Passkeys (FIDO2) als authenticatiemethode in Microsoft Entra ID

By Mirko Peters · 2026-08-24

Leer hoe je FIDO2-passkeyauthenticatie implementeert in Entra ID. Bereid je voor op passkeys als standaard aanmeldervaring met deze krachtige authenticatiemethode.

Automatically translated with AI from the original post. Read the English original

Passkeys (FIDO2) — definitie

Passkeys zijn moderne, phishingbestendige authenticatiegegevens op basis van de FIDO2-standaard die wachtwoorden vervangen door cryptografische sleutelparen. Een passkey bestaat uit een privésleutel die op het apparaat van de gebruiker wordt bewaard, en een publieke sleutel die door de dienst wordt opgeslagen. Bij het aanmelden vraagt de dienst het apparaat om te bewijzen dat het in het bezit is van de privésleutel. Zo ontstaat een veilige, wachtwoordloze authenticatie.

Korte uitleg

FIDO2-passkeys vereenvoudigen en versterken authenticatie door gedeelde geheimen (wachtwoorden) overbodig te maken en gebruik te maken van cryptografie met publieke sleutels. Ze zijn gekoppeld aan het apparaat van de gebruiker en worden beschermd door ontgrendelmethoden van het apparaat, zoals biometrie (vingerafdruk, gezichtsherkenning) of een lokale pincode. Omdat authenticatie berust op cryptografische bevestigingen in plaats van wachtwoorden die de gebruiker invoert, zijn passkeys bestand tegen phishing, replay-aanvallen en credential stuffing. Oplossingen zoals Microsoft Entra ondersteunen passkeys voor naadloze, veilige aanmeldingen in web- en mobiele apps. Desgewenst kunnen sleutels via vertrouwde cloudplatformfuncties tussen apparaten worden gesynchroniseerd.

In het veranderende landschap van digitale beveiliging zijn robuuste authenticatiemethoden essentieel om organisatievermogen en gebruikersidentiteiten te beschermen. Dit artikel gaat in op de implementatie en voordelen van passkeys, specifiek FIDO2-authenticatie, binnen Microsoft Entra ID. We bekijken wat passkeys zijn, hoe FIDO2 werkt en welke concrete voordelen ze bieden voor een sterkere beveiligingspositie en een soepelere aanmeldervaring.

Microsoft Entra Passkeys — 9 verrassende feiten over passkeys (FIDO2)

• Passkeys zijn meer dan alleen "sterke wachtwoorden": ze gebruiken cryptografie met publieke sleutels, zodat de server alleen een publieke sleutel opslaat. De privésleutel verlaat nooit je apparaat.
• Ze zijn inherent phishingbestendig: WebAuthn/FIDO2 koppelt authenticatiegegevens aan de origin van een website, waardoor een nepsite geen bruikbare authenticatiegegevens kan verkrijgen.
• Passkeys kunnen via de cloudback-up van het platform tussen je apparaten worden gesynchroniseerd (Apple iCloud-sleutelhanger, Google Wachtwoordbeheer, Microsoft-account). Dat maakt herstel mogelijk, maar voegt een nieuw vertrouwensoppervlak toe bij de cloudprovider.
• Je kunt meerdere passkeys per account en per apparaat hebben. Het is aan te raden om meerdere passkeys aan te maken voor back-up en toegang tussen apparaten, in plaats van op één credential te vertrouwen.
• Passkeys werken met biometrische verificatie of apparaatpincodes, maar sturen geen biometrische gegevens door. Het apparaat verifieert je lokaal en ondertekent de uitdagingen met de privésleutel.
• Ze ondersteunen zowel platformauthenticators (ingebouwd in telefoons en laptops) als roaming-authenticators (USB/NFC-beveiligingssleutels), wat crossplatformstrategieën mogelijk maakt voor passkeyuitrollingen in Microsoft Entra.
• Een passkey-attestatie kan modelinformatie van het apparaat onthullen aan relying parties, tenzij anonimiserende attestatie wordt gebruikt. Privacykeuzes zijn dus belangrijk tijdens de implementatie.
• Gebruikers wegwerken bij wachtwoorden kan accountovernames sterk verminderen, maar organisaties hebben nog steeds terugvalprocedures nodig (accountherstel, alternatieve authenticators) om te voorkomen dat gebruikers buitengesloten raken wanneer een apparaat verloren gaat.
• Passkeys helpen bij het voldoen aan regelgevende en beveiligingskaders: FIDO2-authenticatie wordt erkend als phishingbestendige sterke authenticatie en kan de compliance vereenvoudigen wanneer het is geïntegreerd in Microsoft Entra ID/Entra.

Passkeys en FIDO2 begrijpen

Wat zijn passkeys?

