Single-Sign-On einrichten (macOS): Unterschied zwischen den Versionen

Anleitung
Anleitung
Apple MacOS
Informationen
Betriebssystem	MacOS 13 (Ventura), MacOS 14 (Sonoma), MacOS 15 (Sequoia) und MacOS 26 (Tahoe)
Service	Anmeldedienst und Apple-Support
Interessant für	Gäste, Angestellte, Bereiche, Besucher und Studierende
MacOS Portalseite

Aktuelle Version vom 22. April 2026, 11:00 Uhr

Apple-Support

Unter macOS können Sie Single-Sign-On durch Kerberos ohne Installation zusätzlicher Software nutzen.

Was ist zu tun?[Bearbeiten | Quelltext bearbeiten]

Ticket beantragen
Konfigurieren der gewünschten Anwendung

Schritt-für-Schritt-Anleitung[Bearbeiten | Quelltext bearbeiten]

Um unter macOS ein Kerberos-Ticket zu erhalten, stehen Ihnen zwei Möglichkeiten zur Verfügung:

Die Nutzung des Terminals
Die Verwendung einer grafischen Oberfläche mit Hilfe des Ticket-Viewers.

Kerberos-Ticket über das Terminal[Bearbeiten | Quelltext bearbeiten]

Starten Sie das Terminal. Am einfachsten geht das über die Spotlight-Suche.
Alternativ finden Sie das Terminal im Finder unter Programme / Dienstprogramme / Terminal

Geben Sie im Terminal folgendes ein:
kinit benutzername@UNI-PADERBORN.DE
Ersetzen Sie benutzername durch Ihren Uni-Account.
Geben Sie das Passwort für den Uni-Account ein
Bestätigen Sie die Eingabe mit der Enter-Taste.
Hinweis: Sie können das Passwort im Terminal nicht sehen. Der Cursor wird sich bei der Eingabe des Passwortes nicht bewegen. Die Eingabe funktioniert jedoch trotzdem.

Den Status Ihres Tickets können Sie mit folgendem Befehl prüfen: klist
Der Befehl listet alle gülten Tickets auf.

Kerberos-Ticket über den Ticket-Viewer[Bearbeiten | Quelltext bearbeiten]

Wenn Sie eine grafische Oberfläche bevorzugen, können Sie sich über den Ticket-Viewer von macOS anmelden. Sie finden in am einfachsten über die Spotlight-Suche.

Klicken Sie auf "Identität hinzufügen" um ein neues Ticket zu erstellen. (1 im oberen Teil des Screenshots)
Geben Sie "benutzername@UNI-PADERBORN.DE" ein. (1 im mittleren Teil des Screenshots)
Ersetzen Sie benutzename durch Ihren persönlichen Uni-Account.
Beachten Sie die Großschreibung von UNI-PADERBORN.DE.
Melden Sie sich mit dem Passwort für den Uni-Account an. (2 im mittleren Teil des Screenshots). Klicken Sie zum Schluss auf Fortfahren (3 im mittleren Teil des Screenshots).
Das Ticket gilt 10 Stunden - Innerhalb dieser Zeit können Sie es jederzeit über Aktualisieren (siehe Pfeil) erneuern.

Konfigurieren der gewünschten Anwendung[Bearbeiten | Quelltext bearbeiten]

Nun muss noch die gewünschte Anwendung konfiguriert werden, in der Sie Single-Sign-On nutzen wollen.
Möchten Sie Firefox für die Anwendung mit Kerberos konfigurieren, folgen Sie bitte der Anleitung unter folgendem Link:

Single-Sign-On einrichten in Firefox

Für die Verwendung von Thunderbird mit Kerberos müssen Sie einige Einstellungen vornehmen. Welche das im Detail sind, erfahren Sie unter folgendem Link:

Single-Sign-On einrichten in Thunderbird

Fehlerbehebung[Bearbeiten | Quelltext bearbeiten]

Falls Kerberos trotz allem nicht funktioniert (vor allem bei ssh), kann man die Kerberos Konfiguration anpassen. Der Grund ist, dass "kinit" das TGT im MacOS Kernel hält und SSH dort nicht darauf zugreifen kann bzw. nicht weiß, dass es dort gucken muss. Das ist der Fall, wenn "klist" KCM als Ort für das TGT angibt.

Der einfachste und getestete Workaround für dieses Problem ist, das TGT als Datei abzulegen. Dazu die /etc/krb5.conf editieren (Adminrechte erforderlich).

