Platform SSO (PSSO)

Mit Relution ist es möglich, macOS Geräte so zu konfigurieren, dass sich Nutzer:innen mit ihrem Microsoft Entra ID Konto direkt am Anmeldefenster anmelden können (Platform Single Sign-On). Dabei wird bei der ersten Anmeldung ein lokales Benutzerkonto erstellt, das mit der Entra ID Identität verknüpft ist.

Voraussetzung #

• macOS 13 (Ventura) oder höher für Extensible SSO, macOS 15 (Sequoia) oder höher für die meisten Platform-SSO-Parameter, macOS 26 (Tahoe) für Setup-Assistent-Registrierung und authentifizierten Gastmodus. Microsoft empfiehlt mindestens macOS 14 (Sonoma).
• Mac mit Apple Silicon, wenn die empfohlene Methode Secure-Enclave-Schlüssel verwendet wird (siehe Authentifizierungsmethode wählen). Auf Intel-Macs ist nur die Methode Passwort möglich.
• Microsoft Entra ID Tenant
• In Relution muss die Microsoft Entra-ID Anbindung eingerichtet sein: Relution mit Entra ID verknüpft wurde →.
• Berechtigung zur Geräte-Registrierung in Microsoft Entra ID für die Nutzer:innen
• Microsoft Company Portal für Mac muss als App verfügbar sein und installiert werden, bevor die Nutzer:innen für PSSO adressiert werden. Für die Registrierung während des Setup-Assistenten (macOS 26+) wird 5.2604.0 (April 2026) benötigt. Laden Sie am besten immer die aktuelle Version herunter – sie erfüllt beide Anforderungen.
• Netzwerkzugriff auf die Microsoft-/Apple-Anmelde-URLs (siehe Schritt 3). Diese URLs müssen erreichbar und von einer eventuellen TLS-Inspection ausgenommen sein, sonst schlägt die Registrierung fehl.

Vorbereitung in Microsoft Entra ID #

Bevor die Konfiguration in Relution ausgerollt wird, sollten folgende Punkte im Microsoft Entra Admin Center geprüft werden:

• Geräteeinstellungen: Unter Identität → Geräte → Geräteeinstellungen muss „Benutzer dürfen Geräte mit Microsoft Entra ID verknüpfen" auf Alle (oder auf die betroffene Zielgruppe) gesetzt sein.
• Multifaktor-Authentifizierung: Ist auf dem Konto klassische Per-User-MFA aktiviert, kann die PSSO-Registrierung fehlschlagen. Verwenden Sie stattdessen Conditional Access für die MFA-Anforderung.
• Passwortkomplexität: Bei der Methode Passwort müssen die Komplexitätsanforderungen von lokalem Konto und Entra ID übereinstimmen, damit die Synchronisierung funktioniert.

Schritt 1: Company Portal App hochladen #

1. Laden Sie die aktuelle Version von Microsoft Company Portal für Mac (.pkg) bei Microsoft herunter → und anschließend unter Apps → Native Apps in Relution als native App hoch.
2. Achten Sie darauf, dass die App für die Zielgruppe/Organisation freigegeben bzw. zugewiesen ist.

Die Company Portal App enthält die SSO-Extension com.microsoft.CompanyPortalMac.ssoextension, die für Platform SSO benötigt wird. Sie muss mindestens in Version 5.2404.0 vorliegen (für die Setup-Assistent-Registrierung unter macOS 26+: 5.2604.0).

Hinweis zu den Versionsnummern: Company Portal führt zwei Versionsangaben. Die „Über diese App"-Version folgt dem Schema 5.JJMM.x (z. B. 5.2604.0 = April 2026), während die im Paket bzw. per pkgutil sichtbare Build-Nummer anders aussieht – z. B. 4.83.26040910, wobei 260409 das Build-Datum (2026-04-09) ist. Beide bezeichnen dieselbe Version; ein Build aus 2026 erfüllt die PSSO-Anforderung problemlos.

Schritt 2: Gerätegruppe und Richtlinien zuweisen #

1. Legen Sie eine Gerätegruppe für die Mac-Geräte an, auf denen PSSO ausgerollt werden soll.
2. Weisen Sie dieser Gerätegruppe zwei Konfigurationen zu:
   • Erweiterbares Single Sign On (Konfiguration aus Schritt 3)
   • App Konformität, damit sichergestellt ist, dass die Company Portal App auf dem Gerät installiert ist, bevor PSSO aktiv wird

Ohne installierte Company Portal App kann sich die SSO-Extension nicht registrieren – die App-Konformitätsprüfung verhindert, dass die PSSO-Konfiguration ins Leere läuft.