Passkeys vormen een revolutionaire verandering in authenticatietechnologie, bedoeld als veiliger en gebruiksvriendelijker alternatief voor traditionele wachtwoorden. Passkeys zijn in de kern cryptografische inloggegevens waarmee gebruikers zich kunnen aanmelden bij websites en applicaties zonder een onthoudbare reeks tekens. In plaats daarvan maakt het authenticatieproces gebruik van asymmetrische cryptografie: voor elk online account wordt een uniek paar cryptografische sleutels gegenereerd. De ene sleutel, de publieke sleutel, wordt opgeslagen bij de serviceprovider (bijvoorbeeld Microsoft Entra ID), terwijl de andere, de privésleutel, veilig op het apparaat van de gebruiker blijft of binnen een beveiligde authenticator. Wanneer een gebruiker probeert in te loggen, daagt de service het apparaat uit om aan te tonen dat het in het bezit is van de privésleutel. Dit wordt cryptografisch gecontroleerd, zonder dat de privésleutel zelf ooit wordt verzonden. Dit ontwerp maakt passkeys aanzienlijk beter bestand tegen phishing en andere aanvallen op inloggegevens, en verhoogt daarmee het niveau van digitale identiteitsbescherming. Gebruikers kunnen een passkey registreren op verschillende apparaten, van smartphones tot speciale FIDO2-beveiligingssleutels, wat zorgt voor een flexibele en robuuste authenticatiemethode.

Overzicht van FIDO2-authenticatie

FIDO2-authenticatie is de fundamentele open standaard waarop het concept van passkeys is gebaseerd. FIDO2 is ontwikkeld door de FIDO Alliance in samenwerking met het World Wide Web Consortium (W3C) en definieert een reeks protocollen die sterke, phishing-resistente authenticatie op het web mogelijk maken. De standaard gebruikt WebAuthn, een web-API, en CTAP2, een protocol tussen client en authenticator, om veilige communicatie te realiseren tussen het apparaat van de gebruiker (de authenticator) en de online dienst. Wanneer een organisatie passkeys inschakelt in Microsoft Entra ID, schakelt zij in feite FIDO2-authenticatie in. Gebruikers kunnen zo een passkey registreren op een FIDO2-beveiligingssleutel of op een apparaat dat als authenticator fungeert. Daarbij maakt de gebruiker een passkey aan, die vervolgens een primaire authenticatiemethode wordt of een robuust onderdeel van multifactorauthenticatie. De architectuur zorgt ervoor dat privésleutels de authenticator nooit verlaten, wat een stevige barrière vormt tegen veelvoorkomende cyberdreigingen en een nieuwe maatstaf zet voor authenticatiebeveiliging. Microsoft Entra ID ondersteunt FIDO2 volledig, waardoor beheerders passkeys kunnen inschakelen als robuuste aanmeldoptie.

Voordelen van passkeys

De invoering van passkeys in Microsoft Entra ID levert tal van overtuigende voordelen op, vooral op het gebied van verbeterde beveiliging en een betere gebruikerservaring. Deze overstap is een proactieve stap richting een wachtwoordloze toekomst en biedt een praktische en effectieve oplossing voor moderne identiteitsbeheer. Organisaties kunnen passkeys ook inzetten als robuuste factor voor multifactorauthenticatie, wat de algehele beveiligingspositie versterkt. Doordat passkeys rechtstreeks in Microsoft Entra ID kunnen worden geregistreerd, vaak via de Microsoft Authenticator-app of een speciale FIDO2-beveiligingssleutel, zijn uitrol en beheer eenvoudiger voor Entra-beheerders.

Microsoft Entra-passkeys: voor- en nadelen

Voordelen

• Phishing-resistente authenticatie: passkeys gebruiken asymmetrische cryptografie die aan het apparaat is gekoppeld, waardoor diefstal van inloggegevens via phishing wordt voorkomen.
• Eenvoudige gebruikerservaring: aanmelden gebeurt vaak met biometrie of pincode van het apparaat, wat inlogprocessen vereenvoudigt ten opzichte van wachtwoorden.
• Synchronisatie tussen apparaten: veel implementaties (waaronder die geïntegreerd met diensten zoals Microsoft Entra-passkeys) kunnen inloggegevens synchroniseren over de apparaten van een gebruiker voor meer gemak.
• Lagere beheerlast voor wachtwoorden: Er is geen noodzaak meer om wachtwoorden aan te maken, te onthouden of te resetten, wat de supportkosten en wrijving verlaagt.
• Sterke privacy: Alleen de origin van de relying party wordt aan de authenticator onthuld; credentials zijn niet herbruikbaar over sites heen.
• Backward-compatibele overgang: Kan naast bestaande authenticatiemethoden worden ingevoerd, waardoor een gefaseerde uitrol mogelijk is.

Nadelen

• Afhankelijkheid van apparaten en complexe herstelprocedure: Als een gebruiker alle apparaten of de toegang tot de synchronisatie kwijtraakt, kan accountherstel ingewikkelder zijn dan een wachtwoordreset.
• Wisselende ondersteuning over platforms heen: Hoewel de ondersteuning verbetert, bieden niet alle browsers, platforms of diensten even volledige ondersteuning voor passkey-flows.
• Implementatiecomplexiteit: Een goede integratie met de accountlevenscyclus, herstel en het provisioning van meerdere apparaten vraagt om zorgvuldig ontwerp en ontwikkeling.
• Beleid en compliance binnen de organisatie: Organisaties moeten mogelijk hun identity governance, apparaatbeheer en compliancebeleid aanpassen om passkeys breed in te voeren.
• Gebruikersvoorlichting nodig: Sommige gebruikers kennen het concept misschien niet en hebben begeleiding nodig bij het gebruik van apparaten en de herstelopties.

