設定 Mac 以使用智慧卡專用認證

macOS 支援用於強制使用智慧卡的智慧卡專用認證，而這會停用所有密碼型認證。此規則是針對所有 Mac 電腦建立，且若使用者沒有可用的有效智慧卡，可使用豁免群組來為個別使用者更改。

使用機器型強制執行的智慧卡專用認證

macOS 10.13.2 或以上版本支援用於強制使用智慧卡的智慧卡專用認證，而這會停用所有密碼型認證且通常稱為機器型強制執行。若要使用此功能，必須使用行動裝置管理（MDM）解決方案或下列指令來建立強制智慧卡執行：

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

如需設定 macOS 以使用智慧卡專用認證的其他指示，請參閱 Apple 支援文章：設定 macOS 以使用智慧卡專用認證。

運用使用者型強制執行的智慧卡專用認證

指定免進行智慧卡登入的使用者群組，以完成使用者型強制執行。NotEnforcedGroup 包含一個字串值，定義了不會包含在智慧卡強制執行中的本機或 Directory 群組的名稱。此機制有時稱為使用者型強制執行，為智慧卡服務提供以使用者為單位的規模。若要使用此功能，必須先使用行動裝置管理（MDM）解決方案或下列指令來建立機器型強制執行：

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

此外，系統必須設為允許沒有與智慧卡配對的使用者使用其密碼來登入：

sudo defaults write /Library/Preferences/com.apple.security.smartcard allowUnmappedUsers -int 1

請參考下方的範例檔案 /private/etc/SmartcardLogin.plist。將 EXEMPT_GROUP 用於豁免的群組名稱。任何你新增至此群組的使用者，只要為指定的群組成員或該群組本身指定為豁免，都免進行智慧卡登入。編輯後請確認擁有權為根權限，且該權限設為「公開可讀取」。

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"><plist version="1.0"><dict>     <key>AttributeMapping</key>     <dict>          <key>dsAttributeString</key>          <string>dsAttrTypeStandard:AltSecurityIdentities</string>          <key>fields</key>          <array>                <string>NT Principal Name</string>          </array>          <key>formatString</key>          <string>Kerberos:$1</string>     </dict>     <key>NotEnforcedGroup</key>     <string>EXEMPT_GROUP</string></dict></plist>

也請參閱SmartCardServices 的 man 頁面 security 的 man 頁面 sc_auth 的 man 頁面 pam_smartcard 的 man 頁面

有幫助？

Apple 平台部署

設定 Mac 以使用智慧卡專用認證

使用機器型強制執行的智慧卡專用認證

運用使用者型強制執行的智慧卡專用認證