Autenticazione Single Sign-On su piattaforma per macOS

Panoramica

L’autenticazione Single Sign-On su piattaforma, disponibile in macOS, consente di effettuare il login e autenticarsi in modo semplice e veloce. Con l’autenticazione Single Sign-On su piattaforma, gli utenti possono utilizzare la propria identità organizzativa su tutto macOS a partire dalla configurazione iniziale, invece di dover interagire ripetutamente con i messaggi di autenticazione. Per utilizzare il SSO su piattaforma, devi distribuire un’estensione SSO compatibile con il tuo provider di identità che implementi il framework SSO su piattaforma.

L’autenticazione SSO su piattaforma può essere combinata con altre estensioni SSO tenendo conto dei seguenti aspetti:

• Per un dominio specifico, è necessario utilizzare un’unica estensione per il Single Sign-On.

• Imposta syncLocalPassword su FALSO nella configurazione Single Sign-On tramite Kerberos.

Funzionalità

L’autenticazione SSO su piattaforma consente:

• Di offrire un’esperienza di autenticazione SSO per le app native e web

• Di utilizzare più metodi di autenticazione, incluse password, chiavi supportate da Secure Enclave, flussi di autenticazione web flessibili, chiavi di accesso e smart card.

• Di attivare e applicare l’SSO su piattaforma durante la registrazione automatica dei dispositivi per autenticare la registrazione e creare un account utente locale.

• Di creare account utente locali aggiuntivi su richiesta al momento del login di un utente con le credenziali di un account del provider di identità.

• Di sincronizzare le password del provider di identità con gli account utente locali.

• Di richiedere Touch ID come secondo fattore.

• Di ottenere informazioni sullo stato del Single Sign-On su piattaforma e sulle opzioni di riparazione in Impostazioni di Sistema.

• Di usare le politiche di login per definire quando eseguire l’autenticazione in tempo reale della password con il provider di identità.

• Di definire permessi di gruppo per gli account del provider di identità e consentire alle persone di usare account del provider di identità riservati alle reti quando viene richiesta l’autorizzazione.

• Di supportare gli utenti ospite che eseguono temporaneamente l’accesso con le proprie credenziali IdP su un Mac condiviso

Requisiti

• macOS 13 o versione successiva

• Un servizio di gestione dei dispositivi che supporta la configurazione “Extensible Single Sign-on”, che include impostazioni per il Single Sign-On su piattaforma

• Un’app che contiene un’estensione SSO piattaforma compatibile con il provider di identità

Le funzionalità di seguito richiedono versioni specifiche.

Configurare il SSO su piattaforma

Per utilizzare il Single Sign-On su piattaforma, il Mac e ogni utente devono registrarsi presso il provider di identità. A seconda del supporto del provider di servizi e della configurazione applicata, il Mac può eseguire in autonomia la registrazione del dispositivo in background utilizzando:

• Un token di registrazione del provider di identità fornito nella configurazione SSO estensibile.

• Un’attestazione, che fornisce la certezza che il Mac è effettivamente originale e che può includere facoltativamente informazioni che consentono di identificare il dispositivo Apple (come l’UDID e il numero di serie).

Dopo che la registrazione del dispositivo va a buon fine, l’utente si registra. Se richiesto dal provider di identità, il Single Sign-On su piattaforma richiede all’utente di confermare la registrazione. Il modo in cui l’autenticazione SSO su piattaforma gestisce la registrazione varia in base al tipo di account:

• Con autenticazione del dispositivo precedente: se la registrazione del dispositivo ha già comportato l’autenticazione dell’utente e l’estensione SSO ha fornito le informazioni e i token necessari, l’autenticazione SSO sulla piattaforma registra l’utente automaticamente in background.

• Account locali on-demand: l’autenticazione SSO su piattaforma tenta di registrare l’utente in modo silenzioso in background. Se non funziona, viene inviato un messaggio all’utente.

• Account modalità ospite autenticata: il SSO su piattaforma salta completamente la registrazione dell’utente per gli account temporanei creati dalla modalità ospite autenticata.

Se necessario, gli account locali (come definiti da te) possono essere esentati dalle politiche di accesso e non prevedere la registrazione per il Single Sign-On su piattaforma. Questo li esclude anche da funzionalità come le politiche di login o la richiesta di Touch ID.

