Metodo di autenticazione con passkey (FIDO2) in Microsoft Entra ID

By Mirko Peters · 2026-08-24

Scopri come implementare l'autenticazione con passkey FIDO2 in Entra ID. Preparati a fare delle passkey l'esperienza di accesso predefinita con questo potente metodo di autenticazione.

Automatically translated with AI from the original post. Read the English original

Passkey (FIDO2) — Definizione

Le passkey sono credenziali di autenticazione moderne e resistenti al phishing, basate sullo standard FIDO2, che sostituiscono le password con coppie di chiavi crittografiche. Una passkey è composta da una chiave privata conservata sul dispositivo dell'utente e da una chiave pubblica memorizzata dal servizio. Durante l'accesso, il servizio chiede al dispositivo di dimostrare di possedere la chiave privata, consentendo un'autenticazione sicura e senza password.

Breve spiegazione

Le passkey FIDO2 semplificano e rafforzano l'autenticazione eliminando i segreti condivisi (le password) e usando la crittografia a chiave pubblica. Sono legate al dispositivo dell'utente e protette dai metodi di sblocco del dispositivo, come la biometria (impronta digitale, riconoscimento facciale) o un PIN locale. Poiché l'autenticazione si basa su asserzioni crittografiche anziché su password digitate dall'utente, le passkey resistono al phishing, agli attacchi di replay e al credential stuffing. Soluzioni come Microsoft Entra supportano le passkey per consentire accessi fluidi e sicuri nelle app web e mobili, permettendo, se desiderato, la sincronizzazione delle chiavi tra i dispositivi tramite funzionalità affidabili della piattaforma cloud.

Nel panorama in continua evoluzione della sicurezza digitale, metodi di autenticazione solidi sono fondamentali per proteggere i beni dell'organizzazione e le identità degli utenti. Questo articolo approfondisce l'implementazione e i vantaggi delle passkey, in particolare dell'autenticazione FIDO2, all'interno di Microsoft Entra ID. Vedremo cosa sono le passkey, come funziona FIDO2 e i vantaggi concreti che offrono in termini di postura di sicurezza e di semplificazione dell'esperienza di accesso degli utenti.

Passkey di Microsoft Entra — 9 fatti sorprendenti sulle passkey (FIDO2)

• Le passkey non sono semplicemente "password forti": usano la crittografia a chiave pubblica, quindi il server memorizza solo una chiave pubblica e la chiave privata non lascia mai il tuo dispositivo.
• Sono intrinsecamente resistenti al phishing: WebAuthn/FIDO2 associa le credenziali all'origine di un sito, quindi un sito falso non può ottenere dati di autenticazione utilizzabili.
• Le passkey possono essere sincronizzate tra i tuoi dispositivi tramite il backup cloud della piattaforma (Apple iCloud Keychain, Gestione password di Google, account Microsoft), il che consente il ripristino, ma introduce una nuova superficie di fiducia nei confronti del provider cloud.
• Puoi avere più passkey per account e per dispositivo; si consiglia di creare più passkey per il backup e l'accesso da più dispositivi, anziché affidarsi a un'unica credenziale.
• Le passkey funzionano con la verifica biometrica o con i PIN del dispositivo, ma non trasmettono dati biometrici: il dispositivo ti verifica localmente e firma le sfide con la chiave privata.
• Supportano sia gli autenticatori di piattaforma (integrati in smartphone e laptop) sia gli autenticatori portatili (chiavi di sicurezza USB/NFC), il che rende possibili strategie multipiattaforma per le implementazioni di passkey di Microsoft Entra.
• L'attestazione della passkey può rivelare alle parti che si affidano alla credenziale informazioni sul modello del dispositivo, a meno che non si usi un'attestazione anonima: le scelte sulla privacy sono importanti durante l'implementazione.
• Eliminare le password può ridurre drasticamente il rischio di account takeover, ma le organizzazioni hanno comunque bisogno di flussi di ripristino alternativi (recupero dell'account, autenticatori alternativi) per evitare blocchi quando un dispositivo viene smarrito.
• Adottare le passkey aiuta a soddisfare i framework normativi e di sicurezza: l'autenticazione FIDO2 è riconosciuta come autenticazione forte resistente al phishing e può semplificare la conformità se integrata in Microsoft Entra ID/Entra.

Capire le passkey e FIDO2

Cosa sono le passkey?

I passkey rappresentano un cambiamento rivoluzionario nella tecnologia di autenticazione, pensato per offrire un'alternativa più sicura e più semplice da usare rispetto alle password tradizionali. Nella sostanza, i passkey sono credenziali crittografiche che consentono di accedere a siti web e applicazioni senza dover ricordare una lunga sequenza di caratteri. L'autenticazione si basa sulla crittografia a chiave pubblica: per ogni account online viene generata una coppia di chiavi unica. Una chiave, quella pubblica, è memorizzata presso il fornitore del servizio (ad esempio Microsoft Entra ID), mentre l'altra, quella privata, resta al sicuro sul dispositivo dell'utente o all'interno di un autenticatore sicuro. Quando un utente tenta di accedere, il servizio chiede al dispositivo di dimostrare il possesso della chiave privata, una verifica crittografica che avviene senza mai trasmettere la chiave privata stessa. Questa struttura rende i passkey molto più resistenti al phishing e ad altri attacchi basati sulle credenziali, elevando lo standard della protezione dell'identità digitale. Gli utenti possono registrare un passkey su diversi dispositivi, dagli smartphone alle chiavi di sicurezza FIDO2 dedicate, ottenendo un metodo di autenticazione flessibile e resiliente.

