Intune macOS Platform SSO 与自动设备注册配置指南

如果你读过我五月发布的那篇 Intune 现在可以在 macOS 自动设备注册期间完成 Platform SSO 注册，你的反应大概和大多数读者一样：很好，现在把完整的搭建过程展示出来。本指南就是这个搭建过程。它涵盖 Platform SSO 是什么、它取代了什么，Apple Business Manager 和注册策略应该是什么样子，Intune 设置目录策略中的每一项设置及我推荐的取值，之后设备合规性和条件访问如何看待这台 Mac，如何验证注册，以及 Mac 卡在设置助理时该怎么办。这里的每一项要求、设置名称和版本号都以 2026 年 10 月的 Microsoft Learn 为准核对过。凡是加入我个人意见的地方，我都会明说。

Platform SSO 是什么，取代了什么

Platform SSO (PSSO) 是一项 macOS 功能，Microsoft 通过随 Intune Company Portal 应用一起提供的 Microsoft Enterprise SSO 插件来启用它。根据 Microsoft Entra 概述，用户用自己的 Microsoft Entra ID 身份登录 Mac，设备随即加入 Microsoft Entra，而与硬件绑定的主刷新令牌 (PRT) 为所有使用 Entra ID 进行身份验证的应用和浏览器提供单一登录。Microsoft 把这种登录体验描述为类似 Windows Hello for Business，这也是我第一次能对安全团队说，Mac 和 Windows PC 遵循同一套无密码方案。

它取代了两样东西。第一，你可能曾从 Intune 的 Device Features 模板部署过的旧版 SSO 应用扩展配置文件。Platform SSO 已包含 SSO 应用扩展，因此无需单独配置；一旦 PSSO 正常工作，Microsoft 要求取消分配旧配置文件以避免冲突。第二，过去的两阶段入职流程：Mac 先通过 ADE 注册，进入桌面，然后才通过通知催促用户去注册。使用 macOS 26 和 Company Portal 5.2604.0 或更高版本后，注册在设置助理内部完成。

在动手设计之前要知道一条边界：Microsoft 明确说明 Platform SSO 仅支持 Microsoft Entra 加入。不支持混合加入，也没有相关计划。

三种身份验证方式

身份验证方式决定用户如何解锁 Mac，以及本地帐户密码会发生什么。下面的对比摘自 Intune 配置指南和 Entra 概述。

Secure Enclave 在 Mac 的 Secure Enclave 中预配一个与硬件绑定的密钥。本地帐户名和密码被有意保持原样，因为 FileVault 使用本地密码作为磁盘解锁密钥。重启后用户输入一次本地密码，之后由 Touch ID 负责解锁，硬件支持的 PRT 完成其余工作。该凭据还能通过 WebAuthn 作为通行密钥使用；如果你按 AAGUID 限制通行密钥，请为 macOS Platform Credential 添加 7FD635B3-2EF9-4542-8D9D-164F2C771EFC。

Password 用 Entra ID 密码替换本地帐户密码，并保持两者同步。Microsoft 警告，你部署的任何 Intune 密码策略都会作用于此设置，而且 Intune 的密码策略或合规性策略必须与 Entra 密码策略一致，否则同步失败，用户会被拒绝访问。

Smart Card 对 Mac 和 Entra ID 都使用卡上的证书和 PIN。它需要 Entra 证书身份验证，而且 Microsoft 指出设置助理不支持智能卡身份验证，因此注册会在用户进入桌面后进行。

我的建议与 Microsoft 一致：能用 Secure Enclave 的都用它。只有当组织有本地密码必须等于 Entra 密码的硬性要求时，我才会选择 Password，并接受随之而来的密码策略耦合。

要求与许可

Apple Business Manager 与自动设备注册

自动设备注册 (ADE) 是 Apple 面向通过 Apple Business Manager 或参与经销商购买的公司自有 Mac 的注册方式。根据 Intune ADE 概述，ADE 设备默认受监督，可以直接寄给用户，并在开机的那一刻开始注册。新注册的设备在 macOS 13.1 或更高版本上还会为管理配置文件获得 ACME 证书，这是相比 SCEP 的一项低调但实在的安全改进。