Authentifizierungsmethode wählen #

Die Authentifizierungsmethode bestimmt, wie sich die Nutzer:innen am Gerät und an den Apps anmelden. Sie ist die wichtigste Entscheidung bei der Einrichtung und wird in Schritt 3 im Bereich „Platform SSO" gesetzt.

Empfehlung: Für personalisierte Firmen-Macs (Apple Silicon) die Methode Secure-Enclave-Schlüssel verwenden – sie ist passwortlos, hardwaregebunden und erfüllt phishing-resistente MFA. Für Intel-Geräte oder geteilte Geräte auf Passwort ausweichen.

Wichtig: Smart Card wird während des Setup-Assistenten nicht unterstützt.

Registrierung im Setup-Assistenten (macOS 26+): Wird PSSO bereits im Einrichtungsassistenten registriert (Registrierung während des Einrichtungsassistenten aktivieren = AN), muss auch „Erstellen des ersten Benutzers während des Einrichtungsassistenten aktivieren" auf AN stehen – unabhängig von der gewählten Methode. Andernfalls wird beim Setup kein lokales Konto angelegt und die Registrierung schlägt fehl (praktisch bestätigt):

• Methode Secure-Enclave-Schlüssel: die Anmeldung landet in einem Login-Loop.
• Methode Passwort: es erscheint „Anmelden nicht möglich – Registrierung fehlgeschlagen".

Steht der Toggle auf AN, wird das erste lokale Konto über PSSO erstellt und die Anmeldung läuft in beiden Fällen durch.

Schritt 3: Konfiguration der Richtlinie “Erweiterbares Single Sign On” #

Fügen Sie in einer Richtlinie für macOS die Konfiguration Erweiterbares Single Sign On hinzu.

Bereich “Allgemein” #

Registrierungs-Token: Für Microsoft Entra ID wird im Extensible-SSO-Payload kein Registrierungs-Token benötigt; das Feld bleibt leer. (Das Feld ist für andere IdP-/Kerberos-Szenarien vorgesehen.)

URLs / TLS: Die drei Anmelde-URLs müssen im Netzwerk erreichbar und von einer TLS-Inspection ausgenommen sein.

Bereich “Platform SSO” #

Die mit macOS 26+ markierten Felder wirken nur auf Geräten mit macOS Tahoe 26 oder neuer und setzen voraus, dass die Registrierung bereits während des Einrichtungsassistenten (Setup Assistant) erfolgt.

Der Screenshot zeigt beispielhaft die Methode Passwort. Für Secure-Enclave-Schlüssel (empfohlen, siehe Tabelle) ist die Konfiguration identisch – lediglich das Feld „Methode der Authentifizierung" unterscheidet sich.

Weitere Konfiguration #

• Stellen Sie sicher, dass die Gerätegruppe zusätzlich die App-Konformität für Company Portal enthält (siehe Schritt 2), damit die Extension zum Registrierungszeitpunkt bereits verfügbar ist.
• Für automatisierte Ausrollung (DEP/ADE) empfiehlt es sich, die Richtlinie bereits im DEP-Profil zuzuweisen, damit die Registrierung im Einrichtungsassistenten greifen kann (macOS 26+).

Shared Device-Schlüssel und Kontoerstellung #

„Shared Device-Schlüssel verwenden" muss AN sein, weil in diesem Ablauf die lokalen Konten per Just-in-Time-Provisioning angelegt werden (Toggles Autorisierung einschalten und Benutzer bei der Anmeldung erstellen aktivieren). Ohne Shared Device-Schlüssel würden benutzergebundene Schlüssel benötigt – die sich aber nicht erzeugen lassen, solange das Benutzerkonto noch gar nicht existiert (Henne-Ei-Problem). Die Registrierung schlägt dann fehl (praktisch bestätigt).

Bleibt „Shared Device-Schlüssel verwenden" auf AUS, während „Benutzer bei der Anmeldung erstellen aktivieren" AN ist, kann die Registrierung nicht abgeschlossen werden.

Methodenwahl je Gerätetyp:

• Personalisiertes Gerät (empfohlen): Methode Secure-Enclave-Schlüssel – passwortlos, hardwaregebunden, Touch ID.
• Geteiltes / Multi-User-Gerät (z. B. Klassenraum, Schichtbetrieb): Methode Passwort, da wechselnde Nutzer:innen ohne vorab eingerichtete passwortlose Anmeldedaten auskommen. Solche Geräte ohne Benutzeraffinität registrieren; Conditional Access wird auf geteilten Macs nicht unterstützt.

