تسجيل الدخول الموحد للنظام الأساسي على macOS

نظرة عامة

تتيح لك ميزة تسجيل الدخول الموحد على النظام الأساسي (Platform SSO) - أو لمطور إدارة الهوية - إنشاء ملحقات لتسجيل الدخول الموحد تسمح للمستخدمين بالمصادقة باستخدام حساب مزود خدمة بطاقة الهوية (IdP) الخاص بمؤسستك على Mac أثناء استخدام مساعد الإعداد. يمكن دمج تسجيل الدخول الموحد على النظام الأساسي مع ملحقات تسجيل الدخول الموحد الأخرى مع مراعاة ما يلي:

• يمكن التعامل مع نطاق محدد بواسطة ملحق SSO واحد فقط.

• يجب تعيين syncLocalPassword على false في تكوين Kerberos SSO.

الميزات

يدعم تسجيل الدخول الموحد على النظام الأساسي الميزات التالية:

• تنشيط وتنفيذ تسجيل الدخول الموحد على النظام الأساسي أثناء التسجيل التلقائي للأجهزة بهدف المصادقة على التسجيل، وتسجيل الدخول باستخدام حساب Apple المُدار، وإنشاء مستخدم محلي.

• توفير تجربة تسجيل دخول موحد للتطبيقات الأصلية وتطبيقات الويب.

• عرض حالة تسجيل الدخول الموحد على النظام الأساسي وتفاصيل التسجيل في إعدادات النظام.

• مزامنة كلمات سر حسابات المستخدمين المحلية مع مزود خدمة بطاقة الهوية، وتعريف سياسات تسجيل الدخول.

• تعريف أذونات المجموعة لحسابات مزود الهوية والسماح للأشخاص باستخدام حسابات مزود الهوية الخاصة بالشبكة فقط في مطالبات التخويل.

• إنشاء حسابات مستخدم محلية عند الطلب عند تسجيل الدخول باستخدام بيانات اعتماد من حساب مزود خدمة بطاقة الهوية.

• دعم المستخدمين الضيوف الذين يسجلون الدخول مؤقتًا باستخدام بيانات اعتماد مزود خدمة بطاقة الهوية على أجهزة كمبيوتر Mac المشتركة.

المتطلبات

• كمبيوتر Mac مزود برقاقات Apple أو Mac مستند إلى Intel مع بصمة الإصبع

• خدمة إدارة الأجهزة التي تدعم تكوين تسجيل الدخول الموحد القابل للتجديد، حيث تتضمن إعدادات تسجيل الدخول الموحد على النظام الأساسي

• تطبيق يحتوي على ملحق تسجيل الدخول الموحد على النظام الأساسي متوافق مع مزودة خدمة بطاقة الهوية

• ‏macOS 13 أو أحدث

تتطلب الميزات التالية متطلبات إصدار إضافية:

إعداد تسجيل الدخول الموحد على النظام الأساسي

لاستخدام تسجيل الدخول الموحد على النظام الأساسي، يجب على Mac وكل مستخدم التسجيل لدى مزود خدمة بطاقة الهوية. بناءً على دعم مزود خدمة بطاقة الهوية والتكوين المطبق، يمكن لـ Mac تنفيذ تسجيل الجهاز بصمت في الخلفية باستخدام:

• رمز تسجيل مزود خدمة بطاقة الهوية (IdP) المقدم في تكوين تسجيل SSO القابل للتوسيع

• شهادة، تقدم ضمانًا قويًا بأن Mac هو جهاز Apple أصلي ويمكن أن تتضمن معرِّفات الجهاز (UDID ورقم التسلسل) اختياريًا.

لضمان الحفاظ على اتصال موثوق بمزود خدمة بطاقة الهوية مستقل عن المستخدم، تدعم مصادقة النظام الأساسي لتسجيل الدخول الموحد مفاتيح الأجهزة المشتركة. استخدم مفاتيح الأجهزة المشتركة كلما أمكن ذلك لأنها مطلوبة للتسجيل التلقائي للأجهزة وإنشاء الحسابات عند الطلب وتخويل الشبكة ونمط الضيف المخوَّل

بعد تسجيل الجهاز بنجاح، يقوم المستخدم بالتسجيل أيضًا، ما لم يكن الحساب يستخدم نمط الضيف المُخوَّل. إذا كان مزود بطاقة الهوية يتطلب ذلك، فقد يُطلب من المستخدم تأكيد عملية التسجيل. بالنسبة للحسابات المحلية عند الطلب، يقوم تسجيل الدخول الموحد على النظام الأساسي بتسجيل المستخدم تلقائيًا في الخلفية.

