プラットフォームSSOの認証方式を理解する – 共有デバイスから従業員の専有デバイス利用まで

Apple

Apple Blog

Macのログイン認証の話題でよく聞く「プラットフォームSSO」

この記事では、プラットフォームSSOについて特にパスワード認証方式とSecure Enclave認証方式に焦点を当てて解説。実際の運用に即した利用シーン別の設定例や、環境に適した選択を考えるヒントもご紹介します。

プラットフォームSSOとは？
プラットフォームSSOの役割について
認証方式の概要（パスワード認証 / Secure Enclave認証）
- パスワード認証方式
- Secure Enclave認証方式（パスワードレス／鍵ベース認証）
IdPごとの認証方式対応状況
- Microsoft Entra ID
- Okta
用途別の設定例
- 企業の現場部門での活用（Secure Enclave認証方式）
- 中学校のコンピュータ教室での活用（パスワード認証方式）
まとめ

プラットフォームSSOとは？

Appleが提供する「プラットフォームシングルサインオン（以下プラットフォームSSO）」は、macOSデバイスとアイデンティティプロバイダ（IdP）との間で、統合されたサインイン体験を実現する仕組みです。

学校や図書館での共有デバイス利用から、企業における従業員1人1台の専有デバイスまで、幅広いシナリオに対応できます。

プラットフォームSSOの役割について

前提として押さえておきたいのは、「macOSへのログイン」と「クラウドサービスや業務システムへの認証」が必ずしも同じではないという点です。

これまでは「Macにログインするパスワード」と「クラウドサービスにアクセスする認証情報」が別々に存在するケースが一般的でした。プラットフォームSSOではこれらを統合し、ユーザは一度の認証でmacOSのログインとクラウドサービスのアクセスを一貫して扱えるようになります。

つまり、「ログイン」と「認証」を分けて考えることで、利便性とセキュリティの両立が可能になり、管理者にとってもアカウント運用の一元化やセキュリティポリシーの適用が容易になります。

macOSのプラットフォームシングルサインオン - Apple サポート (日本) 外部サイト

プラットフォームSSOの具体的な役割としては、macOSデバイスへのログイン認証にIdPの認証認可情報を使用できるようにすることと、クラウドなどで提供されているアプリケーションサービスへのSSOを実現することになります。

前者の役割においては、同様の機能を有する製品としてJamf Connectがあります。

ログイン画面でIdPの認証を利用する点では共通していますが、Macへのログイン時にMFAの要求を必要とするのか、プラットフォームSSOに対応しているIdPなのかどうかなど、セキュリティ的な観点やそもそも仕様に関する問題でプラットフォームSSOが利用できないケースもあるでしょう。

もしくは、両方のサービスを同時に使用することも選択肢としてはあり得ます。

ここからは、特にプラットフォームSSOのパスワード認証方式とSecure Enclave認証方式に焦点を当て、さらにパスワード認証方式を応用した「認証済みのゲストモード（Authenticated Guest Mode）」を含めて解説します。

また、IdP（Microsoft Entra ID、Okta など）の対応状況や、実際の運用に即した利用シーン別の設定例を紹介し、環境に適した選択を考えるヒントを提供します。

認証方式の概要（パスワード認証 / Secure Enclave認証）

プラットフォームSSOには複数の認証方式がありますが、本ブログでは代表的な 「パスワード認証方式」 と 「Secure Enclave認証方式」 の二つに絞って解説します。

プラットフォームSSOを正しく理解することで、これらのサービスをどのように導入・運用するべきなのかが見えてくるかと思います。

パスワード認証方式

概要・動作原理

IdPが持つユーザパスワードを、Mac上のローカルアカウントのパスワードと同期させて運用する方式
ログイン時にユーザは IdPのパスワードを入力することで、macOSのログインおよびシングルサインオン資格情報として使用することが可能

