Intune macOS Platform SSO と自動デバイス登録の設定ガイド

5 月に書いた Intune が macOS 自動デバイス登録中に Platform SSO 登録を完了できるようになったという記事を読んだ方は、多くの読者と同じ反応をしたのではないでしょうか。「良い話だ。では構成の全体を見せてほしい」と。本ガイドがその全体です。Platform SSO とは何か、何を置き換えるのか、Apple Business Manager と登録ポリシーをどう整えるべきか、Intune の設定カタログ ポリシーの各設定と私が推奨する値、その後デバイス コンプライアンスと条件付きアクセスが Mac をどう見るか、登録の検証方法、そして Mac が設定アシスタントで止まったときの対処を扱います。ここに挙げる要件、設定名、バージョン番号はすべて 2026 年 10 月時点の Microsoft Learn で確認済みです。私自身の意見を加える箇所では、そう明記します。

Platform SSO とは何か、何を置き換えるのか

Platform SSO (PSSO) は macOS の機能で、Microsoft は Intune Company Portal アプリに同梱された Microsoft Enterprise SSO プラグインを通じて有効化します。Microsoft Entra の概要によれば、ユーザーは Microsoft Entra ID の ID で Mac にサインインし、デバイスは Microsoft Entra 参加済みになり、ハードウェアに紐付いたプライマリ更新トークン (PRT) によって Entra ID で認証するすべてのアプリとブラウザーでシングル サインオンが実現します。Microsoft はこのサインイン体験を Windows Hello for Business に似たものと説明しており、私がセキュリティ チームに「Mac と Windows PC が同じパスワードレスの物語をたどる」と言えるようになったのはこれが初めてです。

置き換えるものは 2 つあります。1 つ目は、Intune の Device Features テンプレートから展開していたかもしれない従来の SSO アプリ拡張機能 プロファイルです。Platform SSO には SSO アプリ拡張機能が含まれるため個別に構成する必要はなく、PSSO が動作したら競合を避けるために古いプロファイルの割り当てを解除するよう Microsoft は指示しています。2 つ目は、Mac が ADE で登録し、デスクトップに到達し、その後で通知によってユーザーに登録を促していた 2 段階のオンボーディングです。macOS 26 と Company Portal 5.2604.0 以降では、登録は設定アシスタントの中で完了します。

設計を始める前に知っておくべき境界が 1 つあります。Microsoft は Platform SSO が Microsoft Entra 参加でのみサポートされると明言しています。ハイブリッド参加のサポートはなく、その予定もありません。

3 つの認証方式

認証方式は、ユーザーが Mac をどうロック解除するか、ローカル アカウントのパスワードがどうなるかを決めます。以下の比較は Intune の構成ガイドと Entra の概要を要約したものです。

Secure Enclave は、Mac の Secure Enclave にハードウェアに紐付いたキーをプロビジョニングします。ローカル アカウントの名前とパスワードは意図的にそのまま残されます。FileVault がディスクのロック解除キーとしてローカル パスワードを使うためです。再起動後、ユーザーはローカル パスワードを一度入力し、その後は Touch ID がロック解除を担い、ハードウェアで保護された PRT が残りを処理します。この資格情報は WebAuthn 経由でパスキーとしても使えます。パスキーを AAGUID で制限している場合は、macOS Platform Credential 用に 7FD635B3-2EF9-4542-8D9D-164F2C771EFC を追加してください。

Password は、ローカル アカウントのパスワードを Entra ID のパスワードに置き換え、両者を同期し続けます。Microsoft は、展開した Intune のパスワード ポリシーがこの設定にも適用されること、そして Intune のパスワード ポリシーまたはコンプライアンス ポリシーが Entra のパスワード ポリシーと一致しなければ同期が失敗してユーザーがアクセスを拒否されることを警告しています。

Smart Card は、カードの証明書と PIN を Mac と Entra ID の両方に使います。Entra の証明書ベース認証が必要で、Microsoft はスマート カード認証が設定アシスタントではサポートされないと記載しているため、登録はユーザーがデスクトップに到達した後に行われます。

