如果你讀過我五月發表的那篇 Intune 現在可在 macOS 自動裝置註冊期間完成 Platform SSO 註冊，你的反應大概和多數讀者一樣：很好，現在把完整的建置流程拿出來。本指南就是那套建置流程。內容涵蓋 Platform SSO 是什麼、取代了什麼，Apple Business Manager 與註冊原則該長什麼樣子，Intune 設定目錄原則中的每一項設定與我建議的數值，之後裝置合規性與條件式存取如何看待這台 Mac，如何驗證註冊，以及 Mac 卡在設定輔助程式時該怎麼辦。這裡的每一項需求、設定名稱與版本號碼，都已依 2026 年 10 月的 Microsoft Learn 核對。凡是加入我個人意見的地方，我都會說明。
Platform SSO 是什麼，取代了什麼
Platform SSO (PSSO) 是一項 macOS 功能，Microsoft 透過隨 Intune Company Portal 應用程式一起提供的 Microsoft Enterprise SSO 外掛程式啟用它。根據 Microsoft Entra 概觀，使用者以自己的 Microsoft Entra ID 身分登入 Mac，裝置隨即加入 Microsoft Entra，而與硬體綁定的主要重新整理權杖 (PRT) 為所有透過 Entra ID 驗證的應用程式與瀏覽器提供單一登入。Microsoft 將這種登入體驗形容為類似 Windows Hello for Business，而這也是我第一次能告訴資安團隊，Mac 與 Windows PC 走的是同一條無密碼路線。
它取代了兩樣東西。第一，你可能曾從 Intune 的 Device Features 範本部署的舊版 SSO 應用程式延伸模組設定檔。Platform SSO 已包含 SSO 應用程式延伸模組，因此不必另外設定；一旦 PSSO 運作正常，Microsoft 要求取消指派舊的設定檔以避免衝突。第二，過去的兩階段上線流程：Mac 先透過 ADE 註冊、進入桌面，然後才透過通知催促使用者去註冊。有了 macOS 26 與 Company Portal 5.2604.0 或更新版本之後，註冊在設定輔助程式內部就完成了。
在開始設計之前要先知道一條界線：Microsoft 明確指出 Platform SSO 僅支援 Microsoft Entra 加入。不支援混合式加入，也沒有相關計畫。
三種驗證方式
驗證方式決定使用者如何解鎖 Mac，以及本機帳號密碼會發生什麼事。下面的比較摘錄自 Intune 設定指南與 Entra 概觀。
| 能力 | Secure Enclave | Smart Card | Password |
|---|---|---|---|
| 無密碼且抵抗網路釣魚 | 是 | 是 | 否 |
| 以 Touch ID 解鎖 | 是 | 是 | 是 |
| 憑證可當作通行密鑰使用 | 是 | 否 | 否 |
| 設定時必須 MFA | 是 | 是 | 否 |
| 本機 Mac 密碼與 Entra ID 同步 | 否 | 否 | 是 |
| 最低 macOS | 13 | 14 | 13 |
| 在設定輔助程式內註冊 | 是 | 否 | 是 |
Secure Enclave 會在 Mac 的 Secure Enclave 中佈建一把與硬體綁定的金鑰。本機帳號名稱與密碼刻意維持原狀，因為 FileVault 使用本機密碼作為磁碟解鎖金鑰。重新開機後使用者輸入一次本機密碼，之後由 Touch ID 負責解鎖，硬體支援的 PRT 處理其餘工作。這份憑證也能透過 WebAuthn 當作通行密鑰使用；如果你以 AAGUID 限制通行密鑰，請為 macOS Platform Credential 加入 7FD635B3-2EF9-4542-8D9D-164F2C771EFC。
Password 以 Entra ID 密碼取代本機帳號密碼，並讓兩者保持同步。Microsoft 警告，你部署的任何 Intune 密碼原則都會套用到此設定，而且 Intune 的密碼原則或合規性原則必須與 Entra 密碼原則一致，否則同步會失敗，使用者會被拒絕存取。
Smart Card 對 Mac 與 Entra ID 都使用卡片上的憑證與 PIN。它需要 Entra 憑證式驗證，而且 Microsoft 指出設定輔助程式不支援智慧卡驗證，因此註冊會在使用者進入桌面後進行。
我的建議與 Microsoft 相同：能用 Secure Enclave 的都用它。只有在組織硬性要求本機密碼必須等於 Entra 密碼時，我才會選 Password，並接受隨之而來的密碼原則耦合。
需求與授權
| 元件 | 需求 |
|---|---|
| macOS | Platform SSO 需要 13.0 或更新版本；Microsoft 建議以 macOS 14 為實務上的最低版本；設定輔助程式期間註冊需要 macOS 26 或更新版本 |
| Company Portal | Platform SSO 需要 5.2404.0 或更新版本；設定輔助程式期間註冊需要 5.2604.0 或更新版本；以必要的企業營運 PKG 應用程式形式部署 |
| Intune 授權 | Platform SSO 包含在所有 Microsoft Intune 授權方案中；以使用者親和性註冊 Mac 的使用者需要 Intune 授權 |
| Microsoft Entra ID | 使用者必須獲准加入裝置（Entra ID > Devices > Overview > Device Settings > Users may join devices to Microsoft Entra）；使用者需要已註冊的 MFA 方式，建議使用 Microsoft Authenticator |
