Microsoft Enterprise SSO 外掛程式是 Microsoft Entra ID 中的一項功能，可為 Apple 裝置提供單一登入 (SSO) 功能。 此外掛程式使用 Apple 單一登入應用程式延伸模組架構。
- 針對 iOS/iPadOS 裝置，企業 SSO 外掛程式包含 SSO 應用程式延伸模組。
- 對於 macOS 裝置，企業 SSO 外掛程式包括 平台 SSO 和 SSO 應用程式延伸模組。
SSO 應用程式延伸模組可為使用 Microsoft Entra ID 進行驗證的應用程式和網站提供單一登入，包括 Microsoft 365 應用程式。 它減少了使用者在使用由行動裝置管理 (MDM) 管理的裝置（包括任何支援配置 SSO 描述檔的 MDM）時收到的認證提示數量。
本功能適用於：
macOS
針對 iOS/iPadOS，請移至 在 iOS/iPadOS 裝置上使用 Microsoft Enterprise SSO 外掛程式。
在 macOS 裝置上，您可以在 Intune 的兩個位置設定 SSO 應用程式延伸模組設定：
本文 (裝置功能範本) - 此選項只會設定 SSO 應用程式延伸模組，並使用 MDM 提供者 （例如 Intune） 將設定部署至裝置。
如果您只想設定 SSO 應用程式擴充功能設定，而不想同時設定平台 SSO，請使用本文。
設定目錄 — 此選項會同時設定平台SSO和SSO應用程式擴充功能。 您可以使用 Intune 將設定部署至您的裝置。
如果您想要同時設定平台SSO和SSO應用程式擴充功能設定，請使用設定目錄設定。 如需詳細資訊，請移至 在 Microsoft Intune 中設定 macOS 裝置的平臺 SSO。
如需 Apple 裝置上 SSO 選項的概觀，請移至 Microsoft Intune 中 Apple 裝置的 SSO 概觀和選項。
本文說明如何使用 Intune、Jamf Pro 和其他 MDM 解決方案，為 macOS Apple 裝置建立 SSO 應用程式延伸模組設定原則。
如果您想要一起設定平臺 SSO 和 SSO 應用程式延伸模組設定，請移至 在 Microsoft Intune 中設定 macOS 裝置的平臺 SSO。
應用程式支援
作者：MandiOhlinger ms.topic：包括 ms.日期：2024 年 2 月 28 日 ms.author：Mandia M---
若要讓您的應用程式使用 Microsoft Enterprise SSO 外掛程式，您有兩個選項：
選項 1 - MSAL：支援 Microsoft 驗證程式庫 (MSAL 的應用程式) 自動利用 Microsoft Enterprise SSO 外掛程式。 例如，Microsoft 365 應用程式支援 MSAL。 因此，他們會自動使用插件。
如果您的組織建立自己的應用程式，則您的應用程式開發人員可以將相依性新增至 MSAL。 此相依性可讓您的應用程式使用 Microsoft Enterprise SSO 外掛程式。
如需範例教學課程，請移至 教學課程：登入使用者並從 iOS 或 macOS 應用程式呼叫 Microsoft Graph。
選項 2 - 允許清單：不支援或未使用 MSAL 開發的應用程式可以使用 SSO 應用程式延伸模組。 這些應用程式包括 Safari 等瀏覽器，以及使用 Safari 網頁檢視 API 的應用程式。
針對這些非 MSAL 應用程式，請將應用程式套件組合識別碼或前置詞新增至本文) (Intune SSO 應用程式延伸模組原則中的延伸模組設定。
例如，若要允許不支援 MSAL 的 Microsoft 應用程式，請新增至
com.microsoft.Intune 原則中的 AppPrefixAllowList 屬性。 請小心您允許的應用程序，它們可以略過登錄用戶的交互式登錄提示。如需詳細資訊，請移至 適用於 Apple 裝置的 Microsoft Enterprise SSO 外掛程式 - 不使用 MSAL 的應用程式。
必要條件
若要在 macOS 裝置上使用 Microsoft Enterprise SSO 外掛程式：
- 裝置是由 Intune 管理的 MDM。
- 裝置必須支援外掛程式：
- macOS 10.15 及更新版本
- 必須在裝置上安裝並設定 Microsoft 公司入口網站應用程式。
- 已設定企業 SSO 外掛程式需求，包括 Apple 網路組態 URL。
Microsoft 企業 SSO 外掛程式與 Kerberos SSO 延伸模組
當您使用 SSO 應用程式延伸功能時，您會使用 SSO 或 Kerberos 承載類型進行驗證。 SSO 應用程式延伸模組的設計目的是要改善使用這些驗證方法的應用程式和網站的登入體驗。
Microsoft 企業 SSO 外掛程式會使用具有重新導向驗證的 SSO 承載類型。 SSO 重新導向和 Kerberos 延伸類型都可以同時在裝置上使用。 請務必為您計劃在裝置上使用的每種擴充功能類型建立單獨的裝置設定檔。
若要判斷您案例的正確 SSO 延伸模組類型，請使用下表：
| 適用於 Apple 裝置的 Microsoft Enterprise SSO 外掛程式 | 使用 Kerberos 的單一登入應用程式延伸模組 |
|---|---|
| 使用 Microsoft Entra ID SSO 應用程式延伸模組類型 | 使用 Kerberos SSO 應用程式延伸模組類型 |
