#14 Vytváření Mac účtů s Platform SSO pro Microsoft i Google

Květen byl plný technických novinek uvedených do praxe. Po roce od oznámení tu máme plnou podporu Platform SSO ze strany Microsoftu pro aktivaci během průvodce nastavením. A této skvělé funkce se dočkali za pomoci třetí strany také firmy používající Google Workspace. Neméně důležitou novinkou je chystaná druhá verze macOS Security Compliance Projectu. Podíváme se také detailně na nové funkce a opravy chyb v aktualizacích 26.5, 25 leté výročí aplikace Mactracker a na novinky u MDM řešení. Mezi nimi najdete tentokrát také něco z roadmapy vylepšení Blueprintů v Jamf Pro.

Téma

Správa lokálních uživatelských Mac účtů a jejich propojení s cloudovou identitou zaměstnanců bývá tím nejdůležitějším úkolem Mac Adminů a často i tím nejproblematičtějším v souvislosti s použitými nástroji. Od nynějška však existuje komfortní, spolehlivá a nativní cesta, jak vše vyřešit jednou provždy a to nejen u firem využívajících služeb Microsoftu, ale i Googlu.

Platform SSO s Microsoft Entra ID během automatické registrace zařízení

Apple před rokem na WWDC25 představil dlouho očekávané vylepšení technologie Platform SSO, která na macOS Tahoe 26 umožňuje se na firemních počítačích Mac při prvotním nastavení během automatické registrace zařízení (Automated Device Enrollment) přihlásit cloudovou identitou (účet Microsoft, Google, Okta a další). Následně je na základě této firemní identity vytvořen lokální Mac účet, který může mít synchronizované heslo, je mu nastavena úroveň oprávnění standard/administrátor a získává Single Sign-On token pro ověření vůči všem firemním aplikacím a webovým službám.

Téměr rok po ohlášení je tato možnost podporována ze strany nejpoužívanějšího poskytovatele identity, služby Microsoft Entra ID (v rámci Microsoft 365). Nyní tak firmy mohou i v praxi využít tento moderní způsob řízení účtů na počítačích Mac, který je nativní součástí systému macOS a nabízí "100% Apple" uživatelský zážitek. Stačí mít kromě libovolné licence Microsoft 365 také MDM řešení s plnou podporou Platform SSO, jako jsou např. Jamf, Mosyle, Iru, Microsoft Intune nebo Omnissa Workspace One.

Pomocí jednoho konfiguračního profilu a aktuálního instalačního balíčku aplikace Microsoft Company Portal vyřešíte všechny následující úkony i mnohé další:

• Řízení oprávnění Mac účtů (Standardní / Administrátor)
• Synchronizace hesla s cloudovou identitou a online ověření při přihlašování
• Ověření pomocí Smartcards (Yubikey apod.)
• Ověření PINem + bezpečné uložení ověřovacího tokenu do Secure Enclave čipu
• Single Sing-On ověření pro nativní aplikace a prohlížeče
• Vytvoření Mac účtu při prvotním nastavení a jeho pojmenování
• Automatické vytváření dalších Mac účtů na přihlašovací obrazovce
• Ověření cloudovým administrátorským účtem při akcích požadujících oprávnění

Poslední třešničkou na dortu, která čeká na implementaci ze strany Microsoft je synchronizace profilového obrázku. Zatím uživatel dostává výchozí Memoji zvířátko.

Více najdete na blogu Microsoftu

Platform SSO pro Google účty s Xpsso

Zatímco se firmy používající Microsoft 365 nebo nástroj Okta mohly již několik let těšit z narůstající podpory funkcí Platform SSO na Macu a postupně je implementovat do každodenního provozu, firmy používající Google Workspace měly smůlu, neboť Google se v této oblasti nijak neangažuje. To se díky novince z dílny Twocanoes Software mění a s jejich doplňkem zvaným Xpsso (espresso) lze nyní využít funkce Platform SSO i s Google cloudovou identitou.