Panoramica dell'autenticazione FIDO2

L'autenticazione FIDO2 è lo standard aperto di base su cui si fonda il concetto di passkey. Sviluppato dalla FIDO Alliance in collaborazione con il World Wide Web Consortium (W3C), FIDO2 definisce un insieme di protocolli che consentono un'autenticazione forte e resistente al phishing sul web. Lo standard utilizza WebAuthn, un'API web, e CTAP2, un protocollo tra client e autenticatore, per garantire una comunicazione sicura tra il dispositivo dell'utente (l'autenticatore) e il servizio online. Quando un'organizzazione decide di abilitare i passkey in Microsoft Entra ID, sta di fatto abilitando l'autenticazione FIDO2. Ciò consente agli utenti di registrare un passkey da una chiave di sicurezza FIDO2 oppure da un dispositivo che funge da autenticatore. Il processo prevede la creazione di un passkey da parte dell'utente, che può diventare un metodo di autenticazione principale oppure una componente solida dell'autenticazione a più fattori. L'architettura garantisce che le chiavi private non lascino mai l'autenticatore, costituendo una barriera solida contro le minacce informatiche più comuni e fissando un nuovo riferimento per la sicurezza dell'autenticazione. Microsoft Entra ID supporta pienamente FIDO2, permettendo agli amministratori di abilitare i passkey come opzione di accesso robusta.

Vantaggi dell'uso dei passkey

L'adozione dei passkey in Microsoft Entra ID offre numerosi vantaggi convincenti, incentrati soprattutto sulla sicurezza potenziata e su un'esperienza utente migliore. Questa transizione rappresenta un passo concreto verso un futuro senza password, offrendo una soluzione pratica ed efficace per la moderna gestione delle identità. Le organizzazioni possono inoltre implementare i passkey come fattore robusto di autenticazione a più fattori, rafforzando la propria postura di sicurezza complessiva. La possibilità di registrare i passkey direttamente in Microsoft Entra ID, spesso tramite l'app Microsoft Authenticator o una chiave di sicurezza FIDO2 dedicata, semplifica la distribuzione e la gestione per gli amministratori di Entra.

Microsoft Entra Passkeys: pro e contro

Pro

• Autenticazione resistente al phishing: i passkey utilizzano la crittografia a chiave pubblica legata al dispositivo, impedendo il furto di credenziali tramite phishing.
• Esperienza utente semplice: l'accesso avviene spesso tramite dati biometrici della piattaforma o PIN, semplificando i flussi di accesso rispetto alle password.
• Sincronizzazione tra dispositivi: molte implementazioni (incluse quelle integrate con servizi come Microsoft Entra Passkeys) possono sincronizzare le credenziali sui dispositivi dell'utente per maggiore comodità.
• Minore carico di gestione delle password: elimina la necessità di creare, ricordare o reimpostare le password, riducendo i costi di supporto e gli attriti per l'utente.
• Privacy solida: all'autenticatore viene rivelata solo l'origine della parte che si affida (relying party); le credenziali non sono riutilizzabili tra siti diversi.
• Transizione compatibile con le versioni precedenti: può essere adottata insieme ai metodi di autenticazione esistenti, consentendo un'implementazione graduale.

Svantaggi

• Dipendenza dal dispositivo e complessità del ripristino: se un utente perde tutti i dispositivi o l'accesso alla sincronizzazione, il ripristino dell'account può essere più complesso di una semplice reimpostazione della password.
• Supporto multipiattaforma variabile: anche se sta migliorando, non tutti i browser, le piattaforme o i servizi supportano i flussi basati su passkey in modo completo e uniforme.
• Complessità di implementazione: un'integrazione corretta con il ciclo di vita dell'account, il ripristino e il provisioning su più dispositivi richiede una progettazione e uno sviluppo attenti.
• Criteri aziendali e conformità: per adottare le passkey in modo esteso le organizzazioni potrebbero dover aggiornare i criteri di governance delle identità, di gestione dei dispositivi e di conformità.
• Necessità di formazione degli utenti: alcuni utenti potrebbero non conoscere il concetto e avere bisogno di indicazioni sull'uso dei dispositivi e sulle opzioni di ripristino.

FIDO2: vantaggi e svantaggi

Vantaggi

• Autenticazione crittografica robusta: FIDO2 fornisce un'autenticazione basata su credenziali a chiave pubblica che è intrinsecamente resistente al phishing e agli attacchi di replay.
• Basato su standard e interoperabile: ampiamente supportato dalle principali piattaforme, dai browser e dalle chiavi di sicurezza, con un'ampia compatibilità nell'ecosistema.
• Flessibilità degli autenticatori: supporta sia gli autenticatori di piattaforma (integrati nei dispositivi) sia quelli roaming (chiavi di sicurezza), offrendo opzioni di implementazione diverse.
• Postura di sicurezza migliorata: riduce la dipendenza dalle password e attenua gli effetti delle violazioni dei database delle credenziali, perché i server memorizzano solo le chiavi pubbliche.
• Prontezza per l'ambiente aziendale: FIDO2 può integrarsi con i provider di identità aziendali e può essere combinato con soluzioni come Microsoft Entra per applicare criteri di autenticazione più forti.

