Использование подключаемого модуля единого входа Microsoft Enterprise на устройствах iOS/iPadOS

Подключаемый модуль единого входа Microsoft Enterprise — это функция в Microsoft Entra ID, которая предоставляет функции единого входа (SSO) для устройств Apple. Этот подключаемый модуль использует инфраструктуру расширения приложения единого входа Apple.

• Для устройств iOS/iPadOS подключаемый модуль единого входа Enterprise включает расширение приложения единого входа.
• Для устройств macOS подключаемый модуль единого входа Enterprise включает единый вход platform и расширение приложения единого входа.

Расширение приложения единого входа обеспечивает единый вход в приложения и веб-сайты, использующие Microsoft Entra ID для проверки подлинности, включая приложения Microsoft 365. Это сокращает количество запросов на проверку подлинности, которые пользователи получают при использовании устройств, управляемых мобильными Управление устройствами (MDM), включая любые MDM, поддерживающие настройку профилей единого входа.

Эта статья относится к:

• iOS/iPadOS

  Для macOS перейдите в раздел Настройка единого входа платформы для устройств macOS в Microsoft Intune.

В этой статье показано, как создать политику конфигурации расширения приложения единого входа для устройств Apple iOS/iPadOS с Intune, Jamf Pro и другими решениями MDM.

Поддержка приложений

Чтобы приложения использовали подключаемый модуль единого входа Microsoft Enterprise, у вас есть два варианта:

• Вариант 1— MSAL. Приложения, поддерживающие библиотеку проверки подлинности Майкрософт (MSAL), автоматически используют преимущества подключаемого модуля единого входа Microsoft Enterprise. Например, приложения Microsoft 365 поддерживают MSAL. Таким образом, они автоматически используют подключаемый модуль.

  Если ваша организация создает собственные приложения, разработчик приложений может добавить зависимость в MSAL. Эта зависимость позволяет приложению использовать подключаемый модуль единого входа Microsoft Enterprise.

  Пример руководства см. в статье Руководство. Вход пользователей и вызов Microsoft Graph из приложения iOS или macOS.

• Вариант 2. AllowList. Приложения, которые не поддерживают или не были разработаны с помощью MSAL, могут использовать расширение приложения единого входа. К этим приложениям относятся браузеры, такие как Safari, и приложения, использующие API веб-представлений Safari.

  Для этих приложений, отличных от MSAL, добавьте идентификатор пакета приложений или префикс в конфигурацию расширения в политике расширения приложения Intune единого входа (в этой статье).

  Например, чтобы разрешить приложение Майкрософт, которое не поддерживает MSAL, добавьте com.microsoft. в свойство AppPrefixAllowList в политике Intune. Будьте осторожны с приложениями, которые вы разрешаете, они могут обходить интерактивные запросы на вход для вошедшего пользователя.

  Дополнительные сведения см. в статье Подключаемый модуль единого входа Microsoft Enterprise для устройств Apple — приложения, которые не используют MSAL.

Предварительные условия

Чтобы использовать подключаемый модуль единого входа Microsoft Enterprise на устройствах iOS/iPadOS, выполните следующие действия.

Intune

• Устройство управляется Intune.

• Устройство должно поддерживать подключаемый модуль:

  • iOS и iPadOS версии 13.0 и более поздних версий;

• На устройстве должно быть установлено приложение Microsoft Authenticator.

  Пользователи могут установить приложение Microsoft Authenticator вручную. Кроме того, администраторы могут развернуть приложение с помощью Intune. Сведения об установке приложения Microsoft Authenticator см. в статье Управление приложениями Apple, приобретенными томами.

• Настроены требования к подключаемым модулям единого входа enterprise, включая URL-адреса конфигурации сети Apple.

Jamf Pro

• Устройством управляет Jamf Pro.

• Устройство должно поддерживать подключаемый модуль:

  • iOS и iPadOS версии 13.0 и более поздних версий;

• На устройстве должно быть установлено приложение Microsoft Authenticator.

  Пользователи могут установить приложение Microsoft Authenticator вручную. Кроме того, администраторы могут развернуть приложение с помощью Jamf Pro. Список вариантов установки приложения Microsoft Authenticator см. в статье Управление установщиками macOS с помощью Jamf Pro (откроется веб-сайт Jamf Pro).

• Настроены требования к подключаемым модулям единого входа enterprise, включая URL-адреса конфигурации сети Apple.

• От интеграции Jamf Pro и Intune для обеспечения соответствия устройств требованиям не требуется использовать расширение приложения SSO.

