設定 Mac 以使用智慧卡專用認證

macOS 支援智慧卡專用認證以強制使用智慧卡，其會將所有以密碼為基礎的認證停用。此規則被套用至所有 Mac 電腦，且可以在用户沒有可用的智慧卡的情況下，使用豁免群組對個別用户進行變更。

智慧卡專用認證使用基於機器的強制執行

macOS 10.13.2 或較新版本支援智慧卡專用認證以強制使用智慧卡，其會將所有以密碼為基礎的認證停用，通常被稱為基於機器的強制執行。如要運用此功能，必須使用流動裝置管理（MDM）解決方案，或使用以下指令建立智慧卡強制執行：

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

如需設定 macOS 以使用智慧卡專用認證的更多資料，請參閲 Apple 支援文章：設定 macOS 以使用智慧卡專用認證。

使用基於用户的強制執行之智慧卡專用認證

基於用户的強制執行是透過指定可豁免智慧卡登入的用户組別來完成。 NotEnforcedGroup 包含定義本機或目錄組別名稱的字串值，其不會包括在智慧卡強制執行中。這有時候會被稱為基於用户的強制執行，並向智慧卡服務提供用户專屬的粒度。如要運用此功能，必須先使用流動裝置管理（MDM）解決方案，或使用以下指令來建立基於機器的強制執行：

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

此外，該系統必須設定以允許未與智慧卡進行配對的用户使用他們的密碼登入：

sudo defaults write /Library/Preferences/com.apple.security.smartcard allowUnmappedUsers -int 1

使用下方的 /private/etc/SmartcardLogin.plist 範例檔案作指引。以 EXEMPT_GROUP 作為豁免組別的名稱。只要用户是組別的指定成員，或該組別本身被指定豁免，由你加至此組別的任何用户皆會被豁免智慧卡登入。驗證擁有權為根，且權限在編輯後設定為「全局可讀」。

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"><plist version="1.0"><dict>     <key>AttributeMapping</key>     <dict>          <key>dsAttributeString</key>          <string>dsAttrTypeStandard:AltSecurityIdentities</string>          <key>fields</key>          <array>                <string>NT Principal Name</string>          </array>          <key>formatString</key>          <string>Kerberos:$1</string>     </dict>     <key>NotEnforcedGroup</key>     <string>EXEMPT_GROUP</string></dict></plist>

也請參閲SmartCardServices 的 man 頁面保安的 man 頁面 sc_auth 的 man 頁面 pam_smartcard 的 man 頁面

有幫助？

Apple 平台部署

設定 Mac 以使用智慧卡專用認證

智慧卡專用認證使用基於機器的強制執行

使用基於用户的強制執行之智慧卡專用認證