Jak je to možné bez přímé podpory Google? Xpsso kombinuje vlastní macOS klientskou aplikaci, která zprostředkovává ověřování přímo na uživatelském Macu s vlastní serverovou aplikací (pro macOS nebo Linux), která pomocí API komunikuje s Google Cloud účtem organizace. Nastavení celého workflow není tak jednoduché, jako u Microsoftu, ale výsledek je pro uživatele stejně komfortní. Včetně výše zmíněného vytváření účtu během automatické registrace zařízení vlastněných firmou.

Twocanoes Software nejsou na poli řízení identit na macOS žádní nováčkové. Jejich nástroj Xcreds již dlouhá léta konkuruje podobným aplikacím MDM vendorů jako jsou Jamf Connect, Mosyle Auth či Iru (Kandji) Passport. Novinka v podobě Xpsso je licenčně součástí právě zmíněného produktu Xcreds. Za 3 dolary ročně za Mac (600 dolarů minimum) dostanete hotové podepsané aplikace a podporu. Pro větší organizace či experty, kteří by chtěli nástroj dále upravit, je tu potom možnost podepsat aplikaci vlastním vývojářským certifikátem a používat zdarma v rámci open-source licence.

Více najdete na webu Twocanoes

Apple zařízení

Omezené možnosti konfigurace stolních Maců

Normálně bychom se v této sekci věnovali přírůstkům v nabídce Apple zařízení. Jenže krize nedostatku DRAM a NAND čipů už pomalu doléhá i na Apple. Enormní poptávka ze strany výrobců velkých AI serverů nyní nepříjemně omezuje nabídku těch doslova nejmenších počítačů oblíbených pro AI workflows.

Na jedné straně byl vyřazen z prodeje základní Mac mini s 256 GB úložištěm. Ten startoval na 16 990 Kč s DPH a představoval jednu z nejlepších nabídek cena/výkon nejen v historii Maců, ale i napříč všemi stolními počítači. Nyní základ Mac mini s čipem M4 tvoří konfigurace s 512 GB úložištěm a 16 GB sdílené operační paměti za 22 990 Kč s DPH.

Na druhé straně spektra byly vyřazeny konfigurace s větší operační pamětí. Pro Mac mini s M4 Pro čipem je nové maximum 48 GB místo dosavadních 64 GB. Pro Mac Studio s M3 Ultra čipem je na výběr maximálně 96 GB RAM místo dosavadní 256 GB nebo dokonce 512 GB v době uvedení na trh.

Služby a aplikace

macOS Security Compliance Project 2.0

Pokud v organizaci musíte pro Apple zařízení splňovat compliance například dle CIS Benchmarků, měli byste zpozornět. Nástroj mSCP, sloužící k aplikování bezpečnostních pravidel dle mezinárodních standardů do praxe, dozná v následujících měsících největších změn od svého vzniku. Tento projekt je spravován experty z amerických vládních organizací, Jamfu a dalších a jeho cílem je vytvoření potřebných konfiguračních profilů, skriptů a dokumentace k dodržování pravidel na Apple zařízeních. Je uznáván i společností Apple.

Pouze mSCP verze 2.0 bude podporovat pravidla pro nadcházející Apple operační systémy verze 27 a podpora té stávající bude ukončena. Odstartuje v červnu po WWDC26 a slibuje stejně jako dříve plnou podporu nových OS před jejich vydáním v září. Principiálně funguje nástroj stejně, ovšem s řadou novinek, z nichž ty hlavní jsou:

• DDM konfigurace pro nastavení, která již není možné aplikovat pomocí klasických MDM konfiguračních profilů
• Jediná větev pro všechny verze systémů, unifikované soubory pravidel
• Příkaz pro kontrolu či opravu lze distribuovat konfiguračním profilem namísto parametrem skriptu, který mnohá MDM nepodporují (např. Intune)
• Export dokumentace do formátu Markdown

Více na stránce organizace NIST

Aktualizované Apple aplikace

• Xcode 26.5 přináší nová vylepšení pro AI asistenty, kteří se umí zeptat na upřesňující dotazy, aby mohli poskytnout přesnější výsledky.
• Safari 26.5 opravuje chybu vykreslovacího jádra WebKit, která mohla způsobit pád prohlížeče nebo i odhalit uživatelská data. K dispozici je i pro starší systémy macOS.