Chiavi dispositivo condivise

Per mantenere una connessione affidabile con il provider di identità indipendentemente dall’utente, l’autenticazione SSO su piattaforma supporta le chiavi dispositivo condivise. Usa le chiavi dispositivo condivise ogni volta che è possibile. Sono richiesti per:

• Autenticazione SSO su piattaforma durante la registrazione automatica dei dispositivi

• Richiesta di Touch ID

• Autenticazione web

• Modalità ospite autenticata

• Creazione di account on-demand

• Autorizzazione di rete

Metodi di autenticazione

L’autenticazione SSO su piattaforma supporta diversi metodi di autenticazione con il provider di identità. Il supporto per ciascuna opzione varia a seconda del provider di identità e dall’estensione SSO su piattaforma. I metodi di autenticazione sono:

• Password: con questo metodo, l’utente utilizza una password per eseguire l’autenticazione con il provider di identità. Il metodo supporta anche lo standard WS-Trust, che consente all’utente di eseguire l’autenticazione anche quando il provider di identità che gestisce l’account è federato.

• Web: con questo metodo, l’utente esegue l’autenticazione su un modulo web presentato dal provider di identità. Questo metodo può anche offrire flussi di autenticazione a più passaggi e consente l’accesso alla fotocamera affinché gli utenti possano accedere scansionando un codice QR.

• Smart card: con questo metodo, l’utente utilizza una smart card per effettuare l’autenticazione con un provider di identità. Per utilizzare questo metodo, occorre:

  • Registrare la smart card con il provider di identità

  • Configurare la mappatura degli attributi delle smart card sul Mac

    Per scoprire di più e osservare un esempio di configurazione della mappatura degli attributi, consulta la pagina man per Smart Card Services project.

• Chiave basata su Secure Enclave: con questo metodo, l’utente che accede al Mac con la password di un account utente locale può usare una chiave supportata da Secure Enclave per autenticarsi con il provider di identità senza dover usare una password. Il provider di identità configura la chiave Secure Enclave durante il processo di registrazione dell’utente.

• Tasto di accesso: con questo metodo, gli utenti utilizzano un biglietto salvato in Wallet per autenticarsi con il provider di identità. Poiché è simile a una smart card, la chiave di accesso deve essere registrata con il provider di identità.

Alcune funzionalità richiedono l’uso di un metodo di autenticazione specifico:

Funzionalità	Password	Web	Smart card	Chiave basata su Secure Enclave	Tasto di accesso
Gestione dei privilegi
Modalità ospite autenticata
Registrazione automatica dei dispositivi
Creazione di account on-demand
Richiesta di Touch ID
Sincronizzazione password
Politiche di login

Autenticazione web e login tramite codice QR

Con l’autenticazione web, le organizzazioni possono sfruttare metodi di autenticazione moderni e flessibili. Per tutelare la privacy e la sicurezza dell’utente, il framework di autenticazione SSO su piattaforma consente solo URL definiti durante il processo di autenticazione web.

Quando viene utilizzata l’autenticazione web, macOS visualizza una vista web durante lo sblocco di FileVault, sulla schermata di blocco e nella finestra di accesso. La visualizzazione web rende disponibile il modulo di accesso del provider di identità e supporta flussi di autenticazione a più passaggi e a più fattori e l’accesso tramite codice QR.

L’utilizzo di un codice QR consente di autenticarsi rapidamente, ad esempio per gli studenti che accedono ai Mac in aula o ai chioschi. Per proteggere la privacy dell’utente, macOS gestisce la scansione tramite una fotocamera integrata o collegata in un processo di sistema sicuro e condivide solo il codice scansionato con il provider di identità. Il provider di identità tratta questo codice come testo e può rappresentare un token, URL o altri fattori richiesti dal provider di identità.

Inoltre, gli utenti possono accedere anche con le passkey dalla schermata di blocco e dalla finestra di login.

Se l’autenticazione web non è disponibile, ad esempio quando il Mac è offline, gli utenti possono utilizzare la password dell’account locale per l’autenticazione per un numero di giorni definito dal team IT.

Requisiti di rete di FileVault

L’autenticazione SSO su piattaforma deve essere in grado di raggiungere il provider di identità prima dello sblocco di FileVault per le seguenti funzionalità:

• Autenticazione web

• Modalità ospite autenticata

• Policy di login

Poiché macOS deve stabilire una connessione prima che il volume dati sia disponibile, è necessario raggiungere il provider di identità senza una VPN, un relay di rete o un’autenticazione 802.1X.