Svantaggi

• Impegno di implementazione e integrazione: integrare FIDO2 nei sistemi esistenti, nel single sign-on e nelle applicazioni legacy può richiedere sviluppo e test sostanziali.
• Requisiti di dispositivi e hardware per l'utente: alcuni utenti potrebbero dover acquistare chiavi roaming o disporre di dispositivi compatibili per usare gli autenticatori di piattaforma.
• Difficoltà nel ripristino dell'account: definire processi di ripristino sicuri e facili da usare senza reintrodurre metodi di autenticazione deboli è complicato.
• Carico operativo: la gestione dei token hardware, il provisioning, la gestione dei token smarriti e i criteri del ciclo di vita aggiungono attività operative per l'IT.
• Esperienza utente frammentata: le differenze nel modo in cui browser e piattaforme implementano l'interfaccia dei flussi FIDO2 possono portare a esperienze incoerenti sui diversi dispositivi.

Configurazione delle passkey in Microsoft Entra ID

Come registrare una passkey

Per registrare una passkey in Microsoft Entra ID, gli utenti possono utilizzare diversi metodi; l'app Microsoft Authenticator è l'opzione principale per le passkey sincronizzate. Il processo inizia in genere accedendo alla pagina Informazioni di sicurezza dell'utente oppure tramite richieste specifiche durante un tentativo di accesso. Una volta avviata la procedura, l'utente viene guidato nella creazione di una passkey, che spesso prevede la verifica biometrica o un PIN sul dispositivo. Questa operazione genera in modo sicuro la coppia di chiavi crittografiche: la chiave pubblica viene registrata in Microsoft Entra ID, mentre la chiave privata resta sul dispositivo dell'utente o all'interno di un provider di passkey sicuro. Per chi utilizza chiavi di sicurezza FIDO2, la registrazione consiste nel collegare la chiave fisica e seguire le istruzioni a schermo per creare il profilo della passkey. Gli amministratori di Entra possono controllare i criteri di registrazione delle passkey, assicurando che gli utenti possano registrarle facilmente e rafforzare le proprie capacità di autenticazione resistente al phishing.

Abilitazione delle passkey in Authenticator

Abilitare le passkey in Microsoft Authenticator è un passaggio fondamentale per le organizzazioni che vogliono offrire un'esperienza di accesso fluida e sicura. Gli amministratori di Entra possono configurare i criteri nell'interfaccia di amministrazione di Microsoft Entra per consentire agli utenti di registrare direttamente nell'app Authenticator una passkey sincronizzata. Occorre accedere alla sezione Metodi di autenticazione, dove si possono gestire le impostazioni specifiche per FIDO2 e passkey. Una volta abilitate, gli utenti vedranno l'opzione per creare una passkey nelle impostazioni dell'app Authenticator, di solito nella sezione «Informazioni di sicurezza». In questo modo possono registrare una passkey sincronizzata, utilizzabile su più dispositivi per accedere alle applicazioni di Microsoft Entra. Il tutto rafforza in modo significativo le strategie di autenticazione a più fattori e avvicina al futuro senza password, come indicato nelle risorse di Microsoft Learn.

Rendere le passkey il metodo di autenticazione predefinito

Per le organizzazioni che vogliono rafforzare la propria postura di sicurezza e adottare un ambiente davvero senza password, rendere le passkey il metodo di autenticazione predefinito in Microsoft Entra ID è l'obiettivo finale. Gli amministratori di Entra, o chi ha il ruolo di Amministratore criteri di autenticazione, possono configurare i criteri di autenticazione per dare priorità alle passkey rispetto alle password tradizionali. Occorre impostare le passkey come metodo preferito nell'interfaccia di amministrazione di Microsoft Entra, in modo che agli utenti venga chiesto di usare la passkey per l'accesso ogni volta che è possibile. Un approccio graduale può essere necessario per garantire che gli utenti siano pronti, ma la possibilità di rendere le passkey il metodo di autenticazione predefinito migliora in modo significativo l'autenticazione resistente al phishing, riduce la dipendenza da metodi meno sicuri e semplifica l'esperienza utente. Questo passo strategico conferma gli aggiornamenti di sicurezza e i progressi continui di Microsoft Entra ID verso un ecosistema di gestione delle identità più sicuro ed efficiente.

Checklist: configurare le passkey di Microsoft Entra

Usa questa checklist per pianificare, distribuire e validare le passkey in Microsoft Entra ID (Microsoft Entra Passkeys).

Prerequisiti

• Verifica che il tenant di Azure AD / Microsoft Entra ID sia attivo e che tu disponga dei privilegi di Amministratore globale o Amministratore identità.
• Verifica che la sottoscrizione e le licenze supportino l'autenticazione senza password e le funzionalità FIDO2/passkey.
• Assicurati che i dispositivi e i browser usati dagli utenti supportino passkey/FIDO2 (Windows, macOS, iOS, Android recenti e browser basati su Chromium).
• Verifica che l'organizzazione disponga di un piano documentato di adozione dell'autenticazione senza password e di una strategia di comunicazione.

