Mit macOS Platform SSO meldet sich der Mac direkt bei Entra ID an

Wer Macs in Microsoft-365-Umgebungen einbindet, weiß aus Erfahrung, dass moderne Authentifizierung unter macOS nach wie vor eine eigene Baustelle ist. Gerade in Tenants mit gemischten Plattformen wünschen sich Admins eine integrierte und sichere Anmeldung, wie sie Windows-Nutzer kennen, und zwar ohne Zusatz-Tools, Keychain-Hacks oder aufwendige Workarounds. Mit macOS Platform SSO und Microsoft Entra ID als Identitätsprovider gibt es 2024 zum ersten Mal eine echte plattformübergreifende Single-Sign-On-Lösung im Microsoft-Umfeld, derzeit als Public Preview.

Platform SSO verknüpft die Mac-Anmeldung mit der Entra-Identität

Platform SSO registriert einen Mac entweder schon beim Setup oder nachträglich direkt bei Entra ID. Die lokale Benutzeranmeldung lässt sich dabei an die Entra-Identität koppeln. Mit einem Passwort oder besser mit einem Schlüssel aus der Secure Enclave werden Login und Entsperren deutlich sicherer und bequemer. Das SSO zu Microsoft-365-Apps und Webressourcen übernimmt das Enterprise SSO Plug-in, das ab macOS 13 (Ventura) auch für Entra ID verfügbar ist. In vielen Tenants, die ich mir anschaue, laufen bereits erste Pilotprojekte. Sie zeigen allerdings auch, wo es hakt.

Für den Start braucht es Intune, ein aktuelles macOS und das Company Portal

Neben passender Hardware (ein Mac mit Apple Silicon oder T2-Chip für die Secure Enclave, ansonsten bleibt die Passwortvariante) müssen für den Einstieg folgende Bedingungen erfüllt sein:

• macOS 13 oder 14,
• die aktuelle Version der Company-Portal-App,
• Verwaltung des Geräts über Intune,
• eine passende Lizenz (für die meisten Szenarien genügt Entra ID P1).

Konfiguriert wird heute im Intune Admin Center → Gerätekonfiguration → Einstellungen-Katalog. Unter Authentifizierung → Extensible Single Sign On (SSO) liegen die nötigen Optionen. Das Company Portal muss installiert und aktuell sein, sonst bleibt die Registrierung hängen. Ausführliche Anleitungen liefert die Microsoft-Dokumentation (Platform SSO für macOS konfigurieren, Platform SSO in Entra ID, Apple SSO Plug-in).

Der Secure-Enclave-Schlüssel ist der Passwortsynchronisierung klar überlegen

Der Hauptgrund für das große Interesse an Platform SSO ist die Einbindung der Secure Enclave. Bei der ersten Anmeldung erzeugt das System dort einen hardwaregebundenen Schlüssel, der danach zum Entsperren und zur Authentifizierung gegenüber Entra ID dient. Das Verfahren kommt ohne Passwort aus und ist zudem phishingresistent, weil der Schlüssel das Gerät nie verlässt. Außerdem lässt sich die Anmeldung mit Touch ID kombinieren. Auf älteren Macs ohne Secure Enclave bleibt der klassische Passwort-Flow. Dabei wird das Entra-Kennwort synchronisiert, im lokalen Account aktualisiert und für die Anmeldung verwendet. Das ist immer noch besser als Insellösungen, entspricht aber nicht wirklich dem Stand der Technik.

Praxistipp: Wer auf die Secure Enclave setzt, sollte den Rollout unbedingt mit einer kleinen Benutzergruppe beginnen. In manchen Umgebungen blockieren ältere Apps oder spezielle Konfigurationen Touch ID. Meist hilft es dann, das Benutzerprofil komplett zu löschen und neu aufzusetzen.

Es lohnt sich, den Gerätemix und die Anforderungen der Nutzer genau anzuschauen. Oft sehe ich beide Varianten noch parallel, vor allem in Organisationen mit BYOD, Testgeräten oder Geräten aus der Übergangszeit.

