Voor bedrijven die gebruik maken van Microsoft Active Directory on-premise of via Azure (Microsoft Cloud) heeft Apple al jarenlang een uitstekende integratie om de Mac te koppelen aan het Active Directory domein. Voordelen zijn dat netwerkgebruikers kunnen inloggen op de Mac zonder hier een lokaal account voor aan te maken en dat alle Macs inzichtelijk zijn in Active Directory. Kort samengevat je logt met hetzelfde naam en wachtwoord in op je Mac als op de server of je Microsoft Office365 omgeving.
Er zijn ook wat nadelen voor bedrijven die steeds meer bewegen richting een hybride setup met Azure Active Directory. In dit blog kijken we naar de mogelijkheden van Active Directory integraties en hoe dit helpt om het zero-touch deployment-model te bereiken en de beveiliging te waarborgen.
Afstappen van de Active Directory koppeling
In veel gevallen is het goed mogelijk om gebruik te maken van lokale accounts in plaats van netwerkaccounts. Steeds vaker wordt gekozen voor een MacBook Air of MacBook Pro in plaats van een desktop-model waardoor de noodzaak wegvalt om meerdere gebruikers te laten inloggen op hetzelfde apparaat. Toch zijn wij in de zorg dat dit nog te weinig gebeurt en dat daar veel apparaten nog gedeeld worden.
Zero-touch Deployment
De MacBook afleveren bij de gebruiker (thuis of op de zaak) en zelf laten uitpakken is een unieke ervaring. Dankzij Apple Business Manager en Automated Device Enrollment van Apple is er enkel een internetverbinding nodig om de MacBook automatisch voor te bereiden met apps en configuraties zonder tussenkomst van de IT-afdeling.
Om de installatie buiten het bedrijfsnetwerk mogelijk te maken zal gebruik gemaakt worden van een lokaal account die wordt aangemaakt op basis van de Azure Active Directory inloggegevens. Mede dankzij Mobile Device Management kan de gebruiker direct aan de slag. In een volgend blog zullen we stil staan bij de mogelijkheden van een dergelijk MDM namelijk JAMF, Jamf Now, Jamf Federation en Jamf Pro hierin als MDM.
Kerberos Single Sign-On Extension
Wat nu als het wachtwoord van de gebruiker verloopt in Active Directory Apple heeft in macOS van versie Catalina een extensie ingebouwd: Kerberos Single Sign-On Extension. Deze gebruiksvriendelijke tool zorgt voor onderstaande functies:
- Active Directory account management: gebruikers kunnen eenvoudig het AD-wachtwoord wijzigen en ontvangen notificaties als deze bijna verloopt. Het wachtwoord van het lokale account wordt automatisch bijgewerkt.
- Kerberos support: de extensie haalt automatisch een Kerberos TGT-ticket op voor bijvoorbeeld authenticatie op websites, apps en file servers.
- Wachtwoord-beleid: de vereisten aan het wachtwoord kunnen eenvoudig worden geconfigureerd zodat dit voldoet aan het beleid in Active Directory.
De extensie wordt zichtbaar met een sleutel-icoon in de statusbalk en detecteert of de Mac is verbonden met het bedrijfsnetwerk (via VPN). De gebruiker wordt automatisch gevraagd om zich eenmalig aan te melden.
Azure AD Seamless Single Sign-On
In een hybride omgeving met Active Directory en Azure Active Directory kan gebruik gemaakt worden van Seamless Single Sign-On. Dit betekent dat de gebruiker automatisch wordt ingelogd op alle web-applicaties die via Azure AD zijn gekoppeld. Dankzij het Kerberos-ticket wordt het e-mailadres uitgelezen en de gebruiker automatisch ingelogd. Dit is vooral handig als je met software werkt als office365. Je bent al ingelogd hetzelfde account en als je naar de website gaat van office365 ben je meteen ingelogd. Ook is het steeds vaker mogelijk om applicaties en webapplicaties met SSO (Single Sign-on) te koppelen.
Veel van onze klanten weten en/of wisten niet dat dit met de Mac ook mogelijk is. En dat de mac zeker een volwaardige werkplek kan zijn in een goed beveiligde kantooromgeving. Natuurlijk helpen wij je hier graag verder mee, voor meer informatie neem even contact met ons.