Sui Mac con macOS 27, puoi anche consentire agli utenti di connettersi a una rete diversa e di autenticarsi con i portali captive al momento dello sblocco di FileVault, sulla schermata di blocco e nella finestra di login.

Autenticazione SSO su piattaforma con registrazione automatica dei dispositivi

Le organizzazioni possono attivare e imporre l’autenticazione SSO su piattaforma durante Impostazione Assistita con la registrazione automatica dei dispositivi. L’opzione è ottimale per i Mac con un solo utente perché macOS crea automaticamente un account locale per l’utente che autentica la registrazione. Inoltre, l’utente può usare immediatamente l’autenticazione SSO con le app native e web supportate.

Quando configuri l’autenticazione SSO su piattaforma con la registrazione automatica dei dispositivi, macOS scarica e installa l’estensione e la configurazione dell’autenticazione SSO su piattaforma. Ciò può accadere in due momenti:

• Prima che macOS si registri al servizio di gestione dei dispositivi: consente all’utente di autenticarsi per la registrazione con SSO.

• Dopo la registrazione: quando il servizio di gestione del dispositivo mantiene macOS nello stato di attesa della configurazione.

Durante questo flusso, macOS esegue la registrazione del dispositivo in modalità silenziosa o chiedendo all’utente. Se macOS esegue la registrazione del dispositivo in modalità silenziosa o se l’autenticazione SSO su piattaforma non ha ricevuto le informazioni e i token utente necessari, l’utente deve eseguire l’autenticazione con il provider di identità per completare la registrazione utente. Viene anche stabilita un’identità utente in macOS. Gli utenti non possono procedere senza aver completato con successo la registrazione SSO su piattaforma.

Dopo che l’autenticazione va a buon fine, macOS crea un account utente locale. Utilizzando un’opzione di configurazione facoltativa, puoi definire quale attributo del provider di identità utilizzare per il nome dell’account locale (spesso chiamato “Nome breve dell’utente”) e per il nome completo. Gli amministratori del servizio di gestione dei dispositivi possono anche impostare la chiave per il nome dell’account su com.apple.PlatformSSO.AccountShortName per utilizzare il prefisso UPN.

Quando la sincronizzazione delle password è attiva, la password viene sincronizzata con il provider di identità se la registrazione dell’utente è stata effettuata con password o tramite autenticazione web. In caso contrario, l’utente imposta una password locale. Se necessario, puoi applicare i requisiti di complessità della password per la password locale utilizzando la configurazione del codice. Se l’opzione è configurata, macOS può sincronizzare l’immagine del profilo di login dell’account locale dal provider di identità.

Se l’account utente che macOS crea è l’unico account presente sul Mac, allora diventa un account amministratore locale. Se il servizio di gestione dei dispositivi ha creato un account amministratore utilizzando il comando di configurazione degli account, puoi assegnare all’account utente privilegi diversi utilizzando la gestione dei privilegi dell’autenticazione SSO su piattaforma.

Single Sign-On

Facendo parte dell’autenticazione SSO estensibile, l’autenticazione SSO su piattaforma offre le stesse funzionalità di accesso unico e consente agli utenti di accedere una sola volta, quindi di utilizzare il token fornito mediante autenticazione iniziale per autenticarsi con le app native e web supportate.

Se i token non risultano mancanti, sono scaduti o hanno più di quattro ore, l’autenticazione SSO su piattaforma tenta di aggiornarli o di recuperarne di nuovi dal provider di identità. Di default, l’autenticazione SSO su piattaforma richiede di effettuare il login completo ogni 18 ore, ma puoi configurare una durata diversa (in secondi, per un minimo di un’ora) dopo la quale l’autenticazione SSO su piattaforma richiede di effettuare il login completo invece di aggiornare il token. Il login completo potrebbe indurre l’utente ad agire. Ad esempio, per presentare la propria smart card o usare Touch ID se l’estensione SSO su piattaforma richiede l’autenticazione biometrica.

Richiesta di Touch ID

Molte organizzazioni considerano l’autenticazione biometrica uno dei fattori di autenticazione più sicuri perché si basa su tratti fisici unici anziché su conoscenze condivise e costituisce il nucleo di una strategia di autenticazione a più fattori.

Quando utilizzi l’autenticazione tramite password o una chiave supportata da Secure Enclave, puoi configurare Touch ID come secondo fattore obbligatorio separatamente per il processo di sblocco di FileVault, la schermata di blocco e la finestra di login. Se consenti questa funzionalità, la configurazione richiede che l’utente si autentichi con Touch ID o, facoltativamente, con un Apple Watch, oltre alla password.

