![](https://help.apple.com/assets/664256E0F9FFA26F690A0B01/664256E3F9FFA26F690A0B07/cs_CZ/312766e3df7f57c1f549da2dab216b36.png)
Rozšíření pro jednotné přihlášení pomocí protokolu Kerberos na zařízeních Apple
Rozšíření jednotného přihlášení (Kerberos SSO) zjednodušuje proces získávání lístku Kerberos TGT (Ticket-Granting Ticket) z interní domény Active Directory dané organizace, což uživatelům umožňuje bezproblémové ověřování totožnosti vůči různým prostředkům, jako jsou webové stránky, aplikace nebo souborové servery.
Požadavky na použití rozšíření Kerberos SSO
K použití rozšíření Kerberos SSO musíte mít následující:
Zařízení musejí být spravována ve službě správy mobilních zařízení (MDM), která obsahuje podporu pro datovou část rozšiřitelného konfiguračního profilu pro jednotné přihlašování (SSO).
Přístup k síti, která je hostitelem interní domény Active Directory. Přístup k síti může být zajištěný přes Wi-Fi, Ethernet nebo VPN.
Doménu Active Directory se spuštěným Windows Serverem 2008 nebo novější verzí. Rozšíření Kerberos SSO není určeno pro použití se službou Microsoft Entra ID, která vyžaduje tradiční interní doménu Active Directory.
Rozšíření v systémech iOS, iPadOS, a visionOS 1.1
V systémech iOS, iPadOS a visionOS 1.1 se rozšíření Kerberos SSO aktivuje teprve po přijetí výzvy HTTP 401 Negotiate. Z důvodu šetření energie v baterii nežádá do té doby o kódy serveru Active Directory ani neaktualizuje TGT lístek protokolu Kerberos.
V systémech iOS a iPadOS a visionOS 1.1 jsou k dispozici následující funkce rozšíření Kerberos SSO:
Metody ověřování: Rozšíření přidává podporu více různých metod ověřování totožnosti zahrnujících hesla a certifikační identity (PKINIT). Certifikační identita může být uložená na čipové kartě CryptoTokenKit, může ji dodat služba MDM nebo může být převzata z místního svazku klíčů. Rozšíření podporuje také změnu hesla pro službu Active Directory v zobrazeném ověřovacím dialogovém okně nebo prostřednictvím URL odkazujícího na samostatnou webovou stránku.
Vypršení platnosti hesel: Bezprostředně po ověření totožnosti, po každé změně hesla a v pravidelných intervalech během dne jsou doméně zasílány žádosti o informace o vypršení platnosti hesel. Tyto informace se používají k oznamování vypršení platnosti hesel a k zobrazování požadavků na zadání nových přihlašovacích údajů, když uživatel změní heslo na jiném zařízení.
Podpora VPN: Rozšíření podporuje mnoho různých síťových konfigurací včetně různých technologií VPN, například VPN na úrovni aplikací. Rozšíření Kerberos SSO využívá VPN na úrovni aplikací jen pro požadavky přijaté od aplikací a webových stránek, které jsou pro VPN na úrovni aplikací nakonfigurované.
Dostupnost domén: Použitím příkazu LDAP ping pro doménu si rozšíření vyžádá kódy serveru Active Directory pro aktuální síťové připojení k této doméně a uloží je do mezipaměti. Získaný kód serveru sdílí s požadavky Kerberos dalších procesů, čímž prodlužuje výdrž baterie. Další informace najdete v dokumentaci společnosti Microsoft na stránce 6.3.3 LDAP Ping.
Vyjednávací výzvy: Rozšíření zpracovává výzvy HTTP 401 Negotiate pro webové stránky, požadavky NSURLSession a úlohy NSURLSession běžící na pozadí.