وسائل المصادقة

يدعم تسجيل الدخول الموحد على النظام الأساسي طرق مصادقة مختلفة مع مزود خدمة بطاقة الهوية. يعتمد الدعم لكل منهما على مزود خدمة بطاقة الهوية وامتداد تسجيل الدخول الموحد على النظام الأساسي.

• كلمة السر: باستخدام هذه الطريقة، يقوم المستخدم بالمصادقة باستخدام كلمة سر محلية أو كلمة سر مزود خدمة بطاقة الهوية (IdP). كما يدعم WS-Trust، مما يسمح للمستخدم بالمصادقة حتى عندما يكون مزود خدمة بطاقة الهوية الذي تدير حسابه موزعة.

• مفتاح مدعوم بـ Secure Enclave: باستخدام هذه الطريقة، يمكن للمستخدم الذي يسجل الدخول إلى الـ Mac استخدام مفتاح مدعوم بـ Secure Enclave للمصادقة مع مزود خدمة بطاقة الهوية (IdP) من دون كلمة سر. يقوم مزود خدمة بطاقة الهوية بإعداد مفتاح Secure Enclave أثناء عملية تسجيل المستخدم.

• البطاقة الذكية: من خلال هذه الطريقة، يقوم المستخدم بالمصادقة مع مزود خدمة بطاقة الهوية باستخدام بطاقة ذكية. لاستخدام هذه الطريقة، يجب عليك:

  • تسجيل البطاقة الذكية لدى مزود خدمة بطاقة الهوية.

  • تكوين تعيين سمات البطاقة الذكية على Mac.

    لمزيد من التفاصيل وتكوين مثال لتعيين السمات، انظر صفحة دليل مشروع خدمات البطاقة الذكية.

• مفتاح الوصول: باستخدام هذه الطريقة، يستخدم المستخدمون بطاقة مخزنة في Apple Wallet للمصادقة مع مزود خدمة بطاقة الهوية. مثل البطاقة الذكية، يجب تسجيل مفتاح الوصول لدى مزود خدمة بطاقة الهوية.

تتطلب بعض الميزات، مثل إنشاء الحساب عند الطلب، طريقة مصادقة محددة.

الميزة				كلمة سر		مفتاح مدعوم بـ Secure Enclave		بطاقة ذكية		مفتاح وصول
إدارة المجموعة
تسجيل الجهاز التلقائي
نمط الضيف المخوَّل
إنشاء الحساب عند الطلب
مزامنة كلمة السر

تسجيل الدخول الموحد على النظام الأساسي أثناء التسجيل التلقائي للأجهزة

يمكن للمؤسسات تنشيط وتنفيذ تسجيل الدخول الموحد على النظام الأساسي أثناء مساعد الإعداد مع التسجيل التلقائي للأجهزة. يعمل هذا الخيار بشكل أفضل مع الأجهزة ذات المستخدم الواحد. يقوم macOS تلقائيًا بإنشاء حساب محلي للمستخدم الذي يُجري عملية المصادقة أثناء التسجيل، مما يمنحه وصولًا فوريًا عبر تسجيل الدخول الموحَّد إلى التطبيقات المدعومة، سواء كانت أصلية أو عبر الويب.

إذا تم تكوينه، يقوم macOS بتنزيل ملحق تسجيل الدخول الموحد على النظام الأساسي وتثبيته وتكوينه. يمكن أن يحدث ذلك قبل تنفيذ عملية التسجيل الفعلية في خدمة إدارة الأجهزة، مما يتيح المصادقة على التسجيل باستخدام تسجيل الدخول الموحد، أو بعد التسجيل عندما يبقى Mac في حالة انتظار التكوين. خلال هذه العملية، يقوم Mac بتسجيل الجهاز إما بشكل صامت أو عبر مطالبة المستخدم، ويطلب من المستخدم المصادقة باستخدام مزود خدمة بطاقة الهوية (IdP) لإتمام تسجيل المستخدم. لا يمكن للمستخدمين المتابعة دون تسجيل الدخول الموحد على النظام الأساسي بنجاح.