#Anpassung der libdefaults unter: /etc/krb5.conf

[libdefaults]
    # hinzufuegen falls noch nicht in der Datei vorhanden
    default_ccache_name = FILE:/tmp/krb5cc_%{uid}

Alternativ, wenn keine Adminrechte vorhanden sind, kann man für die aktuelle Shell den Pfad setzen.

export KRB5CCNAME=FILE:/tmp/krb5cc_$(id -u)
kinit user@UNI-PADERBORN.DE
ssh user@host

Siehe auch[Bearbeiten | Quelltext bearbeiten]

Anmeldedienst

Bei Fragen oder Problemen können Sie uns zu unseren Servicezeiten telefonisch oder per E-Mail erreichen:

☎ Helpdesk: +49 5251 60-5544 • ☎ Medien: +49 5251 60-2821 • E-Mail: zim@uni-paderborn.de

Oder Sie besuchen uns vor Ort: Sie finden das Notebook-Café gemeinsam mit dem Servicecenter Medien in H1.201.

Servicezeiten

	Mo. – Do.	Fr.
Vor-Ort-Support	08:30 – 16:00 Uhr	08:30 – 14:00 Uhr
Telefonsupport	08:30 – 16:00 Uhr	08:30 – 14:00 Uhr
Servicecenter Medien	08:30 – 16:00 Uhr	08:30 – 14:00 Uhr

