Platform SSO (PSSO)

Relution permet de configurer les appareils macOS de manière à ce que les utilisateurs puissent se connecter directement à la fenêtre de connexion avec leur compte Microsoft Entra ID (Platform Single Sign-On). Lors de la première connexion, un compte utilisateur local est créé et associé à l’identité Entra ID.

Prérequis #

• macOS 13 (Ventura) ou une version ultérieure pour Extensible SSO, macOS 15 (Sequoia) ou une version ultérieure pour les politiques de connexion, de déverrouillage et FileVault, les délais de grâce et les comptes SSO hors plate-forme, macOS 26 (Tahoe) pour l’enregistrement via l’assistant de configuration et le mode invité authentifié. Microsoft recommande au moins macOS 14 (Sonoma).
• Mac avec Apple Silicon, si la méthode recommandée clé Secure Enclave est utilisée (voir Choisir la méthode d’authentification →). Sur les Mac Intel, seule la méthode Mot de passe est possible.
• Locataire (tenant) Microsoft Entra ID
• Autorisation d’enregistrement des appareils dans Microsoft Entra ID pour les utilisateurs
• Microsoft Company Portal pour Mac doit être disponible en tant qu’application et installé avant que les utilisateurs ne soient adressés pour PSSO. Pour l’enregistrement pendant l’assistant de configuration (macOS 26+), la version 5.2604.0 (avril 2026) est requise. La version actuelle est toujours recommandée – elle satisfait aux deux exigences.
• Accès réseau aux URLs de connexion Microsoft/Apple (voir Section Général →). Ces URLs doivent être accessibles et exclues de toute inspection TLS, sinon l’enregistrement échoue.

Platform SSO en soi ne nécessite pas que Relution soit connecté à Microsoft Entra ID ; la configuration fonctionne sans cette connexion. Celle-ci n’est requise que si des utilisateurs doivent en plus être synchronisés depuis Entra ID ou si Conditional Access → est utilisé : Connecter Relution à Entra ID →. Conditional Access requiert en outre OIDC →.

Préparation dans Microsoft Entra ID #

Avant de déployer la configuration dans Relution, les points suivants doivent être vérifiés dans le Centre d’administration Microsoft Entra :

• Paramètres des appareils : sous Identité → Appareils → Paramètres des appareils, Les utilisateurs peuvent joindre des appareils à Microsoft Entra ID doit être défini sur Tous (ou sur le groupe cible concerné).
• Authentification multifacteur : si la MFA classique par utilisateur est activée sur le compte, l’enregistrement PSSO peut échouer. Conditional Access est alors utilisé pour l’exigence MFA.
• Complexité du mot de passe : avec la méthode Mot de passe, les exigences de complexité du compte local et d’Entra ID doivent correspondre pour que la synchronisation fonctionne.

Téléverser l’application Company Portal #

1. La version actuelle de Microsoft Company Portal pour Mac (.pkg) est téléchargée depuis Microsoft →, puis téléversée dans Relution en tant qu’application native : dans le menu Apps → App Store, Ajouter permet de sélectionner Appli native (voir Applications macOS natives →).
2. L’application doit être publiée pour le groupe cible ou l’organisation.

Attribuer le groupe d’appareils et les politiques #

1. Un groupe d’appareils est créé pour les Mac sur lesquels PSSO doit être déployé.
2. Dans la section Politiques du groupe d’appareils, une politique macOS contenant les deux configurations suivantes est attribuée via Ajouter (une politique commune ou deux politiques distinctes) :
   • Authentification unique extensible (voir Configuration de la politique Authentification unique extensible →)
   • Conformité App : sous Apps requises, l’application Company Portal téléversée est ajoutée via Ajouter. Si la case de la colonne Installation automatique est cochée (par défaut lors de l’ajout), Relution installe l’application automatiquement. Sans installation automatique, l’appareil est seulement signalé comme non conforme si l’application manque.
3. Les configurations ne parviennent aux appareils qu’une fois la politique publiée.