| 條件式存取 | Microsoft Entra ID P1（Microsoft 365 Business Premium 亦包含） |
| Apple | Apple Business Manager 或 Apple School Manager、Intune 中的 Apple MDM 推播憑證、註冊方案權杖，以及設為 Intune 的 MDM 授權單位 |
| Intune 角色 | Policy and Profile Manager，或具備 Device Configuration 的 Read、Create、Update 與 Assign 權限的自訂角色 |
| 瀏覽器 | Microsoft Edge、Safari、安裝 Microsoft Single Sign On 延伸模組的 Google Chrome、設定 MicrosoftEntraSSO 原則的 Firefox |
| 網路 | 將 login.microsoftonline.com、login.microsoft.com、sts.windows.net、app-site-association.cdn-apple.com 與 app-site-association.networking.apple 排除於 TLS 檢查之外 |
Apple Business Manager 與自動裝置註冊
自動裝置註冊 (ADE) 是 Apple 針對透過 Apple Business Manager 或參與經銷商購買的公司自有 Mac 所提供的註冊方式。根據 Intune ADE 概觀，ADE 裝置預設受監督，可以直接寄給使用者，並且在有人開機的那一刻就開始註冊。新註冊的裝置在 macOS 13.1 或更新版本上還會為管理設定檔取得 ACME 憑證，這是相較於 SCEP 的一項低調但實在的安全性改進。
註冊方案權杖
權杖是 Intune 與 Apple 之間的信任關係。權杖設定文章有完整步驟，順序如下：
- 在 Intune 系統管理中心前往 Devices > Enrollment > Apple > Enrollment program tokens > Create，接受資料共用同意，然後點選 Download your public key 儲存 PEM 檔案。讓瀏覽器分頁保持開啟；關閉會使金鑰失效。
- 在 Apple Business Manager 中開啟 Devices > Management Services > Connect external device management，為連線命名，上傳 PEM，並下載
.p7m伺服器權杖。 - 趁還在 Apple 入口網站時，把裝置指派給該管理服務。
- 回到 Intune，輸入下載權杖時所用的 Apple ID，上傳
.p7m，然後點選 Create。
請使用組織的 Apple ID 而非個人帳號，並記下你用了哪一個。權杖必須每年更新，當該 Apple ID 的密碼變更或其擁有者離職時也要更新。除非打算更新，否則不要在 Apple Business Manager 點選 Download Token；這樣做會讓 Intune 正在使用的權杖失效。
Intune 每 12 小時自動與 Apple 同步；手動同步最多每 15 分鐘一次，完整同步最多每七天一次。從 Apple Business Manager 釋出的裝置會在 30 到 45 天內從 Intune 消失。
註冊原則
在 Devices > Device onboarding > Enrollment > macOS > Enrollment program tokens > 你的權杖 > Enrollment policies > Create policy > macOS 底下建立原則。Microsoft 正在淘汰舊的 Profiles 體驗，所以新的工作請在 Enrollment policies 中進行。ADE 設定文章說明了每個選項；與 Platform SSO 有關的是這些：
- User Affinity：選擇 Enroll with User Affinity。無使用者註冊會停用 Company Portal，而且 Microsoft 明確表示不要把設定期間註冊的設定檔指向無使用者的 ADE 裝置。
- Authentication method：選擇 Setup Assistant with modern authentication。使用者登入 Company Portal 之後，裝置會註冊到 Entra ID、加入使用者的裝置記錄、可被評估合規性，並取得受條件式存取保護資源的存取權。
- Await final configuration：選擇 Yes。
- Locked enrollment：選擇 Yes，讓使用者無法從系統設定或終端機移除管理。註冊後若不清除裝置就無法變更此設定。
- Device group：可選擇指定一個靜態 Microsoft Entra 安全性群組用於註冊時分組；這需要 enrollment time device membership assignment RBAC 權限。
- Account settings：可選擇建立由 Intune 的 macOS LAPS 管理的本機系統管理員，為每台 Mac 提供唯一、隨機的 15 字元管理員密碼，預設每六個月輪替一次。只要設定了任何帳號設定，Await final configuration 就會在背景被強制開啟。
