macOSのプラットフォームシングルサインオン

概要

macOSで利用可能なプラットフォームシングルサインオン（プラットフォームSSO）は、ユーザにシームレスなログインおよび認証体験を提供します。プラットフォームSSOでは、ユーザが組織のIDを使用して初期設定を行い、macOS全体で利用することができます。繰り返し認証プロンプトを操作する必要はありません。プラットフォームSSOを使用するには、プラットフォームSSOフレームワークを実装するIDプロバイダ（IdP）に対応したSSO機能拡張を導入する必要があります。

プラットフォームSSOは、ほかのSSO機能拡張と組み合わせることができますが、以下の点を考慮する必要があります:

• 特定の1つのドメインは、1つのSSO機能拡張だけで使用する必要があります。

• Kerberos SSO構成で、syncLocalPasswordをFALSEに設定します。

機能

プラットフォームSSOは以下の機能に対応しています:

• ネイティブおよびWebアプリでシングルサインオン体験を提供します。

• パスワード、Secure Enclaveで保護されたキー、柔軟なWebベースの認証フロー、アクセスキー、スマートカードなど、複数の認証方法を使用します。

• 自動デバイス登録中にプラットフォームSSOを有効にして実行し、登録を認証し、ローカルユーザアカウントを作成します。

• ユーザがIdPアカウントからの資格情報でログインするときに、オンデマンドで追加のローカルユーザアカウントを作成します。

• IdPのパスワードをローカルユーザアカウントと同期します。

• 2つ目のファクタとしてTouch IDが必要です。

• プラットフォームSSOの状態と修復オプションに関する情報は、「システム設定」で取得します。

• ログインポリシーを使用して、IdPでライブパスワード認証を実行するタイミングを定義します。

• IdPアカウントの権限を定義し、ユーザがネットワーク専用IdPアカウントを使用することを認証プロンプトで許可します。

• 共有Macコンピュータで一時的にログインするゲストユーザにIdP資格情報で対応します。

要件

• macOS 13以降

• プラットフォームSSOの設定を含む、拡張シングルサインオン構成に対応するデバイス管理サービス

• IdPと互換性のあるプラットフォームSSO機能拡張を含むアプリ

以下の機能には追加のバージョン要件があります:

プラットフォームSSOを設定する

プラットフォームSSOを使用するには、Macと各ユーザがIdPに登録されている必要があります。IdP対応および適用される構成によっては、Macは次の方法により、バックグラウンドでサイレントにデバイス登録を実行できます:

• 拡張SSO構成で提供されたIdPの登録トークン。

• Macが正規のAppleデバイスであるという強力な保証を提供する認証。デバイス識別子（UDIDとシリアル番号）を含めることもできます。

デバイスが正常に登録されたあと、ユーザが登録されます。IdPが要求する場合、プラットフォームSSOはユーザに登録の確認を求めます。プラットフォームSSOがどのように登録を処理するかは、アカウントの種類によって異なります:

• 事前デバイス認証あり: デバイス登録ですでにユーザ認証が実行され、SSO機能拡張が必要な情報とトークンを提供している場合は、プラットフォームSSOがバックグラウンドでユーザ登録を実行します。

• オンデマンドのローカルアカウント: プラットフォームSSOは、バックグラウンドでサイレントにユーザ登録を試行します。失敗した場合は、ユーザに確認を求めます。

• 認証済みゲストモードのアカウント: プラットフォームSSOは、認証済みゲストモードで作成される一時アカウントのユーザ登録を完全にスキップします。

必要に応じて、ローカルアカウント（あなたが定義したもの）をプラットフォームSSOから除外することもできます。その場合、プラットフォームSSOへの登録は要求されなくなります。これにより、ログインポリシーやTouch IDの要求などの機能からも除外されます。

