Deelnemen aan een Mac-apparaat met Microsoft Entra ID tijdens de out-of-box experience met macOS PSSO (preview)

Mac-gebruikers kunnen hun nieuwe apparaat toevoegen aan Microsoft Entra ID tijdens de first-out-of-box experience (OOBE). De eenmalige aanmelding van macOS Platform (PSSO) is een mogelijkheid in macOS die is ingeschakeld met behulp van de microsoft Enterprise-extensie voor eenmalige aanmelding. Met PSSO kunnen gebruikers zich aanmelden bij een Mac-apparaat met behulp van een hardwaregebonden sleutel, smartcard of hun Wachtwoord voor Microsoft Entra ID. In deze zelfstudie leert u hoe u een Mac-apparaat instelt tijdens de OOBE voor het gebruik van PSSO met geautomatiseerde apparaatinschrijving.

Vereisten

• Een aanbevolen minimumversie van macOS 14 Sonoma. Hoewel macOS 13 Ventura wordt ondersteund, raden we u ten zeerste aan macOS 14 Sonoma te gebruiken voor de beste ervaring.
• ADE-apparaat (Automated Device Enrollment) dat is ingeschreven. Neem contact op met uw beheerder als u niet zeker weet of uw apparaat is ingeschreven bij deze vereiste.
• Microsoft Intune-bedrijfsportal versie 5.2404.0 of hoger
• Een Mac-apparaat dat is ingeschreven bij Mobile Device Management (MDM) met Microsoft Intune.
• Een geconfigureerde MDM-nettolading voor eenmalige aanmelding met PSSO-instellingen in Intune door een beheerder
• Microsoft Authenticator (aanbevolen): De gebruiker moet zijn geregistreerd voor een vorm van Meervoudige Verificatie (MFA) van Microsoft Entra ID op hun mobiele apparaat om de apparaatregistratie te voltooien.
• Voor het instellen van smartcards is verificatie op basis van certificaten geconfigureerd en ingeschakeld. Een smartcard die is geladen met een certificaat voor verificatie met Microsoft Entra en de smartcard die is gekoppeld aan een lokaal account.

Uw macOS-apparaat instellen

1. Wanneer u het scherm 'Hallo' ziet wanneer u uw Mac voor de eerste keer opent, volgt u de stappen om uw land of regio te selecteren en configureert u indien nodig netwerkinstellingen.

2. U wordt gevraagd een profiel voor extern beheer te downloaden, zodat de configuratie-instellingen in Microsoft Intune op uw apparaat kunnen worden toegepast. Selecteer Doorgaan en voer uw Microsoft Entra ID-referenties in wanneer u wordt gevraagd om het downloaden van het beheerprofiel goed te keuren.

   

3. Voer de code in die naar uw Authenticator-app is verzonden (aanbevolen) of gebruik een andere MFA-methode.

4. Als u een gebruikersaccount wilt maken, vult u uw volledige naam, accountnaam in en maakt u een wachtwoord voor een lokaal account. Selecteer Doorgaan en het startscherm wordt weergegeven.

   

Registratie met automatische apparaatinschrijving

Er zijn drie verificatiemethoden voor PSSO-registratie:

• Secure Enclave: gebruikers meldt zich aan op hun apparaat met een beveiligde enclave-ondersteunde cryptografische sleutel die wordt gebruikt voor eenmalige aanmelding in apps die gebruikmaken van Microsoft Entra ID voor verificatie. Het kan ook worden aangeduid als platformreferenties voor macOS.
• Smartcard: Gebruiker meldt zich aan bij de machine met behulp van een externe smartcard of smartcard compatibel harde token
• Wachtwoord: Gebruikers meldt zich aan bij hun lokale apparaat met een lokaal account, bijgewerkt om hun Wachtwoord voor Microsoft Entra-id te gebruiken

Het wordt aanbevolen voor uw systeembeheerder om de Mac te laten inschrijven met behulp van een beveiligde enclave of smartcard. Deze nieuwe functies zonder wachtwoord worden alleen ondersteund door PSSO. Controleer welke verificatiemethode is ingesteld door uw beheerder voordat u doorgaat.

Beveiligde enclave

1. Navigeer naar de pop-up Registratie vereist in de rechterbovenhoek van het scherm. Beweeg de muisaanwijzer over het pop-upvenster en selecteer Registreren. Voor macOS 14 Sonoma-gebruikers ziet u een prompt om uw apparaat te registreren bij Microsoft Entra. Deze prompt wordt niet weergegeven voor macOS 13 Ventura.

   

2. Er wordt een prompt weergegeven om het wachtwoord van uw lokale account in te voeren. Voer uw wachtwoord in en selecteer OK.

3. Zodra uw account is ontgrendeld, selecteert u het account om u aan te melden, voert u uw aanmeldingsreferenties in en selecteert u Volgende.

4. MFA is vereist als onderdeel van deze aanmeldingsstroom. Open uw Authenticator-app (aanbevolen) of gebruik uw andere MFA-methoden die u hebt geregistreerd en voer het nummer in dat op het scherm wordt weergegeven om de registratie te voltooien.

5. Wanneer de MFA-stroom is voltooid en het laadscherm verdwijnt, moet uw apparaat worden geregistreerd bij PSSO. U kunt nu PSSO gebruiken voor toegang tot Microsoft-app-resources.

