macOSのプラットフォームシングルサインオン

プラットフォームシングルサインオン（プラットフォームSSO）で、デベロッパはmacOSのログインウインドウにまでおよぶSSO機能拡張を構築して、ユーザがローカルアカウントの資格情報をIDプロバイダ（IdP）と同期できるようにできます。ローカルアカウントのパスワードが自動的に同期された状態で保存されるため、クラウドのパスワードとローカルパスワードが一致します。ユーザは、Touch IDやApple WatchでMacのロックを解除することもできます。

Macウインドウ。ユーザがプラットフォームSSOを使用してサインインしています。

プラットフォームSSOには以下のものが必要です:

macOS 13以降
プラットフォームSSOへの対応を含む拡張シングルサインオンペイロードに対応するモバイルデバイス管理（MDM）ソリューション。
IdPによるプラットフォームSSO認証プロトコルの対応
対応している2つの認証方法のいずれか:
- Secure Enclaveで裏付けられた鍵での認証: この方法を使用すると、自分のMacにログインするユーザは、Secure Enclaveで裏付けられた鍵を使って、パスワードを入力せずにIdPで認証できます。Secure Enclave鍵は、ユーザ登録処理中にIdPで設定されます。
- パスワード認証: この方法を使用すると、ユーザはローカルパスワードまたはIdPのパスワードで認証します。

注記: MacがMDMソリューションから登録解除されると、IdPからも登録解除されます。

プラットフォームSSO機能

機能	対応する最小オペレーティングシステム	説明
認証が必要	macOS 15	FileVault、ロック画面、およびログインウインドウでIdP認証を要求します。
認証が必要	macOS 15	オプションで、オフラインおよび認証猶予期間を構成して、ユーザがオフラインのときにログインしたり画面のロックを解除したりできるようにします。
認証が必要	macOS 15	オプションで、Touch IDまたはApple Watchで画面をロック解除するように構成します。
「システム設定」でのユーザ登録と登録ステータス	macOS 14	ユーザはSSOで使用するデバイスまたはユーザアカウントを「システム設定」で登録できます。このメニュー項目には、現在の登録ステータスが表示され、発生した可能性があるエラーも示されるので、ユーザ透過性が向上します。これにより、ユーザは登録を再度完了する必要があるかどうかを知ることができます。
ユーザによるローカルアカウント作成	macOS 14	共有導入でのアカウント管理を円滑化するために、ユーザはIdPユーザ名とパスワードまたはスマートカードを使用してFileVaultがロック解除されたMacにログインし、ローカルアカウントを作成できます。新しい`TokenToUserMapping`キーを使って、IdPが提供する属性のうちどの属性を使ってローカルユーザ名を選択するかを定義できます。この機能を使用するには、以下が必要です: 設定アシスタントが完了し、初期ローカル管理者アカウントが作成されている必要があります。デバイスがブートストラップトークンに対応するMDMソリューションに登録されている必要があります。ユーザのMacに、プラットフォームSSOと`UseSharedDeviceKeys`および`EnableCreateUserAtLogin`オプションが有効になっている拡張シングルサインオンペイロードが適用されている必要があります。スマートカードに対応するには、IdPにスマートカードが登録され、Mac上でスマートカード属性マッピングが構成されている必要があります。
認証プロンプトでローカル以外のIdPユーザアカウントを使用	macOS 14	プラットフォームSSOは、IdP資格情報の使用をMac上に認証目的のローカルユーザアカウントを持たないユーザに拡張します。これらのアカウントはグループ管理と同じグループを使用します。例えば、ユーザがいずれかの管理者グループのメンバーである場合、macOS管理者認証プロンプトでそのアカウントを使用できます。セキュアトークン、所有権、または現在ログインしているユーザによる認証を必要とする認証プロンプトは対象外です。
IdPで認証されるときにユーザのグループメンバーシップをアップデート	macOS 14	グループメンバーシップを使用して、macOSでIdPユーザのアクセス権を細かく管理できます。IdPでユーザが認証されるたびに、グループメンバーシップがアップデートされます。グループメンバーシップを定義するために3つの配列キーが用意されています: AdministratorGroups: ユーザがこの配列に記述されているグループに含まれる場合、ローカル管理者アクセスが付与されます。 AuthorizationGroups: 内蔵またはカスタム定義の認証権限を管理するために使用される特定グループ。この権限は、指定されたグループに含まれるすべてのユーザに付与されます。例えば、認証権限`system.preferences.network`に割り当てられたグループ内のメンバーシップでは、ユーザはネットワーク設定を変更できます。`system.preferences.printing`では、ユーザはプリンタ設定を変更できます。 AdditionalGroups: オペレーティングシステムが、例えば、`sudo`アクセスを定義するために使用できます。この配列内のエントリーは、グループが存在しない場合、ローカルディレクトリ内にグループを作成します。
WS-Trustフェデレーション	macOS 13.3	これを使うと、ユーザのアカウントがMicrosoft Entra IDと連携するIdPによって管理されているときは、プラットフォームSSOがユーザを正常に認証できます。

役に立ちましたか？

Appleプラットフォーム導入

macOSのプラットフォームシングルサインオン

プラットフォームSSO機能