Klinicky ověřené naslouchátko

Apple AirPods Pro 3 prošly po dlouhém čekání zdravotnickou atestací v Česku a je tak možné na nich aktivovat funkci naslouchátka pro uživatele s vadou sluchu. Doposud byla tato funkce v Česku kvůli chybějící atestaci regionálně blokována a to i pro předchozí generaci AirPods Pro 2.

Více v tiskové zprávě od Apple

Aktualizace OS

Co přinesla aktualizace 26.5?

V květnu jsme se dočkali aktualizace všech operačních systémů od Apple, které přinesly především dlouhý seznam oprav chyb a zranitelností, ale i některá drobná vylepšení.

Nové funkce

• Stolní počítače Mac s čipy M4 a novějšími se nyní umí spustit automaticky, jakmile jsou připojeny k napájení. Funkce se dá zapnout v Systémovém nastavení napájení (možnost "Vždy" u položky spuštění počítače po připojení napájení). Například pomocí chytré zásuvky je tak možné zapnout Mac i na dálku.
• Apple Mapy dostávající funkci návrhů míst a reklamy v USA.
• V EU je nyní možné přeposílat notifikace a rychle párovat s příslušenstvím třetích stran. Navíc lze i sdílet živé aktivity.
• Apple Magic Keyboard, Trackpad a Mouse se po připojení k USB-C iPhonu automaticky spárují přes Bluetooth jako u Macu.
• Při přenosu dat z Androidu lze vybrat časový interval 30 dní, 1 rok nebo vše.
• Při aktualizaci z iOS 26.4 beta 4 a novějších (tedy i v 26.4.1) bude funkce Stolen Device Protection automaticky zapnuta při nastavení nového zařízení nebo obnově. U starších nikoliv.
• Když počítač Mac není připojený do Active Directory, protokol SMB teď umí sám automaticky vyhledat řadiče domény. Pokud nějaké najde, zkusí se k nim postupně připojit. Selžou-li všechny pokusy, použije jako zálohu původní název serveru.
• Když se aplikace pro macOS běžící v sandboxu (všechny z App Store) pokusí připojit síťový disk, uživatel je požádán o schválení. Pokud již aplikace nemá oprávnění pro plný přístup k disku z MDM.
• End-to-end šifrované RCS zprávy (stále jako beta) jsou dostupné u podporovaných operátorů a budou postupně uživatelům aktivovány.
• Předplatná aplikací s ročním závazkem lze nově platit měsíčně.

Opravy chyb

• Opravena chyba při které se nové MacBooky s čipem M5 nečekaně restartovaly kvůli rozšíření pro filtrování webového obsahu.
• Kořenové a intermediate certifikáty jsou korektně aktualizovány při obnovení MDM enrollmentu.
• Opravena chyba při které se počítače Mac nečekaně restartovaly při připojování k SMB síťovým diskům.
• Uživatelům již opakovaně nevyskakuje výzva k odemknutí klíčenky při používání Smart Card nebo Platform SSO.
• Automatické vyplňování hesel a passkeys může být v nastavení macOS zapnuto pro jiné aplikace v případě že je vyplňování vypnuto v Safari pomocí správy zařízení.
• FaceTime hovory neselžou při použití transparentní proxy na síti.
• Aplikace na macOS používající technologii XQuartz se nyní zobrazují korektně při změně velikosti okna.
• Opravena chyba, kdy uživatelé byli vyzváni k přeregistraci Platform SSO, ale nebylo to možné až do reinstalalace jeho konfigurace.
• Opravena chyba, kdy některé počítače Mac nastartovaly do černé obrazovky po aktualizaci macOS.
• Opravena chyba, kdy úspěšné přihlášení pomocí Smart Card bylo zaznamenáno jako neúspěšný pokus o přihlášení.
• V macOS bude změněn způsob vyhledávání doménových řadičů v případech, kde Macy nejsou bindované do Active Directory.
• Opravena chyba kdy při velkém množství kontaktů nešlo zahájit nebo přijmout hovor.
• Opravena chyba, kvůli které se některé iPady nemohly připojit k mobilním datům.
• Důvěryhodné certifikáty již neselžou s chybou "Not Standards Compliant".
• Opravena chyba při které zařízení s jazykem jiným, než angličtinou nezobrazily klávesnici pro zadání hesla.