Другие MDM

• Устройство управляется решением поставщика управления мобильными устройствами (MDM).
• Решение MDM должно поддерживать настройку параметров полезных данных MDM единого входа для устройств Apple с политикой устройств.
• Устройство должно поддерживать подключаемый модуль:
  • iOS и iPadOS версии 13.0 и более поздних версий;
• На устройстве должно быть установлено приложение Microsoft Authenticator. Пользователи могут установить приложение Microsoft Authenticator вручную. Кроме того, администраторы могут развернуть приложение с помощью политики MDM.
• Настроены требования к подключаемым модулям единого входа enterprise, включая URL-адреса конфигурации сети Apple.

Примечание.

На устройствах iOS/iPadOS apple требует установки расширения приложения единого входа и приложения Microsoft Authenticator. Пользователям не нужно использовать или настраивать приложение Microsoft Authenticator, оно просто должно быть установлено на устройстве.

Подключаемый модуль единого входа Microsoft Enterprise и расширение единого входа Kerberos

При использовании расширения приложения единого входа для проверки подлинности используется тип полезных данных Единого входа или Kerberos . Расширение приложения единого входа предназначено для улучшения процесса входа для приложений и веб-сайтов, использующих эти способы проверки подлинности.

Подключаемый модуль SSO Microsoft Enterprise использует тип полезных данных SSO с проверкой подлинности Redirect. На устройстве можно одновременно использовать оба типа расширения: SSO Redirect и Kerberos. Обязательно создайте отдельные профили устройств для каждого типа расширения, который планируется использовать на устройствах.

Чтобы определить правильный тип расширения единого входа для сценария, используйте следующую таблицу:

---

Подключаемый модуль единого входа Microsoft Enterprise для устройств Apple	Расширение приложения единого входа с помощью Kerberos
Использует тип расширения приложения Microsoft Entra ID единого входа.	Использует Kerberos в качестве типа расширения приложения единого входа
Поддерживает перечисленные ниже возможности: — Microsoft 365; — приложения, веб-сайты или службы, интегрированные с Microsoft Entra ID	Поддерживает перечисленные ниже возможности: — приложения, веб-сайты или службы, интегрированные с AD

---

Дополнительные сведения о расширении приложения для единого входа см. в статье Общие сведения о едином входе и параметры для устройств Apple в Microsoft Intune.

Create политики конфигурации расширения приложения для единого входа

Intune

В Центре администрирования Microsoft Intune создайте профиль конфигурации устройства. Этот профиль включает параметры для настройки расширения приложения единого входа на устройствах.

1. Войдите в Центр администрирования Microsoft Intune.

2. ВыберитеКонфигурация>устройств>Create.

3. Укажите следующие свойства.

   • Платформа. Выберите iOS/iPadOS.
   • Тип профиля: выберите Шаблоны>Функции устройства.

4. Выберите Create:

   

5. В разделе Основные укажите следующие свойства.

   • Имя: введите понятное имя для политики. Назначьте имена политикам, чтобы можно было легко различать их. Например, хорошее имя политики — iOS: расширение приложения единого входа.
   • Описание: введите описание политики. Этот необязательный параметр, но мы рекомендуем его использовать.

6. Нажмите кнопку Далее.

7. В окне Параметры конфигурации выберите Расширение приложения единого входа и настройте следующие свойства:

   • Тип расширения приложения единого входа. Выберите Microsoft Entra ID.

     

   • Включите режим общего устройства:

     • Не настроено: Intune не изменяет или не обновляет этот параметр.

       Для большинства сценариев, включая общее устройство iPad, личные устройства и устройства с сопоставлением пользователей или без него, выберите этот параметр.

     • Да. Выберите этот параметр, только если целевые устройства используют режим Microsoft Entra общего устройства. Дополнительные сведения см. в статье Общие сведения о режиме общего устройства.

   • Идентификатор пакета приложений: введите список идентификаторов пакетов для приложений, которые не поддерживают MSAL и которым разрешено использовать единый вход. Дополнительные сведения см. в разделе Приложения, которые не используют MSAL.

