macOS向けPSSO：バージョンの互換性と機能

macOS 26 Tahoe

• アイデンティティを優先したPSSO 2.0デプロイメントモデルの最も洗練され合理化されたバージョン。

• Appleセットアップアシスタントを介したゼロタッチデプロイメントフローは、自動デバイス登録プロセスの一部としての新規デバイス登録で想定されるプライマリユーザーエクスペリエンスです。

• デバイスにmacOS用のOkta Verifyバージョン9.52以降がインストールされている。

macOS 15 Sequoia

• MDMポリシー設定には、認証と猶予期間ポリシーをサポートするペイロードキーが含まれます。これらのキーは、画面ロック解除、ユーザーの初回サインイン、FileVaultなど、さまざまな認証コンテキストに対応したPSSOの動作を制御します。「認証ポリシー」および「猶予期間ポリシー」を参照してください。

• macOS 15.4以降でプラットフォームSSOユーザー登録を実行するには、ユーザーはMDM管理対象ユーザーである必要があります。

• FileVaultウィンドウでパスワード同期を強制または試行するには、コンピューターを既知のネットワークに接続します。FileVaultネットワークの要件を参照してください。

macOS 14 Sonoma

• モダンなID優先のPSSO 2.0実装へのアーキテクチャの移行。

• Appleセットアップアシスタント内で直接、PSSO登録をサポートします。

• macOSログインウィンドウからのジャストインタイムローカルアカウント作成をサポートします。

• ユーザーがmacOSログインウィンドウで新しいOktaパスワードを直接使用できるようにします。

• Apple Secure Enclaveを使用したパスワードレスデバイスロック解除エクスペリエンスのテクノロジーが導入されました。

macOS 13 Ventura

• ユーザーは、既存のローカルアカウントにサインインした後にのみ登録を開始できます。

• PSSOを有効にする前に、ローカルアカウントを手動で作成する必要があります。

• PSSOフローを初期デバイスセットアッププロセスに統合することはできません。

RequireAuthentication

このポリシーでは、ユーザーにアクセスを付与する前にOkta認証が成功している必要があります。何らかの理由でOkta認証が成功しなかった場合、ユーザーのアクセスは拒否されます。

インターネット接続の問題によりOktaサーバーにアクセスできない場合、ユーザーはロックアウトされます。この問題を回避するには、AllowOfflineGracePeriodフラグを設定します。

このポリシーは、未登録のローカルmacOSアカウントに適用されます。これらのアカウントがNonPlatformSSOAccountsグループに含まれているか、AuthenticationGracePeriodポリシーがアクティブでない限り、ユーザーはアクセスを拒否されます。このポリシーは登録が開始されると有効になります。

登録に失敗し、ユーザーがサインんアウトするかデバイスをロックすると、猶予期間を設定しない限り、ユーザーはロックアウトされます。

AttemptAuthentication

このポリシーは、ユーザーにアクセスを付与する前にOktaで認証を試みます。パスワードが間違っているためにOkta認証が失敗した場合、アクセスは拒否されます。

Oktaの認証が別の理由で失敗した場合は、パスワードがローカルで検証されます。

認証失敗には次のような例が挙げられます。

• サーバーにアクセスできない。

• パスワードの有効期限が切れている。

• ユーザーまたはデバイスのステータスが無効である。

• ユーザーにアプリが割り当てられていない。

なし

RequireAuthenticationまたはAttemptAuthenticationポリシーのいずれかを設定しなかった場合は、フレームワークがデフォルトの動作に戻り、パスワードがローカルで確認されます。

一致した場合、ユーザーにアクセスが付与されます。

ローカルパスワードが一致しない場合は、Oktaと照合されます。

AllowOfflineGracePeriod

パスワードをローカルで検証した後にオフライン認証を許可し、OfflineGracePeriodの設定を要求します。

デバイスがオンラインの場合、AllowOfflineGracePeriodは迂回され、前のセクションで構成された認証ポリシーによって動作が決定されます。「認証ポリシー」を参照してください。

このポリシーはLoginPeriodWithOfflineFactor Desktop MFAポリシーに似ています。

OfflineGracePeriod

Okta認証が成功した後、ローカルアカウントのパスワードをオフラインで使用できる期間。

値は秒単位です。

AllowAuthenticationGracePeriod

ユーザーはパスワードをローカルで検証して、未登録のローカルmacOSアカウントをロック解除することができます。このポリシーはAuthenticationGracePeriodの設定を要求します。

このポリシーはLoginPeriodWithoutEnrolledFactor Desktop MFAポリシーに似ています。

AuthenticationGracePeriod

FileVaultPolicy、LoginPolicy、またはUnlockPolicyがトリガーされた後、未登録のローカルアカウントがロック解除される、またはコンピューターにサインインできる期間。

登録が成功したかどうかに関係なく、ユーザーが登録プロセスを開始するとタイマーのカウントダウンが始まります。

値は秒単位です。