FIDO2: voor- en nadelen

Voordelen

• Sterke cryptografische authenticatie: FIDO2 biedt authenticatie op basis van public-keycredentials die van nature bestand is tegen phishing en replay-aanvallen.
• Gebaseerd op standaarden en interoperabel: Breed ondersteund door grote platforms, browsers en beveiligingssleutels, wat zorgt voor compatibiliteit binnen een brede ecosysteem.
• Flexibele authenticators: Ondersteunt platform-authenticators (ingebouwd in apparaten) en roaming-authenticators (beveiligingssleutels), wat keuze biedt in de uitrol.
• Betere beveiligingspositie: Vermindert de afhankelijkheid van wachtwoorden en beperkt de gevolgen van datalekken uit credentialdatabases, omdat servers alleen public keys opslaan.
• Geschikt voor enterprise: FIDO2 kan worden geïntegreerd met enterprise-identityproviders en gecombineerd worden met oplossingen zoals Microsoft Entra om strengere authenticatiebeleidsregels af te dwingen.

Nadelen

• Implementatie- en integratie-inspanning: Het integreren van FIDO2 in bestaande systemen, single sign-on en legacy-applicaties kan aanzienlijke ontwikkel- en testinspanning vragen.
• Vereisten voor apparaten en hardware: Sommige gebruikers moeten mogelijk roaming-sleutels aanschaffen of compatibele apparaten gebruiken om platform-authenticators te kunnen gebruiken.
• Uitdagingen bij accountherstel: Het opzetten van veilige, gebruiksvriendelijke herstelprocessen zonder zwakke authenticatiemethoden opnieuw te introduceren, is lastig.
• Operationele last: Het beheren van hardwaretokens, provisioning, afhandeling van verloren tokens en levenscyclusbeleid voegt operationele taken toe voor IT.
• Gefragmenteerde gebruikerservaring: Verschillen in hoe browsers en platforms de UI voor FIDO2-flows implementeren, kunnen leiden tot inconsistente ervaringen op verschillende apparaten.

Passkeys instellen in Microsoft Entra ID

Een passkey registreren

Om een passkey in Microsoft Entra ID te registreren, kunnen gebruikers verschillende methoden gebruiken, waarbij de Microsoft Authenticator-app de belangrijkste optie is voor gesynchroniseerde passkeys. Het proces begint meestal op de pagina beveiligingsgegevens van de gebruiker of via specifieke prompts tijdens een aanmeldpoging. Zodra het proces is gestart, wordt de gebruiker begeleid bij het aanmaken van een passkey, wat vaak biometrische verificatie of een pincode op het apparaat vereist. Met deze actie wordt het cryptografische sleutelpaar veilig gegenereerd: de public key wordt geregistreerd bij Microsoft Entra ID, terwijl de private key op het apparaat van de gebruiker of binnen een veilige passkey-provider blijft. Voor wie FIDO2-beveiligingssleutels gebruikt, betekent registratie dat de fysieke sleutel wordt aangesloten en dat de instructies op het scherm worden gevolgd om het passkeyprofiel aan te maken. Entra-beheerders kunnen het registratiebeleid voor passkeys beheren, zodat gebruikers eenvoudig passkeys kunnen registreren en hun phishing-resistente authenticatiemogelijkheden kunnen versterken.

Passkeys inschakelen in Authenticator

Het inschakelen van passkeys in Microsoft Authenticator is een belangrijke stap voor organisaties die een naadloze en veilige aanmeldervaring willen bieden. Entra-beheerders kunnen in het Microsoft Entra-beheercentrum beleid configureren waarmee gebruikers een gesynchroniseerde passkey rechtstreeks via de Authenticator-app kunnen registreren. Ga daarvoor naar de pagina Verificatiemethoden, waar je de specifieke instellingen voor FIDO2 en passkeys kunt beheren. Zodra dit is ingeschakeld, zien gebruikers in de instellingen van hun Authenticator-app de optie om een passkey aan te maken, meestal onder ‘Beveiligingsgegevens’. Zo registreren ze een gesynchroniseerde passkey die op meerdere apparaten kan worden gebruikt om aan te melden bij Microsoft Entra-toepassingen. Dit versterkt de strategie voor multifactorauthenticatie aanzienlijk en brengt je dichter bij een wachtwoordloze toekomst, zoals ook beschreven in de documentatie van Microsoft Learn.

Passkeys instellen als standaard verificatiemethode

Voor organisaties die hun beveiliging willen versterken en echt wachtwoordloos willen werken, is het instellen van passkeys als standaard verificatiemethode in Microsoft Entra ID het ultieme doel. Entra-beheerders, of gebruikers met de rol Authentication Policy Administrator, kunnen authenticatiebeleid configureren waarin passkeys voorrang krijgen boven traditionele wachtwoorden. Dit doe je door passkeys als voorkeursmethode in te stellen in het Microsoft Entra-beheercentrum, zodat gebruikers waar mogelijk worden gevraagd om met een passkey aan te melden. Een gefaseerde aanpak kan nodig zijn om ervoor te zorgen dat gebruikers er klaar voor zijn, maar met passkeys als standaard verificatiemethode verbeter je phishingbestendige authenticatie aanzienlijk, verklein je de afhankelijkheid van minder veilige methoden en wordt de gebruikerservaring eenvoudiger. Deze strategische stap laat zien hoe Microsoft Entra ID voortdurend wordt verbeterd met beveiligingsupdates en nieuwe functies, richting een veiliger en efficiënter identity-managementecosysteem.