私の推奨は Microsoft と同じで、可能な限り Secure Enclave です。Password を選ぶのは、ローカル パスワードが Entra のパスワードと同一でなければならないという厳格な要件が組織にある場合だけで、その際は付随するパスワード ポリシーの結合を受け入れます。

要件とライセンス

Apple Business Manager と自動デバイス登録

自動デバイス登録 (ADE) は、Apple Business Manager または参加販売店経由で購入した組織所有 Mac 向けの Apple の登録方式です。Intune の ADE 概要によれば、ADE デバイスは既定で監視対象となり、ユーザーに直接出荷でき、電源を入れた瞬間から登録が始まります。新規登録では macOS 13.1 以降で管理プロファイルに ACME 証明書も発行され、これは SCEP に対する地味ながら確かなセキュリティ改善です。

登録プログラム トークン

トークンは Intune と Apple の信頼関係です。トークン設定の記事に手順があり、流れは次のとおりです。

1. Intune 管理センターで Devices > Enrollment > Apple > Enrollment program tokens > Create に進み、データ共有の同意を受け入れ、Download your public key で PEM ファイルを保存します。ブラウザーのタブは開いたままにしてください。閉じるとキーが無効になります。
2. Apple Business Manager で Devices > Management Services > Connect external device management を開き、接続に名前を付け、PEM をアップロードして .p7m サーバー トークンをダウンロードします。
3. Apple のポータルにいる間に、その管理サービスへデバイスを割り当てます。
4. Intune に戻り、トークンをダウンロードした Apple ID を入力し、.p7m をアップロードして Create を選択します。

個人用ではなく組織の Apple ID を使い、どの ID を使ったかを記録してください。トークンは毎年更新が必要で、その Apple ID のパスワードが変わったときや所有者が退職したときにも更新が必要です。更新するつもりがないのに Apple Business Manager で Download Token をクリックしないでください。Intune が使用中のトークンが無効になります。

Intune は 12 時間ごとに Apple と自動同期します。手動同期は 15 分に 1 回まで、完全同期は 7 日に 1 回までです。Apple Business Manager からリリースされたデバイスは 30 から 45 日以内に Intune から消えます。

登録ポリシー

ポリシーは Devices > Device onboarding > Enrollment > macOS > Enrollment program tokens > 対象トークン > Enrollment policies > Create policy > macOS で作成します。Microsoft は古い Profiles の操作体験を廃止予定なので、新しい作業は Enrollment policies で行ってください。ADE 設定の記事にすべてのオプションの説明があります。Platform SSO に関係するのは次の項目です。

• User Affinity: Enroll with User Affinity を選択。ユーザーレス登録では Company Portal が無効になり、Microsoft は登録中セットアップのプロファイルをユーザーレス ADE デバイスに配布しないよう明示しています。
• Authentication method: Setup Assistant with modern authentication を選択。ユーザーが Company Portal にサインインすると、デバイスは Entra ID に登録され、ユーザーのデバイス レコードに追加され、コンプライアンス評価が可能になり、条件付きアクセスで保護されたリソースにアクセスできます。
• Await final configuration: Yes を選択。
• Locked enrollment: Yes を選択し、ユーザーがシステム設定やターミナルから管理を解除できないようにします。登録後はワイプなしで変更できません。
• Device group: 登録時グループ化のための静的な Microsoft Entra セキュリティ グループを任意で指定。enrollment time device membership assignment の RBAC 権限が必要です。
• Account settings: 任意で Intune の macOS LAPS が管理するローカル管理者を作成。各 Mac に一意でランダムな 15 文字の管理者パスワードが与えられ、既定で 6 か月ごとにローテーションされます。アカウント設定を構成すると、Await final configuration はバックグラウンドで強制的に有効になります。
• Setup Assistant のペイン: Department Name と Phone を入力し、ユーザーに見せたくないものを非表示にします。macOS 15.4 以降では Restore ペインを非表示にできません。