بعد المصادقة بنجاح، يؤدي macOS إلى إنشاء حساب محلي، وتتزامن كلمة السر إما مع مزود خدمة بطاقة الهوية، أو يقوم المستخدم بتعيين كلمة سر محلية (عندما يستخدم تسجيل الدخول الموحد على النظام الأساسي مفتاحًا مدعومًا بـ Secure Enclave). إذا لزم الأمر، يمكنك فرض متطلبات تعقيد كلمة السر لكلمة السر المحلية باستخدام تكوين رمز الدخول.

إذا تم التكوين، يمكن لـ macOS بعد ذلك مزامنة صورة ملف تعريف تسجيل الدخول للحساب المحلي من مزود الهوية.

يمكنك استخدام تسجيل الدخول الموحد على النظام الأساسي أثناء التسجيل التلقائي للأجهزة مع تحديث برامج مفروض. في هذه الحالة، يجب على خدمة إدارة الأجهزة فرض التحديث أولًا.

إذا كان حساب المستخدم الذي ينشئه macOS هو الحساب الوحيد على Mac، يصبح حساب مسؤول. إذا أنشأت خدمة إدارة الأجهزة حساب مسؤول باستخدام أمر تكوين الحساب، يمكنك تعيين امتيازات مختلفة لحساب المستخدم باستخدام إدارة مجموعة تسجيل الدخول الموحد على النظام الأساسي.

تسجيل الدخول الموحد

نظرًا لأن تسجيل الدخول الموحد على النظام الأساسي جزء من تسجيل الدخول الموحد القابل للتوسيع، يقوم المستخدمون بتسجيل الدخول مرة واحدة ويستخدمون رمز المصادقة هذا للوصول إلى التطبيقات المدعومة، سواء كانت تطبيقات أصلية أو عبر الويب.

إذا كانت الرموز مفقودة أو منتهية الصلاحية أو عمرها أكثر من أربع ساعات، فإن حمولة تسجيل الدخول الموحد على النظام الأساسي تحاول تحديثها أو استرداد رموز جديدة من مزود الهوية. يمكنك أيضًا ضبط المدة الزمنية (بحد أدنى ساعة واحدة، بالثواني) التي بعدها يتطلب تسجيل الدخول الموحد على النظام الأساسي تسجيل دخول كامل بدلًا من تحديث رمز المصادقة. القيمة الافتراضية هي 18 ساعة.

تسجيل الدخول الموحد على النظام الأساسي في إعدادات النظام

بعد التسجيل في تسجيل الدخول الموحد على النظام الأساسي، بإمكان المستخدمين التحقق من حالة التسجيل في إعدادات النظام > المستخدمون والمجموعات > [اسم المستخدم]. من هناك، يمكنهم إصلاح التسجيل أو تحديث رمز المصادقة.

تكون حالة تسجيل الجهاز ظاهرة في المستخدمون والمجموعات > خادم حساب الشبكة، وتوفر أيضًا خيارًا لإجراء إصلاح.

سياسات مزامنة كلمة السر وتسجيل الدخول

إذا كنت تستخدم طريقة مصادقة كلمة السر، فستتم مزامنة كلمة سر المستخدم المحلي تلقائيًا مع مزود خدمة بطاقة الهوية في كل مرة يقوم فيها المستخدم بتغيير كلمة السر، سواء محليًا أو عن بُعد. إذا لزم الأمر، يطلب macOS من المستخدم كلمة السر السابقة.