Checklist: passkeys in Microsoft Entra instellen

Gebruik deze checklist om passkeys in Microsoft Entra ID (Microsoft Entra Passkeys) te plannen, uit te rollen en te valideren.

Voorwaarden

• Controleer of de Azure AD / Microsoft Entra ID-tenant actief is en of je beschikt over de beheerdersrol Global Administrator of Identity Administrator.
• Controleer of je abonnement en licenties ondersteuning bieden voor wachtwoordloze authenticatie en FIDO2-/passkeyfuncties.
• Zorg dat de apparaten en browsers die gebruikers gebruiken passkeys/FIDO2 ondersteunen (moderne versies van Windows, macOS, iOS, Android en op Chromium gebaseerde browsers).
• Controleer of de organisatie een gedocumenteerd plan en een communicatiestrategie heeft voor de overgang naar wachtwoordloos aanmelden.

Microsoft Entra ID voorbereiden

• Ga naar het Microsoft Entra-beheercentrum en open Verificatiemethoden > Beleid.
• Schakel de verificatiemethode Passkey (FIDO2) in en stel deze in op Toegestaan of Vereist voor de beoogde gebruikers of groepen.
• Configureer waar nodig gebruiker- en apparaatbeperkingen (trust anchors, platformauthenticator versus roaming-authenticator).
• Controleer het beleid voor verouderde authenticatie om conflicten te voorkomen en ervoor te zorgen dat wachtwoordloze aanmeldstromen voorrang krijgen.

Voorwaardelijke toegang en beveiligingsinstellingen configureren

• Werk het beleid voor voorwaardelijke toegang bij zodat wachtwoordloos aanmelden waar passend wordt toegestaan of verplicht gesteld.
• Voeg risicogebaseerde toegangsbeheersing (Azure AD Identity Protection) toe tijdens de uitrol van passkeys.
• Test het beleid in de modus Alleen rapportage voordat je het afdwingt.

Onboarding en registratie van gebruikers

• Maak stap-voor-stapinstructies voor het registreren van passkeys (registratie via Windows Hello, platform- of browserprompts, of externe beveiligingssleutels).
• Geef schermafbeeldingen en instructies voor bekende apparaten voor veelgebruikte platforms (Windows, macOS, iOS, Android).
• Leg beleid vast voor meerdere passkeys per gebruiker en voor het proces van back-up en herstel.
• Start een pilot met een kleine groep gebruikers en verzamel hun feedback.

Testen en valideren

• Controleer of pilotgebruikers succesvol kunnen registreren en aanmelden op alle ondersteunde platforms en browsers.
• Test scenario's voor eenmalige aanmelding (SSO), MFA-prompts en het gedrag van voorwaardelijke toegang bij gebruik van passkeys.
• Controleer of alternatieve aanmeldmethoden (secundaire MFA, accountherstel) werken en veilig zijn.
• Houd de aanmeldlogboeken en de gebruiksrapporten voor verificatiemethoden in Microsoft Entra in de gaten.

Uitrol en training

• Communiceer het uitrolschema, de voordelen en de ondersteuningsmogelijkheden naar gebruikers.
• Geef IT-supportteams runbooks voor veelvoorkomende registratie- en foutscenario's.
• Dwing het beleid gefaseerd af, waarbij je uitbreidt van pilotgroepen naar de hele organisatie.

Monitoring en onderhoud

• Bekijk regelmatig de aanmeldlogboeken van Microsoft Entra en de rapporten over verificatiemethoden om afwijkingen op te sporen.
• Houd de adoptiecijfers en de supporttickets over passkeys bij.
• Houd de documentatie up-to-date voor wijzigingen in besturingssysteem en browser die het gedrag van passkeys beïnvloeden.
• Controleer en werk het Voorwaardelijke toegang-beleid en de beleidsregels voor verificatiemethoden periodiek bij.

Probleemoplossing en terugdraaien

• Documenteer veelvoorkomende fouten (apparaatcompatibiliteit, browserprompts, registratiefouten) en de oplossingen ervoor.
• Zorg voor duidelijke processen voor accountherstel en noodtoegang voor gebruikers die geen toegang meer hebben tot hun passkeys.
• Als er kritieke problemen optreden, wees dan voorbereid om de afdwingen van verificatiemethoden terug te draaien en communiceer de stappen voor het terugdraaien.

Overwegingen rond beveiliging en compliance

• Zorg ervoor dat de uitrol van passkeys aansluit op het beveiligingsbeleid en de complianceeisen van de organisatie.
• Controleer of de opslag van passkeys en de attestatiemethoden voldoen aan de standaarden van de onderneming.
• Bestudeer de beveiligingsrichtlijnen van leveranciers van externe authenticators en apparaten.

