מפתחות גישה מסונכרנים לעומת מפתחות גישה קשורים למכשיר ב-Microsoft Entra ID: איזה כדאי לשימוש?

By Mirko Peters · 2026-10-28

השוו בין מפתחות גישה מסונכרנים למפתחות גישה קשורים למכשיר ב-Microsoft Entra ID. גלו איזו שיטת אימות מתאימה למשתמשים ארגוניים יומיומיים ואיזו למנהלי IT.

Automatically translated with AI from the original post. Read the English original

בהטמעת אימות מודרני, הבחירה בין מפתחות גישה מסונכרנים לבין מפתחות גישה קשורים למכשיר ב-Microsoft Entra ID היא ההחלטה הארכיטקטונית הקריטית ביותר שמנהלי IT נדרשים לקבל. שתי האפשרויות מבטלות סיסמאות פגיעות ומסכלות פישינג מבוסס בינה מלאכותית, אך הן מתמודדות עם אובדן מכשיר, סנכרון בענן ונראות ניהולית בצורה שונה מאוד.

עיקרי הדברים

• מפתחות גישה מסונכרנים שומרים את פרטי הזיהוי בחשבונות ענן מהימנים כמו iCloud או Google, ומאפשרים להם לעבור בין מכשירים ולשרוד אובדן של טלפון.
• מפתחות גישה קשורים למכשיר נמצאים אך ורק על יחידה פיזית אחת, כמו מפתח אבטחה חומרתי או אפליקציית Microsoft Authenticator, ואינם ניתנים לסנכרון.
• Microsoft ממליצה על מפתחות גישה מסונכרנים לעובדים ארגוניים כלליים, בזכות נוחות גבוהה וחיכוך מופחת.
• מנהלי IT וחשבונות בעלי הרשאות גבוהות צריכים להשתמש במפתחות חומרה הקשורים למכשיר כדי לשמור על שליטה מלאה בפרטי הזיהוי.
• Microsoft Entra ID תומך בשני סוגי פרטי הזיהוי, ומאפשר לארגונים לאזן בין פרודוקטיביות המשתמשים לבין מדיניות אבטחה מחמירה.

הבנת מפתחות גישה מסונכרנים בסביבה הארגונית

מפתחות גישה מסונכרנים מייצגים את השילוב המושלם בין אבטחה לנוחות בסביבת העבודה המודרנית. כאשר משתמש יוצר מפתח גישה מסונכרן במכשיר הנייד או בתחנת העבודה שלו, המפתח הפרטי מוצפן ונשמר בחשבון של ספק ענן מהימן, כגון Apple iCloud Keychain, Google Password Manager, או פתרונות של צד שלישי כמו 1Password ו-Dashlane. ארכיטקטורה זו מאפשרת לפרטי הזיהוי לעקוב אחר המשתמש בצורה חלקה בכל המערכות שבהן הוא משתמש.

אם עובד רוכש מחשב נייד חדש או מחליף סמארטפון פגום, כניסה חזרה לחשבון הספק הענן שלו משחזרת מיד את הגישה למפתחות הגישה שלו. לפי נתונים שמפרסמת Microsoft, כ-99 אחוזים מהמשתמשים רושמים בהצלחה מפתחות גישה מסונכרנים, וחווים מהירות כניסה גבוהה פי ארבע-עשרה בקירוב מסיסמאות מסורתיות בשילוב אימות רב-שלבי. עבור עובדי ידע רגילים שעובדים עם יישומי Microsoft 365 כמו Teams ו-Outlook, מפתחות גישה מסונכרנים מסירים חיכוך ומעלים את רמת האבטחה הארגונית הכוללת.

עם זאת, הנוחות הזו מביאה עמה אתגר של נראות עבור מנהלי IT. מכיוון שמפתחות גישה מסונכרנים משוכפלים בין מערכות ענן, מנהלים מאבדים שליטה פרטנית על המכשירים המחזיקים עותק של המפתח הפרטי. היעדר הבידוד החומרתי הזה הופך אפשרויות מסונכרנות לפחות אידיאליות עבור תפקידי IT בעלי הרשאות גבוהות, שבהם וודאות מלאה לגבי גבולות פרטי הזיהוי היא חיונית.

התפקיד של מפתחות גישה קשורים למכשיר עבור משתמשים מורשים

בניגוד בולט למקביליהם המסונכרנים בענן, מפתחות גישה קשורים למכשיר מעוגנים לנצח ליחידת חומרה פיזית אחת. המפתח הפרטי נוצר ישירות במכשיר, ואין באפשרותו פיזית לצאת ממנו. קטגוריה זו כוללת מפתחות אבטחה חומרתיים ייעודיים, וכן מפתחות גישה המאוחסנים מקומית באפליקציית Microsoft Authenticator.

