Compartilhar via

Usar o plug-in do Microsoft Enterprise SSO em dispositivos macOS

  • Artigo

O plug-in do Microsoft Enterprise SSO é um recurso no Microsoft Entra ID que fornece recursos de SSO (logon único) para dispositivos Apple. Esse plug-in usa a estrutura de extensão de aplicativo de logon único da Apple.

A extensão de aplicativo SSO fornece logon único em aplicativos e sites que usam Microsoft Entra ID para autenticação, incluindo aplicativos do Microsoft 365. Ele reduz o número de solicitações de autenticação que os usuários recebem ao usar dispositivos gerenciados pelo MDM (Mobile Gerenciamento de Dispositivos), incluindo qualquer MDM que dê suporte à configuração de perfis SSO.

Este artigo se aplica ao:

Em dispositivos macOS, você pode configurar configurações de extensão de aplicativo SSO em dois lugares no Intune:

  • Modelo de recursos do dispositivo (este artigo) – Essa opção configura apenas a extensão do aplicativo SSO e usa seu provedor de MDM, como Intune, para implantar as configurações em dispositivos.

    Use este artigo se você quiser apenas configurar as configurações de extensão do aplicativo SSO e não quiser configurar o SSO da Plataforma.

  • Catálogo de Configurações – Essa opção configura o SSO da Plataforma e a extensão do aplicativo SSO juntos. Você usa Intune para implantar as configurações em seus dispositivos.

    Use as configurações de catálogo se quiser configurar as configurações de extensão de aplicativo SSO e SSO da plataforma. Para obter mais informações, acesse Configurar o SSO da plataforma para dispositivos macOS no Microsoft Intune.

Para obter uma visão geral de suas opções de SSO em dispositivos Apple, acesse a visão geral do SSO e as opções para dispositivos Apple em Microsoft Intune.

Este artigo mostra como criar uma política de configuração de extensão de aplicativo SSO para dispositivos Apple macOS com Intune, Jamf Pro e outras soluções de MDM.

Se você quiser configurar as configurações de extensão de aplicativo SSO e SSO da plataforma em conjunto, vá para Configurar o SSO da plataforma para dispositivos macOS em Microsoft Intune.

Suporte ao aplicativo

Para que seus aplicativos usem o plug-in do Microsoft Enterprise SSO, você tem duas opções:

  • Opção 1 – MSAL: os aplicativos que dão suporte à MSAL (Biblioteca de Autenticação da Microsoft) aproveitam automaticamente o plug-in do Microsoft Enterprise SSO. Por exemplo, os aplicativos do Microsoft 365 dão suporte ao MSAL. Assim, eles usam automaticamente o plug-in.

    Se sua organização criar seus próprios aplicativos, o desenvolvedor do aplicativo poderá adicionar uma dependência ao MSAL. Essa dependência permite que seu aplicativo use o plug-in SSO do Microsoft Enterprise.

    Para um tutorial de exemplo, acesse Tutorial: entre usuários e chame o Microsoft Graph de um aplicativo iOS ou macOS.

  • Opção 2 – AllowList: aplicativos que não dão suporte ou não foram desenvolvidos com o MSAL podem usar a extensão do aplicativo SSO. Esses aplicativos incluem navegadores como Safari e aplicativos que usam APIs de exibição da Web do Safari.

    Para esses aplicativos não MSAL, adicione a ID do pacote de aplicativos ou o prefixo à configuração de extensão em sua política de extensão de aplicativo SSO Intune (neste artigo).

    Por exemplo, para permitir um aplicativo da Microsoft que não dá suporte ao MSAL, adicione com.microsoft. à propriedade AppPrefixAllowList em sua política de Intune. Tenha cuidado com os aplicativos permitidos, eles podem ignorar os prompts de entrada interativos para o usuário conectado.

    Para obter mais informações, acesse o plug-in do Microsoft Enterprise SSO para dispositivos Apple – aplicativos que não usam o MSAL.

