Konfigurera en Mac för autentisering endast med smarta kort

macOS stöder autentisering med obligatorisk användning av ett smart kort, vilket avaktiverar all lösenordsbaserad autentisering. Den här policyn upprättas för alla Mac-datorer och kan ändras för enskilda användare genom att använda en undantagsgrupp ifall en användare inte har tillgång till ett fungerande smart kort.

Autentisering endast med smarta kort och maskinbaserad genomdrivning

macOS 10.13.2 eller senare stöder autentisering med obligatorisk användning av ett smart kort, vilket avaktiverar all lösenordsbaserad autentisering – det här kallas ofta maskinbaserad genomdrivning. För att kunna dra nytta av den här funktionen måste obligatorisk användning av smarta kort genomdrivas med en MDM-lösning eller genom att använda följande kommando:

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

Ytterligare anvisningar om att konfigurera macOS för autentisering endast med smarta kort finns i Apple Support-artikeln Configure macOS for smart card-only authentication.

Autentisering endast med smarta kort och användarbaserad genomdrivning

Användarbaserad genomdrivning åstadkoms genom att ange en användargrupp som undantas från inloggning med smarta kort. NotEnforcedGroup innehåller ett strängvärde som definierar namnet på en kataloggrupp eller en lokal grupp som inte ingår vid genomdrivning av obligatorisk användning av smarta kort. Det här kallas ibland för användarbaserad genomdrivning och ger kontroll på användarnivå för smarta korttjänster. För att kunna dra nytta av den här funktionen måste maskinbaserad genomdrivning först upprättas med en MDM-lösning eller genom att använda följande kommando:

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

Dessutom måste systemet konfigureras så att det tillåter användare som inte är parkopplade med ett smart kort att logga in med sitt lösenord:

sudo defaults write /Library/Preferences/com.apple.security.smartcard allowUnmappedUsers -int 1

Använd exempelfilen /private/etc/SmartcardLogin.plist nedan som vägledning. Använd EXEMPT_GROUP som namn på den grupp som används till undantag. Användare du lägger till i den här gruppen undantas från kravet på inloggning med ett smart kort, förutsatt att de är specificerade medlemmar i gruppen eller gruppen som sådan är specificerad för undantag. Kontrollera att ägaren är ”root” och att behörigheterna är inställda som ”world readable” efter redigering.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"><plist version="1.0"><dict>     <key>AttributeMapping</key>     <dict>          <key>dsAttributeString</key>          <string>dsAttrTypeStandard:AltSecurityIdentities</string>          <key>fields</key>          <array>                <string>NT Principal Name</string>          </array>          <key>formatString</key>          <string>Kerberos:$1</string>     </dict>     <key>NotEnforcedGroup</key>     <string>EXEMPT_GROUP</string></dict></plist>

Se ävenman-sidan för SmartCardServices man-sidan för security man-sidan för sc_auth man-sidan för pam_smartcard

Var detta till hjälp?

Driftsättning av Apple-plattformar

Konfigurera en Mac för autentisering endast med smarta kort

Autentisering endast med smarta kort och maskinbaserad genomdrivning

Autentisering endast med smarta kort och användarbaserad genomdrivning