تسجيل الدخول الموحد للنظام الأساسي على macOS

الميزات

يدعم تسجيل الدخول الموحد على النظام الأساسي الميزات التالية:

• تنشيط وتنفيذ تسجيل الدخول الموحد على النظام الأساسي أثناء التسجيل التلقائي للأجهزة بهدف المصادقة على التسجيل، وتسجيل الدخول باستخدام حساب Apple المُدار، وإنشاء مستخدم محلي.

• توفير تجربة تسجيل دخول موحد للتطبيقات الأصلية وتطبيقات الويب.

• الحصول على معلومات حول تسجيل الدخول الموحد على النظام الأساسي في إعدادات النظام.

• مزامنة كلمات سر حسابات المستخدمين المحلية مع مزود خدمة بطاقة الهوية، وتعريف سياسات تسجيل الدخول.

• تعريف أذونات المجموعة لحسابات مزود الهوية والسماح للأشخاص باستخدام حسابات مزود الهوية الخاصة بالشبكة فقط في مطالبات التخويل.

• إنشاء حسابات مستخدم محلية عند الطلب عند تسجيل الدخول باستخدام بيانات اعتماد من حساب مزود خدمة بطاقة الهوية.

• دعم المستخدمين الضيوف الذين يسجلون الدخول مؤقتًا باستخدام بيانات اعتماد مزود خدمة بطاقة الهوية على أجهزة كمبيوتر Mac المشتركة.

المتطلبات

• كمبيوتر Mac مزود برقاقات Apple أو Mac مستند إلى Intel مع بصمة الإصبع

• خدمة إدارة الأجهزة التي تدعم تكوين تسجيل الدخول الموحد القابل للتجديد، حيث تتضمن إعدادات تسجيل الدخول الموحد على النظام الأساسي

• تطبيق يحتوي على ملحق تسجيل الدخول الموحد على النظام الأساسي متوافق مع مزودة خدمة بطاقة الهوية

• ‏macOS 13 أو أحدث

تتطلب الميزات التالية متطلبات إصدار إضافية:

إعداد تسجيل الدخول الموحد على النظام الأساسي

لاستخدام تسجيل الدخول الموحد على النظام الأساسي، يجب على Mac وكل مستخدم التسجيل لدى مزود خدمة بطاقة الهوية. بناءً على دعم مزود خدمة بطاقة الهوية والتكوين المطبق، يمكن لـ Mac تنفيذ تسجيل الجهاز بصمت في الخلفية باستخدام:

• رمز تسجيل مقدم في تكوين إدارة الأجهزة

• شهادة، تقدم ضمانًا قويًا حول معرّفات الجهاز (UDID ورقم التسلسل)

لضمان الحفاظ على اتصال موثوق بمزود خدمة بطاقة الهوية مستقل عن المستخدم، تدعم مصادقة النظام الأساسي لتسجيل الدخول الموحد مفاتيح الأجهزة المشتركة. استخدم مفاتيح الأجهزة المشتركة كلما أمكن ذلك لأنها مطلوبة لميزات مثل تسجيل الدخول الموحد على النظام الأساسي أثناء التسجيل التلقائي للأجهزة، وإنشاء حسابات المستخدمين عند الطلب استنادًا إلى معلومات من مزود خدمة بطاقة الهوية، وتخويل الشبكة، ونمط الضيف المخوَّل.

بعد تسجيل الجهاز بنجاح، يقوم المستخدم بالتسجيل (ما لم يكن حساب المستخدم يستخدم نمط الضيف المخوَّل). إذا كان مزود خدمة بطاقة الهوية يتطلب ذلك، فقد يتضمن تسجيل المستخدم مطالبة المستخدم بتأكيد تسجيله. بالنسبة لحسابات المستخدمين المحلية التي ينشئها تسجيل الدخول الموحد على النظام الأساسي عند الطلب، يحدث تسجيل المستخدم تلقائيًا في الخلفية.

وسائل المصادقة

يدعم تسجيل الدخول الموحد على النظام الأساسي طرق مصادقة مختلفة مع مزود خدمة بطاقة الهوية. يعتمد الدعم لكل منهما على مزود خدمة بطاقة الهوية وامتداد تسجيل الدخول الموحد على النظام الأساسي.

• كلمة السر: باستخدام هذه الطريقة، يقوم المستخدم بالمصادقة باستخدام كلمة سر محلية أو كلمة سر مزود خدمة بطاقة الهوية (IdP). كما يدعم WS-Trust، مما يسمح للمستخدم بالمصادقة حتى عندما يكون مزود خدمة بطاقة الهوية الذي تدير حسابه موزعة.