- Setup Assistant 面板：填入 Department Name 與 Phone，然後隱藏你不想讓使用者看到的項目。在 macOS 15.4 及更新版本上，Restore 面板無法隱藏。
將原則指派給權杖底下的裝置，或設為該權杖的預設原則。已同步的 Mac 若在沒有指派原則的情況下開機，註冊會失敗，所以我一律在第一台裝置出貨前就設定預設原則。
Await final configuration 實際上做了什麼
Microsoft 的描述很精確：就在主畫面載入之前，設定輔助程式會暫停，讓 Intune 與裝置簽入，而使用者等待期間體驗會被鎖定。使用者可以看到原則正在下載，沒有最短或最長的時間限制，在 Microsoft 的驗證中大多數裝置在 15 分鐘內就被放行。新的註冊原則預設開啟，既有原則則預設關閉，所以請檢查任何在 2026 年之前建立的原則。正是這個暫停讓 Platform SSO 註冊在進入桌面之前發生，也是部署「大致能動」時我最常看到被遺漏的設定。
Platform SSO 設定目錄原則
在 Devices > Manage devices > Configuration > Create > New policy 建立，平台選 macOS，設定檔類型選 Settings catalog。在 Add settings 中展開 Authentication，選擇 Extensible Single Sign On (SSO)。一個群組只能指派一項 SSO 原則，所以如果你已經有 Platform SSO 原則，請把新設定加進去，而不是再建立第二項。
必要設定與建議數值
以下數值來自 Intune Platform SSO 設定指南與註冊期間設定的文章。
| 設定 | 數值 | 備註 |
|---|---|---|
| Extension Identifier | com.microsoft.CompanyPortalMac.ssoextension | 與 Team Identifier 搭配使用 |
| Team Identifier | UBF8T346G9 | Microsoft 的 Apple 團隊 ID |
| Type | Redirect | |
| URLs | https://login.microsoftonline.com、https://login.microsoft.com、https://sts.windows.net | 只有在使用主權雲端時才加入其 URL |
| Registration Token | {{DEVICEREGISTRATION}} | 要包含大括號 |
| Screen Locked Behavior | Do Not Handle | |
| Platform SSO > Authentication Method | UserSecureEnclaveKey（建議）、Password 或 SmartCard | macOS 14 及更新版本；macOS 13 改用 Authentication Method (Deprecated) 設定，混合環境兩者都要設定 |
| Platform SSO > Use Shared Device Keys | Enabled | macOS 14 及更新版本；Mac 上所有使用者共用一組金鑰 |
| Platform SSO > FileVault Policy | AttemptAuthentication | macOS 15 及更新版本，僅限 Password 方式 |
| Token To User Mapping > Account Name | com.apple.PlatformSSO.AccountShortName | 以 UPN 前置詞作為本機簡短名稱；這是 ADE 期間註冊應使用的數值 |
| Token To User Mapping > Full Name | name | Entra 的 name 宣告 |
| Platform SSO > Enable Registration During Setup | Enabled | ADE 的開關；需要 macOS 26 與 Company Portal 5.2604.0 |
| Platform SSO > Enable Create First User During Setup | 僅在 Password 方式下為 Enabled | Secure Enclave 或 Smart Card 不要加入此項 |
關於 Token To User Mapping 有兩點說明。替代數值 preferred_username 會覆寫你在 LAPS 帳號設定中設定的內容，LAPS 的 SamAccountName 會被忽略。如果你需要以內部部署的 SamAccountName 作為本機帳號名稱，Microsoft 表示必須執行 Company Portal 2608.0 或更新版本，並將 Enable Create First User During Setup 設為 false，代價是使用者在註冊期間要授權三次。另外，若在已部署的原則上變更 Authentication Method 或 Use Shared Device Keys，所有裝置都會重新註冊。請在試行之前就決定這兩項設定。
設定輔助程式期間的註冊