注册计划令牌

令牌是 Intune 与 Apple 之间的信任关系。令牌设置文章给出了步骤，顺序如下：

1. 在 Intune 管理中心进入 Devices > Enrollment > Apple > Enrollment program tokens > Create，接受数据共享同意，然后点击 Download your public key 保存 PEM 文件。保持浏览器标签页打开；关闭它会使密钥失效。
2. 在 Apple Business Manager 中打开 Devices > Management Services > Connect external device management，为连接命名，上传 PEM，并下载 .p7m 服务器令牌。
3. 趁还在 Apple 门户中，把设备分配给该管理服务。
4. 回到 Intune，输入下载令牌所用的 Apple ID，上传 .p7m，然后点击 Create。

使用组织的 Apple ID 而不是个人 ID，并记录你用了哪一个。令牌必须每年更新，当该 Apple ID 的密码更改或其所有者离职时也要更新。除非打算更新，否则不要在 Apple Business Manager 中点击 Download Token；这样做会使 Intune 正在使用的令牌失效。

Intune 每 12 小时自动与 Apple 同步；手动同步最多每 15 分钟一次，完整同步最多每七天一次。从 Apple Business Manager 释放的设备会在 30 到 45 天内从 Intune 中消失。

注册策略

在 Devices > Device onboarding > Enrollment > macOS > Enrollment program tokens > 你的令牌 > Enrollment policies > Create policy > macOS 下创建策略。Microsoft 正在淘汰旧的 Profiles 体验，所以新工作请在 Enrollment policies 中进行。ADE 设置文章描述了每个选项；与 Platform SSO 相关的有这些：

• User Affinity：选择 Enroll with User Affinity。无用户注册会禁用 Company Portal，而且 Microsoft 明确说明不要把设置期间注册的配置文件指向无用户的 ADE 设备。
• Authentication method：选择 Setup Assistant with modern authentication。用户登录 Company Portal 后，设备会注册到 Entra ID、加入用户的设备记录、可被评估合规性，并获得对条件访问保护资源的访问权限。
• Await final configuration：选择 Yes。
• Locked enrollment：选择 Yes，让用户无法从系统设置或终端移除管理。注册后不抹掉设备就无法更改此设置。
• Device group：可选地指定一个静态 Microsoft Entra 安全组用于注册时分组；这需要 enrollment time device membership assignment RBAC 权限。
• Account settings：可选地创建由 Intune 的 macOS LAPS 管理的本地管理员，它为每台 Mac 提供唯一、随机的 15 位管理员密码，默认每六个月轮换一次。如果配置了任何帐户设置，Await final configuration 会在后台被强制开启。
• Setup Assistant 面板：填写 Department Name 和 Phone，然后隐藏不希望用户看到的内容。在 macOS 15.4 及更高版本上，Restore 面板无法隐藏。

把策略分配给令牌下的设备，或将其设为该令牌的默认策略。已同步的 Mac 在没有分配策略的情况下开机会导致注册失败，所以我总是在第一台设备出货前就设好默认策略。

Await final configuration 到底做了什么

Microsoft 的描述很精确：就在主屏幕加载之前，设置助理会暂停，让 Intune 与设备签入，而用户等待期间体验被锁定。用户可以看到策略正在下载，没有最短或最长时间限制，在 Microsoft 的验证中大多数设备在 15 分钟内被放行。新注册策略默认开启，而现有策略默认关闭，所以请检查你在 2026 年之前创建的任何策略。正是这个暂停让 Platform SSO 注册在进入桌面之前发生，也是部署"基本能用"时我最常见到被遗漏的设置。

Platform SSO 设置目录策略

在 Devices > Manage devices > Configuration > Create > New policy 下创建，平台选 macOS，配置文件类型选 Settings catalog。在 Add settings 中展开 Authentication，选择 Extensible Single Sign On (SSO)。一个组只能分配一条 SSO 策略，所以如果你已经有 Platform SSO 策略，请把新设置加到它里面，而不是再建一条。