• مفتاح مدعوم بـ Secure Enclave: باستخدام هذه الطريقة، يمكن للمستخدم الذي يسجل الدخول إلى الـ Mac استخدام مفتاح مدعوم بـ Secure Enclave للمصادقة مع مزود خدمة بطاقة الهوية (IdP) من دون كلمة سر. يقوم مزود خدمة بطاقة الهوية بإعداد مفتاح Secure Enclave أثناء عملية تسجيل المستخدم.

• البطاقة الذكية: من خلال هذه الطريقة، يقوم المستخدم بالمصادقة مع مزود خدمة بطاقة الهوية باستخدام بطاقة ذكية. لاستخدام هذه الطريقة، يجب عليك:

  • تسجيل البطاقة الذكية لدى مزود خدمة بطاقة الهوية.

  • تكوين تعيين سمات البطاقة الذكية على Mac.

    لمزيد من التفاصيل وتكوين مثال لتعيين السمات، انظر صفحة دليل مشروع خدمات البطاقة الذكية.

• مفتاح الوصول: باستخدام هذه الطريقة، يستخدم المستخدمون بطاقة مخزنة في Apple Wallet للمصادقة مع مزود خدمة بطاقة الهوية. مثل البطاقة الذكية، يجب تسجيل مفتاح الوصول لدى مزود خدمة بطاقة الهوية.

بعض الوظائف، مثل إنشاء حسابات المستخدمين عند الطلب، تتطلب منك استخدام طريقة مصادقة محددة.

الميزة				كلمة سر		مفتاح مدعوم بـ Secure Enclave		بطاقة ذكية		مفتاح وصول
إدارة المجموعة
تسجيل الجهاز التلقائي
نمط الضيف المخوَّل
إنشاء الحساب عند الطلب
مزامنة كلمة السر

تسجيل الدخول الموحد على النظام الأساسي أثناء التسجيل التلقائي للأجهزة

يمكن للمؤسسات تنشيط وتنفيذ تسجيل الدخول الموحد على النظام الأساسي أثناء مساعد الإعداد مع التسجيل التلقائي للأجهزة. هذا خيار لأجهزة المستخدم الواحد لأن المستخدم الذي يقوم بالمصادقة على التسجيل يحصل تلقائيًا على حساب محلي تم إنشاؤه ويمكنه استخدام تسجيل الدخول الموحد مع التطبيقات الأصلية وتطبيقات الويب المدعومة على الفور.

تسجيل الدخول الموحد

نظرًا لأن تسجيل الدخول الموحد على النظام الأساسي جزء من تسجيل الدخول الموحد القابل للتوسيع، فإنه يوفر نفس إمكانيات تسجيل الدخول الموحد ويسمح للمستخدمين بتسجيل الدخول مرة واحدة، ثم استخدام الرمز المقدم من المصادقة الأولية للمصادقة مع التطبيقات الأصلية وتطبيقات الويب المدعومة.

إذا كانت الرموز مفقودة أو منتهية الصلاحية أو عمرها أكثر من أربع ساعات، فإن حمولة تسجيل الدخول الموحد على النظام الأساسي تحاول تحديثها أو استرداد رموز جديدة من مزود الهوية. بالإضافة إلى ذلك، يمكنك تكوين مدة بالثواني (الحد الأدنى ساعة واحدة) حتى يتطلب تسجيل الدخول الموحد على النظام الأساسي تسجيل دخول كامل بدلًا من تحديث الرمز. بشكل افتراضي، يلزم تسجيل دخول كامل كل ١٨ ساعة.

تسجيل الدخول الموحد على النظام الأساسي في إعدادات النظام

بعد اكتمال تسجيل الدخول الموحد على النظام الأساسي، يمكن للمستخدم فحص حالة تسجيل المستخدم في إعدادات النظام > المستخدمون والمجموعات > [اسم المستخدم]. إذا لزم الأمر، يمكنهم بدء إصلاح التسجيل وتنفيذ تحديث لرمز المصادقة.

تكون حالة تسجيل الجهاز ظاهرة في المستخدمون والمجموعات > خادم حساب الشبكة، وتوفر أيضًا خيارًا لإجراء إصلاح.