Prepara Microsoft Entra ID

• Accedi all'interfaccia di amministrazione di Microsoft Entra e individua Metodi di autenticazione > Criteri.
• Abilita il metodo di autenticazione Passkey (FIDO2) e impostalo su Consentito o Obbligatorio per gli utenti o i gruppi interessati.
• Configura, se necessario, le restrizioni per utenti e dispositivi (trust anchor, autenticatore della piattaforma e autenticatore roaming).
• Verifica i criteri di autenticazione legacy per ridurre i conflitti e assicurarti che i flussi senza password abbiano la priorità.

Configura l'accesso condizionale e le impostazioni di sicurezza

• Aggiorna i criteri di accesso condizionale per consentire o richiedere l'accesso senza password dove opportuno.
• Aggiungi controlli di accesso basati sul rischio (Azure AD Identity Protection) insieme alle implementazioni delle passkey.
• Testa i criteri in modalità solo report prima di applicarli.

Onboarding e registrazione degli utenti

• Prepara una guida passo passo per la registrazione delle passkey (registrazione tramite Windows Hello, richieste della piattaforma o del browser, oppure chiavi di sicurezza esterne).
• Fornisci screenshot e istruzioni sui dispositivi noti per le piattaforme più comuni (Windows, macOS, iOS, Android).
• Definisci un criterio per più passkey per utente e un processo di backup e ripristino.
• Avvia un pilota con un piccolo gruppo di utenti e raccogli i feedback.

Test e validazione

• Verifica la registrazione e l'accesso riusciti per gli utenti pilota su tutte le piattaforme e i browser supportati.
• Testa gli scenari SSO, le richieste MFA e il comportamento dell'accesso condizionale con le passkey.
• Verifica che i metodi di accesso alternativi (MFA secondario, recupero dell'account) funzionino e siano sicuri.
• Monitora i log di accesso e i report sull'utilizzo dei metodi di autenticazione in Microsoft Entra.

Distribuzione e formazione

• Comunica agli utenti il calendario della distribuzione, i vantaggi e le risorse di supporto disponibili.
• Fornisci ai team di supporto IT dei runbook per gli scenari più comuni di registrazione e di errore.
• Applica i criteri per fasi, estendendo progressivamente dai gruppi pilota all'intera organizzazione.

Monitoraggio e manutenzione

• Verifica regolarmente i log di accesso di Microsoft Entra e i report sui metodi di autenticazione per individuare anomalie.
• Tieni traccia delle metriche di adozione e dei ticket di supporto relativi alle passkey.
• Mantieni aggiornata la documentazione per le modifiche a sistema operativo o browser che influiscono sul comportamento delle passkey.
• Rivedi e aggiorna periodicamente i criteri di Accesso condizionale e i criteri dei metodi di autenticazione.

Risoluzione dei problemi e ripristino

• Documenta gli errori più comuni (compatibilità dei dispositivi, richieste del browser, errori di registrazione) e le relative soluzioni.
• Definisci processi chiari di recupero dell'account e di accesso di emergenza per gli utenti che perdono l'accesso alle passkey.
• Se si verificano problemi critici, sii pronto a ripristinare l'applicazione del metodo di autenticazione e comunica i passaggi per il ripristino.

Considerazioni su sicurezza e conformità

• Assicurati che la distribuzione delle passkey sia allineata ai criteri di sicurezza e ai requisiti di conformità dell'organizzazione.
• Verifica che le modalità di archiviazione e di attestazione delle passkey soddisfino gli standard aziendali.
• Consulta le indicazioni di sicurezza dei fornitori di authenticator di terze parti e dei produttori di dispositivi.

Completare questa checklist ti aiuterà a garantire un'adozione di Microsoft Entra Passkeys sicura e di successo in tutta l'organizzazione.

Tipi di passkey e relative caratteristiche

Le passkey sincronizzate

Le passkey sincronizzate rappresentano un notevole passo avanti in termini di comodità e accessibilità per gli utenti all'interno dell'ecosistema delle passkey, in particolare in Microsoft Entra ID. Queste passkey sono progettate per sincronizzarsi tra i vari dispositivi di un utente, offrendo un'esperienza di accesso fluida senza compromettere la solida sicurezza dell'autenticazione FIDO2. Quando un utente crea una passkey su un dispositivo, questa può essere replicata in modo sicuro su altri dispositivi autenticati tramite un provider di passkey sicuro, spesso integrato direttamente nel sistema operativo o in un password manager dedicato. Ad esempio, abilitando le passkey sincronizzate tramite l'app Microsoft Authenticator, un utente può registrare una passkey una sola volta e poi usarla per accedere a Microsoft Entra ID dal telefono, dal tablet o dal PC, purché i dispositivi siano collegati allo stesso account. Questa funzionalità migliora notevolmente l'utilità delle passkey come metodo di autenticazione predefinito, avvicinando le organizzazioni a un futuro davvero senza password, perché garantisce agli utenti di avere sempre a disposizione le proprie credenziali di autenticazione resistenti al phishing.