ポリシーをトークン配下のデバイスに割り当てるか、トークンの既定ポリシーに設定します。ポリシー未割り当ての同期済み Mac の電源を入れると登録に失敗するため、私は最初のデバイスが出荷される前に必ず既定を設定します。

Await final configuration が実際に行うこと

Microsoft は正確に説明しています。ホーム画面が読み込まれる直前に設定アシスタントが一時停止して Intune がデバイスとチェックインできるようにし、ユーザーが待つ間は画面がロックされます。ユーザーはポリシーのダウンロードを見ることができ、最小・最大の時間制限はなく、Microsoft の検証ではほとんどのデバイスが 15 分以内にリリースされました。新しい登録ポリシーでは既定で有効、既存のポリシーでは無効なので、2026 年より前に作成したポリシーは確認してください。この一時停止こそが Platform SSO の登録をデスクトップより前に行わせるフックであり、「ほぼ動く」展開で最も見落とされる設定です。

Platform SSO の設定カタログ ポリシー

Devices > Manage devices > Configuration > Create > New policy で、プラットフォーム macOS、プロファイルの種類 Settings catalog を選んで作成します。Add settings で Authentication を展開し、Extensible Single Sign On (SSO) を選択します。1 つのグループに割り当てられる SSO ポリシーは 1 つだけなので、既に Platform SSO ポリシーがある場合は 2 つ目を作らず、そこに新しい設定を追加してください。

必須設定と推奨値

以下の値は Intune の Platform SSO 構成ガイドと登録中セットアップの記事に基づいています。

Token To User Mapping について 2 点。代替値の preferred_username は LAPS のアカウント設定で指定した内容を上書きし、LAPS の SamAccountName は無視されます。オンプレミスの SamAccountName をローカル アカウント名にする必要がある場合、Microsoft は Company Portal 2608.0 以降を実行し、Enable Create First User During Setup を false にする必要があるとしており、その代償として登録中にユーザーは 3 回承認することになります。また、既に展開済みのポリシーで Authentication Method または Use Shared Device Keys を変更すると、すべてのデバイスが再登録されます。この 2 つはパイロットの前に決めておいてください。

設定アシスタント中の登録

Enable Registration During Setup を有効にすると、Platform SSO の登録は ADE フローの後ではなく、その中で実行されます。Microsoft は、ユーザーが Entra の資格情報を少なくとも 2 回入力すると述べています。1 回目は登録の開始、2 回目は SSO 拡張機能を提供する Company Portal での認証です。Intune が登録中のユーザーに基幹業務アプリとして Company Portal が割り当てられていることを検出すると、登録中にそのアプリを優先的に送ります。3 つのポリシーのいずれかが欠けているか誤って構成されていると登録は失敗し、唯一の修正方法はポリシーを直し、ワイプして再登録することです。

アカウント モード: 管理者ユーザーか標準ユーザーか

Platform SSO シナリオの記事にエンド ユーザー向け設定が記載されています。Microsoft は、ドキュメント化されていない Platform SSO 設定はサポートされないと付け加えているので、一覧にない Apple のキーで実験したい誘惑には抵抗してください。

私のパターンは、ADE 登録ポリシーで LAPS 管理のローカル管理者を作成し、そのアカウントを Non Platform SSO Accounts に列挙し、両方の認可モードを Standard にすることです。LAPS アカウントが「少なくとも 1 人の Admin」の条件を満たし、ユーザーは標準権限で動作し、ヘルプ デスクは必要なときに Intune で管理者パスワードを参照できます。

同じポリシーの Extension Data ディクショナリには、さらにいくつかのシナリオがあります。enable_se_key_biometric_policy = true は Secure Enclave キーを使うたびに Touch ID を強制します (macOS 14.6 と Company Portal 2504 以降、パスワードへのフォールバックなし、後から有効にすると完全な再登録が必要)。AppPrefixAllowList = com.microsoft.,com.apple. と browser_sso_interaction_enabled = 1、disable_explicit_app_prompt = 1 は、多くの人が古い SSO 拡張機能プロファイルに入れていたブローカー設定を引き継ぎます。custom_tgt_setting は Company Portal 2508 以降で、オンプレミス Active Directory と Entra ID Kerberos リソースへの Kerberos チケット マッピングを制御します。