سياسات مزامنة كلمة السر وتسجيل الدخول

إذا كنت تستخدم طريقة مصادقة كلمة السر، فستتم مزامنة كلمة سر المستخدم المحلي تلقائيًا مع مزود خدمة بطاقة الهوية في كل مرة يقوم فيها المستخدم بتغيير كلمة السر، سواء محليًا أو عن بُعد. إذا لزم الأمر، يطلب macOS من المستخدم كلمة السر السابقة.

بشكل افتراضي، كلمة سر الحساب المحلي مطلوبة لفتح قفل خزنة الملفات وشاشة القفل وفي نافذة تسجيل الدخول. إذا لم تتطابق كلمة السر المدخلة مع كلمة سر حساب المستخدم المحلي، فسيحاول macOS الوصول إلى مزود الخدمة لإجراء مصادقة مباشرة. إذا تعذر على macOS الوصول إلى مزود خدمة بطاقة الهوية أو لم تتطابق كلمة السر المدخلة مع كلمة السر المخزنة لدى مزود خدمة بطاقة الهوية، فستفشل المصادقة.

مع سياسات تسجيل الدخول، يمكنك السماح باستخدام كلمة سر الحساب الحالي من مزود خدمة بطاقة الهوية في هذه المطالبات الثلاث على الفور. يمكنك أيضًا تعيين السياسات التالية بشكل فردي لخزنة الملفات وشاشة القفل ونافذة تسجيل الدخول:

• محاولة المصادقة.

  • إذا تم التكوين، فهناك محاولة مصادقة مباشرة مع مزود الهوية.

  • إذا كان Mac متصلًا بالإنترنت، فمطلوب مصادقة ناجحة مع مزود خدمة بطاقة الهوية للمتابعة، حتى عندما يكون Mac غير متصل بالإنترنت بعد المحاولة الأولى.

    إذا نجحت المصادقة، يقوم تسجيل الدخول الموحد على النظام الأساسي بتحديث كلمة السر المحلية.

  • إذا كان Mac غير متصل بالإنترنت، يمكن للمستخدم استخدام كلمة سر حسابه المحلي.

• يتطلب المصادقة.

  • إذا تم التكوين، فستكون المصادقة المباشرة مع مزود الهوية مطلوبة للمتابعة.

  • إذا كان Mac متصلًا بالإنترنت، يلزم المصادقة بنجاح مع مزود الهوية للمتابعة، بغض النظر عن فترة السماح دون الاتصال بالإنترنت التي تم تكوينها.

    إذا نجحت المصادقة، يقوم تسجيل الدخول الموحد على النظام الأساسي بتحديث كلمة السر المحلية.

  • إذا كان Mac غير متصل بالإنترنت، فلا يمكن للمستخدمين تسجيل الدخول. في تلك الحالات، يمكنك تمكين فترة سماح دون اتصال بالإنترنت وتعيينها على عدد الأيام التي تلي تسجيل دخول محليًا ناجحًا سابقًا، وخلال هذه الفترة يمكن للمستخدم الاستمرار في استخدام كلمة سر الحساب المحلي.

  • يمكنك تحديد ما إذا كان يجب إدارة أي حساب يقوم بتسجيل الدخول إلى Mac بواسطة حمولة تسجيل الدخول الموحد على النظام الأساسي أم إذا كان لا يزال يُسمح بتسجيل الدخول باستخدام حسابات محلية فقط. من الممكن أيضًا تحديد عدد الأيام بعد تطبيق السياسة أو تحديثها حتى يتم فرض هذا الإعداد. يسمح هذا باستخدام الحسابات المحلية مؤقتًا. على سبيل المثال، يمكنك استخدام حساب مسؤول مؤقتًا تم إنشاؤه بواسطة خدمة إدارة الأجهزة لإجراء أو إصلاح تسجيل جهاز تسجيل الدخول الموحد على النظام الأساسي.

  • بدلًا من المصادقة المباشرة، يمكنك أيضًا السماح للمستخدمين باستخدام بصمة الإصبع أو Apple Watch على شاشة القفل.

إذا لزم الأمر، يمكن استثناء الحسابات المحلية (مثلما قمت أنت بتعريفها) من سياسات تسجيل الدخول وعدم مطالبتها بالتسجيل في تسجيل الدخول الموحد على النظام الأساسي.

إدارة المجموعة وتخويل الشبكة

يوفر تسجيل الدخول الموحد على النظام الأساسي إدارة دقيقة للحقوق لتوفير مستوى الامتيازات المناسب الذي يحتاجه المستخدمون على Mac. لتحقيق ذلك، يمكن لتسجيل الدخول الموحد على النظام الأساسي تطبيق الصلاحيات التالية على الحساب في كل مرة يقوم فيها المستخدم بالمصادقة:

• قياسي: يحصل الحساب على امتيازات المستخدم القياسي.