Diversi tipi di passkey disponibili

Oltre alle passkey sincronizzate, è fondamentale che gli amministratori di Entra comprendano le diverse forme che una passkey può assumere, per gestire in modo efficace i metodi di autenticazione in Microsoft Entra ID. La distinzione principale è tra passkey sincronizzate e passkey vincolate al dispositivo. Entrambi i tipi sfruttano lo standard FIDO2 per un'autenticazione resistente al phishing, ma le strategie di distribuzione e gestione sono diverse. Le organizzazioni possono scegliere di abilitare le passkey sincronizzate per garantire comodità generale agli utenti, richiedendo invece passkey vincolate al dispositivo per gli account con privilegi elevati o per specifici requisiti di conformità, creando così una strategia di autenticazione flessibile e solida. Questo approccio completo consente all'organizzazione di registrare passkey che rispondono a esigenze di sicurezza diverse e alle preferenze degli utenti.

Uso delle chiavi di sicurezza FIDO2

Le chiavi di sicurezza FIDO2 offrono un metodo altamente sicuro e distinto per usare le passkey, funzionando come autenticatori hardware dedicati per l'autenticazione FIDO2 in Microsoft Entra ID. Questi dispositivi fisici, di solito piccoli token USB, generano e memorizzano in modo sicuro la chiave privata all'interno del proprio hardware resistente alle manomissioni. Quando un utente deve accedere a Microsoft Entra ID, basta che inserisca la chiave di sicurezza FIDO2 e segua le istruzioni a schermo, che spesso prevedono l'inserimento di un PIN o una verifica biometrica direttamente sulla chiave.

Questo aggiunge un ulteriore livello di sicurezza, perché la chiave privata non lascia mai l'hardware, rendendola immune a molti attacchi basati su software. Gli amministratori di Entra possono abilitare le passkey specificamente tramite le chiavi di sicurezza FIDO2, offrendo un'opzione di autenticazione a più fattori robusta, altamente consigliata per i ruoli critici o per gli ambienti in cui la massima sicurezza è essenziale. Il processo per registrare una passkey con una chiave di sicurezza FIDO2 è semplice e offre agli utenti un metodo di autenticazione potente e resistente al phishing.

Errori comuni sulle chiavi di sicurezza FIDO2

Le chiavi di sicurezza FIDO2 sono strumenti di autenticazione robusti, spesso utilizzati con piattaforme come le Passkey di Microsoft Entra. Di seguito trovi gli errori più comuni e come evitarli.

• Ritenere che la chiave sia una sostituzione completa per il recupero dell'account: molti pensano che una chiave FIDO2 da sola copra tutti gli scenari di recupero. Se perdi la chiave e non hai abilitato metodi di recupero alternativi (chiavi di backup, codici di recupero o passkey gestite dalla piattaforma, come le Passkey di Microsoft Entra), potresti restare bloccato fuori dall'account.
• Non registrare chiavi o metodi di backup: registrare una sola chiave di sicurezza è rischioso. Aggiungi sempre almeno una chiave di backup e abilita opzioni di recupero secondarie per evitare la perdita dell'account.
• Confondere le chiavi FIDO2 con i token OTP hardware: le chiavi FIDO2 utilizzano la crittografia a chiave pubblica e sono resistenti al phishing, a differenza di molti token con password monouso (OTP). Trattale in modo diverso nei processi e nella documentazione.
• Aspettarsi una compatibilità universale plug-and-play senza verificarla: non tutti i siti o le piattaforme supportano ogni funzionalità FIDO2. Verifica il supporto di browser, piattaforma e servizio, soprattutto quando integri servizi di identità come le Passkey di Microsoft Entra.
• Conservare o etichettare in modo non sicuro le chiavi di backup: conservare una chiave di backup in un luogo ovvio o contrassegnarla come «chiave di sicurezza» compromette la sicurezza. Tieni le chiavi di riserva in luoghi sicuri e discreti.
• Trascurare gli aggiornamenti del firmware e le indicazioni del produttore: alcune chiavi ricevono aggiornamenti o presentano problemi noti. Ignorare gli avvisi del produttore è rischioso: segui le finestre di manutenzione e sostituzione consigliate.
• Condividere una stessa chiave tra più utenti: le chiavi sono normalmente associate a una singola identità utente. Condividerle compromette la responsabilità individuale e può violare i requisiti di audit e conformità.
• Non distinguere tra chiavi residenti e non residenti: le credenziali residenti (rilevabili) sono memorizzate sulla chiave; quelle non residenti dipendono dal server. Scegliere il tipo sbagliato per il tuo caso d'uso può influire sulla portabilità e sulle opzioni di recupero.
• Dare per scontato che il possesso fisico equivalga a un accesso senza restrizioni: una chiave rubata potrebbe comunque essere protetta da PIN o dati biometrici sul dispositivo, ma considerarla sicura senza attivare tali protezioni è un errore. Attiva sempre il PIN o la biometria disponibili e valuta i criteri di blocco del dispositivo.
• Trascurare la formazione degli utenti e i processi operativi: distribuire le chiavi senza formazione porta a usi impropri, chiavi smarrite e carico di lavoro per il supporto. Prevedi un onboarding chiaro, procedure per la perdita della chiave e suggerimenti di integrazione (ad esempio, usare le Passkey di Microsoft Entra per semplificare l'esperienza utente).

