Wenn sich ein Benutzer bei Jamf Connect oder Self Service anmeldet, wird das Passwort in ein sicheres Textfeld eingegeben und niemals außerhalb des macOS Schlüsselbunds auf einen Datenträger geschrieben.
Bei Verwendung von Kerberos wird das Passwort mit dem API-Aufruf gss_aapl_initial_cred() verarbeitet, durch den der Benutzer authentifiziert wird und ein Ticket Granting Ticket (TGT) abgerufen wird. Auch beim Ändern des Passworts mithilfe des API-Aufrufs gss_aapl_change_password() kommt dieses Verfahren zum Einsatz. Für beide API-Aufrufe wird die von Apple bereitgestellte Kerberos Implementierung „Heimdal“ verwendet.
Alle Kerberos Aktionen werden über APIs von Apple ausgeführt. Das Password wird niemals mit kinit oder einem anderen Tool für die Kerberos Befehlszeile zwischengespeichert.
Bei Integration von Okta als Identitätsdienst verwenden Jamf Connect und Self Service die Okta Authentifizierungs-API. Weitere Informationen zur Okta Authentifizierungs-API finden Sie im Artikel Application types (Anwendungsarten) von okta Developer.
Bei Integration anderer Identitätsdienste verwenden Jamf Connect und Self Service das OpenID Connect Authentifizierungsprotokoll für die Kommunikation mit dem Identitätsdienst.
Alle Netzwerkverbindungen werden über die in macOS integrierte URLSession API zum Laden von URLs hergestellt. Die gesamte Kommunikation wird mittels TLS verschlüsselt, um die sichere Übertragung der Daten zu gewährleisten.
Wenn die Passthrough-Authentifizierung für das Anmeldefenster aktiviert ist, werden die im Anmeldefenster der Webansicht eingegebenen Benutzerpasswörter vorübergehend im Speicher abgelegt und zum Anmelden oder Erstellen eines lokalen Accounts auf Computern verwendet. Wenn Jamf Connect mit dem Passwort des Benutzers fertig ist, wird der Wert sofort mit nil überschrieben und aus dem Speicher entfernt.
Weitere Informationen zu OpenID Connect finden Sie unter What is OpenID Connect (Was ist OpenID Connect).