長所

設定が比較的容易で、従来のアカウント管理の延長で運用可能

短所・リスク

フィッシング攻撃に弱く、パスワード再利用のリスクがある

運用上の注意点

パスワードポリシーや期限切れの扱いをIdPと整合させる必要がある

このように、パスワード認証方式は従来からある認証方式をそのまま移行できるため、比較的導入が容易であることがお分かりいただけるかと思います。

その代わりに、セキュリティ要件的には高くないことが問題点として挙げられます。

また、macOS Tahoe 26で実装された認証済みのゲストモードもパスワード認証方式を応用した機能となります。

認証済みのゲストモード（パスワード認証方式の応用）

概要
パスワード認証を利用しつつ、ログアウト時にローカルデータを完全に削除するモード。主に共有デバイス向け

長所
利用者ごとに環境がリセットされ、セキュリティとプライバシーを確保できる

短所
利用者の設定やデータは保持されないため、恒常的な作業には不向き

注意点
学校や図書館など「共有デバイス」に特化した用途として設計されている

Secure Enclave認証方式（パスワードレス／鍵ベース認証）

概要

Secure Enclaveに格納された鍵ペアを用いて署名認証を行う。パスワードを必要とせず、公開鍵基盤を利用した強固な認証
パスワード認証方式とは異なり、ローカルのパスワードとIdPのパスワードは同期しない

長所

フィッシング耐性が高く、パスワードを完全に排除できる。ユーザにとってもパスワード入力不要で利便性が高い

ユーザの生体認証（Touch ID / Face ID）や PIN / ローカルパスワードで鍵をアンロックし、IdPと鍵ベースで認証処理を行う

Secure Enclave - Apple サポート (日本) 外部サイト

macOS デバイスのプラットフォーム SSO を構成する - Microsoft Intune | Microsoft Learn 外部サイト

短所

ローカルやオンプレミスのディレクトリサーバによる既存パスワード型運用から切り替えるためには慎重な設計が必要となる

一部のIdPやシナリオで未対応または制約あり

注意点

IdP側で「証明書ベース認証」や「キー管理」に対応している必要がある

Secure Enclave認証方式はローカルのパスワードとIdPのパスワードは同期しないため、ローカルパスワードに関するトラブルについての対処方法検討が必要であること、機種を変更した際の鍵の移行について検討する必要があることなど、導入前の建て付けが非常に重要になってくるかと思います。

フィッシング耐性が非常に高いため、セキュリティを高めたい場合には最適な認証方式になります。

Secure Enclave認証方式を使用できるのは1デバイスで1人となるため、1人1台のMacを使用する環境での運用に適していると思います。

IdPごとの認証方式対応状況

プラットフォームSSOに対応しているIdPは現状2社（Microsoft / Okta）となっており、各社の対応状況を簡単にまとめてみました。

IdP	主な認証方式サポート	特記事項／制約
Microsoft Entra ID	パスワード認証およびSecure Enclaveをサポート	パスワード認証方式とSecure Enclave認証方式を選択可能。スマートカードもオプションの一つとして併用可能
Okta	パスワード認証（デスクトップパスワード同期経由）をサポート	Okta Device Access機能と連携し、macOSのログインにOktaパスワード認証方式を使う構成が公式で案内されている

IdP

主な認証方式サポート

特記事項／制約

Microsoft Entra ID

パスワード認証およびSecure Enclaveをサポート

パスワード認証方式とSecure Enclave認証方式を選択可能。

スマートカードもオプションの一つとして併用可能

Okta

パスワード認証（デスクトップパスワード同期経由）をサポート

Okta Device Access機能と連携し、macOSのログインにOktaパスワード認証方式を使う構成が公式で案内されている

Microsoft Entra ID

Microsoftの公式ドキュメントでは、macOSデバイスをEntra IDに紐づけプラットフォームSSO を使ってmacOS ログインを可能にする構成が紹介されており、Secure Enclaveを使用したパスワードレス認証も含めた複数方式に対応できる旨が記載されています。

macOS デバイスのプラットフォーム SSO を構成する - Microsoft Intune | Microsoft Learn 外部サイト

同様に“Single sign-on for iOS/iPadOS/macOS”ドキュメントでは、プラットフォームSSOを含む構成要素として、Secure Enclave / Password / Smart card認証方式を選択可能、シングルサインオン拡張機能と連携できると明示しています。

iOS/iPadOS と macOS のシングルサインオン (SSO) - Microsoft Intune | Microsoft Learn 外部サイト

また、Microsoft Enterprise SSOプラグインのドキュメントでは、Appleデバイス上でEntraアカウントのシングルサインオン機能を拡張する手段を提供しており、古いアプリであってもシングルサインオンをサポート可能にする旨が説明されています。

