WWDC26の識別情報の統合のアップデート
注記: このページで説明されている機能はリリース前のバージョンであり、不完全であったり、最終リリース前に変更または削除されたりする可能性があります。
以下の内容は、オペレーティングシステムのバージョン、影響を受けるオペレーティングシステムの数の順に並んでいます:
拡張SSOの構成
iOS 27、iPadOS 27、macOS 27、およびvisionOS 27を搭載したデバイスで新しいcom.apple.configuration.extensible-sso構成を使用すると、拡張SSO（iOS、iPadOS、macOS、visionOS）およびプラットフォームSSO設定（macOSのみ）を宣言型デバイス管理で管理できます。
プラットフォームシングルサインオンによるWebベース認証
ITチームは、macOS 27を搭載したMacに、Webベース認証による柔軟でフィッシングに強い最新の認証方法を導入できます。UserCreation.NewUserAuthenticationMethodsまたはUserCreation.NewUserAuthenticationMethods（構成）、あるいはNewUserAuthenticationMethodsまたはNewUserAuthenticationMethods（プロファイル）でOpenIDが構成されている場合、macOSはWebビューを使用して、FileVaultのロック解除時、ロック画面、およびログインウインドウにIdP（IDプロバイダ）のサインインフォームを表示します。Webビューは、複数ステップおよび複数ファクタの認証フローとQRコードサインインに対応しています。
QRコードサインインでは、内蔵カメラまたは接続したカメラを使用して素早く認証できます。例えば、クラスでMacにログインする生徒や、キオスクとして使用するMacコンピュータにログインするユーザに対応できます。ユーザのプライバシーを保護するために、macOSは安全なシステムプロセスを使用し、スキャンされたコードのみをIdPと共有します。IdPはこのコードをテキストとして扱います。このテキストは、IdPが必要とするトークンやURLなどの要素を表現できます。
Webベースの認証処理では、ITチームが以下のいずれかのキーで許可したURLのみを読み込むことができます:
構成:
WebAuthentication.URLAllowListプロファイル:
WebLoginURLAllowList
各URLは、完全修飾ドメイン名（FQDN）を使用して全体を定義し、スキームとホストを含める必要があります（例: https://login.idp.com）。
注記: プラットフォームシングルサインオンによるWebベース認証は、ワイルドカードに対応していません。
ITチームが以下のいずれかのキーを使用して定義すると、Macがオフラインの場合など、Webベース認証が利用できない場合に、ユーザはその日数だけローカルアカウントパスワードを使用して認証できます:
構成:
Policies.OfflineGracePeriodプロファイル:
OfflineGracePeriod
Webベース認証フローで入力するパスワードは、ローカルユーザアカウントと同期できます。これには以下が必要になります:
IdPが対応していること。
ITチームが以下のいずれかのキーを使用してこの機能を許可していること:
構成:
WebAuthentication.AllowPasswordSyncプロファイル:
AllowWebLoginPasswordSync
macOSのログインウインドウのネットワークアクセス
macOS 27を搭載した監視対象Macでは、ITチームがユーザに対して、別のネットワークへの接続や、FileVaultのロック解除時、ロック画面、およびログインウインドウでのキャプティブポータルによる認証を許可することができます。この変更により、プラットフォームSSOが構成された共有MacコンピュータでWebベース認証や認証済みゲストモードなどの機能を使用できるようになります。これらの機能では、MacでIDプロバイダ（IdP）に接続して認証する必要があります。
この機能を許可するため、com.apple.applicationaccess（制限）プロファイルに2つの新しいキーが追加されています:
ForceWifiConfigurationOnLockScreen: ユーザは別のWi-Fiネットワークを選択できます。デフォルトはFALSEです。ForceCaptivePortalConnectionFromLockScreen: Wi-Fiキャプティブポータル認証を許可します。デフォルトはFALSEです。
プラットフォームSSOにおけるTouch IDの義務化
生体認証は共有知識ではなく固有の身体的特徴に依存するため、多くの組織はこれを最も強力な認証ファクタの1つと考えています。また、生体認証はマルチファクタ認証戦略の中核でもあります。
組織は、macOS 27を搭載した監視対象Macのすべての重要なmacOS認証のエントリーポイントにおいて、追加の認証ファクタとして、Touch ID、またはApple Watchによるロック解除を要求できます。これにより、追加のインフラストラクチャを必要とすることなく、フィッシングに強い生体認証による多要素認証（MFA）を実現できます。ITチームは、プラットフォームSSOのFileVault、ロック画面、およびログインウインドウのログインポリシーで、新しいRequireTouchIDまたはRequireTouchIDOrWatchオプションを個別に設定できます。プラットフォームSSO認証がSecure Enclaveで保護されたキーまたはパスワードを使用するように構成されている場合は、Touch IDを要求することができます。
組織は、Touch IDが使用できない場合の代替手段として、Webベース認証を許可できます。Touch IDもWebベース認証も利用できない場合、ユーザはログインできません。
認証済みゲストモードのFileVault
macOS 27を搭載した共有Macで、FileVaultが認証付きゲストモードに対応しました。これにより、一時的にIdPで認証されたユーザがFileVaultのロックを解除してMacにアクセスできます。コンプライアンスにより、ディスク全体の暗号化が求められる共有Macの導入に対応できるようになります。
IdPが認証を行うため、Macがネットワークに接続され、IdPと通信できる必要があります。
共有iPadの認証済みゲストモード
今年中には、共有iPadで認証済みゲストモードが利用できるようになる予定です。共有iPadの認証済みゲストモードで一時セッションのみのモードを構成し、管理対象Apple Accountで認証すると、一時セッションが利用できます。これにより、素早くログインできるようになり、対応アプリでSSOが自動的に許可され、デバイスでユーザに保存容量を割り当てる構成が必要なくなります。
ユーザは、ネイティブ認証またはIdPとのFederated Authenticationを使用して、管理対象Apple Accountでサインインします。パスコードポリシーが適用されている場合、ユーザは、構成されたパスコードの複雑さ要件に従ってセッション固有のパスコードを設定するよう求められます。その後、このパスコードを使用してアクティブなセッションのロックを解除できます。ユーザがサインアウトすると、すべてのローカルデータ、セッションパスコードおよび管理対象AppleアカウントがiPadから自動的に削除されます。
注記: 認証済みゲストモードを使用している場合、ユーザは共有iPadのパスコードを定義する必要はありません。その代わりに、IdPとの認証とセッションパスコードが使用されます。
Microsoft Graph API対応
Microsoftは、Exchange OnlineでExchange Web Services（EWS）のサービスを終了する予定であると発表しました。AppleはMicrosoftと積極的に連携しながら、macOS 27の今後のアップデートで、「メール」、「カレンダー」、「連絡先」、「メモ」、「リマインダー」がGraph APIを使用するようにします。これには、デバイス管理サービスの宣言型構成も含まれます。
Microsoftは、組織が2026年10月以降もEWSを使い続けるためのオプションについて、ドキュメントを公開しています。詳しくは、Exchange Team Blogの「Exchange Online EWS, Your Time is Almost Up」（英語）を参照してください。
Shared Signals Frameworkのアップデート
セキュリティ標準の進化に合わせるため、IdPはAppleのフェデレーションインフラストラクチャと同期し続ける必要があります。AppleのShared Signals Framework（SSF）の対応も、正式なOpenID Shared Signals Framework Specification 1.0に合わせてアップデートされています。