Macで対応しているスマートカード機能

PIVカードのプロビジョニング

macOSでスマートカードを使用するには、スロット9a（PIV認証）および9d（鍵管理）に適切な証明書が入力されている必要があります。オプションで、メールまたは書類の署名などの機能が必要な場合は、証明書がスロット9c（デジタル署名）にプロビジョニングされている必要があります。

Active Directoryとの属性マッチング（後述します）を使用する場合は、PIV認証の証明書の「NTプリンシパル名」とActive Directoryの「dsAttrTypeStandard:AltSecurityIdentities」属性が一致している必要があります（大文字/小文字を区別）。

認証

スマートカードを2ファクタ認証に使用することができます。2ファクタには、「ユーザが持っているもの」（カード）と、カードのロックを解除するための「ユーザが知っていること」（PIN）が含まれます。macOS 10.12.4以降を搭載したMacには、スマートカードおよびログイン認証と、Safariを使ったWebサイトへのクライアント証明書に基づく認証のネイティブ対応が含まれています。また、macOSでは、鍵のペア（PKINIT）を使用してKerberos対応サービスにシングルサインオンするKerberos認証にも対応しています。

デジタル署名と暗号化

メールアプリでは、デジタル署名して暗号化したメッセージを送信できます。この機能を使用するには、対応スマートカードで接続されたPIVトークン上にあるデジタル署名および暗号化証明書で、大文字/小文字を区別するメールアドレスのサブジェクトまたはサブジェクト代替名が必要です。設定されているメールアカウントが、接続されているPIVトークン上のデジタル署名または暗号化証明書のメールアドレスと一致する場合、「メール」の新規メッセージのツールバーにメール署名ボタンが自動的に表示されます。ロックされたカギのアイコンが表示される場合、メッセージが宛先の公開鍵で暗号化されて送信されることを示しています。

キーチェーンのラッピング

アカウントのログインの場合、キーチェーンパスワードのラッピング機能を動作させるには、暗号化鍵（Key Management Keyとも呼ばれます）が存在する必要があります。Key Management Keyがないと、ログインセッション中にユーザに対してログインキーチェーンのパスワードが繰り返し要求されるため、ユーザの操作性が低下します。また、このパスワードの使用は、スマートカードが必須の環境において問題となることがあります。ユーザがスマートカードを使用してログインするときにKey Management Keyが指定されていると、キーチェーンの動作はパスワードに基づくログインと同様になり、ユーザはログインキーチェーンのパスワードを繰り返し要求されません。

スマートカードペイロード

Apple Developer Webサイトの「スマートカードペイロード」（英語）には、スマートカードに関するモバイルデバイス管理（MDM）の対応情報が含まれています。スマートカードサポートには、スマートカードの許可、スマートカードの適用、ユーザごとにスマートカードを1つペアリング、証明書信頼チェック、トークン削除アクション（スクリーンセーバロック）の機能が含まれます。