Aggiornamenti sull’integrazione identità presentati alla WWDC26
Nota: le funzionalità descritte in questa pagina sono versioni preliminari e potrebbero essere incomplete, modificate o rimosse prima del rilascio finale.
Il contenuto seguente è elencato in ordine di versioni del sistema operativo, quindi in base al numero di sistemi operativi interessati:
Configurazione di SSO estensibile
Sui dispositivi con iOS 27, iPadOS 27, macOS 27 e visionOS 27, una nuova configurazione com.apple.configuration.extensible-sso porta le impostazioni di SSO estensibile (iOS, iPadOS, macOS, visionOS) e di SSO su piattaforma (solo macOS) alla gestione dichiarativa dei dispositivi.
Autenticazione web con Single Sign-On su piattaforma
Sui Mac con macOS 27, i team IT possono distribuire metodi di autenticazione moderni, resistenti al phishing e flessibili con l’autenticazione web. Quando OpenID è configurato per UserCreation.NewUserAuthenticationMethods o UserCreation.NewUserAuthenticationMethods (configurazione), oppure NewUserAuthenticationMethods o NewUserAuthenticationMethods (profilo), macOS mostra una visualizzazione web che riproduce il modulo di accesso del provider di identità al momento dello sblocco di FileVault, della schermata di blocco e della finestra di accesso. La visualizzazione web supporta flussi di autenticazione a più passaggi e a più fattori, oltre all’accesso tramite codice QR.
L’accesso tramite codice QR consente di autenticarsi rapidamente utilizzando la fotocamera integrata o una fotocamera collegata. Ad esempio, ciò supporta gli studenti che effettuano il login a un Mac per una lezione o gli utenti che effettuano il login a computer Mac utilizzati come chioschi. Per proteggere la privacy dell’utente, macOS utilizza un processo di sistema sicuro e condivide solo il codice scansionato con il provider di identità. Il provider di identità tratta questo codice come testo e può rappresentare un token, URL o altri fattori richiesti dal provider di identità.
Durante il processo di autenticazione web, possono essere caricate solo le URL consentite dal team IT utilizzando una delle seguenti chiavi:
Configurazione:
WebAuthentication.URLAllowListProfilo:
WebLoginURLAllowList
Ogni URL deve essere definito completamente utilizzando il nome dominio completo e includere lo schema e l’host, ad esempio https://login.idp.com.
Nota: l’autenticazione web tramite SSO su piattaforma non supporta i caratteri jolly.
Se l’autenticazione web non è disponibile, ad esempio quando il Mac è offline, gli utenti possono utilizzare la password dell’account locale per l’autenticazione per un numero di giorni definito dal team IT utilizzando una delle seguenti chiavi:
Configurazione:
Policies.OfflineGracePeriodProfilo:
OfflineGracePeriod
Una password inserita durante il flusso di autenticazione web può essere sincronizzata con l’account utente locale. Richiede:
Supporto da parte del provider di identità.
I team IT abilitano la funzionalità utilizzando una delle chiavi seguenti:
Configurazione:
WebAuthentication.AllowPasswordSyncProfilo:
AllowWebLoginPasswordSync
Accesso alla rete tramite la finestra di login di macOS
Su un Mac supervisionato con macOS 27, i team IT possono consentire agli utenti di connettersi a una rete diversa e di autenticarsi con i portali captive al momento dello sblocco di FileVault, sullo schermo di blocco e nella finestra di login. Questa modifica aiuta i computer Mac condivisi configurati per il Single Sign-On su piattaforma a utilizzare funzionalità come l’autenticazione web o la modalità ospite autenticata, che richiedono che il Mac si connetta al provider di identità per eseguire l’autenticazione.
Nel profilo com.apple.applicationaccess (Restrizioni) sono presenti due nuove chiavi che consentono questa funzionalità:
ForceWifiConfigurationOnLockScreen: In questo modo gli utenti possono selezionare una rete Wi-Fi diversa. Il valore predefinito èFALSO.ForceCaptivePortalConnectionFromLockScreen: Ciò consente l’autenticazione del portale Captive Wi-Fi. Il valore predefinito èFALSO.