   • Дополнительная конфигурация: для настройки взаимодействия с пользователем можно добавить следующие свойства. Эти свойства являются значениями по умолчанию, используемыми расширением единого входа Майкрософт, но их можно настроить в соответствии с потребностями вашей организации:

     Key	Тип	Описание
     AppPrefixAllowList	Строка	Рекомендуемое значение: com.apple. Введите список префиксов для приложений, которые не поддерживают MSAL и которым разрешено использовать единый вход. Например, введите com.microsoft.,com.apple. , чтобы разрешить все приложения Майкрософт и Apple. Убедитесь, что эти приложения соответствуют требованиям списка разрешений.
     browser_sso_interaction_enabled	Целое число	Рекомендуемое значение: 1 Если задано значение 1, пользователи смогут входить в браузер Safari из приложений, которые не поддерживают MSAL. Включение этого параметра позволяет пользователям выполнять начальную загрузку расширения из Safari или других приложений.
     disable_explicit_app_prompt	Целое число	Рекомендуемое значение: 1 Некоторые приложения могут неправильно применять запросы пользователя на уровне протокола. Если вы столкнулись с этой проблемой, пользователи получат запрос на вход, даже если подключаемый модуль единого входа Microsoft Enterprise работает для других приложений. Если задано значение 1 (один), количество этих запросов сокращается.

     Совет

     Дополнительные сведения об этих свойствах и других свойствах, которые можно настроить, см. в статье Подключаемый модуль единого входа Microsoft Enterprise для устройств Apple.

     Когда вы закончите настройку параметров и разрешите microsoft & приложения Apple, параметры будут выглядеть следующим образом, как в профиле конфигурации Intune:

     

8. Продолжайте создание профиля и назначьте профиль пользователям или группам, которые будут принимать эти параметры. Чтобы выполнить конкретные действия, перейдите к Create профиля.

   Инструкции по назначению профилей см. в статье Назначение профилей пользователей и устройств.

Когда устройство регистрируется в службе Intune, оно получает этот профиль. Дополнительные сведения см. в разделе Интервалы обновления политики.

Чтобы проверка, что профиль развернут правильно, в Центре администрирования Intune перейдите враздел Конфигурация>устройств>, выберите созданный профиль и создайте отчет:

Jamf Pro

На портале Jamf Pro вы создадите профиль конфигурации компьютера или устройства. Этот профиль включает параметры для настройки расширения приложения единого входа на устройствах.

1. Войдите на портал Jamf Pro.

2. Чтобы создать профиль iOS/iPadOS, выберитеКонфигурация>устройств>Создать:

   

3. В поле Имя введите описательное имя политики. Назначьте имена политикам, чтобы их можно было легко найти в последствии. Например, хорошее имя политики: iOS/iPadOS: подключаемый модуль единого входа Microsoft Enterprise.

4. В столбце Параметры прокрутите вниз и выберите Одно Sign-On Расширения>Добавить:

   

5. Укажите следующие свойства:

   • Тип полезных данных: выберите единый вход.
   • Идентификатор расширения: введите com.microsoft.azureauthenticator.ssoextension.
   • Идентификатор команды: значение не требуется. Оставьте поле пустым.
   • Тип входа: выберите Перенаправление.
   • URL-адреса. Введите следующие URL-адреса по одному:
     • https://login.microsoftonline.com
     • https://login.microsoft.com
     • https://sts.windows.net
     • https://login.partner.microsoftonline.cn
     • https://login.chinacloudapi.cn
     • https://login.microsoftonline.us
     • https://login-us.microsoftonline.com

   

   

6. В пользовательской конфигурации определяются другие необходимые свойства. Jamf Pro требует, чтобы эти свойства были настроены с помощью загруженного PLIST-файла. Полный список настраиваемых свойств см. в документации по подключаемому модулу единого входа Microsoft Enterprise для устройств Apple.

   В следующем примере используется рекомендуемый PLIST-файл, отвечающий потребностям большинства организаций.

   <?xml version="1.0" encoding="UTF-8"?>
   <plist version="1.0">
   <dict>
       <key>AppPrefixAllowList</key>
       <string>com.microsoft.,com.apple.,com.jamf.,com.jamfsoftware.</string>
       <key>browser_sso_interaction_enabled</key>
       <integer>1</integer>
       <key>disable_explicit_app_prompt</key>
       <integer>1</integer>
   </dict>
   </plist>
   

   

   Эти параметры PLIST настраивают следующие параметры расширения единого входа. Эти свойства являются значениями по умолчанию, используемыми расширением единого входа Майкрософт, но их можно настроить в соответствии с потребностями вашей организации:

   Key	Тип	Описание
   AppPrefixAllowList	Строка	Рекомендуемое значение: com.apple.,com.jamf.,com.jamfsoftware. Введите список префиксов для приложений, которые не поддерживают MSAL и которым разрешено использовать единый вход. Например, введите com.microsoft.,com.apple.,com.jamf.,com.jamfsoftware. , чтобы разрешить все приложения Microsoft, Apple и Jamf Pro. Убедитесь, что эти приложения соответствуют требованиям списка разрешений.
   disable_explicit_app_prompt	Целое число	Рекомендуемое значение: 1 Некоторые приложения могут неправильно применять запросы пользователя на уровне протокола. Если вы столкнулись с этой проблемой, пользователи получат запрос на вход, даже если подключаемый модуль единого входа Microsoft Enterprise работает для других приложений. Если задано значение 1 (один), количество этих запросов сокращается.

