Eenmalige platformaanmelding voor macOS

Overzicht

Eenmalige platformaanmelding is beschikbaar in macOS en geeft gebruikers de mogelijk om naadloos in te loggen en zich te authenticeren. Met eenmalige platformaanmelding kunnen gebruikers in macOS meteen vanaf de eerste configuratie hun organisatie-identiteit gebruiken en hoeven ze zich niet steeds opnieuw te authenticeren. Om eenmalige platformaanmelding te gebruiken, moet je een extensie voor eenmalige platformaanmelding implementeren die compatibel is met je identiteitsprovider (IdP) en die het Platform SSO-framework implementeert.

Eenmalige platformaanmelding kan worden gecombineerd met andere extensies voor eenmalige aanmelding, waarbij rekening moet worden gehouden met de volgende zaken:

• Voor een specifiek domein hoeft slechts één extensie voor eenmalige aanmelding te worden gebruikt.

• Stel syncLocalPassword in op FALSE in de Kerberos-configuratie voor eenmalige aanmelding.

Functies

Eenmalige platformaanmelding ondersteunt de volgende functies:

• Eenmalige aanmelding voor ingebouwde apps en webapps.

• Gebruik van meerdere authenticatiemethoden, waaronder wachtwoorden, Secure Enclave-sleutels, flexibele authenticatieprocessen via het web, toegangssleutels en smartcards.

• Activeren en afdwingen van eenmalige platformaanmelding tijdens automatische apparaatinschrijving om de inschrijving te authenticeren en een lokale gebruikersaccount aan te maken.

• Aanmaak op aanvraag van extra lokale gebruikersaccounts als een gebruiker inlogt met gegevens van een IdP-account.

• Synchronisatie van IdP-wachtwoorden met lokale gebruikersaccounts.

• Vereisen van Touch ID als een tweede factor.

• Informatie weergeven over de status van eenmalige platformaanmelding en herstelopties in Systeeminstellingen.

• Gebruik van inlogbeleid om te definiëren wanneer live wachtwoordauthenticatie bij de IdP moet worden uitgevoerd.

• Bevoegdheden voor IdP-accounts definiëren en toestaan dat gebruikers IdP-netwerkaccounts gebruiken voor autorisatieverzoeken.

• Ondersteuning voor gastgebruikers die tijdelijk inloggen met hun IdP-gegevens op gedeelde Macs.

Vereisten

• macOS 13 of nieuwer

• Een voorziening voor apparaatbeheer die de configuratie 'Uitbreidbare SSO' met instellingen voor eenmalige platformaanmelding ondersteunt

• Een app met een extensie voor eenmalige platformaanmelding die compatibel is met de IdP

Voor de volgende functies zijn aanvullende versievereisten van toepassing:

Eenmalige platformaanmelding configureren

Om eenmalige platformaanmelding te gebruiken, moeten de Mac en alle gebruikers zich bij de IdP registreren. Afhankelijk van de ondersteuning door de IdP en de toegepaste configuratie kan de Mac de apparaatregistratie op de achtergrond uitvoeren met behulp van:

• Een registratietoken van de IdP dat is opgegeven in de configuratie voor uitbreidbare eenmalige aanmelding.

• Een attestatie die een sterke garantie biedt dat de Mac een echt Apple apparaat is en die optionele apparaat-ID's (UDID en serienummer) kan bevatten.

Nadat het apparaat is geregistreerd, registreert de gebruiker zich. Als de IdP dit vereist, wordt de gebruiker door eenmalige platformaanmelding gevraagd om de registratie te bevestigen. Hoe eenmalige platformaanmelding de registratie afhandelt, verschilt per accounttype:

• Bij eerdere authenticatie van apparaat: Als bij de registratie van het apparaat al gebruikersauthenticatie is uitgevoerd en de extensie voor eenmalige aanmelding de benodigde informatie en tokens heeft verstrekt, voert eenmalige platformaanmelding de gebruikersregistratie automatisch op de achtergrond uit.

• Lokale accounts op aanvraag: Eenmalige platformaanmelding probeert de registratie van de gebruiker op de achtergrond uit te voeren. Als dat niet lukt, wordt de gebruiker gevraagd om de registratie uit te voeren.