共有デバイスとユーザーレス Mac

Use Shared Device Keys は、Platform SSO が Mac 上のすべてのユーザーで同じ署名キーと暗号化キーを使うようにします。Enable Create User At Login で複数人がサインインするデバイスではこれが望ましい設定です。ユーザー アフィニティなしで登録された共有 Mac は別のケースです。Microsoft は登録中セットアップのプロファイルをユーザーレス ADE デバイスに配布しないよう述べており、そこでは Company Portal が動作せず、ユーザーレス macOS ではデバイス コンプライアンス評価もサポートされません。ユーザーレス Mac を管理しなければならない場合は、Enable Registration During Setup を含まない別の Platform SSO ポリシーを用意し、構成ガイドがユーザー アフィニティなしのデバイスに許容しているとおりデバイス グループに割り当ててください。

割り当て: デバイス グループではなく静的ユーザー グループ

ここが最も多くの人がつまずく点で、静的デバイス グループを勧めていた私自身の 5 月の記事を訂正しなければならない点でもあります。設定アシスタント中の登録に関する Microsoft の指示は明確です。Platform SSO ポリシー、Company Portal アプリ、登録プロファイルを同じ割り当て済み (静的) ユーザー グループに割り当てます。デバイス グループは機能せず、動的グループも機能せず、3 つのポリシーが別々のグループに向いていると登録中の Platform SSO は失敗します。割り当てフィルターはその静的ユーザー グループに対して使用できます。より広い構成ガイドでは、ユーザー アフィニティのあるあらゆる Mac について、デバイス グループやフィルター付きの割り当てを使うと Company Portal が Entra デバイス登録をスキップする可能性があり、ユーザーが条件付きアクセスを通過できなくなることがあると付け加えています。macOS-PSSO-Pilot のような専用グループを作り、パイロット ユーザーを追加し、3 つのポリシーすべてをそこへ向けてください。

Mac の条件付きアクセスとデバイス コンプライアンス

これらすべての見返りは、条件付きアクセスが Mac を信頼できることです。Intune のコンプライアンス概要がその連鎖を説明しています。デバイスが登録されると Entra ID に登録され、Intune はコンプライアンス状態を Entra ID に報告し、許可制御 Require device to be marked as compliant を持つ条件付きアクセス ポリシーがその状態を使って許可またはブロックします。条件付きアクセス自体には Microsoft Entra ID P1 が必要で、Microsoft 365 Business Premium の顧客も保有しています。

デバイス ベースのポリシーを作る前に、Endpoint security > Device compliance > Compliance policy settings を開き、Mark devices with no compliance policy assigned as を既定の Compliant から Not compliant に変更してください。Microsoft は条件付きアクセスを使う場合にこれを行うよう述べています。既定ではポリシーのないデバイスがすべて準拠として扱われるためです。Compliance status validity period の既定は 30 日で、1 から 120 の範囲で設定できます。

次に macOS のコンプライアンス ポリシーを作成します。macOS コンプライアンス設定のリファレンスの中で、私がほぼすべての案件で使うのは Require a system integrity protection、Minimum OS version (Rapid Security Response が重要な場合はビルド)、FileVault 用の Require encryption of data storage on device、Firewall の有効化、Gatekeeper を Mac App Store and identified developers にする設定です。1 つ、太字にふさわしい警告があります。Microsoft は、コンプライアンス ポリシーでパスワードを要求すると、LAPS と Platform SSO が作成したアカウントを含むデバイス上のすべてのアカウントの既存パスワードが期限切れになると述べています。パスワードは Change At Next Auth を False にした設定カタログ ポリシーで管理してください。

