分享方式：

在 iOS/iPadOS 裝置上使用 Microsoft Enterprise SSO 外掛程式

  • 文章

Microsoft Enterprise SSO 外掛程式是 Microsoft Entra ID 中的一項功能，可為 Apple 裝置提供單一登錄 (SSO) 功能。 此外掛程式使用Apple單一登錄應用程式延伸模組架構。

SSO 應用程式擴充功能提供單一登錄給使用 Microsoft Entra ID 進行驗證的應用程式和網站，包括 Microsoft 365 應用程式。 它會減少使用者在使用行動裝置 裝置管理 (MDM) 管理的裝置時收到的驗證提示數目，包括支援設定 SSO 配置檔的任何 MDM。

本文適用於：

本文說明如何使用 Intune、Jamf Pro 和其他 MDM 解決方案，為 iOS/iPadOS Apple 裝置建立 SSO 應用程式延伸模組設定原則。

應用程式支援

若要讓您的應用程式使用 Microsoft Enterprise SSO 外掛程式，您有兩個選項：

  • 選項 1 - MSAL：支援 Microsoft 驗證連結庫的應用程式 (MSAL) 自動利用 Microsoft Enterprise SSO 外掛程式。 例如，Microsoft 365 應用程式支援 MSAL。 因此，它們會自動使用外掛程式。

    如果您的組織建立自己的應用程式，則您的應用程式開發人員可以將相依性新增至 MSAL。 此相依性可讓您的應用程式使用 Microsoft Enterprise SSO 外掛程式。

    如需範例教學課程，請移至 教學課程：登入使用者，並從iOS或macOS應用程式呼叫 Microsoft Graph。

  • 選項 2 - AllowList：不支援或未使用 MSAL 開發的應用程式可以使用 SSO 應用程式延伸模組。 這些應用程式包括Safari之類的瀏覽器，以及使用Safari Web 檢視 API 的應用程式。

    針對這些非 MSAL 應用程式，請將應用程式套件組合識別碼或前置詞新增至本文中 (Intune SSO 應用程式延伸模組原則中的延伸模組設定) 。

    例如，若要允許不支援 MSAL 的 Microsoft 應用程式，請將 新com.microsoft.增至 Intune 原則中的 AppPrefixAllowList 屬性。 請小心使用您允許的應用程式，他們可以略過已登入使用者的互動式登入提示。

    如需詳細資訊，請移至 適用於Apple裝置的 Microsoft Enterprise SSO 外掛程式 - 不使用 MSAL 的應用程式。

必要條件

若要在 iOS/iPadOS 裝置上使用 Microsoft Enterprise SSO 外掛程式：

  • 裝置由 Intune管理。

  • 裝置必須支援外掛程式：

    • iOS/iPadOS 13.0 和更新版本

  • Microsoft Authenticator 應用程式必須安裝在裝置上。

    用戶可以手動安裝 Microsoft Authenticator 應用程式。 或者，系統管理員可以使用 Intune 部署應用程式。 如需如何安裝 Microsoft Authenticator 應用程式的資訊，請移至 管理 Apple 大量採購的應用程式。

  • 已設定企業 SSO 外掛程式需求，包括 Apple 網路設定 URL。

注意事項

在 iOS/iPadOS 裝置上，Apple 需要安裝 SSO 應用程式延伸模組和 Microsoft Authenticator 應用程式。 使用者不需要使用或設定 Microsoft Authenticator 應用程式，只需要安裝在裝置上即可。

Microsoft Enterprise SSO 外掛程式與 Kerberos SSO 擴充功能

當您使用 SSO 應用程式延伸模組時，您會使用 SSO 或 Kerberos 承載類型進行驗證。 SSO 應用程式延伸模組的設計目的是要改善使用這些驗證方法之應用程式和網站的登入體驗。

Microsoft Enterprise SSO 外掛程式使用 SSO 承載類型搭配 重新導向 驗證。 SSO 重新導向和 Kerberos 擴充功能類型都可以同時在裝置上使用。 請務必為您打算在裝置上使用的每個擴充功能類型建立個別的裝置配置檔。

若要判斷您案例的正確 SSO 擴充類型，請使用下表：

適用於 Apple 裝置的 Microsoft Enterprise SSO 外掛程式 使用 Kerberos 的單一登錄應用程式擴充功能
使用 Microsoft Entra ID SSO 應用程式延伸模組類型 使用 Kerberos SSO 應用程式延伸模組類型
支援下列應用程式：
- Microsoft 365
- 與 Microsoft Entra ID 整合的應用程式、網站或服務		 支援下列應用程式：
- 與 AD 整合的應用程式、網站或服務