Door deze checklist te doorlopen, help je een succesvolle en veilige adoptie van Microsoft Entra Passkeys in je hele organisatie te waarborgen.

Soorten passkeys en hun kenmerken

Synced passkeys nader bekeken

Synced passkeys betekenen een grote stap vooruit in gebruiksgemak en toegankelijkheid binnen het passkey-ecosysteem, zeker binnen Microsoft Entra ID. Deze passkeys zijn ontworpen om te synchroniseren over de verschillende apparaten van een gebruiker, en bieden zo een naadloze aanmeldervaring zonder afbreuk te doen aan de robuuste beveiliging van FIDO2-authenticatie. Wanneer een gebruiker een passkey op één apparaat aanmaakt, kan die veilig worden gekopieerd naar andere geauthenticeerde apparaten via een beveiligde passkeyprovider, die vaak rechtstreeks in het besturingssysteem is geïntegreerd of in een aparte wachtwoordmanager zit. Als je bijvoorbeeld synced passkeys inschakelt via de Microsoft Authenticator-app, kan een gebruiker eenmalig een passkey registreren en die vervolgens gebruiken om zich aan te melden bij Microsoft Entra ID vanaf zijn telefoon, tablet of pc, mits de apparaten aan hetzelfde account zijn gekoppeld. Deze mogelijkheid vergroot de praktische waarde van passkeys als standaard verificatiemethode aanzienlijk en brengt organisaties dichter bij een echt wachtwoordloze toekomst, doordat gebruikers altijd toegang hebben tot hun phishingbestendige inloggegevens.

Verschillende soorten passkeys

Naast synced passkeys is het voor Entra-beheerders belangrijk om de verschillende vormen te kennen die een passkey kan aannemen, zodat ze verificatiemethoden in Microsoft Entra ID effectief kunnen beheren. Het belangrijkste onderscheid zit tussen synced passkeys en device-bound passkeys. Beide typen maken gebruik van de FIDO2-standaard voor phishingbestendige authenticatie, maar hun uitrol en beheer verschillen. Organisaties kunnen ervoor kiezen synced passkeys in te schakelen voor het algemene gebruiksgemak, terwijl ze device-bound passkeys verplicht stellen voor accounts met hoge privileges of specifieke complianceeisen. Zo ontstaat een flexibele en robuuste authenticatiestrategie. Met deze aanpak kan de organisatie passkeys registreren die aansluiten op uiteenlopende beveiligingsbehoeften en voorkeuren van gebruikers.

FIDO2-beveiligingssleutels gebruiken

FIDO2-beveiligingssleutels bieden een zeer veilige en specifieke manier om passkeys te gebruiken. Ze fungeren als speciale hardware-authenticators voor FIDO2-authenticatie in Microsoft Entra ID. Deze fysieke apparaten, meestal kleine USB-tokens, genereren en bewaren de privésleutel veilig binnen hun tamper-resistente hardware. Wanneer een gebruiker zich wil aanmelden bij Microsoft Entra ID, steekt hij of zij de FIDO2-beveiligingssleutel simpelweg in en volgt de aanwijzingen op het scherm, vaak met een pincode of biometrische verificatie direct op de sleutel.

Dit biedt een extra beveiligingslaag, want de private sleutel verlaat nooit de hardware, waardoor die immuun is voor veel softwarematige aanvallen. Entra-beheerders kunnen passkeys specifiek inschakelen via FIDO2-beveiligingssleutels. Dat is een robuuste MFA-optie die sterk wordt aanbevolen voor kritieke rollen of omgevingen waar maximale beveiliging voorop staat. Het registreren van een passkey met een FIDO2-beveiligingssleutel is eenvoudig en geeft gebruikers een krachtige, phishingbestendige authenticatiemethode.

Veelgemaakte fouten bij FIDO2-beveiligingssleutels

FIDO2-beveiligingssleutels zijn sterke authenticatiemiddelen die vaak worden gebruikt met platforms zoals Microsoft Entra Passkeys. Hieronder staan veelgemaakte fouten en hoe je ze voorkomt.