Platform SSO 登録後に条件付きアクセスが見るのは、SSO プラグインだけが使えるハードウェアに紐付いたワークプレース参加証明書を持つ Microsoft Entra 参加済み Mac です。ブラウザーにもブローカーが必要です。Edge ユーザーは Edge プロファイルにサインインする必要があり、Chrome には Microsoft Single Sign On 拡張機能が必要で、これは環境設定ファイル ポリシーで強制インストールできます。アカウントにユーザーごとの MFA がまだ有効な場合は無効にして条件付きアクセスの MFA を使ってください。Microsoft はユーザーごとの MFA を登録中のパスワード同期失敗の原因として文書化しています。

展開順序と作成するポリシー

依存関係より先に何かが Mac に届かないよう、この順序で構築してください。Graph でこの一部をスクリプト化するなら、まずアプリ専用 Graph 呼び出しにも適用されるようになった複数管理者承認についての私のメモを読んでください。未承認のサービス プリンシパルから保護されたリソースを作成すると HTTP 403 が返ります。

最初のウェーブでは条件付きアクセス ポリシーをレポート専用モードで実行し、サインイン ログを読んでから有効化します。このスタックの Intune 側の変更は私の Intune What’s New シリーズで追っており、Microsoft 自身の What’s new ページも 2026 年 5 月 11 日の週に ADE 中の登録機能を記録しています。

検証

まずユーザーに何が見えるかから始めます。どの段階で失敗したかがわかるからです。Microsoft の初回起動のチュートリアルは流れをこう説明しています。「こんにちは」の画面、地域とネットワーク、Intune プロファイルをダウンロードする Remote Management のプロンプト、MFA を伴う Entra サインイン (Authenticator 推奨)、アカウント作成です。登録中セットアップを有効にすると、Platform SSO の登録と Company Portal へのサインインは、Awaiting final configuration 画面が Mac をデスクトップへ解放する前に完了します。Secure Enclave 方式では、ユーザーは再起動後にローカル パスワードを一度入力し、それ以降は Touch ID を使います。

次に Mac 自体を確認します。

1. システム設定 > ユーザとグループ で、ネットワークアカウントサーバ の横の編集を選び、Platform SSO が登録済みと表示されることを確認します。ユーザーの横の情報アイコンを選ぶと方式が表示されます。Secure enclave、Smart Card、または Password です。
2. システム設定 > プライバシーとセキュリティ > プロファイル: ポリシーは com.apple.extensiblesso Profile として表示され、開くと URL と識別子を確認できます。
3. ターミナルで、サインインしているユーザーとして状態確認コマンドを実行します。Microsoft によれば出力の末尾で SSO トークンが取得されているはずで、macOS 13 ではこのコマンドが唯一の確認手段です。

app-sso platform -s

4. その Mac が以前に旧方式で登録されていた場合は、キーチェーンアクセスを開き、従来の Workplace Join キーが消えていることを確認します。Microsoft は移行済みデバイスの検証手順としてこれを挙げています。

次にクラウド側を確認します。Microsoft Entra 管理センターの Entra ID > Devices > All devices で、Mac は Microsoft Entra 参加済みとして表示され、ユーザーのデバイス レコードに関連付けられています。Intune のデバイス ページには、Company Portal アプリがインストール済み、Platform SSO 構成プロファイルが成功、コンプライアンス状態が Compliant と表示されるはずです。Devices > Monitor > Setting compliance には有効期間を追跡する Is active チェックが表示されます。最後に、Teams や Outlook、そして Edge で条件付きアクセスで保護されたサイトを開き、資格情報の入力を求められないことを確認します。

トラブルシューティング

Microsoft は 2 つのトラブルシューティング ページを維持しています。Platform SSO の既知の問題と Enterprise SSO 拡張機能のガイドです。以下は私が現場で見る障害と、文書化された修正方法です。

3 つの ADE ポリシーが誤って構成され Mac が止まってしまった場合、Microsoft の復旧手順は具体的です。Enable Registration During Setup が有効な Platform SSO ポリシーの割り当てを解除して同期し、その設定を無効にして (Password 方式では Enable Create First User During Setup も無効にして) 再度同期し、その後デバイスをワイプします。修正済みのプロファイルを取り込めるのは新規登録だけなので、ワイプは必須です。