開啟 Enable Registration During Setup 之後，Platform SSO 註冊會在 ADE 流程中執行，而不是在之後。Microsoft 指出使用者至少要輸入兩次 Entra 憑證：一次用來啟動註冊，一次在提供 SSO 延伸模組的 Company Portal 中。當 Intune 偵測到 Company Portal 以企業營運應用程式形式指派給正在註冊的使用者時，會在註冊期間優先推送該應用程式。如果三項原則中任何一項缺失或設定錯誤，註冊就會失敗，唯一的修正方法是更正原則、清除裝置並重新註冊。
帳號模式：系統管理員還是標準使用者
Platform SSO 案例文章記錄了終端使用者相關設定。Microsoft 補充說明，未記載於文件的 Platform SSO 設定不受支援，所以請克制用清單以外的 Apple 金鑰做實驗的衝動。
| 設定 | 數值 | 作用 |
|---|---|---|
| Account Display Name | 任意字串 | 使用者在 Platform SSO 通知中看到的組織名稱 |
| Enable Create User At Login | Enable 或 Disable | 允許組織內任何使用者在登入視窗以 Entra 憑證登入；使用者名稱與密碼必須與使用者的 UPN 和 Entra 密碼一致 |
| New User Authorization Mode | Standard、Admin 或 Groups | 帳號建立時的一次性權限；目前只支援 Standard 與 Admin，而且 Mac 上必須至少有一個 Admin 才能使用 Standard |
| User Authorization Mode | Standard、Admin 或 Groups | 每次透過 Platform SSO 登入時的持續性權限；同樣有 Standard 與 Admin 的限制 |
| Non Platform SSO Accounts | 本機帳號名稱 | 這些帳號不會被提示註冊，並免除 FileVault、Login 與 Unlock 原則；把 LAPS 系統管理員放在這裡 |
| FileVault Policy | AttemptAuthentication（macOS 15+）、RequireTouchID（macOS 27+）等 | 在 FileVault 畫面驗證 Entra 密碼，或要求 Touch ID 作為內建第二因素 |
我的做法：讓 ADE 註冊原則建立一個由 LAPS 管理的本機系統管理員，把該帳號列入 Non Platform SSO Accounts，並將兩個授權模式都設為 Standard。LAPS 帳號滿足「至少一個 Admin」的規則，使用者以標準權限運作，服務台需要時可在 Intune 查詢管理員密碼。
同一項原則的 Extension Data 字典中還有幾個案例：enable_se_key_biometric_policy = true 會強制每次使用 Secure Enclave 金鑰時都要 Touch ID（需要 macOS 14.6 與 Company Portal 2504 或更新版本，沒有密碼備援，事後開啟需要完整重新註冊）；AppPrefixAllowList = com.microsoft.,com.apple. 以及 browser_sso_interaction_enabled = 1 和 disable_explicit_app_prompt = 1 延續了我們多數人放在舊 SSO 延伸模組設定檔中的仲介設定；custom_tgt_setting 在 Company Portal 2508 或更新版本上控制到內部部署 Active Directory 與 Entra ID Kerberos 資源的 Kerberos 票證對應。
共用裝置與無使用者 Mac
Use Shared Device Keys 讓 Platform SSO 對 Mac 上的所有使用者使用相同的簽署與加密金鑰，這正是多人透過 Enable Create User At Login 登入的裝置所需要的。不含使用者親和性註冊的共用 Mac 是另一種情況：Microsoft 表示不要把設定期間註冊的設定檔指向無使用者的 ADE 裝置，Company Portal 不會在這類裝置上執行，而且無使用者的 macOS 不支援裝置合規性評估。如果你必須管理無使用者 Mac，請為它們準備一項不含 Enable Registration During Setup 的獨立 Platform SSO 原則，並依照設定指南對不含使用者親和性註冊裝置所允許的方式指派給裝置群組。
指派：靜態使用者群組，而不是裝置群組
這是最容易讓人跌倒的一點，也是我必須修正自己五月那篇文章的地方，當時我建議使用靜態裝置群組。Microsoft 對設定輔助程式期間註冊的指示毫不含糊：把 Platform SSO 原則、Company Portal 應用程式與註冊設定檔指派給相同的已指派（靜態）使用者群組。裝置群組不行，動態群組不行，如果三項原則落在不同群組，註冊期間的 Platform SSO 就會失敗。指派篩選條件可用於這些靜態使用者群組。更廣泛的設定指南還補充，對任何具使用者親和性的 Mac，使用裝置群組或帶篩選條件的指派可能讓 Company Portal 略過 Entra 裝置註冊，使用者因此無法通過條件式存取。建立一個專用群組，例如 macOS-PSSO-Pilot，加入試行使用者，然後把三項原則都指向它。
Mac 的條件式存取與裝置合規性
做完這一切的回報是條件式存取可以信任這台 Mac。Intune 合規性概觀說明了這條鏈：裝置註冊時會在 Entra ID 中登錄；Intune 將合規狀態回報給 Entra ID；具有 Require device to be marked as compliant 授與控制項的條件式存取原則依據該狀態放行或封鎖。條件式存取本身需要 Microsoft Entra ID P1，Microsoft 365 Business Premium 的客戶也擁有它。