必需设置与推荐值

下面的值来自 Intune Platform SSO 配置指南和注册期间配置的文章。

关于 Token To User Mapping 有两点说明。备选值 preferred_username 会覆盖你在 LAPS 帐户设置中配置的内容，并忽略 LAPS 的 SamAccountName。如果你需要把本地 SamAccountName 作为本地帐户名，Microsoft 表示必须运行 Company Portal 2608.0 或更高版本，并把 Enable Create First User During Setup 设为 false，代价是用户在注册期间要授权三次。另外，如果在已部署的策略上更改 Authentication Method 或 Use Shared Device Keys，所有设备都会重新注册。请在试点之前确定这两项设置。

设置助理期间的注册

开启 Enable Registration During Setup 后，Platform SSO 注册在 ADE 流程中运行，而不是在其之后。Microsoft 指出，用户至少要输入两次 Entra 凭据：一次用于启动注册，一次在提供 SSO 扩展的 Company Portal 中。当 Intune 检测到 Company Portal 以业务线应用形式分配给正在注册的用户时，会在注册期间优先推送该应用。如果三条策略中任何一条缺失或配置错误，注册就会失败，唯一的修复方法是更正策略、抹掉设备并重新注册。

帐户模式：管理员还是标准用户

Platform SSO 场景文章记录了终端用户相关设置。Microsoft 补充说，未记录在文档中的 Platform SSO 设置不受支持，所以请克制用列表之外的 Apple 键做实验的冲动。

我的做法：让 ADE 注册策略创建一个由 LAPS 管理的本地管理员，把该帐户列入 Non Platform SSO Accounts，并把两个授权模式都设为 Standard。LAPS 帐户满足"至少一个 Admin"的规则，用户以标准权限运行，服务台需要时可以在 Intune 中查询管理员密码。

同一策略的 Extension Data 字典里还有几个场景：enable_se_key_biometric_policy = true 强制每次使用 Secure Enclave 密钥时都要 Touch ID（需要 macOS 14.6 和 Company Portal 2504 或更高版本，无密码回退，事后开启需要完整重新注册）；AppPrefixAllowList = com.microsoft.,com.apple. 以及 browser_sso_interaction_enabled = 1 和 disable_explicit_app_prompt = 1 延续了我们多数人放在旧 SSO 扩展配置文件中的代理设置；custom_tgt_setting 在 Company Portal 2508 或更高版本上控制到本地 Active Directory 和 Entra ID Kerberos 资源的 Kerberos 票证映射。

共享设备与无用户 Mac

Use Shared Device Keys 让 Platform SSO 对 Mac 上的所有用户使用相同的签名和加密密钥，这正是多人通过 Enable Create User At Login 登录的设备所需要的。不带用户相关性注册的共享 Mac 是另一种情况：Microsoft 说不要把设置期间注册的配置文件指向无用户的 ADE 设备，Company Portal 不在这类设备上运行，而且无用户 macOS 不支持设备合规性评估。如果你必须管理无用户 Mac，请为它们准备一条不含 Enable Registration During Setup 的独立 Platform SSO 策略，并按照配置指南对不带用户相关性注册设备的允许方式分配给设备组。

分配：静态用户组，而不是设备组

这是最容易让人栽跟头的一点，也是我必须纠正自己五月那篇文章的地方，当时我建议使用静态设备组。Microsoft 对设置助理期间注册的指示毫不含糊：把 Platform SSO 策略、Company Portal 应用和注册配置文件分配给相同的已分配（静态）用户组。设备组不行，动态组不行，如果三条策略落在不同的组，注册期间的 Platform SSO 就会失败。分配筛选器允许用于这些静态用户组。更广泛的配置指南还补充，对于任何带用户相关性的 Mac，使用设备组或带筛选器的分配可能导致 Company Portal 跳过 Entra 设备注册，使用户无法通过条件访问。创建一个专用组，例如 macOS-PSSO-Pilot，加入试点用户，然后把三条策略都指向它。

