PSSO pour macOS : compatibilité des versions et fonctionnalités

macOS 26 TAHOE

• La version la plus simple et la plus rationnelle du modèle de déploiement PSSO  2.0 avec authentification par identifiant.

• Le flux de déploiement sans manipulation via l'assistant de configuration Apple est l'expérience utilisateur principale et attendue pour les inscriptions de nouveaux appareils dans le cadre du processus Inscription automatisée d’appareils.

• Vos appareils doivent avoir Okta Verify pour la version 9.52 macOS ou ultérieure.

macOS 15 Sequioa

• Les paramètres de la politique MDM incluent des clés de charge utile pour prendre en charge les politiques d'authentification et de période de grâce. Ces derniers contrôlent le comportement PSSO dans différents contextes d'authentification, tels que le déverrouillage d'écran, la connexion initiale de l'utilisateur et FileVault. Consultez Politiques d'authentification et Politiques de période de grâce.

• Pour l'enregistrement SSO sur la plateforme d'un utilisateur sous macOS 15.4 et versions ultérieures, l'utilisateur doit être géré par MDM.

• Pour appliquer ou tenter une synchronisation de mot de passe dans la fenêtre FileVault, connectez l'ordinateur à un réseau connu. Consultez Exigences relatives au réseau FileVault.

macOS 14 Sonoma

• Changement d'architecture vers une implémentation moderne, basée sur l'identité PSSO 2.0.

• Prend en charge l'enregistrement PSSO directement dans l'assistant de configuration Apple.

• Prend en charge la création de comptes locaux juste-à-temps depuis la fenêtre de connexion macOS.

• Permet à un utilisateur d'utiliser son nouveau mot de passe Okta directement dans la fenêtre de connexion macOS.

• Présente la technologie pour une expérience de déverrouillage d'appareil sans mot de passe à l’aide de Apple Enclave sécurisée.

macOS 13 Ventura

• Les utilisateurs peuvent lancer l'enrôlement uniquement après s'être connectés à un compte local préexistant.

• Les comptes locaux doivent être créés manuellement avant de pouvoir activer PSSO.

• Vous ne pouvez pas intégrer le flux PSSO dans le processus de configuration initiale de l'appareil.

RequireAuthentication

Cette politique requiert une authentification Okta réussie avant d'accorder l'accès à l'utilisateur. L'accès est refusé à l'utilisateur si l'authentification Okta n'aboutit pas, pour quelque raison que ce soit.

Si le serveur Okta est inaccessible en raison de problèmes de connectivité Internet, l'utilisateur n'a pas accès. Définissez l'indicateur AllowOfflineGracePeriod pour éviter ce problème.

Cette politique s'applique aux comptes macOS locaux non enregistrés. À moins que ces comptes ne soient inclus dans le groupe NonPlatformSSOAccounts ou que la politique AuthenticationGracePeriod soit active, les utilisateurs se voient refuser l'accès. La politique prend effet lorsque l'enregistrement commence.

Si l'enregistrement échoue et que les utilisateurs se déconnectent ou verrouillent leur appareil, ils sont exclus, sauf si vous configurez une période de grâce.

AttemptAuthentication

Cette politique tente d'appliquer l'authentification par Okta avant d'accorder l'accès à l'utilisateur. Si l'authentification Okta échoue en raison d'un mot de passe incorrect, l'accès est refusé.

Si l'authentification Okta échoue pour une autre raison, le mot de passe est vérifié localement.

Voici quelques exemples d'échecs d'authentification :

• Le serveur n'est pas joignable.

• Le mot de passe a expiré.

• Le statut de l'utilisateur ou de l'appareil n'est pas valide.

• L'utilisateur n'a pas été affecté à l'application.

Aucun

Si vous n'avez pas défini la politique RequireAuthentication ou AttemptAuthentication, le framework revient au comportement par défaut et le mot de passe est vérifié localement.

Si la fonction correspond, l'utilisateur se voit accorder l'accès.

Si le mot de passe local ne correspond pas, il est comparé à Okta.

AllowOfflineGracePeriod

Autorise l'authentification hors ligne après validation du mot de passe en local et requiert d'activer OfflineGracePeriod.

Si l'appareil est en ligne, alors AllowOfflineGracePeriod est ignorée et le comportement est déterminé par les politiques d'authentification configurées dans la section précédente. Voir Politiques d'authentification.

Cette politique est similaire à la politique LoginPeriodWithOfflineFactor Desktop MFA.

OfflineGracePeriod

Durée pendant laquelle l'utilisateur peut utiliser le mot de passe du compte local hors ligne après une authentification Okta réussie.

Cette valeur s'exprime en secondes.

AllowAuthenticationGracePeriod

Permet aux utilisateurs de déverrouiller leur compte macOS local non inscrit en validant le mot de passe localement. Cette politique requiert d'activer AuthenticationGracePeriod.

Cette politique est similaire à la politique LoginPeriodWithoutEnrolledFactor Desktop MFA.

AuthenticationGracePeriod

Durée pendant laquelle les comptes locaux non enregistrés peuvent déverrouiller ou se connecter à l'ordinateur après le déclenchement de FileVaultPolicy, LoginPolicy, ou UnlockPolicy.

Le compte à rebours commence lorsque l'utilisateur commence le processus d'enregistrement, qu'il ait ou non réussi.

Cette valeur s'exprime en secondes.