• Accounts voor de geauthenticeerde gastmodus: Eenmalige platformaanmelding slaat de registratie van gebruikers volledig over voor tijdelijke accounts die in de geauthenticeerde gastmodus worden aangemaakt.

Indien nodig kun je opgeven dat bepaalde lokale accounts zijn uitgezonderd van eenmalige aanmelding en dat registratie voor eenmalige platformaanmelding niet op deze accounts van toepassing is. Hiermee worden de accounts ook uitgesloten van functies zoals inlogbeleid of het vereisen van Touch ID.

Gedeelde apparaatsleutels

Voor een vertrouwde koppeling met de IdP die onafhankelijk is van de gebruiker, ondersteunt eenmalige platformaanmelding gedeelde apparaatsleutels. Gebruik gedeelde apparaatsleutels indien mogelijk. Ze zijn vereist voor:

• Eenmalige platformaanmelding tijdens automatische apparaatinschrijving

• Het vereisen van Touch ID

• Authenticatie via het web

• Geauthenticeerde gastmodus

• Aanmaak van accounts op aanvraag

• Netwerkautorisatie

Authenticatiemethoden

Eenmalige platformaanmelding ondersteunt verschillende authenticatiemethoden bij een IdP. Ondersteuning voor elk van deze methoden is afhankelijk van de IdP en de extensie voor eenmalige platformaanmelding. De authenticatiemethoden zijn:

• Wachtwoord: Bij deze methode authenticeert een gebruiker zich bij de IdP door een wachtwoord te gebruiken. Deze methode ondersteunt ook WS-Trust, zodat de gebruiker zich ook kan authenticeren wanneer de IdP die de account beheert, gebundeld is.

• Via het web: Bij deze methode authenticeert een gebruiker zich via een webformulier dat door de IdP wordt weergegeven. Deze authenticatiemethode via het web biedt ook ondersteuning voor authenticatieprocessen met meerdere stappen en geeft gebruikers cameratoegang om in te loggen door een QR-code te scannen.

• Smartcard: Bij deze methode authenticeert een gebruiker zich bij de IdP door een smartcard te gebruiken. Om deze methode te gebruiken, moet je:

  • De smartcard bij de IdP registreren.

  • Toewijzing van smartcardkenmerken configureren op de Mac.

    Zie de man-pagina voor het Smart Card Services-project voor meer informatie en een voorbeeld van een configuratie voor het toewijzen van kenmerken.

• Sleutel die is opgeslagen in de Secure Enclave: Met deze methode kan een gebruiker die inlogt op een Mac met een wachtwoord voor een lokale account een sleutel uit de Secure Enclave gebruiken om zich zonder wachtwoord bij de IdP te authenticeren. De IdP configureert de Secure Enclave-sleutel tijdens het registratieproces van de gebruiker.

• Toegangs­sleutel: Met deze methode kan een gebruiker een kaart die is bewaard in Apple Wallet gebruiken om zich bij de IdP te authenticeren. Net als bij een smartcard moet je de toegangssleutel bij de IdP registreren.

Voor bepaalde functies moet je een specifieke authenticatiemethode gebruiken:

Functie	Wachtwoord	Via het web	Smartcard	Secure Enclave-sleutel	Toegangs­sleutel
Beheer van bevoegdheden
Geauthenticeerde gastmodus
Automatische apparaat­inschrijving
Aanmaak van accounts op aanvraag
Het vereisen van Touch ID
Wachtwoord­synchronisatie
Inlogbeleid

Authenticatie via het web en inloggen met een QR-code

Met authenticatie via het web kunnen organisaties profiteren van moderne en flexibele authenticatiemethoden. Om de privacy en veiligheid van de gebruiker te beschermen, staat het Platform SSO-framework alleen gedefinieerde URL's toe tijdens het authenticatieproces via het web.

Wanneer authenticatie via het web wordt gebruikt, toont macOS een webweergave tijdens het ontgrendelen van FileVault, in het toegangsscherm en in het inlogvenster. De webweergave geeft het inlogformulier van de IdP weer en ondersteunt authenticatieprocessen met meerdere stappen en meerdere factoren, evenals inloggen met een QR-code.