Choisir la méthode d’authentification #

La méthode d’authentification détermine comment les utilisateurs se connectent à l’appareil et aux applications. C’est la décision la plus importante lors de la configuration ; elle se définit dans la Section Plate-forme SSO → de la configuration.

Recommandation : pour les Mac professionnels personnalisés (Apple Silicon), la méthode clé Secure Enclave est recommandée – elle est sans mot de passe, liée au matériel et satisfait à la MFA résistante au hameçonnage. Pour les appareils Intel ou partagés, Mot de passe est à privilégier.

Configuration de la politique Authentification unique extensible #

La configuration Authentification unique extensible (libellé du portail : Signature unique extensible) est ajoutée dans une politique pour macOS.

Section Général #

Les champs obligatoires sont Identificateur d’extension, Identifiant de l’équipe et, pour le type Redirection, URL. Avec le type Informations d’identification, le champ Hôtes apparaît à la place de URL.

Section Plate-forme SSO #

Avec la méthode Mot de passe, le portail affiche en plus Politique de connexion, Politique de déverrouillage et Politique de FileVault. Chacune de ces politiques propose les options Tentative d’authentification, Exiger l’authentification, Autoriser un délai de grâce hors ligne et Autoriser un délai de grâce pour l’authentification ; Politique de déverrouillage propose en outre Autoriser le déverrouillage par Touch ID ou par la montre. Les champs Délai de grâce hors ligne et Délai de grâce de l’authentification (prérenseignés avec 0) ne sont modifiables que si l’option correspondante Autoriser un délai de grâce hors ligne ou Autoriser un délai de grâce pour l’authentification est sélectionnée dans au moins une des trois politiques. Avec les méthodes Carte à puce et Clé d’enclave sécurisée de l’utilisateur, ces champs ne sont ni affichés ni transmis.

La capture d’écran montre à titre d’exemple la méthode Mot de passe. Avec clé Secure Enclave (recommandée, voir tableau), le portail masque Politique de connexion, Politique de déverrouillage, Politique de FileVault ainsi que les deux délais de grâce ; le reste de la configuration est identique.

Configuration complémentaire #

• Une politique attribuée au groupe d’appareils doit également contenir la configuration Conformité App pour Company Portal, afin que l’extension soit déjà disponible au moment de l’enregistrement.
• Pour l’Inscription automatisée des appareils (ADE, DEP dans le portail), il est recommandé d’attribuer le groupe d’appareils contenant les configurations PSSO dès l’inscription automatique (Appareils → Inscriptions automatiques, dans l’entrée de l’appareil, section Groupes d’appareils → Groupes d’appareils statiques), afin que l’enregistrement puisse s’effectuer pendant l’assistant de configuration (macOS 26+).

Clés d’appareil partagées et création de compte #

Utiliser des clés d’appareil partagées doit être ACTIVÉ, car dans ce flux les comptes locaux sont créés par provisionnement juste-à-temps (commutateurs Activer l’autorisation et Activer la création d’un utilisateur lors de la connexion). Sans clés d’appareil partagées, des clés liées à l’utilisateur seraient nécessaires – mais celles-ci ne peuvent pas être générées tant que le compte utilisateur n’existe pas encore (problème de l’œuf et de la poule).

Choix de la méthode selon le type d’appareil :

• Appareil personnalisé (recommandé) : méthode clé Secure Enclave – sans mot de passe, liée au matériel, Touch ID.
• Appareil partagé / multi-utilisateur (par ex. salle de classe, travail en équipes) : méthode Mot de passe, car les utilisateurs changeants n’ont pas d’identifiants sans mot de passe préconfigurés. Ces appareils sont enregistrés sans affinité utilisateur ; Conditional Access n’est pas pris en charge sur les Mac partagés.

Autoriser les éléments en arrière-plan pour Microsoft AutoUpdate #

À partir de macOS Ventura, les processus en arrière-plan comme Microsoft AutoUpdate (MAU) sont bloqués par défaut, ou les utilisateurs reçoivent une notification Élément en arrière-plan ajouté qu’ils doivent confirmer manuellement. Sans cette autorisation, MAU ne peut pas se mettre à jour automatiquement en arrière-plan – cela concerne également Company Portal, dont les mises à jour passent par MAU.

