Passkey sincronizzate e legate al dispositivo in Microsoft Entra ID: quale usare?

By Mirko Peters · 2026-10-28

Confronta le passkey sincronizzate e quelle legate al dispositivo in Microsoft Entra ID. Scopri quale metodo di autenticazione è più adatto agli utenti aziendali di tutti i giorni e quale agli amministratori IT.

Automatically translated with AI from the original post. Read the English original

Quando si implementa l'autenticazione moderna, scegliere tra passkey sincronizzate e passkey legate al dispositivo in Microsoft Entra ID è la decisione architetturale più critica che i responsabili IT devono affrontare. Entrambe le opzioni eliminano le password vulnerabili e neutralizzano il phishing basato sull'IA, ma gestiscono in modo molto diverso la perdita del dispositivo, la sincronizzazione nel cloud e la visibilità amministrativa.

Punti chiave

• Le passkey sincronizzate memorizzano le credenziali in account cloud di fiducia come iCloud o Google, consentendo di spostarle tra dispositivi e di sopravvivere alla perdita del telefono.
• Le passkey legate al dispositivo risiedono esclusivamente su una singola unità fisica, come una chiave di sicurezza hardware o l'app Microsoft Authenticator, e non possono essere sincronizzate.
• Microsoft consiglia le passkey sincronizzate per i dipendenti aziendali generici, grazie alla grande comodità e alla minore frizione.
• Gli amministratori IT e gli account con privilegi elevati dovrebbero usare chiavi hardware legate al dispositivo per mantenere un controllo totale sulle credenziali.
• Microsoft Entra ID supporta entrambi i tipi di credenziali, permettendo alle organizzazioni di bilanciare la produttività degli utenti con criteri di sicurezza rigorosi.

Comprendere le passkey sincronizzate in azienda

Le passkey sincronizzate rappresentano la combinazione ideale tra sicurezza e comodità per il posto di lavoro moderno. Quando un utente crea una passkey sincronizzata sul proprio dispositivo mobile o sulla workstation, la chiave privata viene cifrata e memorizzata in un account del provider cloud di fiducia, come Portachiavi iCloud di Apple, Gestione password di Google o soluzioni di terze parti come 1Password e Dashlane. Questa architettura consente alla credenziale di seguire senza problemi l'utente in tutto il suo ecosistema.

Se un dipendente acquista un nuovo laptop o sostituisce uno smartphone danneggiato, l'accesso al proprio account del provider cloud ripristina immediatamente le passkey. Secondo i dati evidenziati da Microsoft, circa il 99% degli utenti registra con successo le passkey sincronizzate e ottiene tempi di accesso circa quattordici volte più rapidi rispetto alle password tradizionali combinate con l'autenticazione a più fattori. Per i lavoratori della conoscenza standard che usano app di Microsoft 365 come Teams e Outlook, le passkey sincronizzate eliminano le frizioni e aumentano la sicurezza complessiva dell'organizzazione.

Tuttavia, questa comodità introduce un limite di visibilità per gli amministratori IT. Poiché le passkey sincronizzate vengono replicate tra gli ecosistemi cloud, gli amministratori perdono il controllo puntuale sui dispositivi che detengono una copia della chiave privata. Questa mancanza di isolamento hardware rende le opzioni sincronizzate poco adatte ai ruoli IT con privilegi elevati, dove la certezza assoluta sui confini delle credenziali è fondamentale.

Il ruolo delle passkey legate al dispositivo per gli utenti con privilegi elevati

A differenza delle controparti sincronizzate nel cloud, le passkey legate al dispositivo sono ancorate permanentemente a un singolo componente hardware fisico. La chiave privata viene generata direttamente sul dispositivo e non può fisicamente lasciarlo. Questa categoria comprende sia le chiavi di sicurezza hardware dedicate sia le passkey memorizzate localmente nell'app Microsoft Authenticator.

