Microsoft Enterprise SSO 外掛程式是 Microsoft Entra ID 中的一項功能，可為 Apple 裝置提供單一登入 (SSO) 功能。 此外掛程式使用 Apple 單一登入應用程式延伸模組架構。
- 針對 iOS/iPadOS 裝置，企業 SSO 外掛程式包含 SSO 應用程式延伸模組。
- 對於 macOS 裝置，企業 SSO 外掛程式包括 平台 SSO 和 SSO 應用程式延伸模組。
SSO 應用程式延伸模組可為使用 Microsoft Entra ID 進行驗證的應用程式和網站提供單一登入，包括 Microsoft 365 應用程式。 它減少了使用者在使用由行動裝置管理 (MDM) 管理的裝置（包括任何支援配置 SSO 描述檔的 MDM）時收到的認證提示數量。
本功能適用於：
iOS/iPadOS
針對 macOS，請移至 在 Microsoft Intune 中設定 macOS 裝置的平臺 SSO。
本文說明如何使用 Intune、Jamf Pro 和其他 MDM 解決方案，為 iOS/iPadOS Apple 裝置建立 SSO 應用程式延伸模組設定原則。
應用程式支援
作者：MandiOhlinger ms.topic：包括 ms.日期：2024 年 2 月 28 日 ms.author：Mandia M---
若要讓您的應用程式使用 Microsoft Enterprise SSO 外掛程式，您有兩個選項：
選項 1 - MSAL：支援 Microsoft 驗證程式庫 (MSAL 的應用程式) 自動利用 Microsoft Enterprise SSO 外掛程式。 例如，Microsoft 365 應用程式支援 MSAL。 因此，他們會自動使用插件。
如果您的組織建立自己的應用程式，則您的應用程式開發人員可以將相依性新增至 MSAL。 此相依性可讓您的應用程式使用 Microsoft Enterprise SSO 外掛程式。
如需範例教學課程，請移至 教學課程：登入使用者並從 iOS 或 macOS 應用程式呼叫 Microsoft Graph。
選項 2 - 允許清單：不支援或未使用 MSAL 開發的應用程式可以使用 SSO 應用程式延伸模組。 這些應用程式包括 Safari 等瀏覽器，以及使用 Safari 網頁檢視 API 的應用程式。
針對這些非 MSAL 應用程式，請將應用程式套件組合識別碼或前置詞新增至本文) (Intune SSO 應用程式延伸模組原則中的延伸模組設定。
例如，若要允許不支援 MSAL 的 Microsoft 應用程式，請新增至
com.microsoft.Intune 原則中的 AppPrefixAllowList 屬性。 請小心您允許的應用程序，它們可以略過登錄用戶的交互式登錄提示。如需詳細資訊，請移至 適用於 Apple 裝置的 Microsoft Enterprise SSO 外掛程式 - 不使用 MSAL 的應用程式。
必要條件
若要在 iOS/iPadOS 裝置上使用 Microsoft Enterprise SSO 外掛程式：
裝置是由 Intune 管理。
裝置必須支援外掛程式：
- iOS/iPadOS 13.0 和更新版本
裝置上必須安裝 Microsoft Authenticator 應用程式。
使用者可以手動安裝 Microsoft Authenticator 應用程式。 或者，系統管理員可以使用 Intune 部署應用程式。 如需如何安裝 Microsoft Authenticator 應用程式的資訊，請移至 管理 Apple 大量購買的應用程式。
已設定企業 SSO 外掛程式需求，包括 Apple 網路組態 URL。
注意事項
在 iOS/iPadOS 裝置上，Apple 需要安裝 SSO 應用程式延伸模組和 Microsoft Authenticator 應用程式。 使用者不需要使用或設定 Microsoft Authenticator 應用程式，只要安裝在裝置上即可。
Microsoft 企業 SSO 外掛程式與 Kerberos SSO 延伸模組
當您使用 SSO 應用程式延伸功能時，您會使用 SSO 或 Kerberos 承載類型進行驗證。 SSO 應用程式延伸模組的設計目的是要改善使用這些驗證方法的應用程式和網站的登入體驗。
Microsoft 企業 SSO 外掛程式會使用具有重新導向驗證的 SSO 承載類型。 SSO 重新導向和 Kerberos 延伸類型都可以同時在裝置上使用。 請務必為您計劃在裝置上使用的每種擴充功能類型建立單獨的裝置設定檔。
若要判斷您案例的正確 SSO 延伸模組類型，請使用下表：
| 適用於 Apple 裝置的 Microsoft Enterprise SSO 外掛程式 | 使用 Kerberos 的單一登入應用程式延伸模組 |
|---|---|
| 使用 Microsoft Entra ID SSO 應用程式延伸模組類型 | 使用 Kerberos SSO 應用程式延伸模組類型 |
| 支持以下應用程序： - Microsoft 365 的 - 與 Microsoft Entra ID 整合的應用程式、網站或服務 |
支持以下應用程序： - 與 AD 整合的應用程式、網站或服務 |