ログの収集

デスクトップに到達した Mac では、永続的なデバッグ ログを有効にし、問題を再現し、sysdiagnose を取得してからリセットします。

sudo log config --mode "level:debug,persist:debug" --subsystem "com.apple.AppSSO"
sudo sysdiagnose
sudo log config --reset --subsystem "com.apple.AppSSO"

問題を再現しながら SSO 拡張機能をリアルタイムで監視するには次を実行します。

tail -F ~/Library/Containers/com.microsoft.CompanyPortalMac.ssoextension/Data/Library/Caches/Logs/Microsoft/SSOExtension/*

Company Portal の Help メニューには 2 つの補助機能があります。Save diagnostic report は SSOExtension.log を含む CompanyPortal.zip を書き出し、Send diagnostic report はログを Microsoft にアップロードしてサポート ケース用のインシデント ID を発行します。設定アシスタントの中で止まった Mac では、Control + Option + Command + Shift + ピリオドを押すと sysdiagnose が起動します。アーカイブは /private/var/tmp/ に sysdiagnose_YYYY.MM.DD_*.tar.gz として保存され、Finder に似たウィンドウが開いて AirDrop で共有でき、同じウィンドウから Company Portal を開いて診断レポートを送信できます。

Platform SSO なしで既に登録済みの Mac の移行

ほとんどのフリートはゼロからの出発ではありません。Microsoft の Company Portal 登録チュートリアルと SSO 拡張機能のガイダンスに従って、私が既存の Intune 登録済み Mac を移行する方法を示します。

Platform SSO の設定カタログ ポリシーをパイロットの静的ユーザー グループに割り当てます。次回の Intune チェックイン時に Mac に Registration Required 通知が表示され、ユーザーが Register を選び MFA で認証すると、デバイスは Platform SSO で Entra 参加済みになります。Microsoft は、これにより以前の SSO 登録が削除され、従来のワークプレース参加の登録がキーチェーンから消去されると述べています。ユーザーは通知を後回しにできるので、短いメールと期限で期待値を設定してください。Enable Registration During Setup 設定は登録済みの Mac には無害なので、1 つのポリシーでユーザー アフィニティのある新規デバイスと既存デバイスの両方に対応できます。

Microsoft の注意喚起は率直です。テストして準備が整うまで Platform SSO ポリシーをユーザーに配布しないこと。既存ユーザーとそのコンプライアンス条件を壊す可能性があるからです。条件付きアクセスの変更と同じ扱いにしてください。IT 部門でパイロットし、次にアーリー アダプター、その後は部門ごとに展開します。パイロットが実証できたら、Device Features の SSO 拡張機能プロファイルの割り当てを解除し、エラー 10002 に当たらないようにします。後で Mac から Platform SSO を外す必要がある場合、登録完了後は既存プロファイルをその場で編集しても何も起こらないことを覚えておいてください。割り当てを外して同期し、Platform SSO 設定を無効にした新しいプロファイルを割り当てて再度同期する必要があり、その後コンプライアンスを機能させるには従来のワークプレース参加の登録をやり直さなければなりません。

古いハードウェアは登録後のフローに残ります。設定アシスタント内の登録には macOS 26 が必要ですが、Platform SSO 自体は macOS 13 まで対応しているので、混在フリートでは古い Mac は単にデスクトップで登録します。ADE なしでセットアップされたが Apple Business Manager に登録されており登録ポリシーが割り当てられている組織の Mac がある場合、macOS 10.13 以降で sudo profiles renew -type enrollment を実行すると、既に設定アシスタントを終えた Mac で ADE 登録がトリガーされ、ユーザーは Company Portal で Entra 登録を完了します。

Intel と Apple シリコンが混在する Mac フリートはウェーブに分けて移行し、最後のウェーブが登録を終えるまで条件付きアクセス ポリシーをレポート専用モードに保ってください。最も多いチケットは通知を閉じてしまったユーザーからのものになると想定し、サインアウトして再サインインすれば通知が再表示されると案内します。