Rozšíření v systému macOS
V systému macOS si rozšíření Kerberos SSO při změně stavu síťového připojení aktivně vyžádá lístek Kerberos TGT, aby byl uživatel v případě potřeby připraven na ověření totožnosti. Rozšíření Kerberos SSO uživatelům také usnadňuje správu účtů Active Directory. Uživatelům navíc umožňuje měnit hesla pro službu Active Directory a upozorní je, když se platnost hesla blíží ke konci. Kromě toho si uživatelé můžou změnit heslo k místnímu účtu tak, aby se shodovalo s heslem pro službu Active Directory.
Rozšíření Kerberos SSO je určeno k použití s on-premise doménou Active Directory. Zařízení můžou toto rozšíření používat, i když nejsou k doméně Active Directory připojená. Uživatelé se navíc nemusí ke svým počítačům Mac přihlašovat pomocí Active Directory ani mobilních účtů; společnost Apple místo toho doporučuje použít místní účty.
Rozšíření Kerberos SSO vyžaduje ověření totožnosti uživatelů. Uživatel může tento proces spustit několika způsoby:
Pokud je Mac připojený k síti, ve které je dostupná doména Active Directory, bude uživatel vyzván k ověření totožnosti bezprostředně po instalaci konfiguračního profilu Extensible SSO.
Je‑li už profil nainstalovaný, uživatel bude k ověření totožnosti vyzván vždy vzápětí po připojení Macu k síti s dostupnou doménou Active Directory.
Pokud je pro přístup na webové stránky, které přijímají nebo vyžadují ověřování Kerberos, použita aplikace Safari nebo jakákoli jiná aplikace, uživateli se hned zobrazí výzva k ověření totožnosti.
Uživatel může vybrat doplňkovou nabídku rozšíření Kerberos SSO a potom kliknout na volbu Přihlásit se.
V prostředí macOS jsou k dispozici následující funkce rozšíření Kerberos SSO:
Metody ověřování: Rozšíření podporuje více různých metod ověřování totožnosti zahrnujících hesla a certifikační identity (PKINIT). Certifikační identita může být uložená na čipové kartě CryptoTokenKit, může ji dodat služba MDM nebo může být převzata z místního svazku klíčů. Rozšíření podporuje také změnu hesla pro službu AD v zobrazeném ověřovacím dialogovém okně nebo prostřednictvím URL odkazujícího na samostatnou webovou stránku.
Vypršení platnosti hesel: Bezprostředně po ověření totožnosti, po každé změně hesla a v pravidelných intervalech během dne rozšíření doméně zasílá žádosti o informace o vypršení platnosti hesel. Tyto informace se používají k oznamování vypršení platnosti hesel a k zobrazování požadavků na zadání nových přihlašovacích údajů, když uživatel změní heslo na jiném zařízení.
Podpora VPN: Rozšíření podporuje mnoho různých síťových konfigurací včetně služeb VPN, například VPN na úrovni aplikací. Pokud je rozhraní VPN implementováno jako síťové rozšíření VPN, při ověřování totožnosti nebo změně hesla naváže připojení automaticky. Pokud je naopak použito připojení VPN na úrovni aplikací, v doplňkové nabídce rozšíření Kerberos SSO se síť vždy ukazuje jako dostupná. Je to proto, že k určení dostupnosti podnikové sítě se používá protokol LDAP ping. Když se VPN na úrovni aplikací odpojí, ping LDAP ji znovu připojí, což se jeví jako nepřetržité připojení VPN na úrovni aplikací. Ve skutečnosti bylo rozšíření Kerberos SSO spuštěno pro přenosy Kerberos na vyžádání.