Usare le Passkey di Entra su Windows

Integrare le Passkey con Windows Hello for Business

Integrare le passkey di Entra con Windows Hello for Business offre una sinergia potente per rafforzare la sicurezza e semplificare l'accesso sui dispositivi Windows. Quando un'organizzazione decide di abilitare le passkey in Microsoft Entra ID, in particolare tramite Windows Hello for Business, gli utenti ottengono passkey associate al dispositivo che sfruttano l'autenticazione biometrica o con PIN già integrata nell'ambiente Windows. Ciò significa che, per usare la passkey per l'accesso, l'utente deve semplicemente autenticarsi con il metodo Windows Hello che già conosce, come un'impronta digitale, il riconoscimento facciale o un PIN. Questa integrazione offre un metodo di autenticazione fluido e altamente resistente al phishing, perché la chiave privata della passkey non lascia mai il dispositivo ed è protetta dall'hardware sicuro di Windows Hello for Business. Gli amministratori di Entra possono configurare criteri che consentono questa integrazione, rendendo semplice per gli utenti registrare una passkey e vivere direttamente dai propri dispositivi Windows un futuro davvero senza password.

Accedere alle Passkey di Entra su Windows

L'accesso alle passkey di Entra su dispositivi Windows è pensato per essere un processo semplice e sicuro, sia con le passkey sincronizzate sia con le passkey associate al dispositivo tramite Windows Hello for Business. Per le passkey sincronizzate, gli utenti che hanno abilitato le passkey in Microsoft Authenticator o in un altro provider di passkey troveranno il loro profilo passkey già disponibile sul dispositivo Windows, e potranno quindi accedere alle applicazioni di Microsoft Entra senza difficoltà. Quando viene richiesta l'autenticazione, Windows offrirà l'opzione di usare la passkey, spesso con una semplice conferma o una verifica biometrica. Per chi utilizza Windows Hello for Business, l'accesso è ancora più integrato, perché la passkey è collegata direttamente all'elemento sicuro del dispositivo. In questo modo gli utenti possono accedere a Microsoft Entra ID e ad altri servizi semplicemente autenticandosi con Windows Hello, con un'esperienza di accesso coerente e molto sicura in tutto l'ecosistema Windows, rafforzando in modo significativo le capacità di autenticazione resistente al phishing.

Aggiornamenti di sicurezza e procedure consigliate

Per mantenere il massimo livello di sicurezza e garantire il funzionamento ottimale delle passkey di Entra su Windows, è fondamentale attenersi agli aggiornamenti di sicurezza e alle procedure consigliate. Gli amministratori di Entra dovrebbero dare priorità all'aggiornamento dei sistemi operativi Windows, dell'app Microsoft Authenticator e del firmware di qualsiasi chiave di sicurezza FIDO2, così da beneficiare degli ultimi miglioramenti di sicurezza e delle correzioni dei bug. Rivedere e aggiornare regolarmente i criteri di autenticazione nell'interfaccia di amministrazione di Microsoft Entra aiuta a garantire che la registrazione e l'uso delle passkey siano allineati ai requisiti di sicurezza dell'organizzazione. È altrettanto importante istruire gli utenti su come creare una passkey in modo sicuro, far capire la differenza tra passkey sincronizzate e passkey associate al dispositivo, e sensibilizzarli sull'importanza di proteggere i propri dispositivi. Microsoft Learn offre numerose risorse su questi aggiornamenti di sicurezza e sulle procedure consigliate, che guidano le organizzazioni verso una strategia di autenticazione resiliente e senza password nell'ambiente di Microsoft Entra ID.

Risoluzione dei problemi e supporto

Problemi comuni con le passkey

Quando si distribuiscono e si gestiscono le passkey in Microsoft Entra ID, amministratori di Entra e utenti possono incontrare alcuni problemi comuni che richiedono di essere risolti. Una difficoltà frequente è assicurarsi che gli utenti riescano a registrare una passkey, soprattutto se la compatibilità dei dispositivi o la configurazione dei criteri non sono allineate correttamente. Gli utenti potrebbero avere difficoltà se la loro chiave di sicurezza FIDO2 non viene riconosciuta o se ci sono conflitti con altri metodi di autenticazione già esistenti. Un altro problema comune riguarda la mancata sincronizzazione delle passkey sincronizzate su tutti i dispositivi previsti, spesso a causa di problemi di connettività o di impostazioni errate del provider di passkey. Inoltre, gli utenti potrebbero eliminare per errore il proprio profilo passkey oppure trovarsi in difficoltà quando tentano di rendere le passkey il metodo di autenticazione predefinito, se le opzioni di ripiego non sono configurate correttamente. Comprendere questi potenziali ostacoli è il primo passo per affrontarli in modo efficace e mantenere un'esperienza senza password fluida.

