Erweiterbares Single Sign-on

Administratoren können die Einstellungen für erweiterbares Single Sign-on verwenden, um Single Sign-on für native Apps und Websites auf verwalteten iOS-Geräten zu aktivieren.

Identitätsprovider wie IBM Security Verify können diese Konfiguration verwenden, um eine nahtlose Authentifizierung zu implementieren, wenn sich Benutzer bei nativen Anwendungen und Websites anmelden. Benutzer authentifizieren sich einmal und erhalten dann automatisch Zugriff auf nachfolgende native Apps und Websites.

Einstellungen für erweiterbares Single Sign-on

In der folgenden Tabelle werden die Einstellungen beschrieben, mit denen Sie die App-Erweiterungen für Single Sign-On konfigurieren können.
Richtlinieneinstellung Beschreibung Unterstützte Geräte
Für Typ konfigurieren Wählen Sie einen der folgenden Anmeldetypen aus.
  • Berechtigungsnachweis
  • Kerberos
  • Umleiten
  • Verify Conditional
  

Einstellungen für Berechtigungsnachweise

In der folgenden Tabelle werden die Einstellungen für die Zugangsdaten beschrieben.
Richtlinieneinstellung Beschreibung Unterstützte Geräte
Erweiterungs-ID Die Bundle-ID der App-Erweiterung, die SSO für die angegebenen URLs ausführt.  
Realm Der Realmname für die Berechtigungsnachweisnutzdaten
Hinweis: Bei diesem Wert muss die Groß-/Kleinschreibung beachtet werden.
  
Hosts Die Hostnamen oder Domänennamen, die Apps über die App-Erweiterung authentifizieren können.
Hinweis:
  • Beim Abgleich des Host-oder Domänennamens muss die Groß-/Kleinschreibung nicht beachtet werden.
  • Alle Host-und Domänennamen aller installierten erweiterbaren SSO-Nutzdaten müssen eindeutig sein.
  • Die Hostnamen, die mit "." beginnen sind Platzhaltersuffixe und entsprechen allen Unterdomänen. Andernfalls muss der Host exakt übereinstimmen.
  
Verweigerte Bundle-IDs Die Bundle-IDs der Apps, die kein von dieser Erweiterung bereitgestelltes SSO verwenden. iOS 15 und später
Verhalten bei gesperrter Anzeige Wenn diese Einstellung auf Abbrechen gesetzt ist, bricht das System Authentifizierungsanforderungen ab, wenn die Anzeige gesperrt ist.

Wenn der Wert auf Nicht-Kennung gesetzt ist, wird die Anforderung stattdessen ohne SSO fortgesetzt.

Hinweis: Diese Einstellung gilt nicht für Anfragen, bei denen userInterfaceEnabled auf false gesetzt ist, oder für NSURLSession-Anfragen im Hintergrund.
 iOS 15 und später
Erweiterungsdaten Daten, die über die App-Erweiterung in Form von Schlüssel/Wert-Paaren übergeben werden. Beispiel: key1=value1; key2=value2.  

Einstellungen fürKerberos

Die folgende Tabelle beschreibt die Richtlinieneinstellungen für die Konfiguration der App-Erweiterung, die Single Sign-On (SSO) mit der Erweiterung Kerberos durchführt.
Richtlinieneinstellung Beschreibung Unterstützte Geräte
Hosts Der Host-oder Domänenname, für den die App-Erweiterung SSO ausführt.
Hinweis:
  • Die Host-/Domänennamen aller installierten erweiterbaren SSO-Profile müssen eindeutig sein.
  • Bei den Host-oder Domänennamen wird die Groß-/Kleinschreibung nicht beachtet.
  • Hosts, die mit einem "." beginnen sind Platzhaltersuffixe und stimmen mit allen Unterdomänen überein. Andernfalls muss der Host exakt übereinstimmen.
 Benutzer registriert
Realm Der vollständige Kerberos -Realm, in dem sich das Konto des Benutzers befindet  
Automatische Anmeldung inaktivieren Wenn diese Einstellung auf "true" gesetzt ist, dürfen Kennwörter nicht in der Schlüsselkette gespeichert werden.  
Identitätszertifikat Die PayloadUUID eines PKINIT-Zertifikats.

Voraussetzung: Benutzerzertifikatsvorlagen müssen in Cloud Extender konfiguriert werden.

Ermöglicht die zertifikatbasierte Authentifizierung für die erweiterbare einmalige Anmeldung Kerberos. Für die zertifikatbasierte Authentifizierung müssen Sie eine Zertifikatsvorlage auf Benutzerebene auswählen. Wenn Sie kein Zertifikat auswählen, verwendet MaaS360 die berechtigungsnachweisbasierte Authentifizierung, bei der die Benutzer aufgefordert werden, den Benutzernamen und das Kennwort des Benutzers anzugeben.