Het gebruik van een QR-code is een snelle authenticatiemethode, bijvoorbeeld voor leerlingen die inloggen op Mac-computers in de klas of bij een kiosk. Om de privacy van de gebruiker te beschermen, wordt het scannen met een ingebouwde of aangesloten camera in macOS in een beveiligd systeemproces uitgevoerd en wordt alleen de gescande code met de IdP gedeeld. De IdP behandelt deze code als tekst. De tekst kan een token, URL of andere factoren bevatten die de IdP vereist.

Daarnaast kunnen gebruikers ook met passkeys inloggen in het toegangsscherm en het inlogvenster.

Als authenticatie via het web niet beschikbaar is, bijvoorbeeld als de Mac offline is, kunnen gebruikers het wachtwoord van hun lokale account gebruiken om zich gedurende een aantal dagen te authenticeren. Het aantal dagen wordt bepaald door het IT-team.

Netwerkvereisten voor FileVault

Voor de volgende functies moet eenmalige platformaanmelding voorafgaand aan het ontgrendelen van FileVault toegang hebben tot de IdP:

• Authenticatie via het web

• Geauthenticeerde gastmodus

• Inlogbeleid

Omdat macOS verbinding moet maken voordat het gegevensvolume beschikbaar is, moet je de IdP kunnen bereiken zonder een VPN, netwerkdoorgifte of 802.1X-authenticatie.

Op Macs met macOS 27 kun je ook toestaan dat gebruikers verbinding maken met een ander netwerk en zich bij het ontgrendelen van FileVault, in het toegangsscherm en in het inlogvenster authenticeren via afvangportalen.

Eenmalige platformaanmelding met automatische apparaatinschrijving

Je kunt met automatische apparaatinschrijving eenmalige platformaanmelding activeren en afdwingen in de configuratie-assistent. Dit werkt goed voor Mac-computers met één gebruiker, omdat macOS automatisch een lokale account aanmaakt voor de gebruiker die de inschrijving authenticeert. Deze gebruiker kan dan meteen eenmalige aanmelding gebruiken voor ondersteunde ingebouwde apps en webapps.

Wanneer je eenmalige platformaanmelding configureert met automatische apparaatinschrijving, downloadt en installeert macOS de extensie en configuratie voor eenmalige platformaanmelding. Dit kan op twee momenten gebeuren:

• Voordat macOS wordt ingeschreven bij de voorziening voor apparaatbeheer: Hiermee kan de gebruiker de inschrijving met eenmalige aanmelding authenticeren.

• Na de inschrijving: Wanneer de voorziening voor apparaatbeheer macOS in de status 'Wachten op configuratie' houdt.

Tijdens dit proces voert macOS een apparaatregistratie uit, ofwel op de achtergrond, ofwel door de gebruiker te vragen om zich te authenticeren. Als macOS een apparaatregistratie op de achtergrond uitvoert of als eenmalige platformaanmelding niet de benodigde gebruikersinformatie en tokens heeft ontvangen, moet de gebruiker zich bij de IdP authenticeren om de gebruikersregistratie te voltooien. Hierbij wordt ook een gebruikersidentiteit in macOS ingesteld. Gebruikers kunnen pas doorgaan als de registratie voor eenmalige platformaanmelding is geslaagd.

Nadat de gebruiker zich heeft geauthenticeerd, maakt macOS een lokale gebruikersaccount aan. Met een configuratiesleutel kun je opgeven welk kenmerk van de IdP voor de naam van de lokale gebruikersaccount (ook wel de korte gebruikersnaam genoemd) en de volledige naam moet worden gebruikt. Beheerders van een voorziening voor apparaatbeheer kunnen de sleutel voor de accountnaam ook instellen op com.apple.PlatformSSO.AccountShortName zodat het UPN-voorvoegsel wordt gebruikt.

Wanneer synchronisatie van wachtwoorden is ingeschakeld, wordt het wachtwoord gesynchroniseerd met de IdP als voor de gebruikersregistratie authenticatie met een wachtwoord of authenticatie via het web is gebruikt. Als dit niet het geval is, stelt de gebruiker een lokaal wachtwoord in. Indien nodig kun je met de configuratie 'Toegangscode' de complexiteitsvereisten voor het lokale wachtwoord afdwingen. Wanneer je dit instelt, kan macOS de inlogprofielafbeelding voor de lokale account bij de IdP ophalen.