بشكل افتراضي، كلمة سر الحساب المحلي مطلوبة لفتح قفل خزنة الملفات وشاشة القفل وفي نافذة تسجيل الدخول. إذا لم تتطابق كلمة السر المدخلة مع كلمة سر حساب المستخدم المحلي، فسيحاول macOS الوصول إلى مزود الخدمة لإجراء مصادقة مباشرة. إذا تعذر على macOS الوصول إلى مزود خدمة بطاقة الهوية أو لم تتطابق كلمة السر المدخلة مع كلمة السر المخزنة لدى مزود خدمة بطاقة الهوية، فستفشل المصادقة.

مع سياسات تسجيل الدخول، يمكنك السماح باستخدام كلمة سر الحساب الحالي من مزود خدمة بطاقة الهوية في هذه المطالبات الثلاث على الفور. يمكنك أيضًا تعيين السياسات التالية بشكل فردي لخزنة الملفات وشاشة القفل ونافذة تسجيل الدخول:

• محاولة المصادقة.

  • إذا تم التكوين، فهناك محاولة مصادقة مباشرة مع مزود الهوية.

  • إذا كان Mac متصلًا بالإنترنت، فمطلوب مصادقة ناجحة مع مزود خدمة بطاقة الهوية للمتابعة، حتى عندما يكون Mac غير متصل بالإنترنت بعد المحاولة الأولى.

    إذا نجحت المصادقة، يقوم تسجيل الدخول الموحد على النظام الأساسي بتحديث كلمة السر المحلية.

  • إذا كان Mac غير متصل بالإنترنت، يمكن للمستخدم استخدام كلمة سر حسابه المحلي.

• يتطلب المصادقة.

  • إذا تم التكوين، فستكون المصادقة المباشرة مع مزود الهوية مطلوبة للمتابعة.

  • إذا كان Mac متصلًا بالإنترنت، يلزم المصادقة بنجاح مع مزود الهوية للمتابعة، بغض النظر عن فترة السماح دون الاتصال بالإنترنت التي تم تكوينها.

    إذا نجحت المصادقة، يقوم تسجيل الدخول الموحد على النظام الأساسي بتحديث كلمة السر المحلية.

  • إذا كان Mac غير متصل بالإنترنت، فلا يمكن للمستخدمين تسجيل الدخول. في تلك الحالات، يمكنك تمكين فترة سماح دون اتصال بالإنترنت وتعيينها على عدد الأيام التي تلي تسجيل دخول محليًا ناجحًا سابقًا، وخلال هذه الفترة يمكن للمستخدم الاستمرار في استخدام كلمة سر الحساب المحلي.

  • يمكنك تحديد ما إذا كان يجب إدارة أي حساب يقوم بتسجيل الدخول إلى Mac بواسطة حمولة تسجيل الدخول الموحد على النظام الأساسي أم إذا كان لا يزال يُسمح باستخدام حسابات محلية فقط. يمكنك أيضًا تعيين فترة سماح (بالأيام) بعد تطبيق السياسة قبل بدء فرضها. يسمح هذا باستخدام الحسابات المحلية مؤقتًا. على سبيل المثال، يمكنك استخدام حساب مسؤول مؤقتًا تم إنشاؤه بواسطة خدمة إدارة الأجهزة لإجراء أو إصلاح تسجيل جهاز تسجيل الدخول الموحد على النظام الأساسي.

  • بدلًا من المصادقة المباشرة، يمكنك أيضًا السماح للمستخدمين باستخدام بصمة الإصبع أو Apple Watch على شاشة القفل.

إذا لزم الأمر، يمكن استثناء الحسابات المحلية (مثلما قمت أنت بتعريفها) من سياسات تسجيل الدخول وعدم مطالبتها بالتسجيل في تسجيل الدخول الموحد على النظام الأساسي.

إدارة المجموعة وتخويل الشبكة

يمكن لتسجيل الدخول الموحد على النظام الأساسي توفير إدارة دقيقة للحقوق من خلال تطبيق الامتيازات التالية على حساب في كل مرة يقوم فيها المستخدم بالمصادقة:

• قياسي: يحصل الحساب على امتيازات المستخدم القياسي.

• مسؤول: إضافة الحساب إلى مجموعة المسؤول المحلي.

• مجموعات: تعريف الامتيازات حسب عضوية المجموعة، والتي يتم تحديثها في كل مرة يقوم فيها المستخدم بالمصادقة مع مزود خدمة بطاقة الهوية.