SSO sulla piattaforma in Impostazioni di Sistema

Dopo che il dispositivo ha registrato il Single Sign-On su piattaforma, gli utenti possono controllare lo stato della registrazione in Impostazioni di Sistema > Utenti e gruppi > [nome utente]. Se necessario, è possibile avviare la riparazione della registrazione e richiedere l’aggiornamento del token di autenticazione.

Lo stato della registrazione del dispositivo è visibile in Utenti e gruppi > Server account di rete, ed è inoltre disponibile un’opzione per eseguire la riparazione.

Sincronizzazione password

Se utilizzi l’autenticazione con password, la password dell’utente locale viene automaticamente sincronizzata con il provider di identità ogni volta che un utente modifica la password, sia localmente sia da remoto. Se necessario, macOS richiede all’utente la password precedente.

Se il provider di identità richiede una password durante l’autenticazione web e consenti la funzionalità nella configurazione, macOS può sincronizzare la password inserita dall’utente nella visualizzazione web del provider di identità con l’account utente locale. Questa sincronizzazione è unidirezionale e progettata per aiutarti a mantenere aggiornata la password locale. Richiede che il provider di identità chiami una specifica funzione JavaScript di SSO su piattaforma nella pagina di login.

Politiche di login

Di default, macOS richiede la password dell’account locale per sbloccare FileVault, la schermata di blocco e la finestra di login. Quando la password inserita non corrisponde alla password dell’account utente locale, macOS tenta di raggiungere il provider di identità per autenticare l’utente. Se macOS non riesce a raggiungere il provider di identità o se la password inserita non corrisponde a quella memorizzata dal provider di identità, l’autenticazione non va a buon fine.

Con le politiche di login, in queste tre situazioni, puoi consentire immediatamente l’uso della password dell’account attuale del provider di identità. Puoi anche impostare le seguenti politiche individualmente per FileVault, la schermata di blocco e la finestra di login:

• Tenta di eseguire l’autenticazione.

  • Se configuri questa politica, macOS tenta di eseguire un’autenticazione in tempo reale dell’utente con il provider di identità.

  • Se il Mac è online, per procedere è necessaria l’autenticazione con il provider di identità, anche se il Mac va offline dopo il primo tentativo.

    Se l’autenticazione ha successo, l’autenticazione SSO su piattaforma aggiorna la password locale.

  • Se il Mac è offline, l’utente può utilizzare la password del proprio account locale.

• Richiede l’autenticazione.

  • Se configuri questa politica, per procedere è richiesta l’autenticazione dell’utente con il provider di identità.

  • Se il Mac è online, per procedere è richiesta l’autenticazione dell’utente con il provider di identità, indipendentemente dall’intervallo configurato per l’accesso offline.

    Se l’autenticazione ha successo, l’autenticazione SSO su piattaforma aggiorna la password locale.

  • Se il Mac è offline, gli utenti non possono eseguire il login. In tali situazioni, è possibile abilitare un intervallo offline e impostare tale finestra in base al numero di giorni successivi a un precedente login riuscito (durante tale lasso di tempo l’utente potrà continuare a utilizzare la password dell’account locale).

  • Puoi definire se tutti i login sul Mac con qualsiasi account devono essere gestiti tramite Single Sign-On su piattaforma o se macOS consente ancora il login con account solo locali. Puoi anche definire il numero di giorni dopo che l’autenticazione SSO su piattaforma applica o aggiorna la politica prima che macOS ne imponga l’applicazione. In questo modo, gli utenti possono usare temporaneamente gli account locali. Ad esempio, puoi utilizzare temporaneamente un account amministratore creato dal servizio di gestione dei dispositivi per eseguire o riparare la registrazione del dispositivo per l’autenticazione SSO su piattaforma.

  • Invece di connettersi al provider di identità per l’autenticazione, puoi anche consentire agli utenti di utilizzare Touch ID o Apple Watch sulla schermata di blocco.

Scenari di ripristino

Quando è richiesta l’autenticazione in tempo reale con il provider d’identità ma il Mac non è in grado di eseguirla, gli utenti non possono accedere. In queste situazioni, le seguenti opzioni potrebbero aiutare gli utenti a recuperare l’accesso:

• Se l’utente non riesce a proseguire oltre lo sblocco di FileVault, può inserire una chiave di recupero personale premendo Opzione-Maiuscole-Invio per raggiungere la finestra di login. Quando macOS si connette a una rete dalla finestra di login, un servizio di gestione dei dispositivi può distribuire una configurazione aggiornata. Ad esempio, potresti rimuovere temporaneamente la politica di login per consentire all’utente di eseguire il login con la password dell’account locale.