Als de gebruikersacccount die door macOS is aangemaakt de enige account op de Mac is, wordt deze account een lokale beheerdersaccount. Als de voorziening voor apparaatbeheer een beheerdersaccount heeft aangemaakt met het commando voor accountconfiguratie, kun je aan de gebruikersaccount andere bevoegdheden toekennen met bevoegdhedenbeheer voor eenmalige platformaanmelding.

Eenmalige aanmelding (SSO)

Eenmalige platformaanmelding maakt deel uit van uitbreidbare eenmalige aanmelding en biedt daardoor dezelfde mogelijkheden voor eenmalige aanmelding. Gebruikers hoeven maar eenmaal in te loggen, waarna ze zich met het token van de eerste authenticatie kunnen authenticeren bij ondersteunde ingebouwde apps en webapps.

Als er geen tokens zijn, of als de tokens verlopen zijn of ouder zijn dan vier uur, probeert eenmalige platformaanmelding om ze te vernieuwen of om nieuwe tokens op te halen bij de IdP. Bij eenmalige platformaanmelding moeten gebruikers standaard elke 18 uur opnieuw inloggen, maar je kunt een andere tijdsduur configureren (in seconden, met een minimum van één uur) waarna opnieuw moet worden ingelogd in plaats van alleen het token te vernieuwen. Bij opnieuw inloggen kunnen gebruikers worden gevraagd om actie te ondernemen. Bijvoorbeeld om hun smartcard te tonen of Touch ID te gebruiken als de extensie voor eenmalige aanmelding biometrische authenticatie vereist.

Touch ID vereisen

Veel organisaties beschouwen biometrische authenticatie als een van de sterkste authenticatiefactoren, omdat deze is gebaseerd op unieke fysieke kenmerken in plaats van gedeelde kennis en de kern vormt van een strategie voor multifactor-authenticatie.

Wanneer je wachtwoordauthenticatie of een Secure Enclave-sleutel gebruikt, kun je Touch ID afzonderlijk configureren als verplichte tweede factor voor het ontgrendelen van FileVault, het toegangsscherm en het inlogvenster. Als je deze functie toestaat, vereist de configuratie dat de gebruiker zich naast het invoeren van een wachtwoord ook authenticeert met Touch ID of, optioneel, een Apple Watch.

Eenmalige platformaanmelding in Systeeminstellingen

Nadat het apparaat bij eenmalige platformaanmelding is geregistreerd, kunnen gebruikers hun registratiestatus bekijken door in Systeeminstellingen 'Gebruikers en groepen' > '[gebruikersnaam]' te kiezen. Indien nodig kunnen gebruikers de registratie repareren en een vernieuwing van hun authenticatietoken afdwingen.

De status van de apparaatregistratie is zichtbaar in 'Gebruikers en groepen' > 'Netwerkaccountserver'. Hier vind je ook de optie om een reparatie uit te voeren.

Wachtwoord­synchronisatie

Als je wachtwoordauthenticatie gebruikt, wordt het lokale gebruikerswachtwoord automatisch gesynchroniseerd met de IdP wanneer een gebruiker het wachtwoord lokaal of op afstand wijzigt. Indien nodig vraagt macOS de gebruiker om het vorige wachtwoord.

Als de IdP tijdens authenticatie via het web een wachtwoord vereist en je deze functie toestaat in de configuratie, kan macOS het wachtwoord dat de gebruiker invoert in de webweergave van de IdP synchroniseren met de lokale gebruikersaccount. Deze synchronisatie vindt in één richting plaats en is bedoeld om het lokale wachtwoord up-to-date te houden. Hiervoor moet de IdP een specifieke JavaScript-functie voor eenmalige platformaanmelding op de inlogpagina aanroepen.

Inlogbeleid

Standaard is het wachtwoord van de lokale account vereist om FileVault, het toegangsscherm en het inlogvenster te ontgrendelen. Als het ingevoerde wachtwoord niet overeenkomt met het wachtwoord van de lokale gebruikersaccount, probeert macOS de IdP te bereiken om de gebruiker te authenticeren. Als macOS de IdP niet kan bereiken of als het ingevoerde wachtwoord niet overeenkomt met het wachtwoord dat door de IdP is opgeslagen, mislukt de authenticatie.