Touch ID richiesto per SSO su piattaforma
Molte organizzazioni considerano l’autenticazione biometrica uno dei fattori di autenticazione più sicuri perché si basa su tratti fisici unici anziché su conoscenze condivise e costituisce il nucleo di una strategia di autenticazione a più fattori.
Su un Mac supervisionato con macOS 27, le organizzazioni possono richiedere Touch ID (o in alternativa Apple Watch) come fattore aggiuntivo in ogni punto di accesso critico all’autenticazione di macOS per fornire un’autenticazione biometrica a più fattori resistente al phishing senza infrastrutture aggiuntive. I team IT possono impostare singolarmente la nuova opzione RequireTouchID o RequireTouchIDOrWatch all’interno della politica di accesso di FileVault, schermata di blocco e finestra di login del Single Sign-On su piattaforma. È possibile richiedere l’uso di Touch ID quando l’autenticazione SSO su piattaforma è configurata in modo da utilizzare una chiave o una password supportata da Secure Enclave.
Se Touch ID non è disponibile, le organizzazioni possono consentire l’autenticazione web come opzione di riserva. Se non sono disponibili né Touch ID né l’autenticazione web, l’utente non può accedere.
FileVault per la modalità ospite autenticata
Su un Mac condiviso con macOS 27, FileVault ora supporta la modalità ospite autenticata. Ciò consente agli utenti temporanei autenticati tramite provider di identità di sbloccare FileVault e accedere al Mac, supportando le distribuzioni condivise di Mac in cui la conformità richiede la crittografia del disco completo.
Poiché l’autenticazione viene eseguita dal provider di identità, il Mac deve avere una connessione di rete attiva ed essere in grado di raggiungere il provider di identità.
Modalità ospite autenticata per iPad condiviso
Prossimamente, la modalità ospite autenticata sarà disponibile anche su iPad condiviso. Quando è configurata per la modalità “Solo sessione temporanea”, la modalità ospite autenticata su iPad condiviso supporta le sessioni temporanee dopo l’autenticazione con un Apple Account gestito. In questo modo si crea un’esperienza di login più veloce, si consente automaticamente l’autenticazione SSO nelle app supportate e non è necessario configurare le quote di archiviazione degli utenti sul dispositivo.
Gli utenti accedono con il proprio Apple Account gestito utilizzando l’autenticazione nativa o l’autenticazione federata con un provider di identità. Se viene applicata una politica per il codice, all’utente viene chiesto di impostare un codice specifico per la sessione con tutti i requisiti di complessità del codice configurati. Questo codice può essere usato per sbloccare una sessione attiva. Quando gli utenti effettuano il logout, tutti i dati locali, il codice di sessione e l’Apple Account gestito vengono rimossi automaticamente dall’iPad.
Nota: l’utilizzo della modalità ospite autenticata non richiede all’utente di definire una password per iPad condiviso. Viene utilizzata l’autenticazione con il provider di identità e un codice di sessione.
Supporto API Microsoft Graph
Microsoft ha annunciato la prossima interruzione del servizio Exchange Web Services (EWS) in Exchange Online. Apple sta lavorando attivamente con Microsoft per aggiornare Mail, Calendario, Contatti, Note e Promemoria in modo che utilizzino l’API Graph in un futuro aggiornamento di macOS 27, inclusa una configurazione dichiarativa per i servizi di gestione dei dispositivi.
Microsoft ha documentato le opzioni disponibili per le organizzazioni che intendono continuare a utilizzare EWS dopo ottobre 2026. Per ulteriori informazioni, consulta Exchange Online EWS, Your Time is Almost Up sul blog del team Exchange.
Aggiornamenti di Shared Signals Framework
I provider di identità devono rimanere sincronizzati con l’infrastruttura di federazione di Apple man mano che gli standard di sicurezza si evolvono. È stato aggiornato il supporto per Shared Signals Framework (SSF) di Apple per allinearlo alla specifica OpenID Shared Signals Framework 1.0 ratificata.