Mac 的条件访问与设备合规性

做完这一切的回报是条件访问可以信任这台 Mac。Intune 合规性概述解释了这条链路：设备注册时在 Entra ID 中登记；Intune 把合规状态报告给 Entra ID；带有 Require device to be marked as compliant 授予控制的条件访问策略根据该状态放行或阻止。条件访问本身需要 Microsoft Entra ID P1，Microsoft 365 Business Premium 的客户也拥有它。

在构建基于设备的策略之前，打开 Endpoint security > Device compliance > Compliance policy settings，把 Mark devices with no compliance policy assigned as 从默认的 Compliant 改为 Not compliant。Microsoft 说使用条件访问时就应如此，因为默认值会把所有没有策略的设备视为合规。Compliance status validity period 默认为 30 天，可设置为 1 到 120 天。

然后创建 macOS 合规性策略。在 macOS 合规性设置参考中，我几乎每个项目都会用到的设置是 Require a system integrity protection、Minimum OS version（当 Rapid Security Response 重要时用版本号）、用于 FileVault 的 Require encryption of data storage on device、启用 Firewall，以及把 Gatekeeper 设为 Mac App Store and identified developers。有一条警告值得加粗：Microsoft 指出，在合规性策略中要求密码会使设备上所有帐户的现有密码过期，包括 LAPS 和 Platform SSO 创建的帐户。请改用把 Change At Next Auth 设为 False 的设置目录策略来管理密码。

Platform SSO 注册之后，条件访问看到的是一台已加入 Microsoft Entra 的 Mac，带有只有 SSO 插件才能使用的硬件绑定工作区加入证书。浏览器也需要代理：Edge 用户必须登录自己的 Edge 配置文件，Chrome 需要 Microsoft Single Sign On 扩展，可以通过首选项文件策略强制安装。如果帐户上仍启用了按用户 MFA，请关闭它并改用条件访问 MFA；Microsoft 把按用户 MFA 记录为注册期间密码同步失败的原因之一。

部署顺序与要创建的策略

按这个顺序构建，确保没有任何东西在其依赖项之前到达 Mac。如果你用 Graph 编写脚本实现其中任何部分，请先阅读我关于多管理员批准现在对仅应用 Graph 调用生效的说明；从未获批准的服务主体创建受保护资源会返回 HTTP 403。

第一波先以仅报告模式运行条件访问策略，查看登录日志，然后再开启。我在 Intune What’s New 系列中跟踪这套方案在 Intune 侧的变化，而 Microsoft 自己的 What’s new 页面也在 2026 年 5 月 11 日那一周记录了 ADE 期间注册这项功能。

验证

从用户看到的内容开始，因为它能告诉你哪个阶段失败了。Microsoft 的开箱体验教程描述了流程：你好屏幕、地区与网络、下载 Intune 配置文件的 Remote Management 提示、带 MFA 的 Entra 登录（推荐 Authenticator），以及创建帐户。启用设置期间注册后，Platform SSO 注册和 Company Portal 登录会在 Awaiting final configuration 屏幕把 Mac 放行到桌面之前完成。使用 Secure Enclave 方式时，用户重启后输入一次本地密码，之后使用 Touch ID。

然后检查 Mac 本身：

1. 系统设置 > 用户与群组，点击网络帐户服务器旁的编辑，确认 Platform SSO 显示为已注册。点击用户旁的信息图标查看方式：Secure enclave、Smart Card 或 Password。
2. 系统设置 > 隐私与安全性 > 描述文件：策略显示为 com.apple.extensiblesso Profile，打开它可以确认 URL 和标识符。
3. 在终端中以已登录用户身份运行状态命令。Microsoft 说你应该在输出末尾看到已获取 SSO 令牌，而在 macOS 13 上这条命令是唯一的检查方式。

app-sso platform -s

4. 如果这台 Mac 以前用旧方式注册过，打开钥匙串访问，确认传统的 Workplace Join 密钥已经消失；Microsoft 把它列为迁移设备的验证步骤。