• Aannemen dat een sleutel een volledige vervanging is voor accountherstel: Veel mensen denken dat een FIDO2-sleutel alleen alle herstelscenario’s afdekt. Als je de sleutel verliest en je hebt geen alternatieve herstelmethoden ingeschakeld (back-upsleutels, herstelcodes of platformbeheerde passkeys zoals Microsoft Entra Passkeys), kan het zijn dat je buitengesloten raakt.
• Geen back-upsleutels of -methoden registreren: Als je maar één beveiligingssleutel registreert, loop je een risico. Voeg altijd minstens één back-upsleutel toe en schakel secundaire herstelopties in om accountverlies te voorkomen.
• FIDO2-sleutels verwarren met hardware-OTP-tokens: FIDO2-sleutels gebruiken public-key-cryptografie en zijn phishingbestendig, in tegenstelling tot veel one-time-password (OTP)-tokens. Behandel ze dus anders in workflows en documentatie.
• Universele plug-and-play verwachten zonder compatibiliteit te controleren: Niet alle sites of platforms ondersteunen elke FIDO2-functie. Controleer de ondersteuning van browser, platform en dienst, vooral bij integratie met identiteitsdiensten zoals Microsoft Entra Passkeys.
• Back-upsleutels onveilig opslaan of labelen: Een back-upsleutel op een voor de hand liggende plek bewaren of markeren als ‘beveiligingssleutel’ tast de beveiliging aan. Bewaar reservesleutels op een veilige, discrete locatie.
• Firmware-updates en leveranciersrichtlijnen negeren: Sommige sleutels krijgen updates of hebben bekende problemen. Negeer adviezen van de leverancier niet; volg het aanbevolen onderhoud en de vervangingsmomenten.
• Eén sleutel delen tussen meerdere gebruikers: Sleutels zijn doorgaans gekoppeld aan één gebruikersidentiteit. Een sleutel delen ondermijnt de individuele verantwoordelijkheid en kan in strijd zijn met audit- en compliancevereisten.
• Resident keys en non-resident keys door elkaar halen: Resident (vindbare) credentials worden op de sleutel opgeslagen; non-resident credentials zijn afhankelijk van de server. Het kiezen van het verkeerde type voor jouw situatie kan invloed hebben op de overdraagbaarheid en de herstelopties.
• Denken dat fysiek bezit onbeperkte toegang betekent: Een gestolen sleutel kan nog steeds beschermd zijn door een pincode of biometrische gegevens op het apparaat, maar ervan uitgaan dat die sleutel veilig is zonder die beschermingen in te schakelen, is een fout. Schakel altijd de beschikbare pincode- of biometrische beveiliging in en overweeg beleid voor het vergrendelen van apparaten.
• Gebruikersvoorlichting en operationele processen verwaarlozen: Sleutels uitrollen zonder training leidt tot misbruik, verloren sleutels of extra supportbelasting. Zorg voor duidelijke onboarding, procedures bij verloren sleutels en integratietips (bijvoorbeeld het gebruik van Microsoft Entra Passkeys om de gebruikerservaring te stroomlijnen).

Entra Passkeys gebruiken op Windows

Passkeys integreren met Windows Hello for Business

Het integreren van Entra-passkeys met Windows Hello for Business biedt een krachtige synergie om de beveiliging te verbeteren en de aanmeldervaring op Windows-apparaten te stroomlijnen. Wanneer een organisatie besluit passkeys in Microsoft Entra ID in te schakelen, met name via Windows Hello for Business, krijgen gebruikers toegang tot apparaatgebonden passkeys. Die maken gebruik van de robuuste biometrische of pincodeauthenticatie die al in hun Windows-omgeving is geïntegreerd. Om de passkey voor het aanmelden te gebruiken, authenticeren gebruikers zich simpelweg met hun vertrouwde Windows Hello-methode, zoals een vingerafdruk, gezichtsherkenning of een pincode. Deze integratie biedt een naadloze en zeer phishingbestendige authenticatiemethode, omdat de private sleutel van de passkey het apparaat nooit verlaat en wordt beschermd door de beveiligde hardware van Windows Hello for Business. Entra-beheerders kunnen beleid configureren om deze integratie toe te staan, waardoor het voor gebruikers eenvoudig wordt om een passkey te registreren en rechtstreeks vanaf hun Windows-apparaten een echt wachtwoordloze toekomst te ervaren.

Entra Passkeys benaderen op Windows

Het gebruik van Entra-passkeys op Windows-apparaten is bedoeld als een eenvoudig en veilig proces, of het nu gaat om gesynchroniseerde passkeys of apparaatgebonden passkeys via Windows Hello for Business. Bij gesynchroniseerde passkeys vinden gebruikers die passkeys hebben ingeschakeld in Microsoft Authenticator of een andere passkeyprovider hun passkeyprofiel direct terug op hun Windows-apparaat, zodat ze moeiteloos kunnen inloggen bij Microsoft Entra-toepassingen. Wanneer om authenticatie wordt gevraagd, biedt Windows de optie om de passkey te gebruiken. Daar is vaak alleen een eenvoudige bevestiging of biometrische verificatie voor nodig. Voor wie Windows Hello for Business gebruikt, is de toegang nog meer geïntegreerd, omdat de passkey rechtstreeks is gekoppeld aan het beveiligde element van het apparaat. Gebruikers kunnen zo inloggen bij Microsoft Entra ID en andere services door simpelweg te authenticeren met Windows Hello. Dat zorgt voor een consistente en zeer veilige inlogervaring binnen het hele Windows-ecosysteem en versterkt de phishingbestendige authenticatie aanzienlijk.

Beveiligingsupdates en best practices

Om het hoogste beveiligingsniveau te behouden en optimaal te laten functioneren bij het gebruik van Entra-passkeys op Windows, is het naleven van beveiligingsupdates en best practices cruciaal. Entra-beheerders moeten er prioriteit aan geven om Windows, de Microsoft Authenticator-app en de firmware van FIDO2-beveiligingssleutels up-to-date te houden, zodat ze profiteren van de nieuwste beveiligingsverbeteringen en bugfixes. Door het beleid voor verificatie regelmatig te controleren en bij te werken in het beheercentrum van Microsoft Entra, zorg je ervoor dat het registreren en gebruiken van passkeys aansluit op de beveiligingseisen van de organisatie. Gebruikers leren hoe ze veilig een passkey aanmaken, wat het verschil is tussen gesynchroniseerde passkeys en apparaatgebonden passkeys, en waarom ze hun apparaten moeten beschermen, is eveneens essentieel. Microsoft Learn biedt uitgebreide informatie over deze beveiligingsupdates en best practices. Die helpt organisaties om een robuuste, wachtwoordloze authenticatiestrategie binnen hun Microsoft Entra ID-omgeving op te zetten.