共有デバイスキー

ユーザに依存することなくIdPと信頼できる接続を維持するために、プラットフォームSSOは共有デバイスキーに対応しています。可能な限り共有デバイスキーを使用してください。これは以下の項目に必要です:

• 自動デバイス登録中のプラットフォームSSO

• Touch IDの要求

• Webベース認証

• 認証済みゲストモード

• オンデマンドアカウント作成

• ネットワーク認証

認証方法

プラットフォームSSOはIdPとは異なる認証方式に対応します。それぞれの方式への対応は、IdPとプラットフォームSSO機能拡張によって異なります。認証方式は以下の通りです:

• パスワード: この方法を使用すると、ユーザはパスワードを使用してIdPで認証されます。この方法はWS-Trustにも対応しています。アカウントを管理するIdPが連携されているときでもユーザを認証できます。

• Webベース: この方法を使用すると、ユーザはIdPによって提示されるWebフォームで認証されます。このWebベースの認証方法では、複数ステップの認証フローも提供できます。ユーザがQRコードをスキャンしてサインインできるように、カメラへのアクセスを許可することもできます。

• スマートカード: この方法を使用すると、ユーザはスマートカードを使用してIdPで認証されます。この方法を使用するには、次の手順を実行する必要があります:

  • IdPにスマートカードを登録します。

  • Macでスマートカード属性マッピングを構成します。

    詳細および属性のマッピング構成例については、スマートカードサービスプロジェクトのマニュアルページを参照してください。

• Secure Enclaveで保護されたキー: この方法を使用すると、ローカルアカウントのパスワードで自分のMacにログインするユーザは、Secure Enclaveで保護されたキーを使って、パスワードを入力せずにIdPで認証できます。Secure Enclave鍵は、ユーザ登録処理中にIdPによって設定されます。

• アクセスキー: この方法では、ユーザはAppleウォレットに保存されているパスを使用してIdPで認証されます。スマートカードと同様に、IdPにアクセスキーを登録する必要があります。

特定の機能では、特定の認証方法を使用する必要があります:

機能	パスワード	Webベース	スマートカード	Secure Enclaveで保護されたキー	アクセスキー
アクセス権の管理
認証済みゲストモード
自動デバイス登録
オンデマンドアカウント作成
Touch IDを要求
パスワード同期
ログインポリシー

Webベース認証とQRコードサインイン

組織は、Webベース認証を使用することで、最新の柔軟な認証方式を活用できます。ユーザのプライバシーとセキュリティを保護するため、プラットフォームSSOフレームワークがWebベース認証のプロセスを実行する際は、定義されたURLのみが許可されます。

Webベース認証を使用する場合、macOSは、FileVaultのロック解除中、ロック画面、およびログインウインドウにWebビューを表示します。Webビューには、IdPのサインインフォームが表示されます。この画面は、複数ステップおよび複数ファクタの認証フローと、QRコードサインインに対応しています。

QRコードを使用すると、生徒が教室やキオスクのMacコンピュータにログインする場合などの認証を素早く行うことができます。ユーザのプライバシーを保護するため、macOSは安全なシステムプロセスで内蔵または接続されたカメラを使用してスキャンし、スキャンされたコードのみをIdPと共有します。IdPはこのコードをテキストとして扱います。このテキストは、IdPが必要とするトークンやURLなどの要素を表現できます。

また、ユーザは、ロック画面とログインウインドウで、パスキーを使ってサインインすることもできます。

Macがオフラインの場合など、Webベース認証が利用できない場合、ユーザはITチームが定義した日数だけ、ローカルアカウントパスワードを使用して認証できます。

FileVaultのネットワーク要件

以下の機能では、FileVaultのロックを解除する前に、プラットフォームSSOがIdPと通信できる必要があります:

• Webベース認証

• 認証済みゲストモード

• ログインポリシー

macOSは、データボリュームが使用できるようになる前に接続を確立する必要があるため、VPN、ネットワークリレー、または802.1X認証なしでIdPに接続できる必要があります。

macOS 27を搭載したMacでは、ユーザがFileVaultのロック解除時、ロック画面、およびログインウインドウで別のネットワークに接続し、キャプティブポータルによる認証を許可することもできます。