接着检查云端。在 Microsoft Entra 管理中心的 Entra ID > Devices > All devices 下，该 Mac 显示为已加入 Microsoft Entra，并关联到用户的设备记录。在 Intune 中，设备页面应显示 Company Portal 应用已安装、Platform SSO 配置文件成功、合规状态为 Compliant；Devices > Monitor > Setting compliance 显示跟踪有效期的 Is active 检查。最后，打开 Teams 或 Outlook，并在 Edge 中打开一个受条件访问保护的站点，不应出现任何凭据提示。

故障排除

Microsoft 维护着两个故障排除页面：Platform SSO 已知问题和 Enterprise SSO 扩展指南。下面是我在实际环境中遇到的故障及文档记载的修复方法。

如果三条 ADE 策略配置错误且 Mac 卡住了，Microsoft 的恢复步骤很具体：取消分配启用了 Enable Registration During Setup 的 Platform SSO 策略并同步，把该设置改为禁用（Password 方式下还要把 Enable Create First User During Setup 改为禁用）后再同步，然后抹掉设备。抹掉是必需的，因为只有全新注册才会拾取更正后的配置文件。

收集日志

对于已进入桌面的 Mac，启用持久调试日志，重现问题，采集 sysdiagnose，然后重置：

sudo log config --mode "level:debug,persist:debug" --subsystem "com.apple.AppSSO"
sudo sysdiagnose
sudo log config --reset --subsystem "com.apple.AppSSO"

要在重现问题时实时观察 SSO 扩展：

tail -F ~/Library/Containers/com.microsoft.CompanyPortalMac.ssoextension/Data/Library/Caches/Logs/Microsoft/SSOExtension/*

Company Portal 的 Help 菜单下有两个帮手：Save diagnostic report 生成包含 SSOExtension.log 的 CompanyPortal.zip，Send diagnostic report 则把日志上传到 Microsoft 并给你一个用于支持案例的事件 ID。对于卡在设置助理内部的 Mac，按 Control + Option + Command + Shift + 句点触发 sysdiagnose；归档以 sysdiagnose_YYYY.MM.DD_*.tar.gz 的形式保存在 /private/var/tmp/，会打开一个类似访达的窗口供你通过 AirDrop 共享，并且可以从同一窗口打开 Company Portal 并发送诊断报告。

迁移已注册但未使用 Platform SSO 的 Mac

大多数设备群并非从零开始。下面是我按照 Microsoft 的 Company Portal 注册教程及其 SSO 扩展指南迁移现有 Intune 注册 Mac 的方法。

把 Platform SSO 设置目录策略分配给试点静态用户组。下次 Intune 签入时，Mac 会显示 Registration Required 通知；用户点击 Register，通过 MFA 验证，设备即以 Platform SSO 加入 Entra。Microsoft 表示这会移除旧的 SSO 注册，并从钥匙串中删除传统的工作区加入注册。用户可以推迟该通知，所以请用一封简短邮件和一个截止日期设定预期。Enable Registration During Setup 设置对已注册的 Mac 无害，因此一条策略就能同时服务带用户相关性的新设备和现有设备。

Microsoft 的提醒很直白：在测试完成并准备就绪之前，不要把 Platform SSO 策略推给用户，因为它可能破坏现有用户及其合规条件。把它当作一次条件访问变更来对待。先在 IT 部门试点，再到早期采用者，然后按部门推进。试点验证通过后，取消分配 Device Features SSO 扩展配置文件，这样就永远不会碰到错误 10002。如果之后需要从某台 Mac 上移除 Platform SSO，请记住注册完成后原地编辑现有配置文件毫无作用；你必须移除分配、同步、分配一个禁用了 Platform SSO 设置的新配置文件、再同步，之后还必须重新完成传统的工作区加入注册，合规性才能正常工作。

较旧的硬件留在注册后流程中。设置助理内注册需要 macOS 26，但 Platform SSO 本身向下支持到 macOS 13，所以混合设备群中的旧 Mac 只是在桌面上完成注册。如果你有未经 ADE 设置、但已列入 Apple Business Manager 并分配了注册策略的公司 Mac，在 macOS 10.13 或更高版本上运行 sudo profiles renew -type enrollment 可以在已经完成设置助理的 Mac 上触发 ADE 注册；用户随后在 Company Portal 中完成 Entra 注册。