Met inlogbeleid kun je het gebruik van het huidige accountwachtwoord van de IdP bij deze drie wachtwoordverzoeken onmiddellijk toestaan. Je kunt de volgende beleidsregels ook afzonderlijk instellen voor FileVault, het toegangsscherm en het inlogvenster:

• Probeer te authenticeren.

  • Als je dit beleid configureert, probeert macOS de gebruiker live te authenticeren bij de IdP.

  • Als de Mac online is, moet de gebruiker zich authenticeren bij de IdP om door te gaan, ook als de Mac na de eerste poging offline is.

    Als de authenticatie is geslaagd, wordt het lokale wachtwoord door eenmalige platformaanmelding bijgewerkt.

  • Als de Mac offline is, kan de gebruiker het wachtwoord van de lokale account gebruiken.

• Authenticatie vereist.

  • Als je dit beleid configureert, moet de gebruiker zich bij de IdP authenticeren om verder te gaan.

  • Als de Mac online is, moet de gebruiker zich bij de IdP authenticeren om door te gaan, ook als er een geldigheidsperiode voor offline authenticatie is geconfigureerd.

    Als de authenticatie is geslaagd, wordt het lokale wachtwoord door eenmalige platformaanmelding bijgewerkt.

  • Als de Mac offline is, kunnen gebruikers niet inloggen. Voor dergelijke situaties kun je een geldigheidsperiode voor offline authenticatie toestaan en instellen hoeveel dagen na een eerdere geslaagde inlogpoging de gebruiker het wachtwoord van de lokale account kan blijven gebruiken.

  • Je kunt opgeven of elke account waarmee op de Mac wordt ingelogd, moet worden beheerd met eenmalige platformaanmelding of dat inloggen met een lokale account ook is toegestaan. Je kunt ook het aantal dagen definiëren tussen het toepassen of bijwerken van de beleidsregel door eenmalige platformaanmelding en het afdwingen van deze instelling door macOS. Gebruikers kunnen zo tijdelijk lokale accounts gebruiken. Je kunt bijvoorbeeld tijdelijk een beheerdersaccount gebruiken die is aangemaakt door de voorziening voor apparaatbeheer om de apparaatregistratie voor eenmalige platformaanmelding uit te voeren of te repareren.

  • In plaats van verbinding te maken met de IdP voor authenticatie, kun je gebruikers ook de mogelijkheid geven om Touch ID of een Apple Watch te gebruiken om het toegangsscherm te ontgrendelen.

Herstelscenario's

Als live authenticatie bij de IdP vereist is, maar de Mac dit niet kan uitvoeren, kunnen gebruikers niet inloggen. In dat geval kunnen gebruikers weer toegang krijgen met de volgende opties:

• Als gebruikers niet verder kunnen dan het ontgrendelen van FileVault, kunnen ze een persoonlijke herstelsleutel invoeren door op Option + Shift + Return te drukken om het inlogvenster te openen. Wanneer macOS in het inlogvenster verbinding maakt met een netwerk, kan een bijgewerkte configuratie door een voorziening voor apparaatbeheer worden geïmplementeerd. Je kunt bijvoorbeeld tijdelijk het inlogbeleid verwijderen, zodat de gebruiker kan inloggen met het wachtwoord van de lokale account.

• Als macOS geen verbinding kan maken met een netwerk om een bijgewerkte configuratie te ontvangen, biedt recoveryOS een alternatief. Om dit alternatief te gebruiken, heeft de gebruiker de persoonlijke herstelcode van FileVault nodig en, indien geconfigureerd, het wachtwoord van de herstelvergrendeling. Wanneer de gebruiker zich in recoveryOS bevindt, verwijdert het commando security platformsso bypass-login-policy tijdelijk de eis om rechtstreeks bij de IdP te authenticeren. Dit alternatief is 12 uur beschikbaar, of totdat een geslaagde authenticatie bij de IdP is uitgevoerd.

Beheer van bevoegdheden

Eenmalige platformaanmelding maakt nauwkeurig beheer van bevoegdheden mogelijk zodat je het juiste bevoegdhedenniveau aan gebruikers kunt toekennen dat ze nodig hebben voor het gebruik van hun Mac. Hiervoor kun je met eenmalige platformaanmelding de volgende bevoegdheden op een account toepassen telkens wanneer de gebruiker zich authenticeert:

• Standaard: Aan de account worden bevoegdheden voor een standaardgebruiker toegekend.