• Se macOS non può connettersi a una rete per ricevere una configurazione aggiornata, recoveryOS offre un’opzione di elusione. Per utilizzare questa opzione, l’utente ha bisogno della chiave di recupero personale di FileVault e, se configurata, della password del blocco di recupero. Quando l’utente si trova in recoveryOS, il comando security platformsso bypass-login-policy rimuove temporaneamente la necessità di autenticarsi direttamente con il provider di identità. L’elusione dura 12 ore o fino a quando non viene eseguita un’autenticazione in tempo reale con il provider di identità.

Gestione dei privilegi

L’autenticazione SSO su piattaforma offre una gestione dei privilegi granulare per fornire agli utenti il livello di privilegi adeguato di cui hanno bisogno sul Mac. Per farlo, l’autenticazione SSO su piattaforma può applicare i seguenti privilegi all’account ogni volta che l’utente si autentica:

• Standard: l’account ottiene privilegi utente standard.

• Amministratore: l’account viene aggiunto al gruppo di amministratori locali.

• Gruppi: definisce i privilegi in base all’appartenenza a un gruppo, che viene aggiornata ogni volta che l’utente esegue l’autenticazione con il proprio provider di identità.

Quando utilizzi i gruppi, gli account ottengono privilegi in base all’appartenenza alle categorie di seguito.

• Gruppi amministratore: se l’account fa parte di un gruppo elencato, avrà accesso come amministratore locale.

• Gruppi di autorizzazione: se l’account fa parte di un gruppo assegnato a un diritto di autorizzazione integrato o definito in modo personalizzato, allora tale account dispone dei privilegi associati a quel gruppo specifico. Ad esempio, macOS utilizza i seguenti diritti di autorizzazione:

  • system.preferences.datetime, che consente all’account di modificare le impostazioni dell’ora.

  • system.preferences.energysaver, che consente all’account di modificare le impostazioni del risparmio energetico.

  • system.preferences.network, che consente all’account di modificare le impostazioni di rete.

  • system.preferences.printing, che consente all’account di aggiungere o rimuovere stampanti.

• Gruppi aggiuntivi: gruppi definiti in modo personalizzato (che macOS crea automaticamente all’interno della directory locale se non esistono già) per macOS o app specifiche. Ad esempio, puoi utilizzare un gruppo aggiuntivo nella configurazione sudo per definire l’accesso sudo. Gli utenti vengono associati a tali gruppi dopo aver eseguito l’autenticazione con il proprio provider di identità.

Autorizzazione di rete

L’autenticazione SSO su piattaforma espande l’uso delle credenziali da fornitore di identità per l’autorizzazione agli utenti che non hanno un account utente locale sul Mac. Questi account utilizzano gli stessi gruppi che si trovano nella gestione dei gruppi. Ad esempio, se l’account fa parte di uno dei gruppi amministratore può approvare le richieste di autorizzazione per amministratori. Per utilizzare questa funzionalità, configura il Single Sign-On su piattaforma con le chiavi dispositivo condivise.

L’autorizzazione di rete non è possibile con i messaggi di richiesta di autorizzazione che richiedono un token sicuro, permessi di proprietà o l’autenticazione da parte dell’utente attualmente connesso.

Creazione di account on-demand

Per facilitare la gestione degli account nelle distribuzioni condivise, gli utenti possono utilizzare nome utente e password del loro provider di identità, una smart card o l’autenticazione web per accedere a un Mac e creare un account locale. Questa opzione è particolarmente utile se gli stessi utenti tornano a utilizzare il Mac, come nel caso di persone che lavorano su turni o di postazioni in aula in cui gli studenti utilizzano lo stesso Mac per tutto l’anno scolastico.

Puoi ottenere un processo di provisioning completamente automatizzato utilizzando la registrazione automatica dei dispositivi con l’opzione “Avanzamento automatico”. Per farlo, è necessario creare il primo account amministratore locale utilizzando un servizio di gestione dei dispositivi ed eseguire la registrazione Single Sign-On su piattaforma silenziosa.

Inoltre (similmente alla registrazione automatica dei dispositivi), puoi utilizzare una chiave di configurazione opzionale per definire quale attributo del provider di identità utilizzare per il nome dell’account utente locale.