   Совет

   Дополнительные сведения об этих свойствах и других свойствах, которые можно настроить, см. в статье Подключаемый модуль единого входа Microsoft Enterprise для устройств Apple.

7. Выберите вкладку Область. Укажите компьютеры или устройства для получения профиля MDM расширения SSO.

8. Нажмите кнопку Сохранить.

Когда устройство регистрируется в службе Jamf Pro, оно получает профиль.

Другие MDM

На портале MDM создайте профиль конфигурации устройства. Этот профиль включает параметры для настройки расширения приложения единого входа на устройствах.

1. Войдите на портал MDM.

2. Create новый профиль конфигурации устройства.

3. Выберите один Sign-On расширения или расширение единого входа . Имя зависит от используемого решения MDM.

4. Укажите следующие свойства:

   Ключ	Значение
   Тип полезных данных	Единый вход
   Идентификатор расширения	com.microsoft.azureauthenticator.ssoextension
   Тип Sign-On	Redirect
   URL-адреса	- https://login.microsoftonline.com - https://login.microsoft.com - https://sts.windows.net - https://login.partner.microsoftonline.cn - https://login.chinacloudapi.cn - https://login.microsoftonline.us - https://login-us.microsoftonline.com

5. При необходимости можно настроить другие свойства. Эти свойства являются значениями по умолчанию, используемыми расширением единого входа Майкрософт, но их можно настроить в соответствии с потребностями вашей организации:

   Key	Тип	Описание
   AppPrefixAllowList	Строка	Рекомендуемое значение: com.apple. Введите список префиксов для приложений, которые не поддерживают MSAL и которым разрешено использовать единый вход. Например, введите com.microsoft.,com.apple. , чтобы разрешить все приложения Майкрософт и Apple. Убедитесь, что эти приложения соответствуют требованиям списка разрешений.
   browser_sso_interaction_enabled	Целое число	Рекомендуемое значение: 1 Если задано значение 1, пользователи смогут входить в браузер Safari из приложений, которые не поддерживают MSAL. Включение этого параметра позволяет пользователям выполнять начальную загрузку расширения из Safari или других приложений.
   disable_explicit_app_prompt	Целое число	Рекомендуемое значение: 1 Некоторые приложения могут неправильно применять запросы пользователя на уровне протокола. Если вы столкнулись с этой проблемой, пользователи получат запрос на вход, даже если подключаемый модуль единого входа Microsoft Enterprise работает для других приложений. Если задано значение 1 (один), количество этих запросов сокращается.

   Совет

   Дополнительные сведения об этих свойствах и других свойствах, которые можно настроить, см. в статье Подключаемый модуль единого входа Microsoft Enterprise для устройств Apple.

6. Назначьте новую политику устройствам, которые должны быть предназначены для получения профиля MDM расширения единого входа.

Когда устройство регистрируется в службе MDM, оно получает этот профиль.

Работа конечных пользователей

• Если вы не развертываете приложение Microsoft Authenticator с помощью политики приложения, пользователи должны установить его вручную. Пользователям не нужно использовать приложение Authenticator, оно просто должно быть установлено на устройстве.

• Пользователи могут войти в любое поддерживаемое приложение или веб-сайт для начальной загрузки расширения. Начальная загрузка — это процесс первого входа в систему, который настраивает расширение.

• После успешного входа пользователей это расширение автоматически используется для входа в любые другие поддерживаемые приложения и на веб-сайты.

Вы можете протестировать единый вход, открыв Safari в закрытом режиме (откроется веб-сайт Apple) и открыв https://portal.office.com сайт. Имя пользователя и пароль не требуются.

Совет

Дополнительные сведения о том, как работает подключаемый модуль единого входа и как устранить неполадки с расширением единого входа Microsoft Enterprise, см. в руководстве по устранению неполадок единого входа для устройств Apple.

Статьи по теме

• Сведения о подключаемом модуле единого входа Microsoft Enterprise см. в статье Подключаемый модуль единого входа Microsoft Enterprise для устройств Apple.

• Сведения о полезных данных расширения единого входа от Apple см. в разделе Параметры полезных данных расширений единого входа (откроется веб-сайт Apple).

• Сведения об устранении неполадок с расширением единого входа Microsoft Enterprise см. в статье Устранение неполадок с подключаемым модулем расширения единого входа Microsoft Enterprise на устройствах Apple.