• Beheerder: De account wordt aan de lokale beheerdersgroep toegevoegd.

• Groepen: Hiermee ken je bevoegdheden op basis van groepslidmaatschap toe, die bij elke authenticatie bij de IdP worden bijgewerkt.

Wanneer je groepen gebruikt, worden bevoegdheden aan een account toegekend op basis van lidmaatschap van de volgende groepen:

• Beheerdersgroepen: Als de account deel uitmaakt van een vermelde groep, heeft de account lokale beheerderstoegang.

• Autorisatiegroepen: Als de account deel uitmaakt van een groep die is toegewezen aan een ingebouwd of aangepast autorisatierecht, heeft de account de bevoegdheden die aan die groep zijn gekoppeld. macOS gebruikt bijvoorbeeld de volgende autorisatierechten:

  • system.preferences.datetime, waarmee de account tijdinstellingen kan wijzigen.

  • system.preferences.energysaver, waarmee de account de instellingen voor energiebesparing kan wijzigen.

  • system.preferences.network, waarmee de account netwerkinstellingen kan wijzigen.

  • system.preferences.printing, waarmee de account printers kan toevoegen of verwijderen.

• Extra groepen: Dit kunnen aangepaste groepen voor macOS of specifieke apps zijn, die automatisch door macOS in de lokale directory worden aangemaakt (als ze nog niet bestaan). Je kunt bijvoorbeeld een extra groep in de configuratie sudo gebruiken om toegang tot sudo te definiëren. Gebruikers worden aan die groepen gekoppeld nadat ze zich met de IdP-gegevens hebben geauthenticeerd.

Netwerkautorisatie

Eenmalige platformaanmelding maakt het ook mogelijk voor gebruikers zonder een lokale account op de Mac om IdP-inloggegevens te gebruiken voor autorisatie. Deze accounts gebruiken dezelfde groepen als groepsbeheer. Als de account bijvoorbeeld lid is van een van de beheerdersgroepen, kan de account worden gebruikt wanneer om autorisatie door een beheerder wordt gevraagd. Om deze functionaliteit te gebruiken, configureer je eenmalige platformaanmelding met gedeelde apparaatsleutels.

Netwerkautorisatie is niet mogelijk met autorisatieverzoeken waarvoor een Secure Token of authenticatie door de ingelogde gebruiker nodig is of eigenaarsbevoegdheden vereist zijn.

Aanmaak van accounts op aanvraag

Om accountbeheer in gedeelde implementaties mogelijk te maken, kunnen gebruikers met hun IdP-gebruikersnaam en -wachtwoord, een smartcard of authenticatie via het web inloggen op een Mac om een lokale account aan te maken. Dit is vooral handig als dezelfde gebruikers dezelfde Mac gebruiken, zoals bij ploegendiensten of in een klaslokaal waar leerlingen het hele schooljaar dezelfde Mac gebruiken.

Je kunt de inrichting van apparaten volledig automatiseren met automatische apparaatinschrijving en automatische configuratie. Je moet de eerste lokale beheerdersaccount configureren met behulp van een voorziening voor apparaatbeheer en registratie via eenmalige platformaanmelding op de achtergrond uitvoeren.

Daarnaast kun je (net als bij automatische apparaatinschrijving) een optionele configuratiesleutel gebruiken om op te geven welk kenmerk van de IdP moet worden gebruikt voor de naam van de lokale gebruikersaccount.

Daarnaast kun je opgeven welke bevoegdheden moeten worden toegepast op nieuwe accounts die bij het inloggen zijn aangemaakt. Dezelfde opties voor bevoegdhedenbeheer zijn beschikbaar:

• Standaard: Aan de account worden bevoegdheden voor een standaardgebruiker toegekend.

• Beheerder: De account wordt aan de lokale beheerdersgroep toegevoegd.

• Groepen: Hiermee ken je bevoegdheden op basis van groepslidmaatschap toe, die bij elke authenticatie bij de IdP worden bijgewerkt.

Vereisten

• Schrijf de Mac in bij een voorziening voor apparaatbeheer die Bootstrap Tokens ondersteunt.

• Voltooi de configuratie-assistent en maak een lokale beheerdersaccount aan.

