L’entité Authentification par signature unique (SSO) des extensions d’app vous permet d’utiliser l’authentification par signature unique (SSO) Kerberos avec les appareils Apple de votre établissement. L’extension SSO Kerberos simplifie le processus d’acquisition d’un ticket d’octroi de tickets (Ticket granting ticket ou TGT) Kerberos depuis le domaine Active Directory de votre organisation, permettant aux utilisateurs d’effectuer leur authentification de manière transparente auprès de ressources telles que les sites Web, les apps et les serveurs de fichiers. L’extension SSO Kerberos permet également à vos utilisateurs de gérer leurs comptes Active Directory. Sur macOS, elle permet aux utilisateurs de modifier leurs mots de passe Active Directory et les informe lorsqu’un mot de passe est sur le point d’expirer. Les utilisateurs peuvent également modifier les mots de passe de leur compte local pour les faire correspondre à ceux de leur compte Active Directory.
Requirements
Pour utiliser Kerberos pour l’authentification SSO, vous avez besoin des éléments suivants :
Des ordinateurs dotés de macOS 10.15 ou version ultérieure et une solution MDM approuvée par l’utilisateur
Appareils mobiles avec iOS 13 ou version ultérieure, ou iPadOS 13 ou version ultérieure
Un domaine Active Directory fonctionnant sous Windows Server 2008 ou version ultérieure (pour plus d’informations relatives à la liaison des ordinateurs à un domaine Active Directory, consultez la section Liaison Open Directory).
Note:L’extension SSO Kerberos n’est pas prévue pour être utilisée avec Microsoft Entra ID Active Directory (anciennement Azure AD). Elle nécessite un domaine Active Directory traditionnel sur site.
L’accès au réseau sur lequel le domaine Active Directory est hébergé. Cet accès réseau peut se faire par Wi-Fi, Ethernet ou VPN.
- Dans Jamf School, accédez à dans la barre latérale.
- Cliquez sur + Créer un profil.
- Sélectionnez le système d’exploitation pour lequel vous voulez créer le profil ou choisissez Téléverser un profil personnalisé.
- Sélectionnez le type d’inscription pour lequel vous voulez créer le profil.
- Renseignez un nom dans le champ Nom du profil et configurez les réglages supplémentaires si nécessaire, y compris le filtre temporel.
- Cliquez sur Terminer.
- Dans la liste des entités sur la gauche du volet, localisez la catégorie Entité iOS ou Entité macOS, en fonction du système d’exploitation des appareils dont vous voulez configurer le profil, et cliquez sur l’entité Authentification par signature unique des extensions d’app.
- Cliquez sur Configurer pour configurer les réglages suivants :
- Dans le menu contextuel Type d’authentification, sélectionnez .
- Dans le champ Domaine, saisissez le nom de votre domaine Active Directory en lettres majuscules.
Note:N’utilisez pas le nom de votre forêt Active Directory, à moins que vos comptes utilisateur ne se trouvent au niveau de la forêt.
- Dans Domaines, cliquez sur + et ajoutez des domaines pour toutes les ressources qui utilisent Kerberos. Par exemple, si vous utilisez l’authentification Kerberos avec les ressources dans us.example.com, ajoutez « .us.example.com ».
Note:Assurez-vous d’inclure le point.
- Pour stocker le mot de passe de l’utilisateur dans son trousseau, cochez la case Autoriser l’ouverture de session automatique.
- Pour ouvrir un site Web de la modification du mot de passe dans le navigateur par défaut lorsque l’utilisateur sélectionne « Modifier le mot de passe » ou accuse réception d’un avis d’expiration du mot de passe, cochez la case Autoriser la modification du mot de passe.
- Pour obliger les utilisateurs à utiliser Face ID, Touch ID ou le code, cochez la case Exiger la présence de l’utilisateur.
- Pour autoriser l’extension à définir automatiquement votre site Active Directory, cochez la case Utiliser la découverte automatique de l’emplacement.
- Pour autoriser l’extension à utiliser un cache spécifique au GSS-API (Generic Security Service Application Program Interface), saisissez le nom GSS du cache Kerberos dans le champ Nom du cache.
- Dans Identifiants de l’identifiant de bundle, cliquez sur + et ajoutez une liste des identifiants de bundle autorisés à accéder au TGT.
- Cliquez sur + Ajouter un mappage des domaines pour ajouter un mappage personnalisé des domaines pour Kerberos. Cette option est utilisée lorsque le nom du Domain Name System (DNS) des hôtes ne correspond pas au nom de domaine.
- Saisissez le nom principal dans le champ Nom principal.
- (macOS uniquement) Pour spécifier le nombre de jours pendant lesquels les mots de passe peuvent être utilisés sur le domaine avant expiration, cochez la case Remplacer l’expiration du mot de passe par défaut.
- (iOS uniquement) Pour autoriser uniquement les applications gérées à accéder à l’identifiant de bundle et à l’utiliser, cochez la case Apps gérées en bundle.
- Saisissez le nom du site Active Directory que l’extension Kerberos doit utiliser dans le champ Code du site.
- Dans la liste d’entités sur la gauche du volet, localisez la catégorie Général et cliquez sur l’entité Périmètre.
- Configurez le périmètre du profil en cliquant sur l’icône + et en ajoutant des groupes d’appareils au périmètre du profil à l’aide du menu contextuel. Pour plus d’informations, consultez la section Groupes d’appareils.
- Cliquez sur l’icône Réglages
, sur la droite de la page, puis procédez comme suit :Pour installer le profil automatiquement sur les appareils, cliquez sur Passer à l’installation automatique pour tous les groupes.
Pour autoriser les utilisateurs à installer le profil eux-mêmes, cliquez sur Passer à l’installation sur demande pour tous les groupes. Le profil sera disponible et les utilisateurs pourront l’installer dans les apps Jamf Teacher ou Jamf School Student.
- Cliquez sur Enregistrer.
Une fois que le profil Authentification par signature unique des extensions d’app a été installé sur les appareils mobiles dans le périmètre et que l’utilisateur a connecté son appareil à un réseau sur lequel est disponible le domaine Active Directory de votre organisation, les utilisateurs peuvent s’authentifier à l’aide de leurs identifiants Kerberos ou Active Directory. Une fois que les ordinateurs dans le périmètre sont connectés au réseau sur lequel est disponible votre domaine Active Directory, les utilisateurs sont invités à s’authentifier immédiatement après l’installation du profil Authentification par signature unique des extensions d’app.