Pré-requisitos

Para usar o plug-in do Microsoft Enterprise SSO em dispositivos macOS:

  • O dispositivo é gerenciado por MDM por Intune.
  • O dispositivo deve oferecer suporte ao plug-in:
    • macOS 10.15 e mais recente
  • O aplicativo microsoft Portal da Empresa deve ser instalado e configurado no dispositivo.
  • Os requisitos de plug-in do Enterprise SSO estão configurados, incluindo as URLs de configuração de rede da Apple.

Plug-in SSO do Microsoft Enterprise em comparação com a extensão de SSO do Kerberos

Quando você usa a extensão de aplicativo SSO, usa o Tipo de Carga SSO ou Kerberos para autenticação. A extensão do aplicativo SSO foi projetada para melhorar a experiência de entrada para aplicativos e sites que usam esses métodos de autenticação.

O plug-in SSO do Microsoft Enterprise usa o Tipo de Conteúdo SSO com a autenticação do Redirecionamento. Os tipos de extensão SSO Redirect e Kerberos podem ser usados em um dispositivo ao mesmo tempo. Não deixe de criar perfis de dispositivo separados para cada tipo de extensão que você planeja usar em seus dispositivos.

Para determinar o tipo de extensão de SSO correta para seu cenário, use a seguinte tabela:

Plug-in SSO do Microsoft Enterprise para dispositivos Apple Extensão de aplicativo de logon único com Kerberos
Usa o tipo de extensão de aplicativo SSO Microsoft Entra ID Usa o tipo de extensão do aplicativo SSO do Kerberos
Dá suporte aos seguintes aplicativos:
– Microsoft 365
- Aplicativos, sites ou serviços integrados a Microsoft Entra ID		 Dá suporte aos seguintes aplicativos:
– Aplicativos, sites ou serviços integrados ao AD

Para obter mais informações sobre a extensão do aplicativo SSO, acesse Visão geral do SSO e opções para dispositivos Apple em Microsoft Intune.

Create uma política de configuração de extensão de aplicativo de logon único

Esta seção mostra como criar uma política de extensão de aplicativo SSO. Para obter informações sobre o SSO da plataforma, acesse Configurar o SSO da plataforma para dispositivos macOS no Microsoft Intune.

No centro de administração Microsoft Intune, crie um perfil de configuração de dispositivo. Esse perfil inclui as configurações para definir a extensão do aplicativo SSO em dispositivos.

  1. Entre no Centro de administração do Microsoft Intune.

  2. SelecioneConfiguração>de Dispositivos> Create >Novo política.

  3. Insira as seguintes propriedades:

    • Plataforma: selecione macOS.
    • Tipo de perfil: selecione Modelos>Recursos do dispositivo.

  4. Selecione Create:

    Captura de tela que mostra como criar um perfil de configuração de recursos de dispositivo para macOS no Intune.

  5. Em Noções básicas, insira as seguintes propriedades:

    • Nome: insira um nome descritivo para a política. Nomeie suas políticas para você identificá-las facilmente mais tarde. Por exemplo, um bom nome de política é a extensão de aplicativo macOS-SSO.
    • Descrição: insira uma descrição para a política. Essa configuração é opcional, mas recomendada.

  6. Selecione Avançar.

  7. Em Definições de configuração, selecione Extensão de aplicativo de logon único e configure as seguintes propriedades:

    • Tipo de extensão de aplicativo SSO: selecione Microsoft Entra ID:

      Captura de tela que mostra o tipo de extensão de aplicativo SSO e Microsoft Entra ID para macOS no Intune

    • ID do lote de aplicativo: insira uma lista de IDs de pacote para aplicativos que não dão suporte à MSAL e que têm permissão para usar o SSO. Para obter mais informações, acesse Aplicativos que não usam MSAL.

    • Configuração adicional: para personalizar a experiência do usuário final, você pode adicionar as propriedades a seguir. Essas propriedades são os valores padrão usados pela extensão do aplicativo SSO, mas podem ser personalizadas para as necessidades da sua organização:

      Chave Tipo Descrição
      AppPrefixAllowList Cadeia de Caracteres Valor recomendado: com.microsoft.,com.apple.

      Insira uma lista de prefixos para aplicativos que não dão suporte à MSAL e que têm permissão para usar o SSO. Por exemplo, insira com.microsoft.,com.apple. para permitir todos os aplicativos Microsoft e Apple.