• مسؤول: إضافة الحساب إلى مجموعة المسؤول المحلي.

• مجموعات: تعريف الامتيازات حسب عضوية المجموعة، والتي يتم تحديثها في كل مرة يقوم فيها المستخدم بالمصادقة مع مزود خدمة بطاقة الهوية.

عند استخدام المجموعات، يحصل الحساب على امتيازات استنادًا إلى العضوية في ما يلي:

• مجموعات المسؤولين: إذا كان الحساب جزءًا من مجموعة مدرجة، فإن لديه صلاحية الوصول كمسؤول محلي.

• مجموعات التخويل: إذا كان الحساب جزءًا من مجموعة تم تعيينها لحق تخويل مدمج أو محدد مخصص، فإن الحساب يتمتع بامتيازات مرتبطة بتلك المجموعة. على سبيل المثال، يستخدم macOS حقوق التخويل التالية:

  • ‏system.preferences.datetime، والذي يسمح للحساب بتعديل إعدادات الوقت.

  • ‏system.preferences.energysaver، والذي يسمح للحساب بتعديل إعدادات موفر الطاقة.

  • ‏system.preferences.network، والذي يسمح للحساب بتعديل إعدادات الشبكة.

  • ‏system.preferences.printing، والذي يسمح للحساب بإضافة الطابعات أو إزالتها.

• المجموعات الإضافية: مجموعات مخصصة لتعريف macOS أو تطبيقات محددة، يقوم macOS بإنشائها تلقائيًا داخل الدليل المحلي (إذا لم تكن موجودة بالفعل). على سبيل المثال، يمكنك استخدام مجموعة إضافية في تكوين sudo لتحديد وصول sudo.

تخويل الشبكة

تقوم حمولة تسجيل الدخول الموحد على النظام الأساسي بتوسيع استخدام بيانات اعتماد مزود الهوية ليشمل المستخدمين الذين ليس لديهم حساب محلي على Mac لأغراض التخويل. تستخدم هذه الحسابات المجموعات نفسها التي تستخدمها إدارة المجموعة. على سبيل المثال، إذا كان الحساب عضوًا في إحدى مجموعات المسؤولين، يمكنه تنفيذ مطالبات تخويل المسؤول. لاستخدام هذه الوظيفة، يجب تكوين تسجيل الدخول الموحد على النظام الأساسي باستخدام مفاتيح الجهاز المشتركة.

ليس بالإمكان تخويل الوصول إلى الشبكة مع مطالبات التخويل التي تتطلب رمزًا مميزًا آمنًا أو أذونات ملكية أو مصادقة من قِبل المستخدم الذي سجَّل الدخول حاليًا.

إنشاء الحساب عند الطلب

لتسهيل إدارة الحساب في عمليات النشر المشتركة، يمكن للمستخدمين استخدام اسم المستخدم وكلمة السر لمزود الهوية (IdP) أو بطاقة ذكية لتسجيل الدخول إلى Mac لإنشاء حساب محلي.

يمكنك تحقيق عملية توفير تلقائية بالكامل باستخدام التسجيل التلقائي للأجهزة مع التقدم التلقائي. يجب عليك إنشاء أول حساب مسؤول محلي باستخدام خدمة إدارة الأجهزة، وإجراء تسجيل دخول موحد على النظام الأساسي بصمت.

المتطلبات التالية مطلوبة لاستخدام إنشاء الحساب عند الطلب:

• تسجيل Mac في خدمة إدارة الأجهزة التي تدعم رموز bootstrap.

• يمكنك القيام بما يلي: تكوين امتداد تسجيل الدخول الموحد مع تسجيل الدخول الموحد على النظام الأساسي ومفاتيح الجهاز المشتركة وخيار إنشاء مستخدم عند تسجيل الدخول.

• إكمال مساعد الإعداد وإنشاء حساب مسؤول محلي.

• يجب أن يكون Mac في نافذة تسجيل الدخول مع فتح قفل خزنة الملفات والاتصال بالشبكة.

باستخدام خيار تكوين اختياري، يمكنك تحديد السمة التي يجب استخدامها من مزود خدمة بطاقة الهوية لاسم الحساب المحلي (غالبًا ما يُطلق عليه الاسم المختصر للمستخدم) والاسم الكامل. يمكن للمسؤولين أيضًا تعيين مفتاح اسم الحساب إلى com.apple.PlatformSSO.AccountShortName لاستخدام الاسم المختصر للمستخدم (UPN).