Probleemoplossing en ondersteuning

Veelvoorkomende problemen met passkeys

Bij het implementeren en beheren van passkeys in Microsoft Entra ID kunnen Entra-beheerders en gebruikers een aantal veelvoorkomende problemen tegenkomen die probleemoplossing vereisen. Een veelvoorkomende uitdaging is dat gebruikers succesvol een passkey kunnen registreren, vooral als de apparaatcompatibiliteit of beleidsconfiguraties niet goed op elkaar zijn afgestemd. Gebruikers kunnen problemen ondervinden als hun FIDO2-beveiligingssleutel niet wordt herkend of als er conflicten zijn met bestaande verificatiemethoden. Een ander vaak voorkomend probleem is dat gesynchroniseerde passkeys niet op alle beoogde apparaten worden gesynchroniseerd, meestal door connectiviteitsproblemen of onjuiste instellingen van de passkeyprovider. Daarnaast kunnen gebruikers per ongeluk hun passkeyprofiel verwijderen, of lopen ze tegen problemen aan wanneer ze passkeys als standaard verificatiemethode willen instellen en de fallbackopties niet goed zijn geconfigureerd. Inzicht in deze mogelijke obstakels is de eerste stap om ze effectief aan te pakken en een soepele wachtwoordloze ervaring te behouden.

Passkeys inschakelen en richten

Het inschakelen en gericht toewijzen van passkeys in Microsoft Entra ID is een cruciale beheertaak die zorgvuldige configuratie in het beheercentrum van Microsoft Entra vereist. Entra-beheerders, of gebruikers met de rol Authentication Policy Administrator, moeten naar het blad voor verificatiemethoden navigeren om passkeys voor hun organisatie in te schakelen. Dit omvat het selecteren van FIDO2-beveiligingssleutel of het toestaan dat gebruikers een gesynchroniseerde passkey registreren via de Microsoft Authenticator-app. Het gericht toewijzen van passkeys aan specifieke gebruikersgroepen is een best practice, omdat je zo een gefaseerde uitrol kunt doen en zeker weet dat de juiste gebruikers een passkey kunnen aanmaken. Dit kun je bereiken door beleid toe te wijzen aan specifieke gebruikersgroepen, zodat alleen geautoriseerde personen passkeys kunnen registreren en de passkey kunnen gebruiken als primaire of multifactorauthenticatiemethode. Gerichte toewijzing helpt de overgang naar een wachtwoordloze omgeving te beheersen en sluit aan op de beveiligingsupdates van de organisatie.

Hulp krijgen bij het instellen van passkeys

Voor Entra-beheerders en gebruikers die hulp nodig hebben bij het instellen van passkeys, zijn er verschillende bronnen beschikbaar om een soepele overstap naar deze phishingbestendige authenticatiemethode te garanderen. Microsoft Learn biedt uitgebreide documentatie en handleidingen die elke stap van het proces beschrijven, van het inschakelen van passkeys in Microsoft Entra ID tot het oplossen van veelvoorkomende problemen. Het Microsoft Entra-beheercentrum biedt contextuele hulp en begeleiding bij het configureren van authenticatiebeleid en het beheren van de registratie van passkeys. Daarnaast staan de Microsoft-supportkanalen klaar voor complexere problemen, met deskundige ondersteuning bij het instellen en onderhouden van passkeys in Microsoft Entra. Door gebruik te maken van deze bronnen kunnen organisaties uitdagingen overwinnen, gesynchroniseerde passkeys effectief inschakelen en passkeys met succes tot de standaard authenticatiemethode maken. Zo versterken ze hun beveiliging aanzienlijk en omarmen ze een modern, wachtwoordloos aanmeldproces.

Veelgestelde vragen

passkeyprofiel: een passkeyprofiel maken en beheren

entra passkey on windows: Entra passkey on windows inschakelen en gebruiken op Windows-apparaten

passkeys work: hoe passkeys werken op verschillende apparaten en gesynchroniseerde passkeys

Wat is een Microsoft Entra-passkey en hoe verschilt die van een FIDO2-passkey?

Een Microsoft Entra-passkey is een moderne, phishingbestendige referentie die op een apparaat of in een cloud-passkeyprovider wordt opgeslagen en via Microsoft Entra ID wordt beheerd. Hij gebruikt public-key-cryptografie, vergelijkbaar met een FIDO2-passkey, maar is geïntegreerd met functies van Microsoft 365 en Entra om passkey-aanmelding en cloudgebaseerde synchronisatie over apparaten mogelijk te maken.

Hoe schakel ik passkey-aanmelding in voor mijn organisatie?

