Mac 上支援的智慧卡功能

macOS 10.15 或以上版本內建支援以下功能：

認證：LoginWindow、PKINIT、SSH、Screensaver、Safari、認證對話框和支援 CryptoTokenKit 的第三方 App
簽名：「郵件」和支援 CryptoTokenKit 的第三方 App
加密：「郵件」、「鑰匙圈存取」和支援 CryptoTokenKit 的第三方 App

【注意】若組織已在使用 macOS 10.15 版以前的第三方軟體，請留意舊版 tokend 支援已停用，且以 tokend 為基礎的解決方案已無法使用。

PIV 卡佈建

若要搭配 macOS 使用智慧卡，必須在位置 9a（「PIV 認證」）和 9d（「密鑰管理」）中產生適當的憑證。若電子郵件或文件簽署等功能為必要，選擇憑證是否應佈建到位置 9c（數位簽署）中。

搭配 Active Directory 使用屬性相符（說明如下）時，「PIV 認證」憑證中的「NT 主要名稱」和 ActiveDirectory 屬性 dsAttrTypeStandard:AltSecurityIdentities 中儲存的值必須大小寫相符。

認證

智慧卡可用於雙重認證。這兩個因素包含解鎖卡片所需的「已有項目」（卡片）和「已知項目」（PIN）。macOS 10.12.4 或以上版本包含智慧卡原生支援和登入認證，以及使用 Safari 對網站進行的用戶端憑證型認證。macOS 也支援使用密鑰配對（PKINIT）進行 Kerberos 認證，以單一登入至支援 Kerberos 的服務。

【注意】確定已使用一個憑證認證和一個用於加密的密鑰（若用於系統登入）正確佈建智慧卡。加密密鑰是用來封裝鑰匙圈密碼；缺少加密密鑰會導致重複出現鑰匙圈提示。

數位簽署和加密

在「郵件」App 中，使用者可以傳送數位簽名和加密的郵件。使用該功能需要在相容智慧卡中所附加的 PIV 代號上，於數位簽名和加密憑證上使用區分大小寫的電子郵件地址主旨或主旨替代名稱。如果設定的電子郵件帳號符合所附加之 PIV 代號上數位簽名或加密憑證的電子郵件地址，「郵件」便會自動在新郵件的工具列中顯示電子郵件簽名按鈕。上鎖的鎖頭圖像表示郵件會以收件人的公共密鑰進行加密和傳送。

鑰匙圈封裝

對於帳號登入，若要讓鑰匙圈密碼的封裝功能運作，需有加密密鑰，也稱為密鑰管理密鑰。缺少密鑰管理密鑰會導致使用者在整個登入階段重複收到輸入登入鑰匙圈密碼的提示，造成糟糕的使用者體驗。此外，此密碼使用在強制使用智慧卡的環境中可能是個疑慮。若使用者搭配智慧卡登入實有提供密鑰管理密鑰，鑰匙圈體驗會相似於密碼式登入，即使用者不會重複收到輸入登入鑰匙圈密碼的提示。

「智慧卡」承載資料

Apple 開發者網站上的智慧卡裝置承載資料包含智慧卡行動裝置管理（MDM）的支援資訊。智慧卡支援包含可允許智慧卡、強制執行智慧卡、允許每位使用者與一張智慧卡配對、憑證信任檢查以及代號移除動作（螢幕保護程式鎖定）。

【注意】MDM 廠商可以選擇導入「智慧卡」承載資料。若要瞭解「智慧卡」承載資料是否受支援，請參閱 MDM 廠商的文件。

也請參閱Apple 裝置的「智慧卡」MDM 承載資料設定設定 Mac 以使用智慧卡專用認證 Mac 上的進階智慧卡選項

有幫助？

Apple 平台部署

Mac 上支援的智慧卡功能

PIV 卡佈建

認證

數位簽署和加密

鑰匙圈封裝

「智慧卡」承載資料