在建立以裝置為基礎的原則之前，先開啟 Endpoint security > Device compliance > Compliance policy settings，把 Mark devices with no compliance policy assigned as 從預設的 Compliant 改為 Not compliant。Microsoft 表示使用條件式存取時就應如此，因為預設值會把所有沒有原則的裝置視為符合規範。Compliance status validity period 預設為 30 天，可設定為 1 到 120 天。
接著建立 macOS 合規性原則。在 macOS 合規性設定參考中，我幾乎每個專案都會用到的設定是 Require a system integrity protection、Minimum OS version（Rapid Security Response 重要時改用組建版本）、用於 FileVault 的 Require encryption of data storage on device、啟用 Firewall，以及把 Gatekeeper 設為 Mac App Store and identified developers。有一則警告值得粗體：Microsoft 指出，在合規性原則中要求密碼會讓裝置上所有帳號的現有密碼過期，包括 LAPS 與 Platform SSO 建立的帳號。請改用將 Change At Next Auth 設為 False 的設定目錄原則來管理密碼。
Platform SSO 註冊之後，條件式存取看到的是一台已加入 Microsoft Entra 的 Mac，擁有只有 SSO 外掛程式才能使用的硬體綁定工作場所加入憑證。瀏覽器同樣需要仲介：Edge 使用者必須登入自己的 Edge 設定檔，Chrome 需要 Microsoft Single Sign On 延伸模組，可透過偏好設定檔原則強制安裝。如果帳號上仍啟用每位使用者的 MFA，請關閉並改用條件式存取 MFA；Microsoft 將每位使用者的 MFA 記錄為註冊期間密碼同步失敗的原因之一。
部署順序與要建立的原則
依這個順序建置，確保沒有任何東西在其相依項目之前到達 Mac。如果你用 Graph 撰寫指令碼處理其中任何部分，請先閱讀我關於多重系統管理員核准現在對僅限應用程式的 Graph 呼叫生效的說明；從未經核准的服務主體建立受保護資源會回傳 HTTP 403。
| 步驟 | 物件 | 系統管理中心內的位置 | 關鍵數值 | 目標 |
|---|---|---|---|---|
| 1 | Apple MDM 推播憑證 | Devices > Enrollment > Apple | 每年更新 | 租用戶 |
| 2 | 註冊方案權杖 | Devices > Enrollment > Apple > Enrollment program tokens | .p7m，記錄所用的 Apple ID | 在 Apple Business Manager 指派的裝置 |
| 3 | 試行群組 | Microsoft Entra 系統管理中心 > Groups | 已指派（靜態）使用者群組 | 試行使用者 |
| 4 | Company Portal LOB 應用程式 | Apps > All Apps > Create > macOS line-of-business | 來自 https://go.microsoft.com/fwlink/?linkid=853070 的 PKG，套件組合 ID 僅 com.microsoft.CompanyPortalMac，Required | 試行群組 |
| 5 | Platform SSO 設定目錄原則 | Devices > Manage devices > Configuration | 上表，Enable Registration During Setup = Enabled | 試行群組 |
| 6 | ADE 註冊原則 | Enrollment program tokens > Enrollment policies | 使用者親和性、新式驗證、Await final configuration Yes、Locked enrollment Yes | 試行裝置或權杖預設原則 |
| 7 | macOS 合規性原則 | Endpoint security > Device compliance | SIP、最低 OS、FileVault、防火牆、Gatekeeper | 試行群組 |
| 8 | 合規性原則設定 | Endpoint security > Device compliance > Compliance policy settings | Mark devices with no compliance policy assigned as = Not compliant | 租用戶 |
| 9 | 條件式存取原則 | Entra ID > Conditional Access | Require device to be marked as compliant，先用僅報告模式 | 試行群組 |
| 10 | 瀏覽器 SSO 支援 | 應用程式與偏好設定檔原則 | Chrome 的 Microsoft Single Sign On 延伸模組、Firefox 的 MicrosoftEntraSSO | 試行群組 |
