拡張可能シングル・サインオン

「拡張可能なSSOポリシー」の設定を使用して、シングルサインオン（SSO）を実行するアプリ拡張機能を構成します。

Extensible SSOポリシー設定は、 PingOne, IBM Security® Verify Microsoft Azure ADなどのサードパーティID管理プロバイダ( IdPs )を通じてアプリやウェブサイトにログインするユーザーのログイン体験を合理化する。 MDM を使用して適切に構成されている場合、ユーザーは一度認証されると、後続のネイティブ・アプリケーションおよび Web サイトへのアクセス権限を自動的に取得します。
注意: macOS 10.15+ デバイスでのみサポートされます。

拡張可能シングル・サインオンの設定

IBM® MaaS360® Portal で Extensible SSO ポリシー設定を構成する手順に従ってください。
  1. IBM MaaS360 Portalのホームページから、 Security > Policiesに進みます。
  2. macOS MDM ポリシーを開きます。
  3. Advanced > Extensible Single Sign On に進む。
  4. 拡張可能なシングル・サインオン設定を構成します。
    MaaS360 シングルサインオンのためにアプリ拡張機能を設定する際に使用できる、以下の拡張可能なSSO設定をサポートしています。
    • 資格情報
    • Kerberos
    • リダイレクト
    • 条件付き検証
    資格情報の設定
    ポリシー設定 説明 サポート・マトリックス
    拡張 ID アプリケーション拡張機能の固有バンドル ID。 macOS 10.15+
    ホスト アプリ拡張を使用して認証できる承認済みドメイン。 macOS 10.15+
    認証方式 拡張が使用するプラットフォーム SSO 認証方式。 SSO拡張機能もこの方式をサポートしている必要があります。 macOS 13 以上
    レルム 資格情報のペイロードのレルム名。
    注: この値には適切な大文字化を使用してください。
    		 macOS 10.15+
    拒否されたバンドル ID この拡張機能によって提供される SSO を使用しないアプリのバンドル ID。 macOS 12 以上
    画面ロック動作 Cancelに設定すると、システムは画面がロックされたときに認証要求を取り消します。 Do Not Handleに設定した場合、要求は SSO なしで続行されます。 userInterfaceEnabledがfalseに設定されているリクエストやバックグラウンドの URLSessionリクエストには適用されない。 macOS 12 以上
    拡張データ キーと値の形式でアプリケーション拡張機能にパススルーされるデータ。 例えば、 key1=value1, key2=value2のようにします。 macOS 10.15+
    チームID アプリケーション拡張機能のチームID。 macOS 10.15+