取るべき対応

1. Mac を macOS バージョンと Company Portal バージョンで棚卸しします。macOS 26 または Company Portal 5.2604.0 未満の機器は登録中ではなく登録後に登録します。
2. Apple MDM プッシュ証明書と登録プログラム トークンの有効期限を確認し、トークンを所有する Apple ID を記録します。
3. 認証方式を今決めます。Authentication Method や Use Shared Device Keys を後で変更すると、すべてのデバイスが再登録になります。既定は Secure Enclave にします。
4. パイロット用に割り当て済み (静的) ユーザー グループを作成します。デバイス グループや動的グループは使いません。
5. Company Portal を、バンドル ID com.microsoft.CompanyPortalMac のみを持つ必須の macOS 基幹業務 PKG アプリとして追加し、パイロット グループに割り当てます。
6. 必須設定の表に基づいて Platform SSO 設定カタログ ポリシーを作成し、Enable Registration During Setup を追加して同じグループに割り当てます。
7. ADE 登録ポリシーを作成または更新します。ユーザー アフィニティ、Setup Assistant with modern authentication、Await final configuration を Yes、Locked enrollment を Yes。トークンの既定に設定します。
8. 登録ポリシーで LAPS 管理のローカル管理者を作成し、Non Platform SSO Accounts に列挙します。
9. Mark devices with no compliance policy assigned as を Not compliant に設定し、コンプライアンス パスワード要件を含まない macOS コンプライアンス ポリシーを展開します。
10. Users may join devices to Microsoft Entra がパイロット ユーザーを含み、各ユーザーが MFA 方式を登録済みであることを確認します。
11. Microsoft と Apple のアソシエーション URL を TLS インスペクションから除外します。
12. 1 台の Mac をワイプして登録し、app-sso platform -s、Entra のデバイス レコード、レポート専用モードの条件付きアクセス ポリシーで検証してから展開を広げます。
13. パイロット後、Device Features の SSO 拡張機能プロファイルの割り当てをすべて解除し、条件付きアクセス ポリシーをオンにします。

印刷できるチェックリストが必要ですか。Intune macOS オンボーディング チェックリストは、上記の手順を Apple Business Manager トークンからパイロットと移行の計画まで 20 項目にまとめたものです。

もう一組の手が必要ですか。Big Hat Group は米国とカナダの組織向けに、2 週間のヘルス チェックから完全な移行まで、Microsoft Intune コンサルティングを提供しています。ディスカバリー コールを予約して、お客様の環境についてお話しください。

参考資料

• macOS Platform Single Sign-on (PSSO) overview - Microsoft Entra ID
• Configure Platform SSO for macOS devices - Microsoft Intune
• Add Platform SSO policy to ADE Profile on macOS devices - Microsoft Intune
• Platform SSO scenarios for macOS devices - Microsoft Intune
• Set up automated device enrollment (ADE) for macOS - Microsoft Intune
• Set up a macOS ADE token in Intune - Microsoft Intune
• Manage macOS ADE devices and tokens in Intune - Microsoft Intune
• Overview of Apple Automated Device Enrollment for macOS in Intune - Microsoft Intune
• Add the Company Portal for macOS app - Microsoft Intune
• Device compliance policies in Microsoft Intune - Microsoft Intune
• macOS device compliance settings in Microsoft Intune - Microsoft Intune
• Microsoft Entra Conditional Access overview - Microsoft Entra ID
• Join a Mac device with Microsoft Entra ID during the out of box experience with macOS PSSO - Microsoft Entra ID
• Join a Mac device with Microsoft Entra ID using Company Portal - Microsoft Entra ID
• macOS Platform single sign-on known issues and troubleshooting - Microsoft Entra ID
• Troubleshooting the Microsoft Enterprise SSO Extension plugin on Apple devices - Microsoft Entra ID
• What’s new in Microsoft Intune, week of May 11, 2026