第一波先以僅報告模式執行條件式存取原則，閱讀登入記錄，然後再開啟。我在 Intune What’s New 系列中追蹤這套方案在 Intune 端的變化，而 Microsoft 自己的 What’s new 頁面也在 2026 年 5 月 11 日那一週記錄了 ADE 期間註冊這項功能。
驗證
從使用者看到的內容開始，因為它會告訴你哪個階段失敗了。Microsoft 的開箱體驗教學描述了流程：哈囉畫面、地區與網路、下載 Intune 設定檔的 Remote Management 提示、含 MFA 的 Entra 登入（建議使用 Authenticator），以及建立帳號。啟用設定期間註冊後，Platform SSO 註冊與 Company Portal 登入會在 Awaiting final configuration 畫面把 Mac 放行到桌面之前完成。使用 Secure Enclave 方式時，使用者重新開機後輸入一次本機密碼，之後改用 Touch ID。
接著檢查 Mac 本身：
- 系統設定 > 使用者與群組，點選網路帳號伺服器旁的編輯，確認 Platform SSO 顯示為已註冊。點選使用者旁的資訊圖像查看方式：Secure enclave、Smart Card 或 Password。
- 系統設定 > 隱私權與安全性 > 描述檔：原則會顯示為
com.apple.extensiblesso Profile，開啟它即可確認 URL 與識別碼。 - 在終端機以已登入的使用者身分執行狀態指令。Microsoft 表示你應該在輸出結尾看到已取得 SSO 權杖，而在 macOS 13 上這道指令是唯一的檢查方式。
app-sso platform -s
- 如果這台 Mac 先前以舊方式註冊過，請開啟鑰匙圈存取，確認傳統的 Workplace Join 金鑰已經消失；Microsoft 將此列為移轉裝置的驗證步驟。
接著檢查雲端。在 Microsoft Entra 系統管理中心的 Entra ID > Devices > All devices 底下，該 Mac 會顯示為已加入 Microsoft Entra，並連結到使用者的裝置記錄。在 Intune 中，裝置頁面應顯示 Company Portal 應用程式已安裝、Platform SSO 設定檔成功、合規狀態為 Compliant；Devices > Monitor > Setting compliance 會顯示追蹤有效期間的 Is active 檢查。最後，開啟 Teams 或 Outlook，並在 Edge 中開啟一個受條件式存取保護的網站，應該不會出現任何憑證提示。
疑難排解
Microsoft 維護兩個疑難排解頁面：Platform SSO 已知問題與 Enterprise SSO 延伸模組指南。以下是我在實務上遇到的故障，以及文件記載的修正方式。
| 症狀 | Microsoft 記載的原因 | 修正 |
|---|---|---|
| 設定輔助程式期間出現「Unable to sign-in. There was an issue with the extension while registering your account for single sign-on」 | Platform SSO 設定檔送達時 Company Portal 仍在下載；註冊動作是分步進行的，不是單一交易 | 點選 Try again 直到 Company Portal 安裝完成。如果在流程中途編輯了原則，變更要到清除 Mac 之後才會生效 |
| 既有 Mac 上 Registration Required 通知從未出現或消失 | 註冊嘗試失敗或被錯過；對話方塊被關閉 | 等待約 10 分鐘讓它重新出現，登出後重新登入，或在 macOS 14 及更新版本上使用系統設定 > 使用者與群組 > 網路帳號伺服器 > 編輯 > 修復 |
錯誤 10001: misconfiguration in the SSOe payload | 缺少必要設定，或存在對 Redirect 承載無效的設定；macOS 13 與 14 各需要自己的驗證設定 | 將原則與必要設定表對照；混合環境需要在同一原則中設定兩種驗證設定 |
錯誤 10002: multiple SSOe payloads configured | 舊的 Device Features SSO 延伸模組設定檔仍處於指派狀態 | 取消指派；設定目錄原則必須是唯一的延伸模組設定檔 |
| 密碼不同步 | MDM 原則與 Entra ID 之間密碼複雜度不一致；每位使用者的 MFA；臨時密碼無法同步 | 對齊原則，把 MFA 移到條件式存取，讓使用者透過 SSPR 設定永久密碼。FileVault 畫面上的新 Entra 密碼僅在 macOS 15 上有效 |
| FileVault 或 MDM 驅動的密碼重設後提示重新註冊 | Secure Enclave 金鑰受本機密碼保護；未提供該密碼的重設會重設 Secure Enclave | 重新註冊裝置；這是預期行為 |
| macOS 更新後 SSO 外掛程式沒有反應 | 軟體更新精靈狀態 | 先 sudo killall swcd，再 sudo swcutil reset |
| 代理伺服器後方註冊或權杖更新失敗 | 對 Microsoft 或 Apple 網域進行 TLS 檢查 | 排除需求表中的 URL 清單；Apple 不允許在其系統信任存放區加入自訂根憑證 |