    Kerberos 設定

    ポリシー設定 説明 サポート・マトリックス
    ホスト アプリケーション拡張が SSO を実行する対象の 1 つ以上のホスト名またはドメイン名を構成します。 ホスト名をコンマで区切って入力します。 先頭が「.」のホストは ワイルドカード接尾部であり、すべてのサブドメインに一致します。 それ以外の場合、ホストは完全一致でなければなりません。 macOS 10.15+
    レルム Kerberos レルムは、適切に大文字にする必要があります。 レルムが Active Directory フォレスト内にある場合、これはユーザーがログインするレルムです。 macOS 10.15+
    自動ログインを許可 true に設定すると、自動ログインが許可されます。  
    パスワードの変更を許可 true に設定すると、パスワードの変更が許可されます。 macOS 10.15+
    ユーザー・セットアップの延期 true に設定すると、管理者が app-SSO ツールを使用して Kerberos 拡張機能を有効にするか、 Kerberos チャレンジを受信するまで、ユーザーに対して Kerberos 拡張機能のセットアップを求めるプロンプトを出しません。 macOS 13 以上
    資格情報キャッシュのモニター false に設定すると、一致する次の Kerberos チャレンジまたはネットワーク状態変更時に資格情報が要求されます。 macOS 13 以上
    Kerberos アプリをバンドル ACL に含める true に設定すると、 Kerberos 拡張機能により、 TicketViewer や klist などの標準 Kerberos ユーティリティーが資格情報にアクセスして使用できるようになります。 macOS 13 以上
    資格情報バンドル ID ACL チケット許可チケット (TGT) へのアクセスを許可されているバンドル ID のリスト macOS 10.15+
    ユーザーのヘルプ・テキスト Kerberos ログイン・ウィンドウの下部にユーザーに表示されるヘルプ情報または特記事項のテキスト。 macOS 10.15+
    管理対象アプリ・バンドル ID ACL を含める 有効になっている場合、資格情報を使用できるのは管理対象アプリのみです。 この設定は、 資格情報バンドル ID ACLで使用できます。 macOS 10.15+
    デフォルト・レルムである 使用可能にすると、複数の Kerberos 拡張構成がある場合に、このレルムがデフォルトのレルムとして機能します。 macOS 10.15+
    プリンシパル名 使用するプリンシパル (ユーザー名)。 レルムを含める必要はありません。 macOS 10.15+
    優先 KDC Kerberos トラフィックに使用する優先鍵配布センター (KDC) の番号付きリスト。 サーバーが DNS を介してディスカバーできない場合は、これを使用します。 サーバーが指定されている場合、これらのサーバーは接続検査の両方に使用され、 Kerberos トラフィックに対して最初に試行されます。 サーバーが応答しない場合、デバイスは DNS ディスカバリーにフォールバックします。 各項目は、krb5.conf ファイルの場合と同じようにフォーマット設定されます。 macOS 10.15+
    資格情報使用モード Usernameの代わりに Kerberos 拡張機能で使用されるカスタム・ユーザー名ラベル。 例えば、会社 ID などです。 macOS 10.15+
    パスワード変更URL ユーザーがパスワードの変更を開始すると、 URLがユーザーのデフォルトのウェブブラウザで起動します。 macOS 10.15+
    必須のパスワード・テキスト ドメインのテキスト・バージョンのパスワード要件。 macOS 10.15+
    パスワード通知日数 パスワードの有効期限が切れる何日前に、パスワードの有効期限の通知がユーザーに送信されるかを示します。 macOS 10.15+
    必須のパスワード履歴 このドメインで再使用できない、過去のパスワードの数。 macOS 10.15+
    必要なパスワードの長さ ドメイン上のパスワードの最小長。 macOS 10.15+
    パスワードの最小存続期間 このドメインでパスワードを変更できるようになるまでのパスワードの最小経過期間。 macOS 10.15+
    カスタム・ユーザー名ラベル この設定は、Kerberos拡張機能の資格情報が他のプロセスによってどのように使用されるかに影響します。 macOS 10.15+
    必須のパスワードの複雑度 trueの場合、パスワードはActive Directoryの"complex"の定義を満たす必要があります。 macOS 10.15+
    LDAPにTLSが必要 LDAP接続でTLSを使用する必要があります。 macOS 10.15+
    Kerberosのみの実行 trueの場合、Kerberos拡張機能ではKerberos要求のみを処理します。 この設定では、パスワードの有効期限の検査、メニューでのパスワードの有効期限の表示、外部パスワードの変更の確認、パスワード同期の実行、ホーム・ディレクトリーの取得は行いません。 macOS 13 以上
    サイト・オートディスカバリーの使用 false の場合、 Kerberos 拡張機能は、 LDAP および DNS を使用して AD サイト名を自動的に判別しません。 macOS 10.15+
    ローカル・パスワードの同期 falseの場合、パスワード同期を無効にします。 ユーザーがモバイル・アカウントでログインしている場合、この設定は機能しません。 macOS 10.15+
    ユーザー認証が必要 true の場合、キーチェーン・エントリーにアクセスするには、ユーザーが Touch ID、Face ID、またはパスコードを指定する必要があります。 macOS 10.15+
    サイト・コード Kerberos 拡張機能が使用する Active Directory サイトの名前。 通常、 Kerberos 拡張機能はサイトを自動的に検出できるため、ほとんどの管理者はこの値を変更する必要はありません。 macOS 10.15+

    リダイレクト設定

    ポリシー設定 説明 サポート・マトリックス
    拡張 ID アプリケーション拡張機能のバンドル ID。 macOS 10.15+
    URL インストール済みの拡張可能な SSO ペイロードの URL を指定します。 URL は、http:// または https:// で始まり、固有でなければなりません。 macOS 10.15+
    拒否されたバンドル ID この拡張によって提供される SSO を使用しないアプリのバンドル ID を入力します。 macOS 12 以上
    画面ロック動作 画面ロック動作を指定します。 「キャンセル」に設定すると、システムは、画面がロックされた後に認証要求を取り消します。 Do Not Handleに設定した場合、要求は SSO なしで続行されます。 この設定はuserInterfaceEnabledがfalseに設定されているリクエストや、バックグラウンドのNSURLSessionリクエストには適用されません。 macOS 12 以上
    拡張データ key1=value1,key2=value2というキー値形式で、アプリケーション拡張機能にパススルーされるデータを指定します。 macOS 10.15+

    条件付き検証

    「条件付き検証」の設定では、この IBM Security Verify サービスを使用して、管理対象デバイス上のアプリに対する認証とアクセス許可を行います。 「Verify Conditional Extensible SSO」タイプの設定を行うには、このサービスを有効 IBM Security Verify にしてください。

    次の表は、 「条件付き検証」 の設定について説明したものです。
    ポリシー設定 説明 サポートされるデバイス
    Safari の許可リスト登録 この設定により、管理者はSafariブラウザでSSOを有効にすることができます。

    macOS 10.15+
    ネイティブ・メールの許可リスト登録 この設定により、管理者はNative MailでSSOを有効にすることができます。

    macOS 10.15+
    SSOを適用するアプリケーションの名前 SSOが適用する必要があるアプリケーションの名前。

    macOS 10.15+