如需單一登入應用程式延伸模組的詳細資訊，請移至 Microsoft Intune 中 Apple 裝置的 SSO 概觀和選項。
建立單一登入應用程式延伸模組設定原則
在 Microsoft Intune 系統管理中心中，建立裝置組態配置檔。 此設定檔包含在裝置上設定 SSO 應用程式延伸模組的設定。
選取 [裝置]>[管理裝置]>[設定]>[建立]>[新原則]。
輸入下列內容：
- 平臺：選取 iOS/iPadOS。
- 設定檔類型：選取 範本裝置>功能。
選取 建立：
在 [基本資訊] 中，輸入下列內容：
- 名稱: 輸入原則的描述性名稱。 為您的設定檔命名，以方便之後能夠輕鬆識別。 例如，一個好的原則名稱是 iOS：SSO 應用程式延伸模組。
- 描述：輸入原則的描述。 這是選擇性設定，但建議進行。
選取[下一步]。
在 [組態設定] 中，選取 [單一登入應用程式延伸模組]，然後設定下列屬性：
SSO 應用程式延伸模組類型：選取 [Microsoft Entra ID]。
啟用共用裝置模式：
未設定：Intune 不會變更或更新此設定。
對於大部分的案例，包括共用 iPad、個人裝置，以及有或沒有使用者親和性的裝置，請選取此選項。
是：只有在目標裝置使用 Microsoft Entra 共用裝置模式時，才選取此選項。 如需詳細資訊，請移至 共用裝置模式概觀。
應用程式套件組合識別碼：輸入不支援 MSAL 且 允許使用 SSO 之應用程式的套件組合識別碼清單。 如需詳細資訊，請移至 不使用 MSAL 的應用程式。
其他設定：若要自訂使用者體驗，您可以新增下列屬性。 這些屬性是 Microsoft SSO 延伸模組所使用的預設值，但可以根據您的組織需求進行自訂：
機碼 類型 描述 AppPrefixAllowList 字串 推薦值： com.apple.
輸入不支援 MSAL 且 允許使用 SSO 的應用程式前置詞清單。 例如，輸入com.microsoft.,com.apple.以允許所有 Microsoft 和 Apple 應用程式。
請確定這些應用程式 符合許可清單要求。browser_sso_interaction_enabled 整數 推薦值： 1
設定為1時，使用者可以從 Safari 瀏覽器登入，以及從不支援 MSAL 的應用程式登入。 啟用此設定可讓使用者從 Safari 或其他應用程式啟動擴充功能。disable_explicit_app_prompt 整數 推薦值： 1
某些應用程式可能會錯誤地在通訊協定層強制執行使用者提示。 如果您看到此問題，系統會提示使用者登入，即使 Microsoft Enterprise SSO 外掛程式適用於其他應用程式。
當設定為1(一個) 時，您可以減少這些提示。提示
如需這些屬性的詳細資訊，以及您可以設定的其他屬性，請參閱適用於 Apple 裝置的 Microsoft Enterprise SSO 外掛程式。
當您完成設定並允許Microsoft & Apple 應用程式時，設定看起來類似於 Intune 組態配置檔中的下列值：
繼續建立設定檔，並將設定檔指派給將接收這些設定的使用者或群組。 如需特定步驟，請移至 建立設定檔。
如需指派設定檔的指引，請移至 指派使用者和裝置設定檔。
當裝置簽入 Intune 服務時，它會收到此配置檔。 如需詳細資訊，請移至 原則重新整理間隔。
若要檢查配置檔是否已正確部署，請在 Intune 系統管理中心移至 [裝置>管理裝置>設定> ]，選取您建立的配置檔，然後產生報告：
![顯示 Jamf Pro 入口網站的螢幕擷取畫面。選取組態配置檔 SSO 選項，然後選取 [新增 iOS/iPadOS 裝置]。](media/apple-enterprise-sso-plug-in/ios-ipados-sso-extensions-jamf.png)
使用者體驗
如果您未使用應用程式原則部署 Microsoft Authenticator 應用程式，則使用者必須手動安裝它。 使用者不需要使用Authenticator應用程序，只需將其安裝在裝置上即可。
使用者登入任何支援的應用程式或網站，以啟動擴充功能。 Bootstrap 是第一次登入的程式，會設定延伸模組。
使用者成功登入之後，擴充功能會自動用於登入任何其他支援的應用程式或網站。
您可以透過 以私人模式開啟 Safari 來測試單一登入 () 開啟 Apple 的網站並開啟網站 https://portal.office.com 。 不需要用戶名和密碼。
提示
透過 Apple 裝置的 SSO 疑難排解指南，進一步瞭解 SSO 外掛程式的運作方式，以及如何對 Microsoft Enterprise SSO 延伸功能進行疑難排解。
相關文章
如需 Microsoft Enterprise SSO 外掛程式的相關資訊，請移至 Apple 裝置的 Microsoft Enterprise SSO 外掛程式。
如需 Apple 提供有關單一登入延伸功能承載的資訊，請前往單一 登入延伸功能承載資料設定 (開啟 Apple 網站) 。
如需疑難排解 Microsoft Enterprise SSO 延伸模組的資訊，請移至 疑難排解 Apple 裝置上的 Microsoft Enterprise SSO 延伸模組外掛程式。