Všechny nově vydané aktualizace

Kromě 26.5 Apple vydal ještě několik drobných aktualizací s opravami zranitelností pro starší systémy. Následně pak také 26.5.1, která řeší chyby, které se nepovedlo odstranit v rámci 26.5. Jde o nečekané restartování Maců s M5 čipy při použití filtrování obsahu a problémy s drátovým nabíjením iPhonů Air a 17, když jsou téměř vybité.

Přehled opravených zranitelností na apple.cz

• macOS Tahoe 26.5.1 (změny pro uživatele, pro správce, pro vývojáře)
• macOS Tahoe 26.5
• macOS Sequoia 15.7.7
• macOS Sonoma 14.8.7
• iOS 26.5.1 (změny pro uživatele, pro správce, pro vývojáře)
• iOS 26.5
• iOS 18.7.9
• iOS 16.7.16
• iOS 15.8.8
• iPadOS 26.5 (změny pro uživatele, pro správce, pro vývojáře)
• iPadOS 18.7.9
• iPadOS 17.7.11
• iPadOS 16.7.16
• iPadOS 15.8.8
• tvOS 26.5 (změny pro uživatele)
• watchOS 26.5 (změny pro uživatele)
• visionOS 26.5 (změny pro uživatele)

Co se chystá v OS 26.6?

K dispozici je první beta verze nadcházející desetinové aktualizace, která bude pravděpodobně poslední větší aktualizací pro stávající systémy. Novinek či oprav chyb jde zde pouze několik:

• Počínaje iOS/iPadOS 26.6, zákaz funkce idle reboot vyžaduje restart nebo odemknutí zařízení, než je aplikován. Tato bezpečnostní funkce slouží k automatickému restartu zařízení, pokud je dlouho nečinné, aby došlo k jeho úplnému uzamčení a lze ji pomocí MDM vypnout.
• Dříve vybrané regiony budou nyní aplikovány během procesu Return to Service.
• Vyřešena chyba, kde se některé počítače Mac nečekaně restartovaly při použití rozšíření pro filtrování obsahu.
• Vyřešena chyba, kde aplikace neběžící v sandboxu mohly selhat při požádání o povolení k připojení sdíleného disku mimo /Volumes.

Tip na aplikaci

Mactracker

V tomto vydání zpravodaje si představíme aplikaci, kterou jistě z vás mnozí znají. Již 25 let Mactracker poskytuje aktuální databázi nejen všech počítačů Mac, ale i dalších zařízení a periferií, které kdy Apple za svou historii vyrobil. Aplikace neslouží jen pro exkurzi do dávné minulosti, ale hodí se především k zjištění detailních technických informací, stavu podpory pro hardwarový servis, maximální podporovanou verzi operačního systému nebo pro porovnání rozdílů mezi různými modely.

Právě možnost porovnání parametrů několika různých modelů přichází nově i na iOS a iPadOS. Na Macu funkci vyvoláte označením několika zařízení ze seznamu a následně pravým klikem aktivujete možnost Compare. Na iOS/iPadOS je funkce k dispozici pomocí tlačítka se dvěma šipkami na kartě zařízení v pravém horním rohu.

Aplikaci Mactracker si můžete stáhnout zdarma na App Store pro Mac, iPhone, iPad a Vision Pro nebo i jako samostatný instalátor na webu mactracker.ca.

Novinky v hromadné správě

Jamf

Jamf Now

Krátce před samotným představením OS 27, které přestanou podporovat řízení systémových aktualizací klasickými MDM příkazy, přidává Jamf do svého řešení pro nejmenší firemní zákazníky podporu aktualizací pomocí moderního DDM protokolu. Tím si i jednoduché MDM, jakým je Jamf Now, zachová schopnost mít aktualizace pod palcem.

