您的 macOS 零接觸部署現在更加零接觸了。

自 2026 年 5 月 11 日當週起,Microsoft Intune 支援在 macOS 自動裝置註冊(ADE)期間完成 Platform Single Sign-On(Platform SSO)註冊。註冊新 Mac 的使用者現在會在 Setup Assistant 流程期間以 Microsoft Entra ID 認證進行驗證 — 並在抵達桌面時,SSO 已設定完成、本機帳號已建立,且 Entra ID 資源可立即存取。

以下是變更內容、為何重要,以及您的組織應如何因應。

變更內容

先前 macOS 上的 Platform SSO 採用兩階段做法:裝置會透過 ADE 註冊、抵達桌面,然後使用者需要個別完成 Platform SSO 註冊 — 通常透過 Company Portal 應用程式或通知中心提示。此註冊後步驟增加摩擦、需要額外使用者培訓,且常因使用者忽略或關閉註冊提示而產生服務台工單。

新工作流程將這些階段合而為一。正確部署時,以下會在 Setup Assistant 期間發生:

  1. 裝置開機並透過 ADE 連線至 Intune
  2. Setup Assistant 在驗證窗格暫停(使用「Await final configuration」)
  3. Company Portal 應用程式(5.2604.0+)與 SSO 擴充功能預先安裝
  4. 使用者以 Microsoft Entra ID 認證進行驗證
  5. 本機帳號建立、裝置註冊與 Platform SSO 註冊同時完成
  6. 使用者抵達桌面 — 完全佈建、SSO 就緒,且可立即存取 Entra ID 資源

先決條件:

  • macOS 26(Tahoe)或更新版本
  • Company Portal 5.2604.0 或更新版本,以企業營運應用程式部署
  • 以 Setup Assistant 與新式驗證設定的 ADE 註冊原則
  • 在 ADE 原則中啟用「Await final configuration」
  • 具備「Enable Registration During Setup」設定的 settings catalog 原則

為何對企業 IT 重要

閉合 macOS 零接觸缺口

iOS 與 iPadOS 多年來已有真正的零接觸註冊。macOS 一直是例外 — 一個裝置可自動註冊但仍需手動註冊後步驟進行身分繫結的平台。此變更閉合了該缺口。對於大規模部署 Mac 的組織而言,這意味更少的支援來電、更快的生產力達成時間,以及真正現代化的使用者體驗。

從第一天起即具備防釣魚驗證

與 Secure Enclave 驗證方法結合時,在 ADE 期間的 Platform SSO 意味使用者從第一次登入起即取得硬體繫結、防釣魚的認證。儲存於 Secure Enclave 的密碼編譯金鑰永不離開裝置,且使用者以 Touch ID 進行日常操作 — 無需密碼輸入。這讓 macOS 驗證與 Windows Hello for Business 對齊,實現一致的跨平台無密碼策略。

消除安全缺口

傳統 macOS 註冊留下了一個窗口:裝置已註冊但尚未完全設定 SSO。在那段窗口期間,Conditional Access 原則無法完整評估裝置信任。透過在 ADE 期間進行 Platform SSO,裝置註冊、使用者驗證與原則評估全都在 Setup Assistant 體驗期間發生 — 在使用者抵達桌面之前。

組織應採取的行動

若您正在規劃新的 macOS 部署:

  • 驗證您的 macOS 機群支援 macOS 26 並據此規劃裝置更換
  • 將 Company Portal 更新至 5.2604.0 或更新版本於您的 Intune 應用程式目錄
  • 建立具備 Platform SSO 設定的 settings catalog 原則,包括「Enable Registration During Setup」
  • 設定您的 ADE 註冊原則使用「Setup Assistant with modern authentication」並啟用「Await final configuration」
  • 將 settings catalog 原則指派給靜態裝置群組(非使用者群組)

若您已部署 Platform SSO:

  • 無需立即遷移 — 現有裝置持續運作
  • 對所有新裝置註冊開始使用新工作流程
  • 考慮分階段推出:先以 IT 試驗,然後擴展至早期採用者,再全組織推行

若您仍在評估 macOS 註冊:

  • 這是承諾投入的正確時機。macOS 26 + Intune + Platform SSO 堆疊已具備生產就緒性,並閉合了 macOS 企業管理的最後重大缺口

未變更的部分

  • 現有 Platform SSO 部署持續運作而無需重新設定
  • 共享 Mac 情境仍需要個別使用者註冊 — Authenticated Guest Mode(macOS 26)是共享裝置的正確模式,但 Microsoft Entra ID 對此功能的支援尚不可用
  • 其他驗證方法(Smart Card、Password Sync)仍可用且運作方式相同
  • settings catalog 原則結構相同 — 您只需新增「Enable Registration During Setup」切換

更宏觀的圖像

此版本是更廣泛趨勢的一部分:Microsoft 與 Apple 終於在閉合 macOS 與其他企業裝置平台之間的功能缺口。macOS 26 為 Platform SSO 引入了 Simplified Setup,而 Intune 現已完整支援。成果是一個終於匹配 IT 團隊對 iOS 與 Windows 期望的 macOS 註冊體驗。

對於以 Microsoft Entra ID 作為身分平台的組織而言,這是重要的一步進展。在 ADE 期間的 Platform SSO 實現了零接觸、無密碼、符合原則的 macOS 部署 — 且無需第三方 MDM 解決方案。

需要協助導覽 Intune 變更嗎? Big Hat Group 協助組織設計、部署與管理 Windows、macOS、iOS 與 Android 的 Microsoft Intune 環境 — 包括 Platform SSO 設定、零接觸註冊工作流程,以及條件式存取原則設計。請聯繫我們以了解我們如何支援您的端點管理策略。

Big Hat Group 是 Microsoft 合作夥伴,專精於現代端點管理、Microsoft Intune 與 Microsoft 365 部署。