Kurumsal ortamlarda macOS cihazlardaki yerel kullanıcı parolalarının Microsoft Entra ID ile bütünleşik şekilde yönetilmesi uzun zamandır ihtiyaç duyulan özelliklerden biriydi. Platform SSO, söz konusu ihtiyacı gideren ve kullanıcıların Microsoft Entra ID parolalarını kullanarak mac’te oturum açmalarına olanak sağlayan bir konfigürasyondur. Bu özellik sayesinde, iki ayrı parolanın hatırlanma zorunluluğu olmadan son kullanıcı deneyimini iyileştirme ve yerel macOS parolasını yönetme ihtiyacı azalır.
Resim-1
Platform SSO ile MDM Configuration Profile yapısını kullanarak end user authentication methodunu yapılandırabilirsiniz.
Password as authentication method: Kullanıcının Microsoft Entra ID parolasını yerel hesap ile eşitler ve kimlik doğrulama için Microsoft Entra ID kullanan uygulamalar arasında SSO’yu etkinleştirir.
Secure enclave key as authentication method: Kimlik doğrulama için Microsoft Entra ID kullanan uygulamalar için kullanılan secure enclave destekli kriptografik key sağlar. Kullanıcının yerel hesap politikası etkilenmez.
| Authentication Method | Usage | Local Password | Proposed scenario |
| Password | Entra ID parolasıyla macOS login | Microsoft Entra ID ile senkronize | Mevcut parola tabanlı ortam |
| Secure Enclave Key | Donanım destekli key | Ayrı kalabilir | Modern/passwordless yaklaşım |
| Smart Card | Sertifika/kart tabanlı | Senkronizasyon gerekmez | Smart Card kullanan kurumlar |
Neden Password Authentication Method?
Mevcut parola tabanlı kimlik doğrulama yapısını koruyarak kullanıcıların Microsoft Entra ID ve macOS üzerinde tek parola ile çalışabilmesi amacıyla Password Authentication Method tercih edilebilir. Bu yöntem, kullanıcı alışkanlıklarını büyük ölçüde değiştirmeden Platform SSO geçişi yapılmasını ve daha bütünleşik bir oturum açma deneyimi sağlanmasını mümkün kılar.
Platform SSO politikasını uygulamak için bazı ön gereksinimler bulunmaktadır. Bu ön gereksinimlerden bahsedecek olursak;
- Company Portal: Company Portal uygulamasının cihazda kurulu olması gerekir.
- Platform SSO Configuration: Platform SSO ayarlarının Microsoft Intune üzerinden bir Configuration Profile ile yapılandırılarak ilgili cihaz veya kullanıcılara atanması gerekir.
- Microsoft Intune Enrollment: macOS cihazın Microsoft Intune’a enroll edilmiş ve yönetiliyor olması gerekir.
- macOS ve Company Portal Uyumluluğu: Kullanılan macOS ve Company Portal sürümlerinin Platform SSO özelliğini desteklemesi gerekir.
- Network Erişimi: Enterprise SSO eklentisinin Microsoft Entra ID kimlik doğrulama servislerine ve gerekli URL’lere kesintisiz erişebilmesi gerekir.
- Browser Desteği: SSO deneyiminin kullanılacağı tarayıcıların Enterprise SSO eklentisiyle uyumlu olması gerekir.
Microsoft Intune Platform SSO Configuration
Microsoft Intune Admin Center->Devices->macOS->Configuration Profiles->Profile Type->Setting Catalog sonrasında Configuration Settings->Authentication->Extensible Single Sign On(SSO) seçeneğini seçelim.
Platform SSO altında bulunan seçenekler ile devam edelim.
Authentication Method: Platform SSO’nun hangi kimlik doğrulama method’unu kullanacağını belirlememizi sağlar.
Enable Authorization: Kullanıcının Entra ID kimliği ile yetkilendirilmesini sağlar. macOS oturumu açılırken Microsoft Entra ID üzerinden doğrulama yapar.
Enable Create User at Login: macOS üzerinde daha önce hesabı olmayan kullanıcı ilk kez giriş yaptığında otomatik olarak yerel kullanıcı hesabı oluşturulur.
Enable Registration During Setup: macOS ilk kurulum sırasında platform SSO kaydının yapılmasına izin verir. Kullanıcı cihazı ilk açtığında cihaz Entra ID ile ilişkilendirilir.
New User Authorization Mode: Yeni oluşturulan kullanıcı hesabının yetki seviyesini belirlemenizi sağlar.
Account Name(preferred_username): Microsoft Entra ID’deki preferred_username değerinin macOS üzerinde oluşturulan yerel kullanıcı hesabının adlandırılmasında kullanılmasını sağlar. Genellikle kullanıcının UPN’i gelir.
Full Name(name): macOS üzerindeki kullanıcının görünen adıdır.