自動デバイス登録でのプラットフォームSSO

自動デバイス登録使用時に、設定アシスタントでプラットフォームSSOを有効にして適用できます。このオプションはシングルユーザのMacコンピュータに適しています。登録が認証されたユーザのローカルアカウントがmacOSによって自動的に作成されるので、そのユーザは対応するネイティブアプリやWebアプリにSSOですぐにアクセスできるようになるためです。

自動デバイス登録でプラットフォームSSOが構成されている場合、macOSによって、プラットフォームSSO機能拡張および構成がダウンロードされ、インストールされます。これは次の2つの時点で発生します:

• macOSがデバイス管理サービスに登録される前: ユーザがSSOで登録を認証できるようにします。

• 登録後: デバイス管理サービスがmacOSを構成待ちの状態にしているとき。

macOSはこのフロー中に、サイレントに、またはユーザにプロンプトを表示することでデバイスの登録を実行します。macOSがサイレントにデバイスを登録した場合や、プラットフォームSSOが必要なユーザ情報とトークンを受け取らなかった場合、ユーザはIdPで認証してユーザ登録を完了する必要があります。これにより、macOSのユーザ識別情報が確立します。プラットフォームSSOの登録が完了しないと、ユーザは先に進むことができません。

macOSは、ユーザの認証が成功したあとに、ローカルユーザアカウントを作成します。任意の構成キーを使用して、ローカルユーザアカウント名（ユーザ名とも呼ばれます）とフルネームにどのIdP属性を使用するかを定義できます。デバイス管理サービス管理者は、アカウント名のキーをcom.apple.PlatformSSO.AccountShortNameに設定してUPNプレフィックスを使用することもできます。

パスワードの同期がオンになっており、パスワードまたはWebベース認証でユーザ登録が行われた場合、パスワードはIdPと同期されます。それ以外の場合は、ユーザがローカルパスワードを設定します。必要に応じて、パスコード構成を使用してローカルパスワードのパスワード複雑さ要件を適用できます。構成されている場合、macOSによって、ローカルアカウントのログインプロフィールピクチャがIdPから同期されます。

macOSが作成するユーザアカウントがMacの唯一のアカウントである場合、そのアカウントはローカル管理者アカウントになります。デバイス管理サービスがアカウント構成コマンドを使用して管理者アカウントを作成した場合は、プラットフォームSSO権限管理を使用してユーザアカウントに別の権限を割り当てることができます。

シングルサインオン

プラットフォームSSOは拡張SSOの一部であるため、同じシングルサインオン機能が提供されます。ユーザは一度ログインすると、最初の認証のトークンを使って、対応するネイティブアプリおよびWebアプリで認証されます。

トークンが見つからない場合、有効期限が切れている場合、または4時間以上経過している場合、プラットフォームSSOは更新を試みるか、IdPから新しいものを取得しようとします。デフォルトでは、プラットフォームSSOは18時間ごとに完全なログインを要求しますが、プラットフォームSSOがトークンの更新ではなく、完全なログインを要求するまでの別の秒数（最小1時間）を構成できます。完全なログインには、ユーザによるアクションが必要な場合があります。例えば、プラットフォームSSO機能拡張によって生体認証が要求された場合は、スマートカードを提示したり、Touch IDを使用したりする必要があります。

Touch IDを要求

生体認証は共有知識ではなく固有の身体的特徴に依存するため、多くの組織はこれを最も強力な認証要素の1つと考えています。また、生体認証はマルチファクタ認証戦略の中核でもあります。

