MacOIDCLogin erweitert das Anmeldefenster von macOS: Benutzer melden sich am Mac mit dem Konto ihres Identity-Providers an, über OpenID Connect (OIDC).
Das Projekt richtet sich an Administratoren, die Macs in einer Organisation verwalten und die Anmeldung an ein zentrales Konto binden möchten, ohne die Geräte in einen Verzeichnisdienst aufzunehmen.
Bestandteile
- Anmelde-Plugin: ein Authorization Plugin für macOS, das die Anmeldung am Identity-Provider übernimmt und bei Bedarf das lokale Benutzerkonto anlegt.
- Configurator-App: eine grafische Anwendung, mit der sich alle Einstellungen bearbeiten, prüfen und als Konfigurationsprofil exportieren lassen.
- Installationspaket: installiert App und Plugin und trägt das Plugin in den Anmeldeablauf von macOS ein.
Funktionen
- Anmeldung im Web-Dialog des Identity-Providers, direkt im Anmeldefenster des Macs
- Zuordnung der Identität zu einem lokalen Benutzernamen über einen frei wählbaren Claim und einen Filter
- Automatisches Anlegen des lokalen Kontos beim ersten Anmelden, mit einstellbarer Gruppe
- Optionaler Knopf für die lokale Anmeldung, damit lokale Konten weiter nutzbar bleiben
- Anpassbare Beschriftung, zum Beispiel Name der Organisation und Text des Anmeldeknopfs
- Überspringen des Einrichtungsassistenten für neu angelegte Benutzer
- Der Configurator prüft die Discovery-Adresse des Providers, importiert vorhandene Profile und exportiert fertige
.mobileconfig-Dateien
So läuft die Anmeldung ab
- Das Plugin liest die per Profil verteilten Einstellungen und prüft, ob sie vollständig sind.
- Der Benutzer meldet sich im Web-Dialog des Identity-Providers an.
- Die zurückgelieferte Identität wird geprüft und dem lokalen Benutzernamen zugeordnet.
- Falls aktiviert und nötig, wird das lokale Benutzerkonto angelegt.
- macOS setzt die Anmeldung fort und öffnet die Sitzung des Benutzers.
Fehlen Pflichtangaben wie Client-ID oder Discovery-Adresse, bricht das Plugin mit einem Konfigurationsfehler ab, statt sich mit einem voreingestellten Provider zu verbinden.
Einrichtung
- Im Configurator die Angaben des eigenen Identity-Providers eintragen und prüfen.
- Das Konfigurationsprofil exportieren und über das MDM auf die Macs verteilen.
- Das signierte Installationspaket zuerst auf einem Test-Mac oder in einer virtuellen Maschine installieren.
- Neu starten und Anmeldung, Kontoerstellung, lokale Anmeldung und das Zurücksetzen testen.
- Erst danach auf weitere Geräte verteilen.
Wichtig: Die Installation verändert den Anmeldeablauf von macOS. Vor der ersten Änderung sichert das Installationspaket die ursprüngliche Konfiguration; ein mitgeliefertes Skript stellt sie wieder her. Trotzdem gehört das Paket zuerst auf ein Testgerät.
Voraussetzungen
- Ein Identity-Provider mit OpenID Connect und ein dort registrierter Client
- Eine Möglichkeit, Konfigurationsprofile zu verteilen, in der Regel ein MDM
- Für den produktiven Einsatz ein mit Developer ID signiertes Installationspaket