Jamf Pro と Okta を使用した Platform SSO の簡易セットアップの構成

Okta Platform Single Sign-on for macOS について

macOS 26 で導入された簡易セットアップは、自動デバイス登録中に Setup Assistant で Platform SSO (PSSO) 登録を要求する新しい方法です。この方法は、ジャストインタイムアカウント作成を使用して macOS 上の最初のローカルユーザーアカウントを作成することもできます。

この機能により、ユーザーはデバイスセットアップを続行する前に ID プロバイダーに登録する必要があります。その後、最初のユーザーアカウントが作成され、ユーザーの組織の ID プロバイダー (IdP) によって管理されます。

便利な用途:

1:1 コンピューターデプロイメント
Setup Assistant からの ID ベースのユーザーに対するユーザーレベルの MDM 管理の有効化
ゼロタッチプロビジョニングとコンプライアンス適用

手順

Okta でプラットフォームシングルサインオンアプリを作成して構成する

スーパー管理者として Okta org にサインインします。
Applications > Applications > Catalog に移動して Browse App Catalog をクリックします。Platform Single Sign-on for macOS を検索します。
Add Integration をクリックします。

注: このアプリケーションは、Okta Device Access (ODA) ライセンスを持つ顧客のみが利用できます。

アプリケーションリストから Platform Single Sign-on を開きます。

General タブで、アプリラベルを編集するか、デフォルトラベルを使用できます。

Sign on タブで、Client ID をメモしておきます。これは MDM デプロイメントで Okta Verify のマネージドアプリ構成に必要です。
Desktop Password Sync を使用するには、ユーザーに Platform Single Sign-on アプリが割り当てられている必要があります。Assignments タブで個別ユーザーまたはグループにアプリを割り当てます。
Okta テナントの Directory > Profile Editor で、Platform Single Sign-On for macOS User を見つけます。
2 つの新しい属性を追加します:

macOSAccountFullName

macOSAccountUsername

PSSO アプリが使用する 2 つのカスタム属性が作成されます。

Okta の Platform Single Sign-On for macOS アプリケーションに戻り、Authentication タブに移動して Configure profile mapping リンクをクリックします。
Okta User to Platform Single Sign-On for macOS タブを選択します。新しいカスタム属性がそこに表示されるはずです。
組織に最適な設定を構成します。
下部の Preview ボタンを使用して、属性が期待どおりにプルインされることを確認します。
Save Mappings をクリックします。

macOS の動的 SCEP チャレンジを使用して Okta を CA として追加する

Okta 管理ポータルで Security > Device Integrations に移動します。Device Access を選択して、Add SCEP Configuration をクリックします。
Dynamic SCEP URL を選択して、Generate をクリックします。
SCEP URL、Challenge URL、Username、Password をメモしておきます。これらは Jamf Pro でデプロイ可能な構成を作成するために必要です。
Save をクリックします。

Jamf Pro でのデプロイメント用 Platform SSO プロファイルの作成

Computers > Configuration Profiles に移動して、デプロイメント用の新しいプロファイルを作成します。
Name、Description、Category を設定します。Computer Level でデプロイして、配布を Install automatically に設定します。
Associated Domains ペイロードを見つけて Add を選択します。2 つの App Identifiers を追加します:

App Identifier: B7F62B65BN.com.okta.mobile.auth-service-extension Associated Domain: authsrv:<org-tenant>.okta.com

App Identifier: B7F62B65BN.com.okta.mobile Associated Domain: authsrv:<org-tenant>.okta.com
次に、Single Sign-On Extensions ペイロードを見つけて Add をクリックします。

Payload type: SSO

Extension Identifier: com.okta.mobile.auth-service-extension
Team Identifier: B7F62B65BN
Sign-on Type: Redirect
URLs (Add ボタンを使用して 2 番目のフィールドを生成)

https://<org-tenant>.okta.com/device-access/api/v1/nonce

https://<org-tenant>.okta.com/oauth2/v1/token
Single Sign-On Extension ペイロードの Setting エリアで構成を続行します:

Use Platform SSO: Include

Authentication method: Password

FileVault Policy (Apple silicon): Attempt & Include
User login policy: Attempt & Include
Screensaver unlock policy: Attempt & Include
Enable registration during setup: Enable & Include
Create first user during Setup: Enable & Include

New user creation authentication method: Password & Include

Use Shared Device Keys: Enable & Include
Account Display Name: Include (例: Company IT)
Application & Custom Settings > Upload の下に 3 つのペイロードを追加します。

com.okta.mobile.auth-service-extension

プロパティリスト例:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>OktaVerify.EnrollmentOptions</key>
<string>SilentEnrollmentEnabled</string>
<key>OktaVerify.OrgUrl</key>
<string>https://org-tenant-url.okta.com</string>
<key>OktaVerify.UserPrincipalName</key>
<string>$USERNAME</string>
<key>OktaVerify.PasswordSyncClientID</key>
<string>replace-with-PSSO-app-client-id</string>
<key>PlatformSSO.ProtocolVersion</key>
<string>2.0</string>
</dict>
</plist>

com.okta.mobile

プロパティリスト例:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>OktaVerify.EnrollmentOptions</key>
<string>SilentEnrollmentEnabled</string>
<key>OktaVerify.OrgUrl</key>
<string>https://org-tenant-url.okta.com</string>
<key>OktaVerify.UserPrincipalName</key>
<string>$USERNAME</string>
</dict>
</plist>

com.apple.preference.security

プロパティリスト例:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>dontAllowPasswordResetUI</key>
<true/>
</dict>
</plist>

デプロイメントに必要な Scope を追加します。
Save をクリックします。

Jamf Pro で SCEP 構成を作成する

Computers > Configuration Profiles に移動して、デプロイメント用の新しいプロファイルを作成します。
Name、Description、Category を設定します。Computer Level でデプロイして、配布を Install automatically に設定します。
SCEP ペイロードに移動して Configure をクリックします。
次のように構成します:

URL: Okta テナントで動的 SCEP チャレンジを構成するときに提供された SCEP URL

Name: 名前を入力します (例: CA-OKTA)
Redistribute Profile: 組織の設定に基づいて値を設定します (例: 14 日)
Subject: サブジェクト名テンプレートを追加します
サブジェクト名の例: CN=$SERIALNUMBER ODA $PROFILE_IDENTIFIER
Challenge Type: Dynamic-Microsoft CA
Key size: 2048
Check Use as digital signature.
Uncheck Allow export from keychain.
Check Allow all apps access.
Save をクリックします。

Jamf Pro で Platform SSO の PreStage Enrollment を作成する

Jamf Pro で Computers > PreStage Enrollments に移動します。
新しい PreStage Enrollment を作成します。General セクションで組織の優先設定を設定します。
Enrollment Requirements で Enable Simplified Setup for Platform Single Sign-on (macOS 26 or later) オプションをチェックします。
Minimum required macOS version を 26.0 に変更します。
Platform Single Sign-on App Bundle ID を com.okta.mobile に設定します。
Configuration Profiles で PSSO プロファイルと SCEP プロファイルが含まれていることを確認します。
Enrollment Packages に Okta Verify インストーラー (バージョン 9.52 以降) を含めます。
Save をクリックします。