Das Diagramm zeigt den Ablauf der Authentifizierung

Das folgende vereinfachte Flussdiagramm macht deutlich, wie macOS Platform SSO technisch arbeitet:

flowchart TD
    Start["Gerät eingerichtet"] --> CheckEnclave["Secure Enclave vorhanden?"]
    CheckEnclave -- "Ja" --> EnclaveKey["Enclave-Schlüssel erzeugen"]
    EnclaveKey --> Auth["Anmeldung mit Schlüssel (Touch ID)"]
    Auth --> SSOPlugin["Enterprise SSO Plug-in"]
    SSOPlugin --> AppsSSO["SSO zu Entra-Apps"]
    CheckEnclave -- "Nein" --> PWFlow["Passwort-Sync aktivieren"]
    PWFlow --> AuthPW["Anmeldung mit Entra-Passwort"]
    AuthPW --> SSOPlugin

Abbildung: Ablauf der Authentifizierung mit macOS Platform SSO

Ob der moderne schlüsselbasierte Flow oder der klassische Passwort-Flow greift, hängt also davon ab, ob das Gerät eine Secure Enclave besitzt. In beiden Fällen sorgt das SSO Plug-in dafür, dass sich Anwender ohne weitere Eingabe bei Entra-geschützten Apps anmelden.

Die Einrichtung in Intune kommt mit wenigen Einstellungen aus

Sind die Voraussetzungen erfüllt, ist die eigentliche Konfiguration erfreulich unkompliziert. In Intune → Gerätekonfiguration → Einstellungenkatalog sucht man nach „Extensible Single Sign On“. Diese Felder setze ich in meinen Projekten:

• SSO-Erweiterungstyp: Microsoft Azure AD
• TeamIdentifier: Wert aus der Microsoft-Dokumentation für Entra ID (meist „UBF8T346G9“)
• Konfigurationsprofil: Hier kommen bei Bedarf weitere Optionen hinzu, etwa die Benutzerzuordnung oder eine Allowlist für Apps

So sieht eine Minimalkonfiguration als JSON-Auszug aus, wie ihn die Intune-Oberfläche anzeigt:

{
  "SSOExtensionType": "com.microsoft.azureauthenticator.ssoextension",
  "TeamIdentifier": "UBF8T346G9",
  "Type": "Redirect",
  "AllowSharedDevice": true
}

Ohne installierte Company-Portal-App und gültige Registrierung funktioniert nichts. Zudem müssen die Endbenutzer der SSO-Erweiterung im System die erforderlichen Rechte einräumen.

Die Public Preview hat noch einige Lücken

Platform SSO für macOS ist ein großer Schritt nach vorn, produktionsreif sind aber noch nicht alle Szenarien. Zu diesen Punkten bekomme ich in Projekten immer wieder Rückfragen:

• Multi-User-Geräte: noch nicht optimal gelöst, ausgelegt ist das Verfahren vor allem auf die 1:1-Bereitstellung
• Self-Service-Kennwortzurücksetzung: funktioniert aus der macOS-Anmeldung heraus noch nicht durchgängig
• Spezialfälle bei lokalen Accounts: Wer lokale Accounts migrieren will, stößt bei der Verknüpfung mit Entra ID an Grenzen
• App-Kompatibilität: Nicht jede Mac-App nutzt das SSO Plug-in wie gewünscht, vor allem ältere oder nicht native Anwendungen bereiten Probleme

Ich empfehle deshalb, die aktuelle Microsoft-Dokumentation regelmäßig zu prüfen und Rückmeldungen aus dem Pilotbetrieb gezielt zu sammeln. Pflicht sind außerdem Tests auf Geräten mit verschiedenen macOS-Versionen, da sich macOS 13 und 14 unterschiedlich verhalten können.

Platform SSO hat viel Potenzial, verlangt aber einen sorgfältigen Rollout

Für hybride IT-Umgebungen gehört macOS Platform SSO mit Entra ID zu den spannendsten Neuerungen des Jahres 2024. Der Mac lässt sich endlich sauber in die vorhandene Microsoft-Identitätswelt einbinden, und zwar mit modernen, phishingresistenten Verfahren. Am meisten bringt die Lösung auf neuen Geräten mit Secure Enclave und Touch ID, doch auch das Passwortmodell ist ein Fortschritt. Trotzdem sollten Admins aus meiner Sicht gründlich testen, statt darauf zu vertrauen, dass alles von selbst läuft. Das gilt besonders, wenn ältere Geräte, spezielle Apps oder ein komplexer Gerätemix dazukommen. Wer jetzt sorgfältig pilotiert, erspart sich später viel Ärger und kann seinen Nutzern auf dem Mac echtes Single Sign-On bieten.