Les éléments en arrière-plan peuvent être autorisés à l’avance au moyen d’un profil contenant la charge utile com.apple.servicemanagement (éléments de connexion gérés), par exemple avec une règle pour l’identifiant d’équipe de Microsoft (UBF8T346G9). Relution ne propose pas de configuration dédiée à cette charge utile ; un tel profil peut toutefois être distribué sous forme de fichier .mobileconfig via la Configuration d’Apple Configurator 2 (voir Configuration d’Apple Configurator 2 →).

La configuration Relution Eléments de connexion ne convient pas à cet usage : elle définit les applications lancées automatiquement à l’ouverture de session, mais n’autorise pas les éléments en arrière-plan.

Enregistrement par les utilisateurs finaux #

Une fois la configuration parvenue à l’appareil et l’application Company Portal installée, le premier enregistrement se déroule ainsi :

1. La notification Enregistrement requis (Registration Required) apparaît sur l’appareil. Elle peut également être déclenchée via les Réglages Système.

2. Immédiatement après la première connexion, la boîte de dialogue Authentification globale pour le Mac s’ouvre avec l’option Enregistrer le compte. L’enregistrement se poursuit via Continuer (il apparaît de la même manière pour les méthodes Mot de passe et clé Secure Enclave).

   

3. Les utilisateurs se connectent avec leur compte Microsoft Entra ID et confirment la MFA si nécessaire (par ex. via Microsoft Authenticator).

4. Le compte utilisateur local est associé à l’identité Entra ID. À partir de ce moment, l’authentification unique s’applique aux applications et navigateurs utilisant Entra ID.

Autoriser le remplissage automatique par clé d’accès pour Company Portal #

Après la première connexion, un message Allow Company Portal to autofill to use your passkey apparaît. Pour que la connexion par clé d’accès (Platform Credential, en particulier avec la méthode clé Secure Enclave) fonctionne, les utilisateurs doivent activer une seule fois le remplissage automatique pour Company Portal :

1. Les Réglages Système s’ouvrent via Open System Settings (ou manuellement).
2. Général → Remplissage automatique et mots de passe y est ensuite ouvert.
3. Sous Remplissage automatique depuis, le commutateur pour Company Portal est activé.

Vérification #

Voici comment vérifier si l’enregistrement a réussi :

• Sur l’appareil (Terminal) : app-sso platform -s affiche le statut d’enregistrement de l’extension Platform SSO.
• Dans Microsoft Entra : sous Appareils, l’appareil apparaît comme enregistré/associé.
• Company Portal : le statut de l’appareil est affiché comme conforme/enregistré.

Erreurs possibles #

• L’invite d’enregistrement n’apparaît pas → il convient de vérifier que Company Portal (version 5.2404.0+) est installé et que la conformité App a déjà été évaluée.
• La connexion échoue → l’identifiant de l’équipe, l’identificateur d’extension et les URLs sont à vérifier (fautes de frappe) ; les URLs doivent être exclues de l’inspection TLS.
• L’enregistrement échoue lors de la MFA → la MFA par utilisateur est désactivée sur le compte et Conditional Access est utilisé à la place.
• Secure Enclave non disponible → concerne les Mac Intel ; la méthode Mot de passe y est utilisée.
• Boucle de connexion ou Connexion impossible – l’enregistrement a échoué → en cas d’enregistrement dans l’assistant de configuration (macOS 26+), Activer la création du premier utilisateur pendant l’Assistant de configuration doit être ACTIVÉ – quelle que soit la méthode. Si le commutateur est désactivé, aucun compte local n’est créé : avec Secure Enclave, une boucle de connexion se produit ; avec Mot de passe, le message L’enregistrement a échoué apparaît.

Pour d’autres problèmes connus et conseils de diagnostic, voir : documentation Microsoft →