عند استخدام المجموعات، يحصل الحساب على امتيازات استنادًا إلى العضوية في ما يلي:

• مجموعات المسؤولين: إذا كان الحساب جزءًا من مجموعة مدرجة، فإن لديه صلاحية الوصول كمسؤول محلي.

• مجموعات التخويل: إذا كان الحساب جزءًا من مجموعة تم تعيينها لحق تخويل مدمج أو محدد مخصص، فإن الحساب يتمتع بامتيازات مرتبطة بتلك المجموعة. على سبيل المثال، يستخدم macOS حقوق التخويل التالية:

  • ‏system.preferences.datetime، والذي يسمح للحساب بتعديل إعدادات الوقت.

  • ‏system.preferences.energysaver، والذي يسمح للحساب بتعديل إعدادات موفر الطاقة.

  • ‏system.preferences.network، والذي يسمح للحساب بتعديل إعدادات الشبكة.

  • ‏system.preferences.printing، والذي يسمح للحساب بإضافة الطابعات أو إزالتها.

• المجموعات الإضافية: مجموعات مخصصة لتعريف macOS أو تطبيقات محددة، يقوم macOS بإنشائها تلقائيًا داخل الدليل المحلي (إذا لم تكن موجودة بالفعل). على سبيل المثال، يمكنك استخدام مجموعة إضافية في تكوين sudo لتحديد وصول sudo.

تخويل الشبكة

حمولة تسجيل الدخول الموحد على النظام الأساسي تسمح للمستخدمين الذين ليس لديهم حساب Mac محلي باستخدام بيانات اعتماد مزود الهوية لأغراض التخويل. تستخدم هذه الحسابات المجموعات نفسها التي تستخدمها إدارة المجموعة. على سبيل المثال، إذا كان الحساب عضوًا في إحدى مجموعات المسؤولين، يمكنه تنفيذ مطالبات تخويل المسؤول. لاستخدام هذه الوظيفة، يجب تكوين تسجيل الدخول الموحد على النظام الأساسي باستخدام مفاتيح الجهاز المشتركة.

ليس بالإمكان تخويل الوصول إلى الشبكة مع مطالبات التخويل التي تتطلب رمزًا مميزًا آمنًا أو أذونات ملكية أو مصادقة من قِبل المستخدم الذي سجَّل الدخول حاليًا.

إنشاء الحساب عند الطلب

في عمليات النشر المشتركة، بإمكان المستخدمين تسجيل الدخول باستخدام اسم المستخدم وكلمة السر لمزود بطاقة الهوية أو باستخدام بطاقة ذكية، وذلك لإنشاء حساب محلي تلقائيًا.

يمكنك تحقيق عملية توفير تلقائية بالكامل باستخدام التسجيل التلقائي للأجهزة مع التقدم التلقائي. يجب عليك إنشاء أول حساب مسؤول محلي باستخدام خدمة إدارة الأجهزة، وإجراء تسجيل دخول موحد على النظام الأساسي بصمت.

المتطلبات التالية مطلوبة لاستخدام إنشاء الحساب عند الطلب:

• تسجيل Mac في خدمة إدارة الأجهزة التي تدعم رموز bootstrap.

• يمكنك القيام بما يلي: تكوين امتداد تسجيل الدخول الموحد مع تسجيل الدخول الموحد على النظام الأساسي ومفاتيح الجهاز المشتركة وخيار إنشاء مستخدم عند تسجيل الدخول.

• إكمال مساعد الإعداد وإنشاء حساب مسؤول محلي.

• يجب أن يكون Mac في نافذة تسجيل الدخول مع فتح قفل خزنة الملفات والاتصال بالشبكة.

باستخدام تكوين اختياري، يمكنك تحديد سمة مزود خدمة بطاقة الهوية التي يجب استخدامها لاسم الحساب المحلي (الاسم المختصر) والاسم الكامل. يمكن للمسؤولين أيضًا تعيين مفتاح اسم الحساب إلى com.apple.PlatformSSO.AccountShortName لاستخدام الاسم المختصر للمستخدم (UPN).