Use Shared Devicekeys: Aynı cihazı birden fazla kullanıcı kullanıyorsa cihazın ortak anahtarlarını kullanarak platform SSO’nın daha verimli çalışmasını sağlar. (Enabled)
User Authorization Mode: Kullanıcının yerel hesabının yetki seviyesini belirler.
Kurumsal politikalarınıza göre macOS cihazlarınızın yönetimi için farklı yetki seviyeleri belirleyebilirsiniz.
| User Type | Authorization Mode |
| IT Administrator | Administrator |
| End User | Standard User |
Registration Token: Microsoft Intune tarafında otomatik oluşturulan cihaz kaydı token’dır. Platform SSO’nun Entra ID’ye cihaz kaydı yapmasını sağlar.
Screen Locked Behavior: Kullanıcı ekranı kilitlediğinde platform SSO’nun hiçbir işlem yapmamasını sağlar. (Do Not Handle)
Team Identifier: Microsoft’un Apple Developer Team ID’sidir. Platform eklentisinin Microsoft tarafından imzalandığının doğrulanması için kullanılır.
Type (Redirect): Kullanıcının Microsoft’un oturum açma ekranına yönlendirilmesini sağlar.
URL: URL listesi SSO uygulama uzantıları kullanan kimlik sağlayıcılardır. URL’ler redirect yükleri için gereklidir.
Platform SSO Registration Process
Kayıtlı macOS cihazda sağ üst köşede “Platform SSO Register Device” bildirimi gelir. Bu uyarı mesajına tıklayarak kayıt işlemini yapabilirsiniz. Mesaja tıkladığınızda (register) seçeneğini seçerek oturum açma işlemini başlatabilirsiniz. Cihaz kaydı tamamlandığında SSO Extension Prompt kendiliğinden kapanır. Süreç tamamlandığında macOS cihazınız local macOS account password girilmesini ister.
Bu noktada yerel macOS hesap parolası Entra ID’den farklı ise Microsoft Entra ID hesabı ile oturum açma uyarısını göreceksiniz. Uyarı mesajının üzerine gelip Sign In seçeneğini kullanarak Entra ID parolanızı girebilirsiniz.
Microsoft Entra ID parolanızı girdikten sonra artık yerel macOS hesap parolası ile Entra ID şifreniz ile eşleşmiş olacaktır. Bu işlemlerden sonra macOS cihazınızda oturum açmak ve kurumsal uygulamalarda SSO yetenekleri için Microsoft Entra ID hesaplarını kullanabilir durumda olacaksınız. Artık yerel macOS hesap parolası kullanamayacaksınız.
Microsoft Intune tarafında macOS cihazlara uygulanan Configuration Profile durumunun “Succeded” durumunda olduğu kontrol edilmeli ve Cihazın Microsoft Intune ile başarılı bir şekilde sync olduğunu doğrulayabilirsiniz. macOS tarafında kullanıcının Microsoft Entra ID hesabıyla registration işleminin tamamlandığını doğrulayabilir, Password Authentication kullanılıyorsa Entra ID parolasıyla macOS login testi gerçekleştirebilirsiniz. Son olarak web browser’larınız üzerinden Microsoft 365 uygulamasına erişim testi yaparak SSO Configuration Verification testi yapabilirsiniz.
Son olarak yeni kullanıcı oluşturulmuyorsa ”Enable Create User at Login” ayarı kontrol edilmeli, kullanıcı yanlış yetki ile oluşuyorsa “New User Authorization Mode” ayarı kontrol edilmeli, SSO yapılandırması çalışmadığı durumlarda ise “Enterprise SSO extension / Company Portal” yapılandırması kontrol edilmeli, Entra ID parolasıyla macOS login olunamaması durumunda “Authentication Method ve Registration State” yapılandırması kontrol edilmeli, Register Device bildirimi kullanıcı karşısına gelmediği durumlarda ise “Intune Configuration Profile assignment” yapılandırması kontrol edilmeli ve Platform SSO registration başarısız oluyorsa Microsoft Entra ID ve Network erişimlerini kontrol etmelisiniz.
Platform SSO sayesinde macOS ve Microsoft Entra ID authentication deneyimini birleştirilir, Kullanıcıların ayrı kimlik bilgileriyle çalışma ihtiyacı azalır, Microsoft 365 ve kurumsal uygulamalarda SSO deneyimi geliştirilir ve Microsoft Intune üzerinden merkezi yetkilendirme konfigürasyon yönetimi sağlanır.
Faydalı Olması Dileğiyle…
Bu konuyla ilgili sorularınızı https://forum.mshowto.org linkini kullanarak ulaşacağınız forum sayfamızda sorabilirsiniz.
Referanslar
TAGs: Microsoft Intune, Mobile Device Management, Mobile Application Management, Azure Active Directory, Microsoft Endpoint Manager Admin Center, Company Portal,Azure Active Directory Join, Windows Autopilot, Entra ID, Apple Business Manager, Platform SSO, Platform SSO Register Device, Authentication Method, Registration State, Password Authentication Method, SSO Extension Prompt