Roadmapa pro Blueprinty

Blueprints v Jamf Pro a Jamf School jsou konfigurace využívající moderní DDM protokol a postupně nahradí klasické konfigurační profily. Oproti nim však mají stále několik nedostatků, které budou postupně během tohoto roku napraveny a ve finále poskytnou větší flexibilitu i více informací, než využívanější konfigurační profily.

Mezi chystané novinky patří:

• Přehlednější zobrazení v řádcích namísto stávajících bloků
• Aktualizace stavu distribuce nastavení v reálném čase s rozklikem pro detailní přehled stavu zařízení a odkazem na ně
• Detaily stavu a chybové hlášky z DDM protokolu na kartě zařízení
• Historie úprav včetně informace kdo, kdy a co upravil pro případný audit
• Pokročilé filtrování konfigurací
• Výjimky u přiřazování blueprintů ke skupinám a pokročilé kombinace skupin
• Podmínky aktivace jednotlivých konfigurací (activation predicates)

Jamf Pro 11.28

• Pro použití PreStage (Automated device enrollment profil) již není nutné mít zapnutý v globálním nastavení User-initiated enrollment. Nyní je tak možné jej vypnout a deaktivovat manuální enrollment pomocí stažení profilu z URL.
• Compliance Benchmarks nyní lze přiřadit k více statickým nebo smart skupinám zařízení zároveň.
• Jamf Self Service+ 2.22 opravuje řadu chyb se zobrazováním brandingu, obnovou Kerberos ticketů, dotazem na shortname či navýšením oprávnění.
• Jamf Pro nyní dokáže posílat do Jamf Security Cloudu všechna potřebná data pro správu zranitelností na macOS, iOS a iPadOS bez nutnosti nasazení dalšího agenta nebo konfiguračních profilů.
• Jamf Pro webhooks podporují typ ověřování pomocí mutual TLS (mTLS) a Hash Signature.
• Jamf Title Editor, sloužící pro patch management balíčků, nově používá ověřování Machine-to-Machine (M2M), což má za následek, že jej nyní nepůjde zřídit pro uživatele on-premise Jamf Pro serverů. Pro stávající instance se nic nemění.

Více na webu learn.jamf.com

Microsoft Intune

Spolu s podporou ze strany Microsoft Entra ID také MDM řešení Microsoftu přináší plnou podporu registrace do Platform SSO během prvotního enrollmentu počítače Mac. Stačí do příslušného konfiguračního profilu přidat nově zpřístupněné konfigurace a ujistit se, že máte v enrollment profilu zaškrtnutou volbu "Await final configuration".

Kromě toho je možné si zapnout na zkoušku aktualizovanou podobu karty zařízení, která má přehledněji rozřazená tlačítka a informace, dle jednotlivých kategorií a celkově modernější vzhled. Na druhou stranu jsou některé funkce dostupné o několik kliknutí dále.

Intune nyní podporuje přímé obnovení nové certifikační autority (CA) při použití služby Cloud PKI. Nově tak při vypršení platnosti samotné CA není třeba ji přidávat znovu a aktualizovat všechny příslušené konfigurační profily pro SCEP distribuci certifikátů pro ověření do sítě.

Více na blogu Microsoftu

Iru

Iru přináší plnou podporu spravovaného migračního asistenta na macOS. IT správce tak může při enrollmentu nového počítače kontrolovat možnost spuštění migrace ze starého Maca, vyžadovat konkrétní soubory a cesty nebo je naopak vyloučit, stejně jako vyloučit konkrétní uživatelské účty (např. administrátorský).

Více na blogu Iru

Chcete vědět o funkci Platform SSO více a nasadit ji ve vaší firmě? Potřebujete poradit s výběrem nového MDM řešení nebo provést audit toho stávajícího?

Pak budu rád, když mě kontaktujete a během nezávazné online konzultace probereme, jak zlepšit praxi s Apple zařízeními i ve vaší firmě.

Naplánujte si nezávaznou konzultaci a společně se do toho pustíme.