Pokud chcete rozšíření Kerberos SSO používat s VPN na úrovni aplikací, přidejte do datové části App to App Layer VPN Mapping následující položky:
com.apple.KerberosExtension using designated requirement identifier com.apple.KerberosExtension and anchor apple
com.apple.AppSSOAgent using designated requirement identifier com.apple.AppSSOAgent and anchor apple
com.apple.KerberosMenuExtra using designated requirement: identifier com.apple.KerberosMenuExtra and anchor apple
Dostupnost domén: Pomocí příkazu LDAP ping pro doménu si rozšíření vyžádá kódy serveru AD pro aktuální síťové připojení k této doméně a uloží je do mezipaměti. Tento postup prodlužuje výdrž baterie. Získaný kód serveru je také sdílen s požadavky Kerberos dalších procesů. Další informace najdete v dokumentaci společnosti Microsoft na stránce 6.3.3 LDAP Ping.
Aktualizace lístků Kerberos TGT: Rozšíření se snaží trvale udržovat váš lístek Kerberos TGT v aktuálním stavu. Za tím účelem monitoruje síťová připojení a změny mezipaměti protokolu Kerberos. Když je podniková síť k dispozici a je zapotřebí nový lístek, rozšíření si ho aktivně vyžádá. Jestliže uživatel zvolí automatické přihlašování, rozšíření bude bez další interakce odesílat požadavky na nové lístky, dokud nevyprší platnost hesla uživatele. Pokud uživatel automatické přihlašování nezvolí, bude vyzván k zadání přihlašovacích údajů pokaždé, když vyprší platnost přihlašovacích údajů protokolu Kerberos – obvykle po 10 hodinách.
Synchronizace hesel: Rozšíření synchronizuje heslo k místnímu účtu s heslem pro službu Active Directory. Po počáteční synchronizaci monitoruje data změn hesel k lokálnímu účtu a k účtu Active Directory a kontroluje, zda jsou hesla obou účtů stále synchronní. Monitorování dat používá místo pokusů o přihlášení proto, aby nedošlo k zablokování místního účtu nebo účtu AD příliš mnoha neúspěšnými pokusy.
Spouštění skriptů: Rozšíření odesílá při různých událostech oznámení. Tato oznámení můžou spouštět skripty, které zajišťují podporu rozšířených funkcí. Důvodem, proč se místo přímého spouštění skriptů posílají oznámení, je skutečnost, že procesy rozšíření Kerberos běží v sandboxu, který pomáhá spouštění skriptů blokovat. K dispozici je také nástroj příkazového řádku
app-sso
, který skriptům umožňuje načíst stav rozšíření a zadat požadavek na některou běžnou akci, například přihlášení.Doplňková nabídka: Součástí rozšíření je doplňková nabídka, přes kterou se uživatel může přihlásit, znovu se připojit, změnit si heslo, odhlásit se a podívat se na stav připojení. Volba pro nové připojení si vždy vyžádá nový lístek TGT a načte z domény aktuální informace o vypršení platnosti hesel.
Používání účtů
Rozšíření Kerberos SSO nevyžaduje, aby váš Mac byl propojen se službou Active Directory ani aby byl uživatel na Macu přihlášen prostřednictvím mobilního účtu. Společnost Apple doporučuje při použití místních účtů používat rozšíření Kerberos SSO. Rozšíření Kerberos SSO bylo vytvořeno speciálně s cílem vylepšit integraci služby Active Directory z místního účtu. Pokud však potřebujete i nadále používat mobilní účty, můžete rozšíření Kerberos SSO používat také. Při používání s mobilními účty:
Nebude fungovat synchronizace hesel. Pokud pro změnu hesla ke službě Active Directory použijete rozšíření Kerberos SSO a k Macu jste přihlášeni pod stejným uživatelským účtem, jaký používáte pro rozšíření Kerberos SSO, bude změna hesla probíhat stejným způsobem jako na panelu předvoleb Uživatelé a skupiny. Pokud však provedete změnu hesla externě, tzn. heslo změníte například na webových stránkách nebo prostřednictvím technické podpory, rozšíření Kerberos SSO toto vaše mobilní heslo už znovu nedokáže sesynchronizovat s heslem služby Active Directory.
Použití URL pro změnu hesla není v rozšíření Kerberos podporováno.