如需單一登錄應用程式延伸模組的詳細資訊，請移至 SSO 概觀和 Microsoft Intune 中 Apple 裝置的選項。

Create 單一登錄應用程式延伸模組設定原則

在 Microsoft Intune 系統管理中心，建立裝置組態配置檔。 這個設定檔包含在裝置上設定 SSO 應用程式延伸模組的設定。

  1. 登入 Microsoft Intune 系統管理中心。

  2. 選取 [裝置>設定>Create]。

  3. 輸入下列內容：

    • 平台：選取 [iOS/iPadOS]。
    • 配置檔類型：選取 [範本>裝置功能]。

  4. 選 Create：

    顯示如何在 Microsoft Intune 中建立 iOS/iPadOS 裝置功能組態配置檔的螢幕快照。

  5. 在 [基本資訊] 中，輸入下列內容：

    • 名稱：輸入原則的描述性名稱。 為您的設定檔命名，以方便之後能夠輕鬆識別。 例如，良好的原則名稱是 iOS：SSO 應用程式擴充功能。
    • 描述：輸入原則的描述。 這是選擇性設定，但建議進行。

  6. 選取[下一步]。

  7. 在 [ 組態設定] 中，選取 [單一登錄應用程式延伸模組]，然後設定下列屬性：

    • SSO 應用程式延伸模組類型：選取 [Microsoft Entra ID]。

      此螢幕快照顯示 Intune 中 iOS/iPadOS 的 SSO 應用程式延伸模組類型和 Microsoft Entra ID。

    • 開啟共享裝置模式：

      • 未設定：Intune 不會變更或更新此設定。

        在大部分情況下，包括共用 iPad、個人裝置，以及具有或沒有使用者親和性的裝置，請選取此選項。

      • 是：只有在目標裝置使用 Microsoft Entra 共用裝置模式時，才選取此選項。 如需詳細資訊，請移至 共用裝置模式概觀。

    • 應用程式套件組合識別碼：輸入不支援 MSAL 且 允許使用 SSO 之應用程式的套件組合識別碼清單。 如需詳細資訊，請移至 不使用 MSAL 的應用程式。

    • 其他設定：若要自定義用戶體驗，您可以新增下列屬性。 這些屬性是 Microsoft SSO 擴充功能所使用的預設值，但可以針對您的組織需求自定義這些值：

      機碼 類型 描述
      AppPrefixAllowList 字串 建議值： com.apple.

      輸入不支援 MSAL 並 允許使用 SSO 之應用程式的前置詞清單。 例如，輸入 com.microsoft.,com.apple. 以允許所有 Microsoft 和 Apple 應用程式。

      請確定這些應用程式 符合允許清單需求。
      browser_sso_interaction_enabled 整數 建議值： 1

      當設定為 1時，使用者可以從 Safari 瀏覽器以及不支援 MSAL 的應用程式登入。 啟用此設定可讓使用者從 Safari 或其他應用程式啟動擴充功能。
      disable_explicit_app_prompt 整數 建議值： 1

      某些應用程式可能會在通訊協定層中不正確地強制執行使用者提示。 如果您看到此問題，系統會提示使用者登入，即使 Microsoft Enterprise SSO 外掛程式適用於其他應用程式也一般。

      當設定為 1 (一個) 時，您可以減少這些提示。

      提示

      如需這些屬性和您可以設定之其他屬性的詳細資訊，請參閱 適用於Apple裝置的 Microsoft Enterprise SSO 外掛程式。

      當您完成設定並允許 Microsoft & Apple 應用程式時，設定看起來會類似您 Intune 組態設定檔中的下列值：

      此螢幕快照顯示 Intune 中 iOS/iPadOS 裝置上企業 SSO 外掛程式的使用者體驗設定選項。

  8. 繼續建立配置檔，並將配置檔指派給將接收這些設定的使用者或群組。 如需特定步驟，請移至 Create 配置檔。

    如需指派配置檔的指引，請移至 指派用戶和裝置配置檔。

當裝置使用 Intune 服務簽入時，它會收到此配置檔。 如需詳細資訊，請移至 原則重新整理間隔。

若要檢查設定檔是否已正確部署，請在 Intune 系統管理中心，移至 [裝置>>設定] 選取您建立的設定檔並產生報告：

此螢幕快照顯示 Intune 中的 iOS/iPadOS 裝置組態配置檔部署報告。

使用者體驗

在 iOS/iPadOS 裝置上安裝 SSO 應用程式延伸模組時的使用者流程圖。

  • 如果您不是使用應用程式原則部署 Microsoft Authenticator 應用程式，則用戶必須手動安裝它。 使用者不需要使用 Authenticator 應用程式，只需要安裝在裝置上即可。

  • 使用者登入任何支援的應用程式或網站，以啟動擴充功能。 Bootstrap 是第一次登入的程式，它會設定擴充功能。

  • 使用者成功登入之後，擴充功能會自動用來登入任何其他支援的應用程式或網站。

您可以 在私人模式中開啟 Safari 來測試單一登錄， (開啟 Apple 的網站) 並開啟 https://portal.office.com 網站。 不需要使用者名稱和密碼。

顯示 iPadOS 上 SSO 體驗的動畫

提示

深入瞭解 SSO 外掛程式的運作方式，以及如何使用 Apple 裝置的 SSO 疑難解答指南，針對 Microsoft Enterprise SSO 擴充功能進行疑難解答。