| 支持以下應用程序： - Microsoft 365 的 - 與 Microsoft Entra ID 整合的應用程式、網站或服務 |
支持以下應用程序： - 與 AD 整合的應用程式、網站或服務 |
如需 SSO 應用程式延伸模組的詳細資訊，請移至 Microsoft Intune 中 Apple 裝置的 SSO 概觀和選項。
建立單一登入應用程式延伸模組設定原則
本節說明如何建立 SSO 應用程式延伸模組原則。 如需平台 SSO 的相關資訊，請移至 在 Microsoft Intune 中設定 macOS 裝置的平台 SSO。
在 Microsoft Intune 系統管理中心中，建立裝置組態配置檔。 此設定檔包含在裝置上設定 SSO 應用程式延伸模組的設定。
選取 [裝置]>[管理裝置]>[設定]>[建立]>[新原則]。
輸入下列內容：
- 平台：選取 macOS。
- 設定檔類型：選取 範本裝置>功能。
選取 建立：
在 [基本資訊] 中，輸入下列內容：
- 名稱: 輸入原則的描述性名稱。 為您的設定檔命名，以方便之後能夠輕鬆識別。 例如，一個好的政策名稱是 macOS-SSO 應用程式延伸模組。
- 描述：輸入原則的描述。 這是選擇性設定，但建議進行。
選取[下一步]。
在 [組態設定] 中，選取 [單一登入應用程式延伸模組]，然後設定下列屬性：
SSO 應用程式延伸模組類型：選取 Microsoft Entra ID：
應用程式套件組合識別碼：輸入不支援 MSAL 且 允許使用 SSO 之應用程式的套件組合識別碼清單。 如需詳細資訊，請移至 不使用 MSAL 的應用程式。
其他設定：若要自訂使用者體驗，您可以新增下列屬性。 這些屬性是 SSO 應用程式延伸模組所使用的預設值，但可以根據您的組織需求進行自訂：
機碼 類型 描述 AppPrefixAllowList 字串 推薦值： com.microsoft.,com.apple.
輸入不支援 MSAL 且 允許使用 SSO 的應用程式前置詞清單。 例如，輸入com.microsoft.,com.apple.以允許所有 Microsoft 和 Apple 應用程式。
請確定這些應用程式 符合許可清單要求。browser_sso_interaction_enabled 整數 推薦值： 1
設定為1時，使用者可以從 Safari 瀏覽器登入，以及從不支援 MSAL 的應用程式登入。 啟用此設定可讓使用者從 Safari 或其他應用程式啟動擴充功能。disable_explicit_app_prompt 整數 推薦值： 1
某些應用程式可能會錯誤地在通訊協定層強制執行使用者提示。 如果您看到此問題，系統會提示使用者登入，即使 Microsoft Enterprise SSO 外掛程式適用於其他應用程式。
當設定為1(一個) 時，您可以減少這些提示。提示
如需這些屬性以及您可以設定的其他屬性的詳細資訊，請移至 Apple 裝置的 Microsoft Enterprise SSO 外掛程式。
當您完成設定建議的設定時，設定看起來類似於 Intune 組態配置檔中的下列值：
繼續建立設定檔，並將設定檔指派給接收這些設定的使用者或群組。 如需特定步驟，請移至 建立設定檔。
如需指派設定檔的指引，請移至 指派使用者和裝置設定檔。
當原則準備就緒時，您可以將原則指派給使用者。 Microsoft 建議您在裝置註冊 Intune 時指派原則。 但是，它可以隨時分配，包括在現有設備上。 當裝置簽入 Intune 服務時，它會收到此配置檔。 如需詳細資訊，請移至 原則重新整理間隔。
若要檢查配置檔是否已正確部署，請在 Intune 系統管理中心移至 [裝置>管理裝置>設定> ]，選取您建立的配置檔，然後產生報告：
使用者體驗
如果您未使用應用程式原則部署公司入口網站應用程式，則使用者必須手動安裝它。 使用者不需要使用公司入口網站應用程式，只需要安裝在裝置上即可。
使用者登入任何支援的應用程式或網站，以啟動擴充功能。 Bootstrap 是第一次登入的程式，會設定延伸模組。
使用者成功登入之後，擴充功能會自動用於登入任何其他支援的應用程式或網站。
您可以透過 以私人模式開啟 Safari 來測試單一登入 () 開啟 Apple 的網站並開啟網站 https://portal.office.com 。 不需要用戶名和密碼。
在 macOS 上，當使用者登入公司或學校應用程式時，系統會提示他們選擇加入或退出 SSO。 他們可以選取 [不再詢問我] 以選擇退出 SSO 並封鎖未來的請求。
使用者也可以在 macOS 版 公司入口網站 應用程式中管理其 SSO 偏好設定。 若要編輯喜好設定，請移至 公司入口網站 應用程式功能表列 > [公司入口網站>設定]。 他們可以選取或取消選取 [不要要求我使用此裝置使用單一登入登入]。
提示
透過 Apple 裝置的 SSO 疑難排解指南，進一步瞭解 SSO 外掛程式的運作方式，以及如何對 Microsoft Enterprise SSO 延伸功能進行疑難排解。
相關文章
如需 Microsoft Enterprise SSO 外掛程式的相關資訊，請移至 Apple 裝置的 Microsoft Enterprise SSO 外掛程式。
如需 Apple 提供有關單一登入延伸功能承載的資訊，請前往單一 登入延伸功能承載資料設定 (開啟 Apple 網站) 。
如需疑難排解 Microsoft Enterprise SSO 延伸模組的資訊，請移至 疑難排解 Apple 裝置上的 Microsoft Enterprise SSO 延伸模組外掛程式。