Dołączanie urządzenia Mac przy użyciu identyfikatora Entra firmy Microsoft przy użyciu Portal firmy (wersja zapoznawcza)

Artykuł
05/07/2024

W tym samouczku dowiesz się, jak zarejestrować urządzenie Mac przy użyciu logowania jednokrotnego platformy macOS (PSSO) przy użyciu Portal firmy i rejestracji w usłudze Intune MDM przy użyciu rozwiązania Microsoft Entra Join. Istnieją trzy metody rejestrowania urządzenia Mac przy użyciu protokołu PSSO, bezpiecznej enklawy, karty inteligentnej lub hasła. Zalecamy używanie bezpiecznej enklawy lub karty inteligentnej w celu uzyskania najlepszego środowiska bez hasła, jednak należy pamiętać, że ta metoda będzie wstępnie ustawiona przez administratora firmy przy użyciu usługi Microsoft Intune.

Wymagania wstępne

Zalecana minimalna wersja systemu macOS 14 Sonoma. Chociaż system macOS 13 Ventura jest obsługiwany, zdecydowanie zalecamy używanie systemu macOS 14 Sonoma w celu uzyskania najlepszego środowiska.
Aplikacja Portal firmy usługi Microsoft Intune w wersji 5.2404.0 lub nowszej
Urządzenie Mac zarejestrowane w rozwiązaniu do zarządzania urządzeniami przenośnymi (MDM) w usłudze Microsoft Intune.
Skonfigurowany ładunek MDM rozszerzenia logowania jednokrotnego z ustawieniami PSSO w usłudze Intune przez administratora
Microsoft Authenticator (zalecane), aby ukończyć rejestrację urządzenia, użytkownik musi być zarejestrowany w jakiejś formie uwierzytelniania wieloskładnikowego (MFA) firmy Microsoft.
W przypadku konfiguracji karty inteligentnej skonfigurowane i włączone uwierzytelnianie oparte na certyfikatach. Karta inteligentna załadowana przy użyciu certyfikatu na potrzeby uwierzytelniania z firmą Microsoft Entra i kartą inteligentną sparowaną z kontem lokalnym.

Intune MDM i Microsoft Entra Join przy użyciu Portal firmy

Aby zarejestrować urządzenie Mac przy użyciu logowania jednokrotnego, musisz najpierw zarejestrować urządzenie w usłudze Microsoft Intune przy użyciu aplikacji Portal firmy. Po zarejestrowaniu można użyć bezpiecznej enklawy, karty inteligentnej lub hasła do zarejestrowania urządzenia w usłudze PSSO.

Otwórz aplikację Portal firmy i wybierz pozycję Zaloguj.
Wprowadź poświadczenia identyfikatora entra firmy Microsoft i wybierz przycisk Dalej.
Zostanie wyświetlony monit o skonfigurowanie dostępu do aplikacji {Company}. Symbol zastępczy "Firma" różni się w zależności od konfiguracji. Wybierz pozycję Rozpocznij, a następnie na następnym ekranie wybierz pozycję Kontynuuj.
Przedstawiono procedurę instalowania profilu zarządzania, który powinien zostać skonfigurowany przez administratora przy użyciu usługi Microsoft Intune. Wybierz pozycję Pobierz profil.
Otwórz pozycję Ustawienia>Prywatność i profile zabezpieczeń>, jeśli nie są wyświetlane automatycznie. Wybierz pozycję Profil zarządzania.
Wybierz pozycję Zainstaluj , aby uzyskać dostęp do zasobów firmy.
Wprowadź hasło urządzenia lokalnego w wyświetlonym oknie Profile i wybierz pozycję Zarejestruj.
W Portal firmy zostanie wyświetlone powiadomienie o zakończeniu instalacji. Wybierz pozycję Gotowe.

Rejestracja logowania jednokrotnego platformy

Teraz, gdy urządzenie jest zgodne z Portal firmy, musisz zarejestrować urządzenie w usłudze PSSO. Zostanie wyświetlone okno podręczne Wymagane rejestracja w prawym górnym rogu ekranu po pomyślnym zakończeniu zarządzania urządzeniami przenośnymi w usłudze Intune i dołączeniu do firmy Microsoft Entra przy użyciu Portal firmy. Użyj kart, aby zarejestrować urządzenie w usłudze PSSO przy użyciu bezpiecznej enklawy, karty inteligentnej lub hasła.

Przejdź do okna podręcznego Wymagana rejestracja w prawym górnym rogu ekranu. Zatrzymaj wskaźnik myszy na wyskakującym okienku i wybierz pozycję Zarejestruj. W przypadku użytkowników systemu macOS 14 Sonoma zostanie wyświetlony monit o zarejestrowanie urządzenia w usłudze Microsoft Entra. Ten monit nie jest wyświetlany dla systemu macOS 13 Ventura.
Po odblokowaniu konta za pomocą funkcji Touch ID lub hasła wybierz konto, na które chcesz się zalogować, wprowadź poświadczenia logowania i wybierz przycisk Dalej.
Uwierzytelnianie wieloskładnikowe jest wymagane w ramach tego przepływu logowania. Otwórz aplikację Authenticator (zalecaną) lub użyj innych zarejestrowanych metod uwierzytelniania wieloskładnikowego, a następnie wprowadź numer wyświetlany na ekranie, aby zakończyć rejestrację.
Po zakończeniu przepływu uwierzytelniania wieloskładnikowego i zniknięciu ekranu ładowania urządzenie powinno zostać zarejestrowane w usłudze PSSO. Teraz możesz uzyskiwać dostęp do zasobów aplikacji firmy Microsoft przy użyciu funkcji PSSO.

