Workspace ONE Suporta Platform SSO com Entra ID via Secure Enclave

Workspace ONE Suporta Platform SSO com Entra ID via Secure Enclave

Última atualização: 15 de dezembro de 2025 Autora: Samidha Suhas Rege (Gerente de Produto, Equipe Apple macOS Intelligent Hub na Omnissa)

O Workspace ONE Intelligent Hub está expandindo seus recursos na plataforma Apple com o suporte ao Platform Single Sign-On (PSSO) no macOS, integrado ao Microsoft Entra ID e protegido pelo Secure Enclave da Apple. Esta integração marca um grande avanço para habilitar fluxos de trabalho de autenticação modernos no macOS para organizações que utilizam Microsoft 365, Conditional Access e políticas de conformidade de dispositivos via Entra ID.

O que é a Identidade de Dispositivo Baseada no Secure Enclave?

O Secure Enclave é o coprocessador de segurança baseado em hardware da Apple que armazena chaves criptográficas em um ambiente isolado. Ao utilizar o Secure Enclave, o Workspace ONE Intelligent Hub garante o armazenamento de credenciais resistente a adulterações e o alinhamento com os mais recentes padrões de segurança da Apple.

Por que Utilizar o Secure Enclave? Para Suportar o PSSO com o Microsoft Entra ID

A Apple introduziu a framework PSSO para permitir que os usuários façam login uma única vez na tela de login do macOS e obtenham acesso automático a aplicativos e serviços protegidos pelo Entra ID.

O Secure Enclave armazena com segurança a identidade do dispositivo macOS, permitindo que o plug-in Enterprise SSO da Microsoft realize o single sign-on (SSO) de forma transparente no Microsoft 365 e em aplicativos personalizados baseados em MSAL, autenticando silenciosamente com a inclusão da confiança do dispositivo (device trust).

Aplicação Completa do Conditional Access

Embora o Workspace ONE participe há muito tempo do Microsoft Partner Compliance Program para dar suporte ao Conditional Access para macOS, a integração existente baseada no Keychain apresenta limitações, especialmente em cenários de identidade e conformidade de dispositivos.

Isso ocorre principalmente porque o Microsoft Conditional Access avalia a confiança do dispositivo usando a plataforma de identidade da Microsoft, e não o Keychain subjacente da Apple – um armazenamento local seguro para credenciais que os dispositivos Apple tradicionalmente usavam para armazenar chaves de identidade de dispositivo para o Entra AD.

Em 2025, a Microsoft começou a transicionar, deixando de armazenar credenciais de dispositivo no macOS Keychain. Novos registros de dispositivos exigirão chaves de identidade baseadas no Secure Enclave, eliminando gradualmente a abordagem do Keychain. Essa transição proporciona uma segurança mais robusta, com suporte em hardware, e se alinha com a arquitetura mais recente do Entra ID. Para mais detalhes, consulte o Microsoft Enterprise SSO plug-in for Apple devices.

Por Que Estamos Atualizando o Intelligent Hub para macOS?

Para que o Workspace ONE mantenha total compatibilidade com o Microsoft Conditional Access, garanta a aplicação transparente de políticas (como conformidade de dispositivos e restrições baseadas em aplicativos) e prepare sua postura de conformidade para o futuro (future-proof), é crucial adotar a identidade de dispositivo baseada no Secure Enclave.

Para isso, atualizamos o Intelligent Hub para macOS para a versão 25.11, que suporta chaves de identidade baseadas no Secure Enclave. Para habilitar esse recurso, a Microsoft exige que o aplicativo Microsoft Enterprise SSO Plug-in (Company Portal App) esteja instalado no dispositivo – pois ele é usado para registrar dispositivos no Entra ID e armazenar a identidade no Secure Enclave.

Como Isso Impacta Você?

1. Postura de Segurança Mais Forte: O Secure Enclave isola as credenciais no hardware, reduzindo o risco de adulteração ou extração.
2. Conformidade com Conditional Access: Garante a aplicação consistente de políticas usando a identidade do usuário e do dispositivo, permitindo suporte total para cenários de Conditional Access.
3. Experiência de Usuário Fluida (Seamless): Os usuários fazem login uma vez na tela de entrada e obtêm SSO em todos os aplicativos e browsers autenticados pela Microsoft.

Resumo

O suporte do Workspace ONE ao Platform SSO baseado no Secure Enclave com o Microsoft Entra ID garante acesso seguro e transparente a aplicativos corporativos – ao mesmo tempo que atende aos mais recentes padrões de identidade e requisitos de Conditional Access da Microsoft. Esta atualização essencial capacita ambientes macOS que utilizam Microsoft 365 e Entra ID a fazer a transição da identidade baseada em Keychain para um modelo de autenticação moderno e com suporte em hardware.