Login Items / Hintergrundaufgabenverwaltung für Microsoft AutoUpdate #

Ab macOS Ventura werden Hintergrundprozesse wie Microsoft AutoUpdate (MAU) standardmäßig blockiert bzw. der/die Nutzer:in erhält eine Benachrichtigung “Hintergrundobjekt hinzugefügt” und muss das manuell bestätigen. Ohne diese Freigabe kann MAU nicht automatisch im Hintergrund aktualisieren – das betrifft auch Company Portal, da dessen Updates über MAU laufen.

Fügen Sie daher zusätzlich die Konfiguration Login Items (bzw. Anmeldeobjekte) hinzu und tragen Sie über Hinzufügen den folgenden Pfad ein (nur den Pfad, ohne Team Kennung):

Ohne diese Freigabe erscheinen bei den Nutzer:innen wiederholt Systembenachrichtigungen zu neuen Hintergrundobjekten, und MAU aktualisiert die SSO-relevanten Komponenten ggf. nicht zuverlässig automatisch.

Registrierung durch die Endnutzer:innen #

Nachdem die Konfiguration auf dem Gerät angekommen und die Company Portal App installiert ist, läuft die Erstregistrierung so ab:

1. Am Gerät erscheint die Benachrichtigung „Registrierung erforderlich" (Registration Required). Alternativ kann sie über die Systemeinstellungen ausgelöst werden.

2. Direkt nach der ersten Anmeldung öffnet sich der Dialog „Gesamtauthentifizierung für den Mac" mit dem Punkt „Account registrieren". Auf Fortfahren klicken (die Registrierung erscheint bei den Methoden Passwort und Secure-Enclave-Schlüssel gleichermaßen).

   

3. Die Nutzer:innen melden sich mit ihrem Microsoft Entra ID Konto an und bestätigen bei Bedarf die MFA (z. B. über Microsoft Authenticator).

4. Das lokale Benutzerkonto wird mit der Entra ID Identität verknüpft. Ab jetzt greift Single Sign-On für Apps und Browser, die Entra ID nutzen.

Passkey-Autofill für Company Portal freigeben #

Nach der ersten Anmeldung erscheint ein Hinweis „Allow Company Portal to autofill to use your passkey". Damit die Anmeldung per Passkey (Platform Credential, insbesondere bei Methode Secure-Enclave-Schlüssel) funktioniert, müssen die Nutzer:innen das automatische Ausfüllen für Company Portal einmalig aktivieren:

1. Auf Open System Settings klicken (oder Systemeinstellungen manuell öffnen).
2. Zu Allgemein → AutoFill & Passwörter navigieren.
3. Unter AutoFill von den Schalter für Company Portal aktivieren.

Ohne diese Freigabe kann Company Portal den Passkey nicht zum Anmelden anbieten; die passwortlose Anmeldung schlägt dann fehl bzw. der Hinweis erscheint wiederholt.

Bei der Methode Secure-Enclave-Schlüssel bleibt das lokale Passwort unverändert; nach einem Neustart ist zunächst das lokale Passwort für die FileVault-Entsperrung nötig, danach kann Touch ID verwendet werden.

Verifizierung #

So lässt sich prüfen, ob die Registrierung erfolgreich war:

• Auf dem Gerät (Terminal): app-sso platform -s zeigt den Registrierungsstatus der Platform-SSO-Extension.
• In Microsoft Entra: Unter Geräte erscheint das Gerät als registriert/verknüpft.
• Company Portal: Der Gerätestatus wird als konform/registriert angezeigt.

Mögliche Fehler #

• Registrierungsprompt erscheint nicht → prüfen, ob Company Portal (Version 5.2404.0+) installiert und die App-Konformitätsrichtlinie bereits ausgewertet wurde.
• Anmeldung schlägt fehl → Team Kennung, Kennung der Erweiterung und URLs auf Tippfehler prüfen; sicherstellen, dass die URLs von der TLS-Inspection ausgenommen sind.
• Registrierung bricht bei der MFA ab → klassische Per-User-MFA auf dem Konto deaktivieren und stattdessen Conditional Access verwenden.
• „Secure Enclave" nicht verfügbar → betrifft Intel-Macs; dort die Methode Passwort verwenden.
• Login-Loop bzw. „Anmelden nicht möglich – Registrierung fehlgeschlagen" → bei Registrierung im Setup-Assistenten (macOS 26+) muss „Erstellen des ersten Benutzers während des Einrichtungsassistenten aktivieren" auf AN stehen – unabhängig von der Methode. Steht der Toggle auf AUS, wird kein lokales Konto angelegt: mit Secure Enclave entsteht ein Login-Loop, mit Passwort die Meldung „Registrierung fehlgeschlagen".

Weitere bekannte Probleme und Diagnosehinweise: siehe Microsofts Dokumentation „macOS Platform single sign-on known issues and troubleshooting".