Włączanie poświadczeń platformy dla systemu macOS do użycia jako klucza dostępu

Skonfigurowanie urządzenia przy użyciu bezpiecznej metody enklawy umożliwia użycie wynikowego poświadczenia zapisanego na komputerze Mac jako klucza dostępu w przeglądarce. Aby ją włączyć;

Otwórz aplikację Ustawienia i przejdź do opcji Hasła>.
W obszarze Opcje hasła znajdź pozycję Użyj haseł i kluczy dostępu z i włącz Portal firmy za pomocą przełącznika.

Parowanie karty inteligentnej z kontem lokalnym

Aby można było zarejestrować urządzenie za pomocą karty inteligentnej, należy sparować kartę inteligentną z kontem lokalnym. Otwórz aplikację Terminal i uruchom następujące polecenia, aby znaleźć skrót klucza publicznego certyfikatu karty inteligentnej i sparować go z kontem lokalnym, a następnie sprawdź, czy przebiegł pomyślnie. Należy to uruchomić przy użyciu polecenia sudo.

sc_auth identities
sudo sc_auth pair -h <HASH> -u <USERNAME>
sc_auth list

Rejestrowanie urządzenia przy użyciu karty inteligentnej

Przejdź do okna podręcznego Wymagana rejestracja w prawym górnym rogu ekranu. Zatrzymaj wskaźnik myszy na wyskakującym okienku i wybierz pozycję Zarejestruj. Jeśli karta inteligentna jest sparowana z kontem lokalnym, zostanie wyświetlony monit o wprowadzenie numeru PIN karty inteligentnej
Administrator mógł skonfigurować uwierzytelnianie wieloskładnikowe dla przepływu rejestracji urządzeń. Jeśli tak, otwórz aplikację Authenticator na urządzeniu przenośnym i ukończ przepływ uwierzytelniania wieloskładnikowego.
Jeśli certyfikat nie jest jeszcze sparowany z kontem lokalnym, użytkownik zobaczy monit o użycie karty inteligentnej. Wybierz pozycję Karta inteligentna.
Zostanie wyświetlony monit o wprowadzenie numeru PIN dla karty inteligentnej. Wprowadź numer PIN i wybierz pozycję Wprowadź numer PIN dla karty inteligentnej. Po wprowadzeniu poprawnego numeru PIN rejestracja za pomocą logowania jednokrotnego z uwierzytelnianiem za pomocą karty inteligentnej zostanie ukończona.
Teraz możesz użyć funkcji PSSO, aby uzyskać dostęp do zasobów aplikacji firmy Microsoft i odblokować urządzenie przy użyciu numeru PIN karty inteligentnej. Aby odblokować dostęp do pęku kluczy, należy użyć hasła lokalnego, aby zalogować się po ponownym uruchomieniu.

Sprawdzanie stanu rejestracji urządzenia

Po wykonaniu powyższych kroków warto sprawdzić stan rejestracji urządzenia.

Aby sprawdzić, czy rejestracja zakończyła się pomyślnie, przejdź do pozycji Ustawienia i wybierz pozycję Użytkownicy i grupy.
Wybierz pozycję Edytuj obok pozycji Serwer konta sieciowego i sprawdź, czy logowanie jednokrotne platformy jest wyświetlane jako zarejestrowane.
Aby sprawdzić metodę używaną do uwierzytelniania, przejdź do nazwy użytkownika w oknie Użytkownicy i grupy i wybierz ikonę Informacje . Sprawdź wymienioną metodę, która powinna być bezpieczną enklawą, kartą inteligentną lub hasłem.
Uwaga

Możesz również użyć aplikacji Terminal, aby sprawdzić stan rejestracji. Uruchom następujące polecenie, aby sprawdzić stan rejestracji urządzenia. W dolnej części danych wyjściowych powinny zostać wyświetlone tokeny logowania jednokrotnego. W przypadku użytkowników systemu macOS 13 Ventura to polecenie jest wymagane do sprawdzenia stanu rejestracji.
```
app-sso platform -s
```

Aktualizowanie urządzenia Mac w celu włączenia logowania jednokrotnego

W przypadku użytkowników systemu macOS, których urządzenie jest już zarejestrowane w Portal firmy, administrator może włączyć logowanie jednokrotne przez zaktualizowanie profilu rozszerzenia logowania jednokrotnego urządzenia. Po wdrożeniu i zainstalowaniu profilu PSSO na urządzeniu zostanie wyświetlony monit o zarejestrowanie urządzenia w usłudze PSSO za pośrednictwem powiadomienia Wymagane rejestracja w prawym górnym rogu ekranu. Spowoduje to usunięcie starej rejestracji logowania jednokrotnego z urządzenia zamiast nowej rejestracji PSSO.

Mimo że zaleca się natychmiastowe wykonanie tej czynności, możesz wybrać tę opcję i rozpocząć rejestrację urządzenia w dogodnym dla Ciebie czasie.

Udostępnij za pośrednictwem