パスワード認証またはSecure Enclaveで保護されたキーを使用する場合、FileVaultのロック解除プロセス、ロック画面、およびログインウインドウにそれぞれ必要となる2つ目のファクタとして、Touch IDを構成できます。この機能を許可すると、ユーザは構成により、パスワードに加えて、Touch IDまたはオプションでApple Watchによる認証が求められます。

「システム設定」のプラットフォームSSO

デバイスがプラットフォームSSOに登録されると、ユーザは「システム設定」＞「ユーザとグループ」＞[ユーザ名]でユーザの登録状況を確認できます。必要に応じて、登録を修復したり、認証トークンを強制的に更新したりできます。

デバイス登録状況は「ユーザとグループ」＞「ネットワークアカウントサーバ」に表示され、修復を実行するオプションも提供します。

パスワード同期

パスワード認証を使用する場合、ユーザがローカルまたはリモートでパスワードを変更すると、ローカルユーザパスワードはIdPと自動的に同期されます。必要に応じて、macOSはユーザに以前のパスワードを入力するように求めます。

IdPがWebベース認証時にパスワードを要求し、構成でこの機能が許可されている場合、macOSはユーザがIdPのWebビューに入力したパスワードをローカルユーザアカウントと同期できます。この同期は一方向で、ローカルパスワードをアップデートされた状態に保つためのものです。IdPは、サインインページで特定のプラットフォームSSO JavaScript関数を呼び出す必要があります。

ログインポリシー

macOSはデフォルトで、FileVaultのロック解除時、ロック画面、およびログインウインドウで、ローカルアカウントパスワードを求めます。入力されたパスワードがローカルユーザアカウントのパスワードと一致しない場合、macOSはユーザを認証するためにIdPへの接続を試みます。macOSがIdPに接続できないか、入力されたパスワードがIdPに保存されているパスワードと一致しない場合、認証は失敗します。

ログインポリシーによって、これらの3つのプロンプトで、IdPの現在のアカウントパスワードを使用することをすぐに許可できます。FileVault、ロック画面、およびログインウインドウに対して、以下のポリシーを個別に設定することもできます:

• 認証を試みる。

  • このポリシーを構成すると、macOSはユーザをIdPでライブ認証しようとします。

  • Macがオンラインの場合、次に進むにはユーザのIdPによる認証が成功している必要があります。最初の試行後にMacがオフラインになった場合も同様です。

    認証が成功すると、プラットフォームSSOによってローカルパスワードがアップデートされます。

  • Macがオフラインの場合、ユーザはローカルアカウントパスワードを使用できます。

• 認証が必要。

  • このポリシーを構成すると、次に進むにはユーザがIdPで認証される必要があります。

  • Macがオンラインの場合、次に進むにはユーザがIdPで認証される必要があります。構成されているオフライン猶予期間は関係ありません。

    認証が成功すると、プラットフォームSSOによってローカルパスワードがアップデートされます。

  • Macがオフラインの場合、ユーザはログインできません。そのような状況では、オフライン猶予期間を許可して、前回正常にログインしてからの日数を設定できます。ユーザはこの期間中、ローカルアカウントパスワードを引き続き使用できます。

  • MacにログインするアカウントをすべてプラットフォームSSOで管理する必要があるか、macOSでローカルのみのアカウントによるログインが引き続き許可されるかどうかを定義できます。プラットフォームSSOでポリシーが適用またはアップデートされてから、macOSでこの設定が施行されるまでの日数を定義することもできます。これにより、ユーザが一時的にローカルアカウントを使用できるようになります。例えば、プラットフォームSSOデバイス登録を実行または修復するため、デバイス管理サービスによって作成された管理者アカウントを一時的に使用できます。

  • IdPに接続して認証する代わりに、ユーザがロック画面でTouch IDまたはApple Watchを使用することを許可することもできます。

復旧シナリオ

IdPのライブ認証が必要であるにもかかわらず、Macがそれを実行できない場合、ユーザはログインできません。そのような状況では、以下のオプションがユーザのアクセスの回復に役立つ場合があります:

• ユーザがFileVaultのロック解除を完了できない場合は、Optionキー、Shiftキー、Returnキーを同時に押してパーソナル復旧キーを入力すると、ログインウインドウに移動できます。ログインウインドウでmacOSがネットワークに接続すると、デバイス管理サービスがアップデートされた構成を導入できるようになります。例えば、一時的にログインポリシーを削除して、ユーザがローカルアカウントパスワードでログインすることを許可できます。

• macOSがネットワークに接続できず、アップデートされた構成を受け取れない場合、recoveryOSによるバイパスオプションが提供されます。このオプションを使用する場合、ユーザのFileVaultパーソナル復旧キーと復旧ロックパスワード（構成している場合）が必要です。ユーザがrecoveryOSにいる場合、security platformsso bypass-login-policyコマンドで、IdP直接認証要件を一時的に削除できます。バイパスは12時間またはIdPの認証が成功するまで継続されます。

アクセス権の管理

プラットフォームSSOは、ユーザにMac上で必要な適切なレベルの権限を提供するために、詳細な権限管理を提供します。これを実現するため、プラットフォームSSOはユーザが認証されるたびにアカウントに以下の権限を適用できます:

• 標準: アカウントに標準ユーザの権限が設定されます。

• 管理者: アカウントをローカル管理者グループに追加します。

• グループ: IdPでユーザが認証されるたびにアップデートされるグループメンバーシップによって権限を定義します。

グループを使用する場合、次のいずれかのメンバーシップに基づいてアカウントの権限が設定されます:

• 管理者グループ: アカウントがリストされたグループに含まれる場合、ローカル管理者アクセスが付与されます。

• 認証グループ: アカウントが内蔵またはカスタム定義の認証権限に割り当てられたグループに含まれる場合、そのグループに関連付けられた権限が付与されます。例えば、macOSでは次の認証権限が使用されます:

  • system.preferences.datetime。アカウントに時間設定の変更を許可します。

  • system.preferences.energysaver。アカウントに省エネルギー設定の変更を許可します。

  • system.preferences.network。アカウントのネットワーク設定の変更を許可します。

  • system.preferences.printing。アカウントにプリンタの追加または削除を許可します。

• 追加グループ: macOSまたは特定のアプリ用にカスタム定義されたグループ（すでに存在しない場合、macOSによってローカルディレクトリ内に自動作成されます）です。例えば、sudo構成内で、sudoアクセスを定義する追加グループを使用できます。IdPでユーザが認証されると、それらのグループにマッピングされます。

ネットワーク認証

プラットフォームSSOは、認証目的のIdP資格情報の使用をMac上にローカルアカウントを持たないユーザに拡張します。これらのアカウントはグループ管理と同じグループを使用します。例えば、アカウントがいずれかの管理者グループのメンバーである場合、管理者認証プロンプトを承認できます。この機能を使用するには、共有デバイスキーでプラットフォームSSOを構成してください。

セキュアトークン、所有権、または現在ログインしているユーザによる認証を必要とする認証プロンプトでは、ネットワーク認証はできません。

オンデマンドアカウント作成

共有導入でのアカウント管理を円滑化するために、ユーザはIdPユーザ名とパスワード、スマートカード、またはWebベース認証を使用してMacにログインし、ローカルアカウントを作成できます。これは、シフト制勤務や教室で生徒が1年間同じMacを使用する場合など、同じユーザが同じMacに戻る場合に特に便利です。

自動デバイス登録と自動進行を使用してプロビジョニングプロセスを完全に自動化できます。デバイス管理サービスを使用して最初のローカル管理者アカウントを作成し、サイレントプラットフォームSSO登録を実行する必要があります。

さらに（自動デバイス登録と同じく）、任意の構成キーを使用して、IdPが提供する属性のうちどの属性をローカルユーザアカウント名に使用するかを定義できます。

また、ログイン時に新しく作成されたアカウントに適用する権限を定義することもできます。権限管理にも同じオプションを使用できます:

• 標準: アカウントに標準ユーザの権限が設定されます。

• 管理者: アカウントをローカル管理者グループに追加します。

• グループ: IdPでユーザが認証されるたびにアップデートされるグループメンバーシップによって権限を定義します。

要件

• ブートストラップトークンに対応するデバイス管理サービスにMacを登録します。

• 設定アシスタントを完了して、ローカル管理者アカウントを作成します。

• FileVaultのロックが解除されているMacにログインウインドウが表示され、ネットワークに接続されています。

認証済みゲストモード

医療機関や学校など、IdP資格情報で短時間サインインするだけなので、ユーザごとにローカルアカウントを作成する必要がない共有導入の場合は、認証済みゲストモードでログイン体験を迅速化できます。デフォルトでは、ユーザには標準ユーザ権限が付与されますが、プラットフォームSSO権限管理を使用してそれらの権限を変更できます。

認証済みゲストモードは、プラットフォームSSOが有効になっているローカルユーザアカウントと併用できます。これにより、MacのプライマリユーザがプラットフォームSSO機能のメリットを活用でき、必要に応じてほかのユーザが一時的にログインすることもできます。

ユーザがログアウトすると、macOSはそのアカウントのすべてのローカルデータを消去し、共有Macは次のユーザがログインできるように準備されます。

デフォルトで、認証済みゲストモードでは、ユーザのホームフォルダ全体が安全に消去されます。これは念入りではありますが、ログアウトが遅くなることがあります。別のユーザセッションに素早く切り替える必要がある場合は、「クイックログイン」を構成できます。クイックログインでは、8時間ごとに「ドキュメント」、「デスクトップ」、「ダウンロード」およびその他のいくつかの項目が削除され、すべてのゲストセッションが削除されます。これをオンにすると、セッションの切り替えが速くなるため、ユーザセッションの入れ替えが頻繁に発生し、ログアウトとログインのパフォーマンスが優先される環境に最適です。

要件

• ブートストラップトークンに対応するデバイス管理サービスにMacを登録します。

• 設定アシスタントを完了して、ローカル管理者アカウントを作成します。

タップしてログイン

「タップしてログイン」は、デジタル資格情報機能をAppleウォレットからMacに拡張します。ここ数年で、組織はAppleウォレットでデジタルバッジを採用し、物理的なバッジを必要とせずにiPhoneまたはAppleウォレットをタップするだけでドアを解錠できるようにしました。同じ体験をMacでも利用できます。これは、教育機関、小売店、医療施設など、複数のユーザでMacを共有する組織にとって特に有用です。

「タップしてログイン」では、ユーザはiPhoneまたはApple Watchを接続されたNFCリーダーでタップすると、認証済みゲストモード用に構成されたMacで認証されます。これにより、安全なシングルサインオンプロセスが開始され、アプリやWebサイトでユーザが自動的に認証されるので、ユーザは素早くログインして作業を開始できます。

iPhoneのアプリまたはブラウザは、ユーザの資格情報をアクセスキーとして、Appleウォレットのパスにプロビジョニングします。このアクセスキーはデバイスのSecure Elementに保存され、暗号化されてハードウェアによって保護されるので、改ざんや抽出を防ぐことができます。エクスプレスモードにより、デバイスをスリープ解除またはロック解除する必要なくユーザをすぐに認証できるので便利です（Appleウォレットの交通系ICカードと同じ）。

アクセスキーの作成と管理には、Appleウォレットアクセスプログラムへの参加が必要です。アクセスキーの作成方法について詳しくは、「Appleウォレットアクセスプログラムガイド」の「プロビジョニング」を参照してください。

要件

• 認証済みゲストモードを構成する必要があります

• 対応する外付けNFCリーダーを使用する必要があります