Platformreferenties inschakelen voor macOS voor gebruik als wachtwoordsleutel

Als u uw apparaat instelt met behulp van een beveiligde enclavemethode, kunt u de resulterende referentie gebruiken die is opgeslagen op de Mac als een wachtwoordsleutel in de browser. Inschakelen;

1. Open de app Instellingen en navigeer naar> wachtwoordopties.

2. Zoek onder Wachtwoordopties wachtwoorden en wachtwoordsleutels gebruiken van en schakel Bedrijfsportal in via de wisselknop.

   

Smartcard

De smartcard koppelen aan uw lokale account

Voordat u uw apparaat met een smartcard kunt registreren, moet u de smartcard koppelen aan uw lokale account. Open de Terminal-app en voer de volgende opdrachten uit om de hash van de openbare sleutel van het smartcardcertificaat te vinden en te koppelen aan uw lokale account. Controleer vervolgens of het is gelukt. Dit moet worden uitgevoerd met behulp van sudo.

sc_auth identities
sudo sc_auth pair -h <HASH> -u <USERNAME>
sc_auth list

Uw apparaat registreren bij de smartcard

1. Navigeer naar de pop-up Registratie vereist in de rechterbovenhoek van het scherm. Beweeg de muisaanwijzer over het pop-upvenster en selecteer Registreren. Als uw smartcard is gekoppeld aan uw lokale account, ziet u een prompt om de pincode van de smartcard in te voeren

   

2. De beheerder heeft mogelijk MFA geconfigureerd voor de apparaatregistratiestroom. Zo ja, open uw Authenticator-app op uw mobiele apparaat en voltooi de MFA-stroom.

   

3. Als het certificaat nog niet is gekoppeld aan het lokale account, ziet de gebruiker een prompt om de smartcard te gebruiken. Selecteer Smartcard.

4. U wordt gevraagd de pincode voor uw smartcard in te voeren. Voer uw pincode in en selecteer Pincode invoeren voor de smartcard. Wanneer de juiste pincode is ingevoerd, is PSSO-registratie met smartcardverificatie voltooid.

5. U kunt nu PSSO gebruiken voor toegang tot Microsoft-app-resources en het apparaat ontgrendelen met de pincode voor smartcards. U moet het lokale wachtwoord gebruiken om u aan te melden na opnieuw opstarten om de toegang tot de sleutelhanger te ontgrendelen.

Wachtwoord

1. Navigeer naar de pop-up Registratie vereist in de rechterbovenhoek van het scherm. Beweeg de muisaanwijzer over het pop-upvenster en selecteer Registreren.

   

2. Er wordt een prompt weergegeven om het wachtwoord van uw lokale account in te voeren. Voer uw wachtwoord in en selecteer OK.

3. Zodra uw account is ontgrendeld, selecteert u het account om u aan te melden, voert u uw aanmeldingsreferenties in en selecteert u Volgende.

4. MFA is vereist als onderdeel van deze aanmeldingsstroom. Open uw Authenticator-app (aanbevolen) of gebruik uw andere MFA-methoden die u hebt geregistreerd en voer het nummer in dat op het scherm wordt weergegeven om de registratie te voltooien.

5. Als uw lokale wachtwoord verschilt van uw Wachtwoord voor Microsoft Entra ID, wordt rechtsboven in het scherm een pop-up verificatie vereist weergegeven. Beweeg de muisaanwijzer over de banner en selecteer Aanmelden.

6. Wanneer er een Microsoft Entra-venster wordt weergegeven, voert u het wachtwoord voor uw Microsoft Entra-id in en selecteert u Aanmelden.

   

7. Nadat u de Mac hebt ontgrendeld, kunt u nu PSSO gebruiken voor toegang tot Microsoft-app-resources. Vanaf dit moment werkt uw oude wachtwoord niet omdat PSSO is ingeschakeld voor uw apparaat.

De registratiestatus van uw apparaat controleren

Nadat u de bovenstaande stappen hebt voltooid, is het een goed idee om de registratiestatus van uw apparaat te controleren.

1. Als u wilt controleren of de registratie is voltooid, gaat u naar Instellingen en selecteert u Gebruikers en groepen.

2. Selecteer Bewerken naast Netwerkaccountserver en controleer of Platform SSO wordt vermeld als Geregistreerd.

3. Als u de methode wilt controleren die wordt gebruikt voor verificatie, gaat u naar uw gebruikersnaam in het venster Gebruikers en groepen en selecteert u het pictogram Informatie . Controleer de vermelde methode, die een beveiligde enclave, smartcard of wachtwoord moet zijn.

   Notitie

   U kunt de Terminal-app ook gebruiken om de registratiestatus te controleren. Voer de volgende opdracht uit om de status van de apparaatregistratie te controleren. Onder aan de uitvoer ziet u dat SSO-tokens worden opgehaald. Voor macOS 13 Ventura-gebruikers is deze opdracht vereist om de registratiestatus te controleren.

   app-sso platform -s
   

Zie ook

• Een Mac-apparaat toevoegen met Microsoft Entra-id met behulp van Bedrijfsportal
• Verificatieopties zonder wachtwoord voor Microsoft Entra ID
• Een implementatie van verificatie zonder wachtwoord plannen in Microsoft Entra-id
• Microsoft Enterprise SSO-invoegtoepassing voor Apple-apparaten