بالإضافة إلى ذلك، يمكنك تحديد الامتيازات المراد تطبيقها على الحسابات الجديدة التي يتم إنشاؤها عند تسجيل الدخول. تتوفر نفس الخيارات لإدارة المجموعة:

• قياسي: يحصل الحساب على امتيازات المستخدم القياسي.

• مسؤول: إضافة الحساب إلى مجموعة المسؤول المحلي.

• مجموعات: تعريف الامتيازات حسب عضوية المجموعة، والتي يتم تحديثها في كل مرة يقوم فيها المستخدم بالمصادقة مع مزود خدمة بطاقة الهوية.

نمط الضيف المخوَّل

يوفر نمط الضيف المخوَّل تجربة تسجيل دخول أسرع في عمليات النشر المشتركة، مثل العيادات الطبية أو المدارس، حيث لا يحتاج المستخدمون المختلفون إلى إنشاء حساب محلي، لأنهم يحتاجون فقط إلى تسجيل الدخول باستخدام بيانات اعتماد مزود خدمة بطاقة الهوية لفترة زمنية قصيرة. يحصل المستخدم على امتيازات المستخدم القياسي بشكل افتراضي، ولكن يمكنك تغيير تلك الامتيازات باستخدام إدارة مجموعة تسجيل الدخول الموحد للمنصة.

لاستخدام هذه الميزة، تحتاج إلى نفس المتطلبات المطلوبة لإنشاء حساب عند الطلب، ولكن بدلًا من خيار إنشاء مستخدم عند تسجيل الدخول، تقوم بتكوين نمط الضيف المخوَّل.

عند تسجيل خروج مستخدم، يقوم macOS بمسح كل البيانات المحلية لهذا الحساب، ويكون Mac المشترك جاهزًا للمستخدم التالي لتسجيل الدخول.

اضغط لتسجيل الدخول

توسع ميزة "اضغط لتسجيل الدخول" وظائف بيانات الاعتماد الرقمية من Apple Wallet إلى macOS. على مدار السنوات القليلة الماضية، تبنت المؤسسات الشارات الرقمية في Apple Wallet، مما يسمح للمستخدمين بفتح قفل الأبواب بمجرد لمسة من iPhone أو Apple Watch دون الحاجة إلى شارة مادية. تتوفر نفس التجربة على Mac.

طريقة المصادقة هذه ذات قيمة خاصة للمؤسسات التي تشارك Mac بين عدة مستخدمين، بما في ذلك المؤسسات التعليمية ومراكز البيع بالتجزئة ومرافق الرعاية الصحية.

مع ميزة "اضغط لتسجيل الدخول"، سيكون بإمكان المستخدم المصادقة على Mac تم تكوينه لوضع الضيف المخوَّل عند تقريب iPhone أو Apple Watch إلى قارئ NFC متصل. يبدأ ذلك عملية تسجيل دخول آمنة باستخدام تسجيل الدخول الموحد تقوم بمصادقة المستخدم تلقائيًا على التطبيقات والمواقع الإلكترونية، مما يسمح له بتسجيل الدخول بسرعة والبدء في العمل.

يتم توفير بيانات اعتماد المستخدم كمفاتيح وصول في بطاقة Apple Wallet من خلال تطبيق iPhone أو متصفح. ويتم تخزين مفاتيح الوصول هذه في Secure Enclave على الجهاز، مما يجعلها مدعومة بالأجهزة ومشفرة، مما يساعد على الحماية من محاولات العبث أو الاستخراج. تعمل وظيفة "النمط السريع" على تحسين الراحة من خلال السماح بالمصادقة الفورية دون أن يتعين على المستخدمين إيقاف تشغيل جهازهم أو فتح قفله، على غرار طريقة عمل بطاقات المواصلات في Apple Wallet.

لتنفيذ وظيفة "اضغط لتسجيل الدخول"، يجب أن يكون Mac:

• تم تكوينه لنمط الضيف المخوَّل

• مزود بقارئ NFC خارجي مدعوم

يتطلب إنشاء مفاتيح الوصول وإدارتها المشاركة في برنامج وصول Apple Wallet. لمزيد من المعلومات حول كيفية إنشاء مفتاح وصول، انظر إعداد في دليل برنامج وصول Apple Wallet.