| macOS 15 上頻繁出現重新註冊提示 | 並行錯誤損毀裝置設定 | Apple 已在 macOS 15.3 修正；若仍持續，請附上記錄聯絡 Apple |
| 註冊靜悄悄地沒有任何動作 | 使用者缺少加入裝置的權限 | 正確設定 Users may join devices to Microsoft Entra；否則不會顯示任何錯誤 |
| Chrome 無法通過以裝置為基礎的條件式存取 | Company Portal 安裝錯誤導致原生訊息主機檔案遺失 | 檢查 ~/Library/Application Support/Google/Chrome/NativeMessagingHosts/com.microsoft.browsercore.json；重新安裝 Company Portal |
如果三項 ADE 原則設定錯誤且 Mac 卡住了，Microsoft 的復原步驟很具體：取消指派啟用 Enable Registration During Setup 的 Platform SSO 原則並同步，把該設定改為停用（Password 方式下也要把 Enable Create First User During Setup 改為停用）後再同步，然後清除裝置。清除是必要的，因為只有全新的註冊才會取得更正後的設定檔。
收集記錄
對於已進入桌面的 Mac，啟用持續性偵錯記錄，重現問題，擷取 sysdiagnose，然後重設：
sudo log config --mode "level:debug,persist:debug" --subsystem "com.apple.AppSSO"
sudo sysdiagnose
sudo log config --reset --subsystem "com.apple.AppSSO"
若要在重現問題時即時觀察 SSO 延伸模組：
tail -F ~/Library/Containers/com.microsoft.CompanyPortalMac.ssoextension/Data/Library/Caches/Logs/Microsoft/SSOExtension/*
Company Portal 的 Help 選單底下有兩個小幫手：Save diagnostic report 會寫出包含 SSOExtension.log 的 CompanyPortal.zip，Send diagnostic report 則把記錄上傳到 Microsoft 並給你一個用於支援案例的事件 ID。對於卡在設定輔助程式內部的 Mac，按下 Control + Option + Command + Shift + 句點觸發 sysdiagnose；封存檔會以 sysdiagnose_YYYY.MM.DD_*.tar.gz 的形式存放在 /private/var/tmp/，會開啟一個類似 Finder 的視窗讓你透過 AirDrop 分享，而且可以從同一個視窗開啟 Company Portal 並傳送診斷報告。
移轉已註冊但未使用 Platform SSO 的 Mac
大多數裝置群並非從零開始。以下是我依照 Microsoft 的 Company Portal 註冊教學及其 SSO 延伸模組指引，移轉既有 Intune 註冊 Mac 的方法。
將 Platform SSO 設定目錄原則指派給試行的靜態使用者群組。下次 Intune 簽入時，Mac 會顯示 Registration Required 通知；使用者點選 Register，以 MFA 驗證，裝置即以 Platform SSO 加入 Entra。Microsoft 表示這會移除舊的 SSO 註冊，並從鑰匙圈刪除傳統的工作場所加入註冊。使用者可以延後該通知，所以請用一封簡短的電子郵件與一個期限設定預期。Enable Registration During Setup 設定對已註冊的 Mac 無害，因此一項原則就能同時服務具使用者親和性的新裝置與既有裝置。
Microsoft 的提醒很直接：在測試完成並準備就緒之前，不要把 Platform SSO 原則推送給使用者，因為它可能破壞既有使用者及其合規條件。把它當成一次條件式存取變更來處理。先在 IT 部門試行，再到早期採用者，然後按部門推進。試行驗證通過後，取消指派 Device Features SSO 延伸模組設定檔，這樣就永遠不會碰到錯誤 10002。如果之後需要從某台 Mac 移除 Platform SSO，請記住註冊完成後就地編輯既有設定檔毫無作用；你必須移除指派、同步、指派一個停用 Platform SSO 設定的新設定檔、再同步，之後還必須重新完成傳統的工作場所加入註冊，合規性才能正常運作。
較舊的硬體留在註冊後的流程中。設定輔助程式內註冊需要 macOS 26，但 Platform SSO 本身向下支援到 macOS 13，所以混合裝置群中的舊 Mac 只是在桌面上完成註冊。如果你有未經 ADE 設定、但已列入 Apple Business Manager 並指派了註冊原則的公司 Mac，在 macOS 10.13 或更新版本上執行 sudo profiles renew -type enrollment，可在已完成設定輔助程式的 Mac 上觸發 ADE 註冊；使用者隨後在 Company Portal 完成 Entra 註冊。
按波次移轉 Intel 與 Apple 晶片混合的 Mac 裝置群，並在最後一波完成註冊之前讓條件式存取原則維持僅報告模式。最常見的工單預計來自關掉通知的使用者；解決方法是登出後重新登入，讓通知重新出現。
應該怎麼做
- 依 macOS 版本與 Company Portal 版本盤點你的 Mac；低於 macOS 26 或 Company Portal 5.2604.0 的裝置會在註冊之後而非註冊期間完成註冊。