@@ Zeile 1: / Zeile 1: @@
 {{article
 |type=Anleitung
-|os=MacOS X 10.7 (Lion),MacOS X 10.8 (Mountain Lion),MacOS X 10.6 (Snow Leopard)
+|os=MacOS 13 (Ventura), MacOS 14 (Sonoma), MacOS 15 (Sequoia), MacOS 26 (Tahoe)
-|service=Service:Identitätsmanagement,Service:Apple-Support
+|service=Service:Apple-Support, Service:Identitätsmanagement
-|targetgroup=Angestellte, Bereiche, Besucher, Gäste, Studierende
+|targetgroup=Gäste, Angestellte, Bereiche, Besucher, Studierende
-|hasdisambig=Nein
+|hasdisambig=Ja
+|disambiguation=Single-Sign-On einrichten
 }}
-Bei Mac OS X ab Version 10.2 kann das Single-Sign-On durch Kerberos ohne Installation zusätzlicher Software realisiert werden.
+Unter macOS können Sie Single-Sign-On durch Kerberos ohne Installation zusätzlicher Software nutzen.
 <br clear=all>
 == Was ist zu tun? ==
@@ Zeile 15: / Zeile 16: @@
 == Schritt-für-Schritt-Anleitung ==
-Um unter Mac Os X ein Kerberos-Ticket zu erhalten, stehen Ihnen zwei Möglichkeiten zur Verfügung:
+Um unter macOS ein Kerberos-Ticket zu erhalten, stehen Ihnen zwei Möglichkeiten zur Verfügung:
-. Die Nutzung des Terminals
+# Die Nutzung des Terminals
-. Die Verwendung einer grafischen Oberfläche mit Hilfe des Ticket-Viewers.
+# Die Verwendung einer grafischen Oberfläche mit Hilfe des Ticket-Viewers.
 <br clear=all>
 === Kerberos-Ticket über das Terminal ===
-Starten Sie das Terminal. Klicken Sie dazu im Finder auf Extras -> Dienstprogramme -> Terminal oder suchen Sie über Spotlight nach "Terminal".
+* Starten Sie das Terminal. Am einfachsten geht das über die Spotlight-Suche.
-[[Datei:Kinit Befehl.png|links|mini|ohne|516x516px]]
+* Alternativ finden Sie das Terminal im Finder unter ''Programme / Dienstprogramme / Terminal''
-Geben Sie danach in Ihrem Terminal Folgendes ein:
-'''kinit Benutzername@UNI-PADERBORN.DE'''
+[[Datei:Single-sign-on-einrichten-macos-02.png|links|mini|ohne|450px]]
+<br>
-Danach müssen Sie noch Ihr Passwort eingeben. Bitte beachten Sie, dass Sie im Terminal nicht sehen, wie Sie Ihr Passwort eingeben. Der Cursor bleibt stehen und bewegt sich nicht. Die Eingabe funktioniert dennoch. Nach Bestätigung des Passwortes können Sie den erfolgreichen Erhalt eines Tickets überprüfen, indem Sie folgenden Befehl verwenden:
+* Geben Sie im Terminal folgendes ein:
+* <code> kinit benutzername@UNI-PADERBORN.DE </code>
-'''klist'''
+* Ersetzen Sie ''benutzername'' durch Ihren Uni-Account.
+* Geben Sie das Passwort für den Uni-Account ein
-Sie sehen jetzt alle gültigen Tickets.
+* Bestätigen Sie die Eingabe mit der Enter-Taste.
+* <span style="color:Orange">Hinweis:</span> Sie können das Passwort im Terminal nicht sehen. Der Cursor wird sich bei der Eingabe des Passwortes nicht bewegen. Die Eingabe funktioniert jedoch trotzdem.
+<br clear=all>
+[[Datei:Single-sign-on-einrichten-macos-04.png|links|mini|ohne|450px|Hier sehen Sie noch einmal alle Aktionen: (1) kinit benutzername@UNI-PADERBORN.DE, (2) Passwort eingeben, (3) Status mit klist prüfen, (4) Ausstellungs- und Ablaufdatum des Tickets]]
+* Den Status Ihres Tickets können Sie mit folgendem Befehl prüfen: <code> klist </code>
+* Der Befehl listet alle gülten Tickets auf.
 <br clear=all>
 === Kerberos-Ticket über den Ticket-Viewer ===
+Wenn Sie eine grafische Oberfläche bevorzugen, können Sie sich über den Ticket-Viewer von macOS anmelden. Sie finden in am einfachsten über die Spotlight-Suche.
+[[Datei:Single-sign-on-einrichten-macos-01.png|links|mini|ohne|450px|Ticket Viewer]]
+<br clear=all>
-Den Ticket-Viewer finden Sie unter System -> Library -> CoreServices -> Ticket-Viewer
+[[Datei:Single-sign-on-einrichten-macos-03.png|links|mini|ohne|450px]]
+<br>
-[[Datei:Screenshot_TicketViewer_Kerberos.jpg|links|mini|ohne|604x604px]]
+* Klicken Sie auf '''"Identität hinzufügen"''' um ein neues Ticket zu erstellen. (1 im oberen Teil des Screenshots)
+* Geben Sie '''"benutzername@UNI-PADERBORN.DE"''' ein. (1 im mittleren Teil des Screenshots)
-Man kann durch Hinzufügen einer neuen Identität ein Ticket erzeugen, das von jedem Programm genutzt werden kann. Zu beachten ist, dass der Benutzername aus dem Benutzernamen@UNI-PADERBORN.DE besteht. WICHTIG ist die Großschreibung des Teils hinter dem @. Das Kennwort ist das normale IMT-Passwort.
+* Ersetzen Sie ''benutzename'' durch Ihren persönlichen Uni-Account.
+* Beachten Sie die Großschreibung von ''UNI-PADERBORN.DE''.
+* Melden Sie sich mit dem Passwort für den Uni-Account an. (2 im mittleren Teil des Screenshots). Klicken Sie zum Schluss auf Fortfahren (3 im mittleren Teil des Screenshots).
+* Das Ticket gilt 10 Stunden - Innerhalb dieser Zeit können Sie es jederzeit über '''Aktualisieren''' (siehe Pfeil) erneuern.
 <br clear=all>
@@ Zeile 47: / Zeile 57: @@
 <br>
 Möchten Sie Firefox für die Anwendung mit Kerberos konfigurieren, folgen Sie bitte der Anleitung unter folgendem Link:
+* [[Single-Sign-On einrichten in Firefox]]
+Für die Verwendung von Thunderbird mit Kerberos müssen Sie einige Einstellungen vornehmen. Welche das im Detail sind, erfahren Sie unter folgendem Link:
+* [[Single-Sign-On einrichten in Thunderbird]]
-[[Single-Sign-On einrichten in Firefox]]
+== Fehlerbehebung ==
+Falls Kerberos trotz allem nicht funktioniert (vor allem bei ssh), kann man die Kerberos Konfiguration anpassen. Der Grund ist, dass "kinit" das TGT im MacOS Kernel hält und SSH dort nicht darauf zugreifen kann bzw. nicht weiß, dass es dort gucken muss. Das ist der Fall, wenn "klist" KCM als Ort für das TGT angibt.
-Für die Verwendung von Thunderbird mit Kerberos müssen Sie einige Einstellungen vornehmen. Welche das im Detail sind, erfahren Sie unter folgendem Link:
+Der einfachste und getestete Workaround für dieses Problem ist, das TGT als Datei abzulegen. Dazu die /etc/krb5.conf editieren (Adminrechte erforderlich).<syntaxhighlight lang="shell">
+#Anpassung der libdefaults unter: /etc/krb5.conf
+[libdefaults]
+    # hinzufuegen falls noch nicht in der Datei vorhanden
+    default_ccache_name = FILE:/tmp/krb5cc_%{uid}
+</syntaxhighlight>Alternativ, wenn keine Adminrechte vorhanden sind, kann man für die aktuelle Shell den Pfad setzen.<syntaxhighlight lang="shell">
+export KRB5CCNAME=FILE:/tmp/krb5cc_$(id -u)
+kinit user@UNI-PADERBORN.DE
+ssh user@host
+</syntaxhighlight>
-[[Single-Sign-On einrichten in Thunderbird]]
+==Siehe auch==
-<br clear=all>
+* [[Anmeldedienst]]