بالإضافة إلى ذلك، يمكنك تحديد الامتيازات المراد تطبيقها على الحسابات الجديدة التي يتم إنشاؤها عند تسجيل الدخول. تتوفر نفس الخيارات لإدارة المجموعة:

• قياسي: يحصل الحساب على امتيازات المستخدم القياسي.

• مسؤول: إضافة الحساب إلى مجموعة المسؤول المحلي.

• مجموعات: تعريف الامتيازات حسب عضوية المجموعة، والتي يتم تحديثها في كل مرة يقوم فيها المستخدم بالمصادقة مع مزود خدمة بطاقة الهوية.

نمط الضيف المخوَّل

يوفر نمط الضيف المخوَّل تجربة تسجيل دخول مبسطة في عمليات النشر المشتركة، مثل العيادات الطبية أو المدارس، حيث يقوم المستخدمون بتسجيل الدخول مؤقتًا باستخدام بيانات اعتماد مزود خدمة بطاقة الهوية دون الحاجة إلى حساب محلي دائم. يحصل المستخدم على امتيازات المستخدم القياسي بشكل افتراضي، ولكن يمكنك تغيير تلك الامتيازات باستخدام إدارة مجموعة تسجيل الدخول الموحد للمنصة.

تتطابق المتطلبات مع تلك المطلوبة لإنشاء حساب عند الطلب، باستثناء أنك تقوم بتكوين نمط الضيف المخوَّل بدلًا من خيار إنشاء مستخدم عند تسجيل الدخول.

عند تسجيل خروج مستخدم، يقوم macOS بمسح كل البيانات المحلية لهذا الحساب، ويكون Mac المشترك جاهزًا للمستخدم التالي لتسجيل الدخول.

اضغط لتسجيل الدخول

تتيح ميزة "اضغط لتسجيل الدخول" دعم بيانات الاعتماد الرقمية من Apple Wallet في macOS. المؤسسات التي تستخدم الشارات الرقمية بالفعل في Apple Wallet (والتي تسمح للمستخدمين بفتح قفل الأبواب باستخدام iPhone أو Apple Watch) بإمكانها الآن توسيع نفس التجربة لتشمل تسجيل الدخول إلى Mac.

طريقة المصادقة هذه ذات قيمة خاصة للمؤسسات التي تشارك Mac بين عدة مستخدمين، بما في ذلك المؤسسات التعليمية ومراكز البيع بالتجزئة ومرافق الرعاية الصحية.

مع ميزة "اضغط لتسجيل الدخول"، سيكون بإمكان المستخدم المصادقة على Mac تم تكوينه لوضع الضيف المخوَّل عند تقريب iPhone أو Apple Watch إلى قارئ NFC متصل. يبدأ ذلك عملية تسجيل دخول آمنة باستخدام تسجيل الدخول الموحد تقوم بمصادقة المستخدم تلقائيًا على التطبيقات والمواقع الإلكترونية، مما يسمح له بتسجيل الدخول بسرعة والبدء في العمل.

يتم توفير بيانات اعتماد المستخدم كمفاتيح وصول في بطاقة Apple Wallet من خلال تطبيق iPhone أو متصفح. ويتم تخزين مفاتيح الوصول هذه في Secure Enclave على الجهاز، مما يجعلها مدعومة بالأجهزة ومشفرة، مما يساعد على الحماية من محاولات العبث أو الاستخراج. يتيح "النمط السريع" المصادقة الفورية دون أن يتعين على المستخدم تنبيه الجهاز أو فتح قفله، بطريقة مشابهة لكيفية عمل بطاقات المواصلات في Apple Wallet.

لتنفيذ وظيفة "اضغط لتسجيل الدخول"، يجب أن يكون Mac:

• تم تكوينه لنمط الضيف المخوَّل

• مزود بقارئ NFC خارجي مدعوم

يتطلب إنشاء مفاتيح الوصول وإدارتها المشاركة في برنامج الوصول إلى Apple Wallet. لمزيد من المعلومات حول كيفية إنشاء مفتاح وصول، انظر الإعداد في دليل برنامج الوصول إلى Apple Wallet.