• Zorg dat het inlogvenster wordt weergegeven op de Mac, dat FileVault ontgrendeld is en dat de Mac verbonden is met een netwerk.

Geauthenticeerde gastmodus

Met de geauthenticeerde gastmodus kunnen gebruikers sneller inloggen bij gedeelde implementaties waarvoor geen lokale account hoeft te worden aangemaakt, zoals gezondheidscentra of scholen, omdat gebruikers slechts tijdelijk hoeven in te loggen met hun IdP-gegevens. Aan de gebruiker worden de bevoegdheden van een standaardgebruiker toegekend, maar je kunt deze bevoegdheden wijzigen via bevoegdhedenbeheer voor eenmalige platformaanmelding.

De geauthenticeerde gastmodus kan samen met lokale gebruikersaccounts worden gebruikt waarvoor eenmalige platformaanmelding is ingeschakeld. Zo kan een hoofdgebruiker van de Mac profiteren van de mogelijkheden van eenmalige platformaanmelding, terwijl anderen indien nodig tijdelijk kunnen inloggen.

Wanneer een gebruiker uitlogt, wist macOS alle lokale gegevens voor die account en kan de volgende gebruiker op de gedeelde Mac inloggen.

Standaard worden in de geauthenticeerde gastmodus alle gegevens in de thuismap van de gebruiker veilig gewist. Dit is een grondige methode, maar het uitloggen kan hierdoor langer duren. Als je sneller tussen verschillende gebruikerssessies wilt overschakelen, kun je snel inloggen configureren. Snel inloggen verwijdert om de acht uur 'Documenten', 'Bureaublad', 'Downloads' en een paar andere onderdelen en wist alle gastsessies. Wanneer deze optie is ingeschakeld, verloopt het overschakelen tussen sessies nog sneller, waardoor dit een ideale optie is als er veel verschillende gebruikerssessies zijn en snel in- en uitloggen prioriteit heeft.

Vereisten

• Schrijf de Mac in bij een voorziening voor apparaatbeheer die Bootstrap Tokens ondersteunt.

• Voltooi de configuratie-assistent en maak een lokale beheerdersaccount aan.

Tik om in te loggen

Met 'Tik om in te loggen' wordt de functionaliteit van Apple Wallet voor digitale inloggegevens uitgebreid naar de Mac. In de afgelopen jaren zijn organisaties digitale badges in Apple Wallet gaan gebruiken, waarmee gebruikers deuren kunnen ontgrendelen met een tikje van hun iPhone of Apple Wallet, zonder dat ze een fysieke badge nodig hebben. Deze methode is ook beschikbaar op Macs en is vooral handig voor organisaties waar meerdere personen dezelfde Mac gebruiken, zoals onderwijsinstellingen, winkels en zorginstellingen.

Met 'Tik om in te loggen' kunnen gebruikers zich authenticeren op een Mac die is geconfigureerd voor de geauthenticeerde gastmodus door met hun iPhone of Apple Watch op een aangesloten NFC-lezer te tikken. Hiermee wordt een veilig proces voor eenmalige aanmelding gestart waarmee gebruikers automatisch worden geauthenticeerd bij hun apps en websites, zodat ze snel kunnen inloggen en aan de slag kunnen.

Inloggegevens worden als toegangssleutels in een Apple Wallet-kaart verstrekt via een iPhone-app of browser. Deze toegangssleutels worden opgeslagen in het Secure Element van het apparaat. Doordat ze hardwarematig ondersteund en versleuteld zijn, zijn ze beveiligd tegen manipulatie of extractie. De Express-modus vergroot het gemak verder doordat gebruikers zich onmiddellijk kunnen authenticeren zonder dat ze hun apparaat uit de sluimerstand hoeven te halen of hoeven te ontgrendelen (vergelijkbaar met hoe ov-kaarten werken in Apple Wallet).

Voor het aanmaken en beheren van toegangssleutels is deelname aan het Apple Wallet Access Program vereist. Zie Provisioning in de Apple Wallet Access Program Guide voor meer informatie over het aanmaken van een toegangssleutel (Engelstalig).

Vereisten

• Je moet de geauthenticeerde gastmodus configureren

• Je moet een ondersteunde externe NFC-lezer gebruiken