Puoi anche definire quali privilegi applicare ai nuovi account creati al momento del login. Sono disponibili le stesse opzioni per la gestione dei privilegi:

• Standard: l’account ottiene privilegi utente standard.

• Amministratore: l’account viene aggiunto al gruppo di amministratori locali.

• Gruppi: definisce i privilegi in base all’appartenenza a un gruppo, che viene aggiornata ogni volta che l’utente esegue l’autenticazione con il proprio provider di identità.

Requisiti

• Registrare il Mac in un servizio di gestione dei dispositivi che supporta i token Bootstrap.

• Completare la procedura di Impostazione Assistita e creare un account amministratore locale.

• Assicurarsi che il Mac si trovi nella finestra di accesso con FileVault sbloccato e una connessione di rete disponibile.

Modalità ospite autenticata

La modalità ospite autenticata offre unʼesperienza di login semplificata per le distribuzioni condivise, ad esempio, nel caso di studi medici o scuole, dove non occorre che i diversi utenti creino un account locale, perché non devono far altro che effettuare l’accesso con le credenziali fornite dal proprio provider di identità per un breve periodo di tempo. L’utente ottiene di default i privilegi utente standard, ma possono essere modificati utilizzando la gestione dei privilegi SSO su piattaforma.

La modalità ospite autenticata può essere utilizzata insieme agli account utente locali abilitati per l’autenticazione SSO su piattaforma. In questo modo, l’utente principale del Mac può usufruire delle funzionalità di SSO su piattaforma, mentre gli altri utenti possono accedere temporaneamente, se necessario.

Quando un utente esegue il logout, macOS elimina tutti i dati locali per quel determinato account e il Mac condiviso è pronto per il login dell’utente successivo.

Di default, la modalità ospite autenticata cancella in modo sicuro l’intera cartella Home dell’utente. Sebbene sia un’operazione approfondita, può comportare un ritardo nel logout. Se è necessario un cambio più rapido tra le diverse sessioni utente, puoi configurare il login rapido. Ogni otto ore, questa funzionalità elimina Documenti, Scrivania, Download e altri elementi e rimuove tutte le sessioni ospite. Quando è attivata, la funzionalità consente di passare da una sessione all’altra ancora più rapidamente, rendendola un’opzione ideale nei contesti in cui si verificano frequenti cambi di sessione utente e le prestazioni dell’esperienza di logout e login sono una priorità.

Requisiti

• Registrare il Mac in un servizio di gestione dei dispositivi che supporta i token Bootstrap.

• Completare la procedura di Impostazione Assistita e creare un account amministratore locale.

Tocca per accedere

“Tocca per accedere” estende la funzionalità delle credenziali digitali da Wallet al Mac. Negli ultimi anni, le organizzazioni hanno adottato i badge digitali in Wallet, che consentono agli utenti di sbloccare le porte semplicemente avvicinando iPhone o Wallet, senza dover utilizzare un badge fisico. Questa stessa esperienza è disponibile su Mac ed è particolarmente utile per le organizzazioni che condividono un Mac tra più utenti, ad esempio, istituti scolastici, ambienti commerciali e strutture sanitarie.

Con “Avvicina per accedere”, gli utenti possono eseguire l’autenticazione su un Mac configurato per la modalità ospite autenticata avvicinando iPhone o Apple Watch a un lettore NFC collegato. L’operazione avvia un processo di autenticazione SSO sicura che autentica automaticamente gli utenti sulle app e sui siti web, consentendo loro di accedere rapidamente e iniziare a lavorare.

Un’app o un browser di iPhone fornisce le credenziali utente come chiavi di accesso in un biglietto Wallet. L’elemento sicuro del dispositivo archivia queste chiavi di accesso, il che le rende protette dall’hardware e crittografate, e contribuisce a proteggerle da eventuali tentativi di manomissione o estrazione. Grazie alla modalità rapida, gli utenti possono anche autenticarsi immediatamente senza dover attivare o sbloccare il dispositivo (similmente a come funzionano le carte dei mezzi di trasporto in Wallet).

Per creare e gestire le chiavi di accesso, è necessario partecipare al Programma di accesso di Apple Wallet. Per ulteriori informazioni su come creare una chiave di accesso, consulta Provisioning nella guida al Programma di accesso di Wallet.

Requisiti

• Devi configurare la modalità ospite autenticata

• È necessario utilizzare un lettore NFC esterno supportato