  
ACL für Berechtigungsnachweisbundle-ID Eine Liste der Bundle-IDs, die auf das Ticket-Granting-Ticket (TGT) zugreifen dürfen.  
Hilfetext für Benutzer Der Text, der dem Benutzer im Anmeldefenster von Kerberos angezeigt wird. Sie kann zum Anzeigen von Hilfeinformationen oder Ausschlussklauseln verwendet werden. iOS 15 und später
ACL für Bundle-ID der verwalteten Apps einschließen Wenn diese Einstellung auf "true" gesetzt ist, erlaubt die Kerberos -Erweiterung nur verwalteten Apps, auf den Berechtigungsnachweis zuzugreifen und ihn zu verwenden. Diese Option wird zusätzlich zum Berechtigungsnachweisbundle verwendet. iOS 14 und später
Ist Standard-Realm Gibt an, dass dieser Realm der Standard-Realm ist, wenn mehrere Kerberos -Erweiterungskonfigurationen vorhanden sind.  
Principalname Der zu verwendende Auftraggeber (auch bekannt als Benutzername). Sie müssen den Realm nicht einschließen.  
Bevorzugte KDCs Die geordnete Liste der bevorzugten Key Distribution Centers (KDCs), die für den Kerberos Verkehr verwendet werden sollen. Verwenden Sie diese Option, wenn die Server nicht über DNS auffindbar sind. Wenn die Server angegeben sind, werden sie sowohl für Konnektivitätsprüfungen als auch zuerst für den Kerberos-Datenverkehr verwendet. Wenn die Server nicht antworten, greift die Einheit auf die DNS-Erkennung zurück. Jeder Eintrag ist so formatiert, wie er in einer krb5.conf Datei sein würde. Beispiele für Einträge sind die folgenden.
  • adserver1.example.com
  • tcp/adserver1.example.com:88
  • kkdcp://kerberosproxy.example.com:443/kkdcp
  
Ist Benutzerauthentifizierung erforderlich Wenn diese Einstellung auf true gesetzt ist, muss der Benutzer Touch ID, Face ID oder seinen Passcode eingeben, um auf den Schlüsselbundeintrag zuzugreifen.  
Site-Code Der Name der Active Directory-Site, die die Kerberos-Erweiterung verwenden sollte  
Automatische Erkennung inaktivieren Wenn diese Einstellung auf „true“ gesetzt ist, verwendet die Erweiterung „ Kerberos “ nicht automatisch „ LDAP “ und DNS, um den Namen ihrer Active Directory (AD)-Site zu ermitteln.  

Umleitungseinstellungen

In der folgenden Tabelle werden die Umleitungseinstellungen beschrieben.
Richtlinieneinstellung Beschreibung Unterstützte Geräte
Erweiterungs-ID Die Bundle-ID der App-Erweiterung, die SSO für die angegebenen URLs ausführt.  
URLs Die URL-Präfixe von Identitätsprovidern, bei denen die App-Erweiterung SSO ausführt.
Hinweis:
  • Die URLs müssen mit http:// oder https:// beginnen.
  • Beim Abgleich von Schema und Hostname muss die Groß-/Kleinschreibung nicht beachtet werden.
  • Abfrageparameter und URL-Fragmente sind nicht zulässig.
  • Die URLs für installierte erweiterbare SSO-Nutzdaten müssen eindeutig sein.
  
Verweigerte Bundle-ID Die Bundle-IDs der Apps, die kein von dieser Erweiterung bereitgestelltes SSO verwenden. iOS 15 und später
Verhalten bei gesperrter Anzeige Wenn diese Einstellung auf Abbrechen gesetzt ist, bricht das System Authentifizierungsanforderungen ab, wenn die Anzeige gesperrt ist.

Wenn der Wert auf Nicht-Kennung gesetzt ist, wird die Anforderung stattdessen ohne SSO fortgesetzt.

Hinweis: Diese Einstellung gilt nicht für Anfragen, bei denen userInterfaceEnabled auf false gesetzt ist, oder für NSURLSession-Anfragen im Hintergrund.
 iOS 15 und später
Erweiterungsdaten Daten, die über die App-Erweiterung in Form von Schlüssel/Wert-Paaren übergeben werden. Zum Beispiel: key1=value1; key2=value2.  

Erweiterbares SSO – Bedingter Zugriff

Die Einstellungen für Extensible SSO Conditional Access verwenden den Dienst IBM Security Verify zur Authentifizierung und Gewährung des Zugriffs auf Anwendungen auf verwalteten Geräten. Aktivieren Sie den Dienst IBM Security Verify , um den Typ Verify Conditional Extensible SSO zu konfigurieren.

In der folgenden Tabelle werden die Einstellungen für den erweiterten SSO-Zugriff beschrieben.
Richtlinieneinstellung Beschreibung Unterstützte Geräte
Safari in Zulassungsliste aufnehmen Diese Einstellung ermöglicht es Administratoren, SSO für den Safari-Browser zu aktivieren. Benutzer registriert

iOS 13 und später
Natives E-Mail-Programm in Zulassungsliste aufnehmen Mit dieser Einstellung können Administratoren SSO für die Native Mail aktivieren. Benutzer registriert

iOS 13 und später
Erlaubnisliste MaaS360 Browser Diese Einstellung ermöglicht es Administratoren, SSO für den MaaS360® Browser zu aktivieren. Diese Einstellung ist nur verfügbar, wenn MaaS360 Browser konfiguriert ist. Benutzer registriert

iOS 13 und später
Name der Anwendungen, auf die SSO angewendet werden soll Der Name der Anwendungen, für die das SSO gelten soll. Benutzer registriert