לגבי מנהלי IT ובעלי חשבונות שמחזיקים במפתחות הממלכה הארגונית, מפתחות גישה (passkeys) קשורים למכשיר הם תקן הזהב. אם עובד מאבד טלפון שבו מוגדר passkey קשור למכשיר באפליקציית Authenticator, אותו אישור נעלם יחד עם החומרה. אין גיבוי בענן שיכול לשחזר אותו באופן אוטומטי, וכך נמנע לחלוטין הסיכון של שכפול אישורים בענן.

גישה זו מציבה אתגרי שחזור אם האסימון הפיזי אובד או ניזוק, אך היא מספקת את רמת האבטחה הקשוחה שנדרשת לניהול תשתית Azure ולתפקידי מנהל גלובלי. ארגונים יכולים לאכוף הגדרות מחמירות אלה ב-Microsoft Entra ID באמצעות הגדרות אישור (attestation) כדי לחייב אימות המגובה בחומרה.

ניהול פשרות ב-Microsoft Entra ID

פריסת passkeys בהצלחה בכל הארגון דורשת הכרה בפשרות התפעוליות הטמונות בכל פורמט. פריסת passkeys כבר אינה מושג עתידני; כאשר Microsoft Entra ID הופך passkeys לחוויית הכניסה ברירת המחדל ומפסיק בהדרגה את קודי ה-SMS והשיחות הקוליות הישנים, על הארגונים לתכנן אסטרטגיה דו-מסלולית.

עבור בסיס העובדים הרגיל, פריסת passkeys מסונכרנים מבטיחה שיעורי אימוץ גבוהים, מצמצמת פניות לתמיכה לאיפוס סיסמאות ומשפרת משמעותית את שיעורי הצלחת האימות. חוויית המשתמש נשארת מהירה, ונשענת על אישורים biometric מוכרים כמו זיהוי פנים או סריקת טביעת אצבע.

לעומת זאת, עבור משתמשים בעלי הרשאות מיוחדות, הטלת מפתחות אבטחה חומרתיים קשורים למכשיר יוצרת מחסום קשיח מפני איומי סייבר מתוחכמים. ארגונים חייבים להגדיר תהליכי שחזור ברורים עבור אסימוני חומרה שאבדו, ולוודא שלמנהלים יש יכולות ביטול מהירות ב-Entra ID מבלי לפגוע בשלמות מערכת הזהויות.

סיכום

הבחירה בין passkeys מסונכרנים לבין passkeys קשורים למכשיר אינה עניין של מציאת פתרון אוניברסלי אחד, אלא של התאמת בקרת האבטחה הנכונה לפרופיל המשתמש הנכון. על ידי פריסת passkeys מסונכרנים לפרודוקטיביות היומיומית ושמירת מפתחות חומרה קשורים למכשיר לצוותי ניהול, ארגונים יכולים להשיג אבטחה אופטימלית בלי לוותר על נוחות שימוש. כדי לחקור לעומק את המנגנונים הטכניים שמאחורי האישורים האלה, ניתן להאזין לפרק המלא של M365 FM Podcast לדיון מומחים על אבטחת הענן של Microsoft המודרנית.

שאלות נפוצות

האם אפשר להשתמש ב-passkeys מסונכרנים עבור חשבונות ניהוליים ב-Microsoft Entra ID?

אף שזה אפשרי מבחינה טכנית, Microsoft ממליצה בחום להשתמש במפתחות חומרה קשורים למכשיר עבור מנהלי IT ותפקידים בעלי הרשאות גבוהות, כדי למנוע שכפול לא מורשה של אישורים בענן.

מה קורה ל-passkey מסונכרן אם אאבד את הסמארטפון שלי?

שום דבר קטastrophi לא קורה. מכיוון שה-passkeys המסונכרנים מגובים בבטחה בחשבון ספק הענן המהימן שלך, כניסה למכשיר חדש עם אותו חשבון משחזרת את ה-passkeys מיד.

האם passkeys קשורים למכשיר תואמים לאפליקציית Microsoft Authenticator?

כן. passkeys השמורים ישירות באפליקציית Microsoft Authenticator מסווגים כקשורים למכשיר, כלומר הם נשארים מקושרים לאותו טלפון ואינם מסתנכרנים למחזיקי מפתחות חיצוניים בענן.

האם מנהלים יכולים לאכוף סוגים מסוימים של passkeys ב-Microsoft Entra ID?

כן. מנהלים יכולים להשתמש במדיניות אישור (attestation) ב-Microsoft Entra ID כדי להגביל כניסות למפתחות קשורים למכשיר בלבד, בסביבות עם אבטחה גבוהה.