Per gli amministratori IT e per gli account che custodiscono le chiavi del regno aziendale, le passkey legate al dispositivo rappresentano lo standard di riferimento. Se un dipendente perde un telefono su cui è configurata una passkey legata al dispositivo nell'app Authenticator, quella specifica credenziale scompare insieme all'hardware. Non esiste un backup nel cloud che la ripristini automaticamente, e questo elimina del tutto il rischio di replica delle credenziali nel cloud.

Questo approccio introduce delle difficoltà di ripristino se il token fisico viene smarrito o danneggiato, ma garantisce il livello di sicurezza senza compromessi richiesto per la gestione dell'infrastruttura Azure e per i ruoli di amministratore globale. Le organizzazioni possono applicare questi parametri rigorosi in Microsoft Entra ID sfruttando le impostazioni di attestazione per imporre un'autenticazione basata su hardware.

Gestire i compromessi in Microsoft Entra ID

Distribuire con successo le passkey in un'azienda richiede di tenere conto dei compromessi operativi insiti in ciascun formato. La distribuzione delle passkey non è più un concetto futuristico: con Microsoft Entra ID che rende le passkey l'esperienza di accesso predefinita ed eliminando gradualmente i codici SMS e vocali legacy, le organizzazioni devono progettare una strategia a doppio binario.

Per la maggior parte dei dipendenti, distribuire le passkey sincronizzate garantisce un'elevata adozione, riduce al minimo i ticket dell'help desk per la reimpostazione delle password e migliora sensibilmente il tasso di successo dell'autenticazione. L'esperienza utente resta rapida, basandosi su richieste biometriche familiari come il riconoscimento facciale o l'impronta digitale.

Per gli utenti con privilegi elevati, al contrario, imporre chiavi di sicurezza hardware legate al dispositivo crea un perimetro rigido contro le minacce informatiche più sofisticate. Le aziende devono definire flussi di ripristino chiari per i token hardware smarriti, assicurando agli amministratori la possibilità di revocare rapidamente l'accesso in Entra ID senza compromettere l'integrità del sistema di identità.

Conclusioni

Scegliere tra passkey sincronizzate e passkey legate al dispositivo non significa trovare un'unica soluzione universale, ma abbinare il controllo di sicurezza giusto al profilo utente giusto. Usando le passkey sincronizzate per la produttività quotidiana e riservando le chiavi hardware legate al dispositivo ai team amministrativi, le organizzazioni possono ottenere una sicurezza ottimale senza sacrificare la facilità d'uso. Per approfondire i meccanismi tecnici che stanno alla base di queste credenziali, puoi ascoltare l'episodio completo del podcast M365 FM, con una discussione approfondita sulla sicurezza del cloud Microsoft moderno.

Domande frequenti

Posso usare le passkey sincronizzate per gli account amministrativi in Microsoft Entra ID?

Sebbene sia tecnicamente possibile, Microsoft raccomanda con forza l'uso di chiavi hardware legate al dispositivo per gli amministratori IT e per i ruoli con privilegi elevati, per impedire la replica non autorizzata delle credenziali nel cloud.

Cosa succede a una passkey sincronizzata se perdo lo smartphone?

Non succede nulla di catastrofico. Poiché le passkey sincronizzate sono sottoposte a backup in modo sicuro nell'account del tuo provider cloud di fiducia, accedere a un nuovo dispositivo con lo stesso account ripristina subito le tue passkey.

Le passkey legate al dispositivo sono compatibili con l'app Microsoft Authenticator?

Sì. Le passkey archiviate direttamente nell'app Microsoft Authenticator sono classificate come legate al dispositivo, il che significa che restano associate a quello specifico telefono e non si sincronizzano con portachiavi cloud esterni.

Gli amministratori possono imporre tipi specifici di passkey in Microsoft Entra ID?

Sì. Gli amministratori possono usare i criteri di attestazione in Microsoft Entra ID per limitare gli accessi esclusivamente alle passkey legate al dispositivo, negli ambienti ad alta sicurezza.