Come abilitare e assegnare le passkey

Abilitare e assegnare in modo efficace le passkey in Microsoft Entra ID è un'attività amministrativa critica che richiede una configurazione accurata nell'interfaccia di amministrazione di Microsoft Entra. Gli amministratori di Entra, o chi dispone del ruolo Amministratore criteri di autenticazione, devono accedere alla sezione dei metodi di autenticazione per abilitare le passkey per l'organizzazione. Questo comporta la selezione di Chiave di sicurezza FIDO2 oppure la possibilità per gli utenti di registrare una passkey sincronizzata tramite l'app Microsoft Authenticator. Assegnare l'uso delle passkey a gruppi di utenti specifici è una procedura consigliata, perché consente un'implementazione graduale e garantisce che solo gli utenti appropriati possano creare una passkey. Questo si ottiene assegnando i criteri a gruppi di utenti specifici, in modo che solo le persone autorizzate possano registrare le passkey e usarle come metodo di autenticazione principale o a più fattori. Un'assegnazione mirata aiuta a gestire la transizione verso un ambiente senza password e si allinea agli aggiornamenti di sicurezza dell'organizzazione.

Ottenere aiuto per la configurazione delle passkey

Per gli admin di Entra e per gli utenti che hanno bisogno di aiuto con la configurazione delle passkey, sono disponibili diverse risorse che garantiscono una transizione senza intoppi verso questo metodo di autenticazione resistente al phishing. Microsoft Learn offre documentazione e tutorial completi che descrivono ogni passaggio del processo, dall'abilitazione delle passkey in Microsoft Entra ID alla risoluzione dei problemi più comuni. L'interfaccia di amministrazione di Microsoft Entra offre guide contestuali per configurare i criteri di autenticazione e gestire la registrazione delle passkey. Inoltre, i canali di supporto Microsoft sono disponibili per i problemi più complessi, con assistenza di esperti per la configurazione e la gestione delle passkey in Microsoft Entra. Sfruttare queste risorse può aiutare le organizzazioni a superare le difficoltà, ad abilitare efficacemente le passkey sincronizzate e a rendere le passkey il metodo di autenticazione predefinito, rafforzando in modo significativo la propria postura di sicurezza e adottando un'esperienza di accesso moderna e senza password.

Domande frequenti

Profilo passkey: creare e gestire un profilo passkey

Entra passkey su Windows: abilitare e usare Entra passkey sui dispositivi Windows

Come funzionano le passkey: funzionamento su più dispositivi e passkey sincronizzate

Che cos'è una passkey di Microsoft Entra e in cosa differisce da una passkey FIDO2?

Una passkey di Microsoft Entra è una credenziale moderna e resistente al phishing, archiviata su un dispositivo oppure in un provider di passkey nel cloud e gestita tramite Microsoft Entra ID. Utilizza la crittografia a chiave pubblica, come una passkey FIDO2, ma è integrata con le funzionalità di Microsoft 365 e Entra per abilitare l'accesso con passkey e la sincronizzazione nel cloud tra più dispositivi.

Come abilito l'accesso con passkey per la mia organizzazione?

Per abilitare l'accesso con passkey devi creare un profilo passkey in Microsoft Entra, configurare i profili passkey per definire i criteri (incluso se gli utenti possono usare le passkey sincronizzate) e, facoltativamente, integrare Microsoft Intune per applicare i controlli sui dispositivi. Gli amministratori scelgono se le passkey diventeranno l'esperienza di autenticazione predefinita o se resteranno facoltative.

Che cosa significa "consentire le passkey sincronizzate" e come si configura?

"Consentire le passkey sincronizzate" è una decisione di criterio che permette agli utenti di archiviare le passkey in un provider di passkey nel cloud, così da poterle usare su più dispositivi. Per configurarla, abilita l'opzione nel profilo passkey, assicurandoti che agli utenti venga richiesto di registrare una passkey e che il provider di passkey nel cloud sia supportato.

Gli utenti possono registrare una passkey direttamente o viene chiesto loro di farlo?

Gli utenti possono registrare una passkey direttamente dalle impostazioni di sicurezza dell'account nel proprio account Microsoft Entra, oppure possono ricevere una richiesta di registrazione durante i flussi di accesso, quando l'organizzazione impone le passkey come esperienza di autenticazione predefinita o quando il profilo passkey attiva una richiesta di registrazione.

Come funzionano le passkey su Windows e Microsoft Entra supporta Windows Hello?

Le passkey funzionano su Windows sfruttando Windows Hello come autenticatore: quando si usa Entra passkey su Windows, il dispositivo può generare una passkey associata (bound passkey) archiviata nel TPM oppure in un provider di passkey nel cloud, e Microsoft Entra ID supporta l'uso di Windows Hello per creare e utilizzare passkey su autenticatore.

Che cosa sono le passkey associate e dove vengono archiviate le passkey?

Le passkey associate sono legate all'autenticatore di un dispositivo specifico (come Windows Hello) e di norma vengono archiviate in una memoria sicura basata su hardware (TPM). Le passkey sincronizzate, o archiviate nel cloud, vengono invece conservate nel provider di passkey nel cloud associato all'account Microsoft Entra dell'utente.

Come creo un profilo passkey e può essere limitato a più criteri?