      Certifique-se de que esses aplicativos atendam aos requisitos da lista de permitidos.
      browser_sso_interaction_enabled Inteiro Valor recomendado: 1

      Quando definido como 1, os usuários podem entrar por meio do navegador Safari e por meio de aplicativos que não dão suporte à MSAL. Habilitar essa configuração permite que os usuários inicializem a extensão por meio do Safari ou de outros aplicativos.
      disable_explicit_app_prompt Inteiro Valor recomendado: 1

      Alguns aplicativos podem impor incorretamente solicitações ao usuário final na camada de protocolo. Se você vir esse problema, os usuários serão solicitados a entrar, mesmo que o plug-in SSO do Microsoft Enterprise funcione para outros aplicativos.

      Quando definido como 1 (um), você reduz essas solicitações.

      Dica

      Para obter mais informações sobre essas propriedades e outras propriedades que você pode configurar, acesse o plug-in SSO da Microsoft Enterprise para dispositivos Apple.

      Quando terminar de configurar as configurações recomendadas, as configurações são semelhantes aos seguintes valores em seu perfil de configuração Intune:

      Captura de tela que mostra as opções de configuração de experiência do usuário final para o plug-in de extensão do aplicativo SSO Enterprise em dispositivos macOS em Microsoft Intune.

  8. Continue criando o perfil e atribua o perfil aos usuários ou grupos que recebem essas configurações. Para as etapas específicas, acesse Create o perfil.

    Para obter diretrizes sobre como atribuir perfis, acesse Atribuir perfis de usuário e dispositivo.

Quando a política estiver pronta, você atribuirá a política aos usuários. A Microsoft recomenda que você atribua a política quando o dispositivo se registra em Intune. Mas, ele pode ser atribuído a qualquer momento, inclusive em dispositivos existentes. Quando o dispositivo faz check-in com o serviço Intune, ele recebe esse perfil. Para obter mais informações, acesse Intervalos de atualização de política.

Para marcar que o perfil implantado corretamente, no centro de administração Intune, acesseConfiguração> de Dispositivos> selecione o perfil criado e gere um relatório:

Captura de tela que mostra o relatório de implantação do perfil de configuração do dispositivo macOS no Microsoft Intune.

Experiência do usuário final

Gráfico de fluxo do usuário final ao instalar a extensão do aplicativo SSO em dispositivos macOS em Microsoft Intune.

  • Se você não estiver implantando o aplicativo Portal da Empresa usando uma política de aplicativo, os usuários deverão instalá-lo manualmente. Os usuários não precisam usar o aplicativo Portal da Empresa, ele só precisa ser instalado no dispositivo.

  • Os usuários entrarão em qualquer aplicativo ou site com suporte para inicializar a extensão. A inicialização é o processo de entrar pela primeira vez, que configura a extensão.

  • Depois que os usuários entrarem com êxito, a extensão será usada automaticamente para entrar em qualquer outro aplicativo ou site com suporte.

Você pode testar o logon único abrindo o Safari no modo privado (abre o site da Apple) e abrindo o https://portal.office.com site. Nenhum nome de usuário e senha serão necessários.

Os usuários entrarão no aplicativo ou site para inicializar a extensão do aplicativo SSO em dispositivos iOS/iPadOS e macOS no Microsoft Intune.

No macOS, quando os usuários entrarem em um aplicativo de trabalho ou escola, eles são solicitados a optar por entrar ou sair do SSO. Eles podem selecionar Não me peça novamente para optar por sair do SSO e bloquear solicitações futuras.

Os usuários também podem gerenciar as preferências de SSO no aplicativo Portal da Empresa para macOS. Para editar preferências, acesse a barra > de menus do aplicativo Portal da Empresa Portal da Empresa>Settings. Eles podem selecionar ou desselecionar Não me peça para entrar com logon único para este dispositivo.

Não me peça para entrar com logon único para este dispositivo.

Dica

Saiba mais sobre como funciona o plug-in do SSO e como solucionar problemas da Extensão SSO do Microsoft Enterprise com o guia de solução de problemas do SSO para dispositivos Apple.