Apple デバイス用の Microsoft Enterprise SSO プラグイン - Microsoft identity platform | Microsoft Learn 外部サイト

Okta

Oktaのドキュメントでは、macOS上のシングルサインオン拡張機能を設定し、Safariやアプリに内されたブラウザでOkta認証を透過させる仕組みが紹介されています。

管理対象のmacOSデバイスのSSO機能拡張を構成する | Okta Identity Engine 外部サイト

また、MDMと組み合わせてmacOS Platform SSOを構成するガイドも公開されており、Okta側では “デスクトップパスワード同期”機能を使用して、ユーザのパスワードをmacOSログインに同期する構成と新規にローカルアカウントを作成する”macOSのジャストインタイムローカルアカウント作成”を紹介しています。

macOS 15向けのデスクトップパスワード同期を構成する | Okta 外部サイト

macOSのジャストインタイムローカルアカウント作成 | Okta Identity Engine 外部サイト

ただし、Okta の公式ドキュメント上では、Secure Enclave認証方式を使用する方法は紹介されておらず、Secure Enclave認証方式の対応時期についても明言されておりませんので、今後の対応が望まれるところです。

用途別の設定例

先の認証方式の概要とIdPの対応状況から、プラットフォームSSOの用途別の設定例を2つほど紹介したいと思います。

企業の現場部門での活用（Secure Enclave認証方式）

企業における従業員1人1台の専有デバイスは社外に持ち出して利用することも多く、フィッシングリスクに晒されやすい環境にあります。そこでSecure Enclave認証を採用し、パスワードをネットワークに流さず署名トークンで認証。これにより、外部ネットワークでも安全に業務システムへアクセス可能になります。
したがって、フィッシングや中間者攻撃を強く意識する業務に最適と考えられます。

Secure Enclave認証方式によるフィッシング耐性構成

背景・要件
・従業員が専有デバイスを持つ想定
・ログイン時認証を強化し、パスワード盗用やフィッシングに強い方式を採用したい
・かつ、ユーザビリティ（指紋／顔認証）を重視

想定フロー
1.ユーザ初回登録時、IdP 資格情報＋MFA で認証
2.Secure Enclave に認証鍵ペアを生成・登録
3.日常運用では、Touch ID / Face ID などで鍵をアンロックしてログイン
4.アプリ／Web 認証は鍵ベースセッションを中継
5.デバイス交換時や破損時には、ユーザは再登録プロセスを通じて鍵を再発行

中学校のコンピュータ教室での活用（パスワード認証方式）

コンピュータ教室のMacは、1日に数十人が順番に利用します。プラットフォームSSOを導入し、認証済みのゲストモードを標準にすることで、授業ごとにクリーンな環境を提供。生徒ごとに認証を行っても、授業後には環境が初期化されるため、プライバシーや設定の干渉を防げます。

認証済みのゲストモードを活用する構成

背景・要件
・学校や共用施設で複数の利用者が同一 Macを利用
・各利用者は IdP 資格情報でログインしたいが、セッション終了後にユーザのローカルデータを完全に削除したい
・ログイン準備を迅速にしつつ、不要データ残留リスクを排除したい

想定フロー
1.利用者がログイン画面で自身のIdP資格情報を入力
2.認証成功後、認証済みのゲストモードによりセッション開始
3.利用中は標準権限、アプリ起動・Web 利用可能
4.ログアウトまたはユーザ切り替え時に、セッションデータ自動消去
5.次の利用者がログインしやすい状態に復帰