您的 macOS 零接触部署现在变得更加零接触了。

从 2026 年 5 月 11 日那周开始，Microsoft Intune 支持在 macOS 自动设备注册（ADE）期间完成 Platform 单点登录（Platform SSO）注册。注册新 Mac 的用户现在在设置助理流程中用其 Microsoft Entra ID 凭据进行身份验证——并到达桌面时 SSO 已配置好、本地账户已创建，并立即可访问 Entra ID 资源。

以下是变更内容、重要性以及您的组织应如何应对。

变更内容

此前，macOS 上的 Platform SSO 需要两阶段方式：设备通过 ADE 注册、到达桌面，然后用户需要单独完成 Platform SSO 注册——通常通过公司门户应用或通知中心提示。这一注册后步骤增加了摩擦，需要额外的用户培训，并常常因为用户错过或忽略注册提示而产生帮助台工单。

新工作流将这些阶段合并为一个。正确部署后，设置助理期间会发生以下情况：

  1. 设备启动并通过 ADE 连接到 Intune
  2. 设置助理在身份验证面板暂停（使用"Await final configuration"）
  3. 公司门户应用（5.2604.0+）连同 SSO 扩展一起预装
  4. 用户使用其 Microsoft Entra ID 凭据进行身份验证
  5. 本地账户创建、设备注册和 Platform SSO 注册同时完成
  6. 用户到达桌面——完全配置、SSO 就绪，可立即访问 Entra ID 资源

先决条件：

  • macOS 26（Tahoe）或更高
  • 公司门户 5.2604.0 或更高，作为业务线应用部署
  • ADE 注册策略配置为设置助理和现代身份验证
  • 在 ADE 策略中启用"Await final configuration"
  • 设置目录策略，配置"Enable Registration During Setup"

对企业 IT 的重要性

弥合 macOS 零接触差距

iOS 和 iPadOS 多年来一直有真正的零接触注册。macOS 一直是个例外——设备可以自动注册但仍需手动注册后步骤来进行身份绑定。此变更弥合了这一差距。对于大规模部署 Mac 的组织，这意味着更少的支持电话、更快的达产时间，以及真正现代的用户体验。

从第一天起即具备防钓鱼身份验证

与 Secure Enclave 身份验证方法结合时，ADE 期间的 Platform SSO 意味着用户从首次登录起就获得硬件绑定、防钓鱼的凭据。存储在 Secure Enclave 中的加密密钥永不离开设备，用户日常操作使用 Touch ID 进行身份验证——无需输入密码。这使 macOS 身份验证与 Windows Hello for Business 看齐，实现一致的跨平台无密码策略。

消除安全缺口

传统 macOS 注册留下了一段窗口期，设备已注册但尚未完全配置 SSO。在此窗口期间，Conditional Access 策略无法完全评估设备信任。通过 ADE 期间的 Platform SSO，设备注册、用户验证和策略评估全部在设置助理体验期间发生——在用户到达桌面之前。

组织应该做什么

如果您正在规划新的 macOS 部署：

  • 验证您的 macOS 设备群是否支持 macOS 26，并相应规划设备更新
  • 将 Intune 应用目录中的公司门户更新至 5.2604.0 或更高版本
  • 创建带 Platform SSO 配置的设置目录策略，包括"Enable Registration During Setup"
  • 配置 ADE 注册策略使用"Setup Assistant with modern authentication"并启用"Await final configuration"
  • 将设置目录策略分配给静态设备组（而非用户组）

如果您已部署 Platform SSO：

  • 无需立即迁移——现有设备继续工作
  • 对所有新设备注册开始使用新工作流
  • 考虑分阶段推广：先在 IT 部门试点，然后扩展到早期采用者，再全组织推广

如果您仍在评估 macOS 注册：

  • 这是承诺的正确时机。macOS 26 + Intune + Platform SSO 技术栈已生产就绪，并弥合了 macOS 企业管理的最后主要缺口

什么没有改变

  • 现有 Platform SSO 部署无需重新配置即可继续工作
  • 共享 Mac 场景仍需按用户注册——Authenticated Guest Mode（macOS 26）是共享设备的正确模式，但 Microsoft Entra ID 对此功能的支持尚未提供
  • 其他身份验证方法（Smart Card、Password Sync）仍可用且功能相同
  • 设置目录策略结构相同——您只需添加"Enable Registration During Setup"开关

更大格局

此版本是更广泛趋势的一部分：Microsoft 和 Apple 终于在弥合 macOS 与其他企业设备平台之间的功能差距。macOS 26 引入了 Platform SSO 的简化设置，Intune 现在完全支持它。结果是 macOS 注册体验终于匹配了 IT 团队从 iOS 和 Windows 期望的水平。

对于承诺将 Microsoft Entra ID 作为身份平台的组织，这是重要一步。ADE 期间的 Platform SSO 实现了零接触、无密码、策略合规的 macOS 部署承诺——并且无需第三方 MDM 解决方案即可实现。

需要帮助应对 Intune 变更？ Big Hat Group 帮助组织设计、部署和管理 Windows、macOS、iOS 和 Android 的 Microsoft Intune 环境——包括 Platform SSO 配置、零接触注册工作流和条件访问策略设计。联系我们了解我们如何支持您的端点管理策略。

Big Hat Group 是一家 Microsoft 合作伙伴，专注于现代端点管理、Microsoft Intune 和 Microsoft 365 部署。