Crei un profilo passkey nel portale di Microsoft Entra selezionando i metodi di autenticazione e le impostazioni. I profili passkey possono essere limitati a più gruppi o ambienti: puoi creare profili passkey con ambito definito oppure tre profili passkey per applicare regole diverse a popolazioni di utenti diverse.

Cosa devo fare se gli utenti non riescono a registrare una passkey?

Se gli utenti non riescono a registrare una passkey, verifica che il profilo passkey che abilita la registrazione sia assegnato al loro account, controlla che i dispositivi soddisfino i requisiti (ad esempio Windows Hello o un autenticatore compatibile), conferma che le impostazioni del provider di passkey nel cloud e di Microsoft Entra ID consentano di registrare la passkey direttamente e assicurati che nessun criterio di configurazione dei dispositivi di Microsoft Intune blocchi le funzionalità dell'autenticatore.

Le passkey diventeranno l'esperienza di autenticazione predefinita in Microsoft Entra?

Microsoft ha annunciato che le passkey diventeranno l'esperienza di autenticazione predefinita per molti utenti; gli amministratori possono configurarle proattivamente come metodo predefinito impostandole come metodo principale nel profilo delle passkey, in modo che l'autenticazione predefinita con passkey venga applicata secondo i criteri dell'organizzazione.

Come funzionano le passkey sincronizzate in Microsoft Entra con più dispositivi e con le app di Microsoft 365?

L'uso di passkey sincronizzate consente di sincronizzare le passkey di un utente tramite un provider di passkey nel cloud, così da poter accedere da più dispositivi. Con le app di Microsoft 365, l'accesso con passkey è gestito da Microsoft Entra ID e dal provider nel cloud, e gli utenti possono usare le passkey per Microsoft 365 senza doverle registrare di nuovo su ogni dispositivo.

Posso imporre l'uso delle passkey e quanto può essere granulare il criterio?

Sì, puoi imporre l'uso delle passkey configurando i criteri nei profili delle passkey e accesso condizionale in Microsoft Entra ID. I criteri possono essere molto granulari: i profili delle passkey con ambito definito ti permettono di imporre le passkey per utenti, gruppi o scenari specifici e perfino di limitare quali autenticatori o provider di passkey nel cloud sono consentiti.

Qual è la differenza tra il protocollo client-to-authenticator e l'accesso con passkey?

Il protocollo client-to-authenticator (CTAP) è un protocollo tecnico che gli autenticatori usano per comunicare con i client (browser e dispositivi), mentre l'accesso con passkey è il processo di autenticazione che l'utente finale esegue con una passkey. CTAP è alla base delle passkey FIDO2 e delle passkey degli autenticatori utilizzate nei flussi di accesso con passkey.

Come visualizzo le passkey e le gestisco per gli utenti in Microsoft Entra?

Gli amministratori possono visualizzare lo stato di registrazione delle passkey e gestirle tramite i metodi di autenticazione e i report di Microsoft Entra ID. Gli utenti possono vedere le proprie passkey nelle impostazioni di sicurezza dell'account Microsoft Entra, dove possono registrare una passkey o rimuovere una passkey archiviata sul dispositivo o nel provider nel cloud.

Microsoft Entra ID supporta le passkey e quali autenticatori sono compatibili?

Sì, Microsoft Entra ID supporta le passkey tramite gli standard FIDO2 e sono compatibili molti autenticatori, tra cui Windows Hello, gli autenticatori di piattaforma e le chiavi di sicurezza esterne. Basandosi su questi standard, Microsoft Entra ID supporta sia le passkey vincolate al dispositivo sia le credenziali sincronizzate nel cloud.

Cosa succede se la passkey di un utente è già registrata su un altro dispositivo?

Se una passkey è già registrata su un altro dispositivo e l'utente vuole usarla anche altrove, deve utilizzare le passkey sincronizzate (se consentite) oppure registrare una nuova passkey sul nuovo dispositivo. Gli amministratori dovrebbero considerare gli scenari con più dispositivi quando configurano i profili delle passkey e le opzioni di sincronizzazione basate sul cloud.

Si può usare Intune per gestire i dispositivi che usano passkey e Windows Hello?

Sì, Microsoft Intune può gestire la conformità e la configurazione dei dispositivi che usano passkey e Windows Hello. I criteri di Intune possono garantire che i requisiti di sicurezza del dispositivo siano soddisfatti prima che l'accesso con passkey venga consentito, e possono essere combinati con le impostazioni delle passkey di Entra in Windows per una distribuzione coerente.

Come supporto le passkey per più applicazioni e servizi nella mia organizzazione?

Per supportare le passkey su più applicazioni, assicurati che tali applicazioni siano federate o integrate con Microsoft Entra ID, abilita l'accesso con passkey nelle impostazioni di autenticazione e crea profili delle passkey che specifichino se gli utenti possono usare le passkey per più app e servizi di Microsoft 365.

Cos'è un provider di passkey nel cloud e ne ho bisogno?

Un provider di passkey nel cloud archivia e sincronizza le passkey su tutti i dispositivi di un utente. Usarne uno è facoltativo, ma consigliato se vuoi che gli utenti usino passkey sincronizzate su più dispositivi invece delle sole passkey vincolate a un singolo dispositivo.