSO: selezionare Microsoft Entra ID:

      Screenshot che mostra il tipo di estensione dell'app SSO e Microsoft Entra ID per macOS in Intune

    • ID bundle dell'app: immettere un elenco di ID bundle per le app che non supportano MSAL e che possono usare l'accesso SSO. Per altre informazioni, vedere Applicazioni che non usano MSAL.

    • Configurazione aggiuntiva: per personalizzare l'esperienza utente finale, è possibile aggiungere le proprietà seguenti. Queste proprietà sono i valori predefiniti usati dall'estensione Microsoft SSO, ma possono essere personalizzate in base alle esigenze dell'organizzazione:

      Chiave Tipo Descrizione
      AppPrefixAllowList Stringa Valore consigliato: com.microsoft.,com.apple.

      Immettere un elenco di prefissi per le app che non supportano MSAL e che possono usare l'accesso SSO. Ad esempio, immettere com.microsoft.,com.apple. per consentire tutte le app Microsoft e Apple.

      Assicurarsi che queste app soddisfino i requisiti consentiti.
      browser_sso_interaction_enabled Numero intero Valore consigliato: 1

      Se impostato su 1, gli utenti possono accedere dal browser Safari e dalle app che non supportano MSAL. L'abilitazione di questa impostazione consente agli utenti di eseguire il bootstrap dell'estensione da Safari o da altre app.
      disable_explicit_app_prompt Numero intero Valore consigliato: 1

      Alcune app potrebbero applicare erroneamente le richieste dell'utente finale a livello di protocollo. Se si verifica questo problema, agli utenti viene richiesto di accedere, anche se il plug-in SSO di Microsoft Enterprise funziona per altre app.

      Se impostato su 1 (uno), si riducono queste richieste.

      Consiglio

      Per altre informazioni su queste proprietà e altre proprietà che è possibile configurare, vedere Plug-in SSO di Microsoft Enterprise per dispositivi Apple.

      Al termine della configurazione delle impostazioni consigliate, le impostazioni sono simili ai valori seguenti nel profilo di configurazione Intune:

      Screenshot che mostra le opzioni di configurazione dell'esperienza utente finale per il plug-in Enterprise SSO nei dispositivi macOS in Intune.

  8. Continuare a creare il profilo e assegnare il profilo agli utenti o ai gruppi che riceveranno queste impostazioni. Per i passaggi specifici, passare a Creare il profilo.

    Per indicazioni sull'assegnazione dei profili, vedere Assegnare profili utente e dispositivo.

Quando il dispositivo esegue l'accesso con il servizio Intune, riceverà questo profilo. Per altre informazioni, vedere Intervalli di aggiornamento dei criteri.

Per verificare che il profilo sia stato distribuito correttamente, nell'interfaccia di amministrazione Intune passare aConfigurazione>dispositivi> selezionare il profilo creato e generare un report:

Screenshot che mostra il report di distribuzione del profilo di configurazione del dispositivo macOS in Intune.

Esperienza utente finale

Grafico del flusso dell'utente finale durante l'installazione dell'estensione dell'app SSO nei dispositivi macOS in Microsoft Intune.

  • Se non si distribuisce l'app Portale aziendale usando un criterio dell'app, gli utenti devono installarla manualmente. Gli utenti non devono usare l'app Portale aziendale, ma deve essere installata nel dispositivo.

  • Gli utenti accedono a qualsiasi app o sito Web supportato per eseguire il bootstrap dell'estensione. Bootstrap è il processo di accesso per la prima volta, che configura l'estensione.

  • Dopo l'accesso degli utenti, l'estensione viene usata automaticamente per accedere a qualsiasi altra app o sito Web supportato.

È possibile testare l'accesso Single Sign-On aprendo Safari in modalità privata (apre il sito Web di Apple) e aprendo il https://portal.office.com sito. Non saranno necessari nome utente e password.

Gli utenti accedono all'app o al sito Web per avviare l'estensione dell'app SSO nei dispositivi iOS/iPadOS e macOS in Microsoft Intune.

In macOS, quando gli utenti accedono a un'app aziendale o dell'istituto di istruzione, viene richiesto di acconsentire esplicitamente all'accesso SSO. Possono selezionare Non chiedermi di rifiutare esplicitamente l'accesso SSO e bloccare le richieste future.

Gli utenti possono anche gestire le preferenze SSO nell'app Portale aziendale per macOS. Per modificare le preferenze, passare alla barra > dei menu dell'app Portale aziendale Portale aziendale>Impostazioni. Possono selezionare o deselezionare Non chiedermi di accedere con l'accesso Single Sign-On per questo dispositivo.

Non chiedermi di accedere con l'accesso Single Sign-On per questo dispositivo.

Consiglio

Altre informazioni sul funzionamento del plug-in SSO e su come risolvere i problemi relativi all'estensione Microsoft Enterprise SSO con la guida alla risoluzione dei problemi SSO per i dispositivi Apple.

Passaggi successivi