- 確認 Apple MDM 推播憑證與註冊方案權杖的到期日，並記錄擁有該權杖的 Apple ID。
- 現在就決定驗證方式，因為之後變更 Authentication Method 或 Use Shared Device Keys 會讓所有裝置重新註冊。預設選 Secure Enclave。
- 為試行建立一個已指派（靜態）使用者群組。不要使用裝置群組或動態群組。
- 將 Company Portal 新增為必要的 macOS 企業營運 PKG 應用程式，只包含
com.microsoft.CompanyPortalMac套件組合 ID，並指派給試行群組。 - 依必要設定表建置 Platform SSO 設定目錄原則，加入 Enable Registration During Setup，並指派給同一群組。
- 建立或更新 ADE 註冊原則：使用者親和性、Setup Assistant with modern authentication、Await final configuration 為 Yes、Locked enrollment 為 Yes。將其設為權杖預設原則。
- 在註冊原則中建立由 LAPS 管理的本機系統管理員，並列入 Non Platform SSO Accounts。
- 將 Mark devices with no compliance policy assigned as 設為 Not compliant，並部署一項不含合規性密碼要求的 macOS 合規性原則。
- 確認 Users may join devices to Microsoft Entra 涵蓋試行使用者，且他們已註冊 MFA 方式。
- 將 Microsoft 與 Apple 的關聯 URL 排除於 TLS 檢查之外。
- 清除一台 Mac、完成註冊，並以
app-sso platform -s、Entra 裝置記錄及僅報告模式的條件式存取原則驗證，然後再擴大部署。 - 試行之後，取消指派所有 Device Features SSO 延伸模組設定檔，並把條件式存取原則切換為開啟。
想要一份可列印的檢查清單？Intune macOS 導入檢查清單把上述步驟濃縮為 20 個項目，從 Apple Business Manager 權杖一直到試行與移轉計畫。
把 macOS 導入檢查清單寄給我
需要多一雙手嗎？Big Hat Group 為美國與加拿大的組織提供 Microsoft Intune 顧問服務，從兩週的健康檢查到完整移轉都能協助。預約一次探索通話，聊聊你的環境。
參考來源
- macOS Platform Single Sign-on (PSSO) overview - Microsoft Entra ID
- Configure Platform SSO for macOS devices - Microsoft Intune
- Add Platform SSO policy to ADE Profile on macOS devices - Microsoft Intune
- Platform SSO scenarios for macOS devices - Microsoft Intune
- Set up automated device enrollment (ADE) for macOS - Microsoft Intune
- Set up a macOS ADE token in Intune - Microsoft Intune
- Manage macOS ADE devices and tokens in Intune - Microsoft Intune
- Overview of Apple Automated Device Enrollment for macOS in Intune - Microsoft Intune
- Add the Company Portal for macOS app - Microsoft Intune
- Device compliance policies in Microsoft Intune - Microsoft Intune
- macOS device compliance settings in Microsoft Intune - Microsoft Intune
- Microsoft Entra Conditional Access overview - Microsoft Entra ID
- Join a Mac device with Microsoft Entra ID during the out of box experience with macOS PSSO - Microsoft Entra ID
- Join a Mac device with Microsoft Entra ID using Company Portal - Microsoft Entra ID
- macOS Platform single sign-on known issues and troubleshooting - Microsoft Entra ID
- Troubleshooting the Microsoft Enterprise SSO Extension plugin on Apple devices - Microsoft Entra ID
- What’s new in Microsoft Intune, week of May 11, 2026