按波次迁移 Intel 与 Apple 芯片混合的 Mac 设备群，并在最后一波完成注册之前让条件访问策略保持仅报告模式。最常见的工单预计来自关掉了通知的用户；解决办法是注销后重新登录，让通知重新出现。

应该怎么做

1. 按 macOS 版本和 Company Portal 版本盘点你的 Mac；低于 macOS 26 或 Company Portal 5.2604.0 的设备在注册之后而不是注册期间完成注册。
2. 确认 Apple MDM 推送证书和注册计划令牌的到期日期，并记录拥有该令牌的 Apple ID。
3. 现在就确定身份验证方式，因为之后更改 Authentication Method 或 Use Shared Device Keys 会让所有设备重新注册。默认选 Secure Enclave。
4. 为试点创建一个已分配（静态）用户组。不要使用设备组或动态组。
5. 把 Company Portal 添加为必需的 macOS 业务线 PKG 应用，仅包含 com.microsoft.CompanyPortalMac 捆绑包 ID，并分配给试点组。
6. 按必需设置表构建 Platform SSO 设置目录策略，加入 Enable Registration During Setup，并分配给同一组。
7. 创建或更新 ADE 注册策略：用户相关性、Setup Assistant with modern authentication、Await final configuration 为 Yes、Locked enrollment 为 Yes。将其设为令牌默认策略。
8. 在注册策略中创建由 LAPS 管理的本地管理员，并列入 Non Platform SSO Accounts。
9. 把 Mark devices with no compliance policy assigned as 设为 Not compliant，并部署一条不含合规性密码要求的 macOS 合规性策略。
10. 确认 Users may join devices to Microsoft Entra 覆盖试点用户，并且他们已注册 MFA 方式。
11. 把 Microsoft 和 Apple 的关联 URL 排除在 TLS 检查之外。
12. 抹掉一台 Mac，注册它，并用 app-sso platform -s、Entra 设备记录以及仅报告模式的条件访问策略验证，然后再扩大部署范围。
13. 试点之后，取消分配所有 Device Features SSO 扩展配置文件，并把条件访问策略切换为开启。

想要一份可打印的清单？Intune macOS 入网清单把上述步骤浓缩为 20 个条目，从 Apple Business Manager 令牌一直到试点与迁移计划。

需要多一双手吗？Big Hat Group 为美国和加拿大的组织提供 Microsoft Intune 咨询，从两周的健康检查到完整迁移。预约一次探索通话，聊聊你的环境。

参考来源

• macOS Platform Single Sign-on (PSSO) overview - Microsoft Entra ID
• Configure Platform SSO for macOS devices - Microsoft Intune
• Add Platform SSO policy to ADE Profile on macOS devices - Microsoft Intune
• Platform SSO scenarios for macOS devices - Microsoft Intune
• Set up automated device enrollment (ADE) for macOS - Microsoft Intune
• Set up a macOS ADE token in Intune - Microsoft Intune
• Manage macOS ADE devices and tokens in Intune - Microsoft Intune
• Overview of Apple Automated Device Enrollment for macOS in Intune - Microsoft Intune
• Add the Company Portal for macOS app - Microsoft Intune
• Device compliance policies in Microsoft Intune - Microsoft Intune
• macOS device compliance settings in Microsoft Intune - Microsoft Intune
• Microsoft Entra Conditional Access overview - Microsoft Entra ID
• Join a Mac device with Microsoft Entra ID during the out of box experience with macOS PSSO - Microsoft Entra ID
• Join a Mac device with Microsoft Entra ID using Company Portal - Microsoft Entra ID
• macOS Platform single sign-on known issues and troubleshooting - Microsoft Entra ID
• Troubleshooting the Microsoft Enterprise SSO Extension plugin on Apple devices - Microsoft Entra ID
• What’s new in Microsoft Intune, week of May 11, 2026