macOS PSSO を使用して既定のエクスペリエンスの間に Mac デバイスを Microsoft Entra ID に参加させる (プレビュー)

[アーティクル]
05/08/2024

Mac ユーザーは、初回実行時の既定のエクスペリエンス (OOBE) の間に、新しいデバイスを Microsoft Entra ID に参加させることができます。 macOS プラットフォームシングルサインオン (PSSO) は、Microsoft Enterprise シングルサインオン拡張機能を使用して有効になっている macOS の機能です。 PSSO を使用すると、ユーザーはハードウェアバインドキー、スマートカード、または Microsoft Entra ID パスワードを使用して Mac デバイスにサインインできます。このチュートリアルでは、OOBE の間に自動デバイス登録を使用する PSSO を使うように Mac デバイスを設定する方法を示します。

前提条件

macOS 14 Sonoma の推奨される最小バージョン。 macOS 13 Ventura はサポートされていますが、最適なエクスペリエンスを得るために macOS 14 Sonoma の使用を強くお勧めします。
自動デバイス登録 (ADE) 登録済みデバイス。デバイスがこの要件に登録されているかどうかがわからない場合は、管理者に問い合わせてください。
Microsoft Intune ポータルサイトバージョン 5.2404.0 以降
Microsoft Intune を使用してモバイルデバイス管理 (MDM) に登録されている Mac デバイス。
管理者により Intune の PSSO 設定を使用して構成された SSO 拡張機能 MDM ペイロード
Microsoft Authenticator (推奨): デバイスの登録を完了するには、ユーザーがモバイルデバイスで何らかの形式の Microsoft Entra ID 多要素認証 (MFA) に登録されている必要があります。
スマートカードの設定の場合は、構成されて有効になっている証明書ベースの認証。 Microsoft Entra での認証用の証明書を使用して読み込まれたスマートカードおよびローカルアカウントとペアリングされたスマートカード。

macOS デバイスを設定する

Mac を初めて開いたときに "Hello" 画面が表示されたら、手順に従って国または地域を選択し、必要に応じてネットワーク設定を構成します。
リモート管理プロファイルをダウンロードするように求められます。これにより、Microsoft Intune の構成設定をデバイスに適用できます。 [続行] を選択し、管理プロファイルのダウンロードの承認を求められたら Microsoft Entra ID 資格情報を入力します。
Authenticator アプリに送信されたコードを入力するか (推奨)、別の MFA 方法を使用します。
ユーザーアカウントを作成するには、フルネーム、アカウント名を入力し、ローカルアカウントのパスワードを作成します。 [続行] を選択すると、ホーム画面が表示されます。

自動デバイス登録を使用した登録

PSSO 登録には、次の 3 つの認証方法があります。

セキュアエンクレーブ: ユーザーは、認証に Microsoft Entra ID を使用するアプリ間の SSO に使われるセキュアエンクレーブでサポートされる暗号化キーを持つデバイスにログオンします。 macOS のプラットフォーム資格情報とも呼ばれます。
スマートカード: ユーザーは、外部スマートカードまたはスマートカードと互換性のあるハードトークンを使用してマシンにログインします
パスワード: ユーザーは、Microsoft Entra ID パスワードを使用するために更新された、ローカルアカウントを使ってローカルデバイスにログオンします

システム管理者は、セキュアエンクレーブまたはスマートカードを使用して Mac を登録することをお勧めします。これらの新しいパスワードレス機能は、PSSO でのみサポートされています。続行する前に、管理者によって設定された認証方法を確認します。

画面の右上にある [登録が必要] ポップアップに移動します。ポップアップにカーソルを合わせ、[登録] を選択します。 macOS 14 Sonoma ユーザーの場合、デバイスを Microsoft Entra に登録するよう求めるプロンプトが表示されます。 macOS 13 Ventura の場合、このプロンプトは表示されません。
ローカルアカウントのパスワードを入力するよう求めるプロンプトが表示されます。パスワードを入力し、[OK] を選択します。
アカウントのロックが解除されたら、サインインするアカウントを選び、サインイン資格情報を入力して [次へ] を選択します。
このサインインフローの一部として MFA が必要です。 Authenticator アプリを開くか (推奨)、登録した他の MFA 方法を使用して、画面に表示される数字を入力して登録を完了します。
MFA フローが完了し、読み込み画面が消えたら、デバイスは PSSO に登録されるはずです。 PSSO を使用して Microsoft アプリリソースにアクセスできるようになりました。

パスキーとして使用する macOS のプラットフォーム資格情報を有効にする

セキュアエンクレーブ方法を使ってデバイスを設定すると、Mac に保存された結果の資格情報をブラウザーのパスキーとして使用できます。これを有効にするには:

設定アプリを開き、[パスワード]>[パスワードオプション] に移動します。
[パスワードオプション] で、[パスワードとパスキーの使用元] を見つけ、トグルスイッチを使って [ポータルサイト] を有効にします。

スマートカードをローカルアカウントとペアリングする

デバイスをスマートカードに登録する前に、スマートカードをローカルアカウントとペアリングする必要があります。 ターミナル アプリを開き、次のコマンドを実行してスマートカード証明書の公開キーハッシュを見つけ、ローカルアカウントとペアリングしてから、成功したことを確認します。これは、sudo を使用して実行する必要があります。

sc_auth identities
sudo sc_auth pair -h <HASH> -u <USERNAME>
sc_auth list

デバイスをスマートカードに登録する

画面の右上にある [登録が必要] ポップアップに移動します。ポップアップにカーソルを合わせ、[登録] を選択します。スマートカードがローカルアカウントとペアリングされている場合は、スマートカードの PIN を入力するよう求めるプロンプトが表示されます
管理者がデバイス登録フローに対して MFA を構成している可能性があります。その場合は、モバイルデバイスで Authenticator アプリを開き、MFA フローを完了します。
証明書がローカルアカウントとまだペアリングされていない場合、スマートカードを使用するよう求めるプロンプトがユーザーに表示されます。 [スマートカード] を選択します。
スマートカードの PIN を入力するよう求められます。 PIN を入力し、[スマートカードの PIN の入力] を選択します。正しい PIN を入力すると、スマートカード認証を使用した PSSO の登録が完了します。
PSSO を使用して Microsoft アプリリソースにアクセスし、スマートカードの　PIN でデバイスのロックを解除できるようになりました。キーチェーンアクセスのロックを解除するには、再起動後にローカルパスワードを使用してログインする必要があります。

デバイスの登録状態を確認する

上記の手順を完了したら、デバイスの登録状態を確認することをお勧めします。

登録が正常に完了したことを確認するには、[設定] に移動し、[ユーザーとグループ] を選択します。
[ネットワークアカウントサーバー] の横にある [編集] を選択し、[プラットフォーム SSO] が [登録済み] としてリストされていることを確認します。
認証に使用する方法を確認するには、[ユーザーとグループ] ウィンドウでユーザー名に移動し、[情報] アイコンを選択します。リストされている方法を確認します。これは、セキュアエンクレーブ、スマートカード、またはパスワードである必要があります。
Note

ターミナル アプリを使用して登録状態を確認することもできます。次のコマンドを実行して、デバイス登録の状態を確認します。出力の下部に、SSO トークンが取得されていることが示されるはずです。 macOS 13 Ventura ユーザーの場合は、登録状態を確認するためにこのコマンドが必要です。
```
app-sso platform -s
```

次の方法で共有