Om passkey-aanmelding in te schakelen, maak je een passkeyprofiel aan in Microsoft Entra en configureer je de passkeyprofielen om het beleid vast te leggen (inclusief of gebruikers gesynchroniseerde passkeys mogen gebruiken). Optioneel integreer je Microsoft Intune om apparaatbeheer af te dwingen. Beheerders kiezen zelf of passkeys de standaard authenticatiemethode worden of optioneel blijven.

Wat betekent "gesynchroniseerde passkeys toestaan" en hoe configureer ik dit?

"Gesynchroniseerde passkeys toestaan" is een beleidsbeslissing waarmee gebruikers passkeys in een cloud-passkeyprovider kunnen opslaan, zodat ze gesynchroniseerde passkeys op meerdere apparaten kunnen gebruiken. Je configureert dit door de optie in het passkeyprofiel in te schakelen en ervoor te zorgen dat gebruikers gevraagd worden een passkey te registreren en dat de cloud-passkeyprovider wordt ondersteund.

Kunnen gebruikers direct een passkey registreren of worden ze gevraagd een passkey te registreren?

Gebruikers kunnen direct een passkey registreren via de instellingen voor accountbeveiliging in hun Microsoft Entra-account. Ze kunnen ook tijdens aanmeldingsprocessen gevraagd worden een passkey te registreren, wanneer de organisatie passkeys als standaard authenticatiemethode afdwingt of wanneer het passkeyprofiel een registratieprompt activeert.

Hoe werken passkeys op Windows en ondersteunt Microsoft Entra Windows Hello?

Passkeys werken op Windows door Windows Hello als authenticator te gebruiken. Bij gebruik van Entra passkey on windows kan het apparaat een gebonden passkey genereren die is opgeslagen in de TPM of in een cloud-passkeyprovider. Microsoft Entra ID ondersteunt het gebruik van Windows Hello om authenticator-passkeys te maken en te gebruiken.

Wat zijn gebonden passkeys en waar worden passkeys opgeslagen?

Gebonden passkeys zijn passkeys die gekoppeld zijn aan de authenticator van een specifiek apparaat (zoals Windows Hello) en worden doorgaans opgeslagen in hardwarematige beveiligde opslag (TPM). Gesynchroniseerde passkeys of cloudopgeslagen passkeys worden opgeslagen in de cloud-passkeyprovider die is gekoppeld aan het Microsoft Entra-account van de gebruiker.

Hoe maak ik een passkeyprofiel aan en kan dit voor meerdere beleidsregels worden toegepast?

Je maakt een passkeyprofiel aan in het Microsoft Entra-portaal door authenticatiemethoden en instellingen te selecteren. Passkeyprofielen kunnen worden toegepast op meerdere groepen of omgevingen, en je kunt gerichte passkeyprofielen of drie passkeyprofielen maken om verschillende regels toe te passen op gebruikerspopulaties.

Wat moet ik doen als gebruikers geen passkey kunnen registreren?

Als gebruikers geen passkey kunnen registreren, controleer dan of het passkeyprofiel voor het inschakelen van registratie aan hun account is toegewezen, of hun apparaten aan de vereisten voldoen (bijvoorbeeld Windows Hello of een compatibele authenticator), en bevestig dat de instellingen van de cloud-passkeyprovider en Microsoft Entra ID directe registratie van de passkey toestaan. Zorg ook dat geen Microsoft Intune-apparaatconfiguratiebeleid de authenticatiefuncties blokkeert.

Worden passkeys de standaard authenticatiemethode in Microsoft Entra?

Microsoft heeft aangegeven dat passkeys voor veel gebruikers de standaard authenticatiemethode worden; beheerders kunnen dit proactief instellen door passkeys als primaire methode in het passkeyprofiel in te stellen, zodat passkeys als standaardauthenticatie gelden volgens het beleid van de organisatie.

Hoe werken gesynchroniseerde passkeys in Microsoft Entra met meerdere apparaten en Microsoft 365-apps?

Met gesynchroniseerde passkeys worden de passkeys van een gebruiker via een cloudpasskeyprovider gesynchroniseerd, zodat de gebruiker op meerdere apparaten kan aanmelden. Bij gebruik van Microsoft 365-apps wordt de passkey-aanmelding afgehandeld door Microsoft Entra ID en de cloudprovider. Gebruikers kunnen zo passkeys voor Microsoft 365 gebruiken zonder zich op elk apparaat opnieuw te registreren.

Kan ik het gebruik van passkeys afdwingen en hoe fijnmazig kan het beleid zijn?

Ja, je kunt het gebruik van passkeys afdwingen door beleid in te stellen in passkeyprofielen en voorwaardelijke toegang in Microsoft Entra ID. Het beleid kan fijnmazig zijn: met passkeyprofielen met een beperkte scope kun je passkeys afdwingen voor specifieke gebruikers, groepen of scenario’s, en zelfs bepalen welke authenticators of cloudpasskeyproviders zijn toegestaan.

Wat is het verschil tussen het client-to-authenticator-protocol en passkey-aanmelding?

Het client-to-authenticator-protocol (CTAP) is een technisch protocol dat authenticators gebruiken om met clients (browsers en apparaten) te communiceren. Passkey-aanmelding is daarentegen het proces waarbij de eindgebruiker zich authenticeert met een passkey. CTAP ligt ten grondslag aan FIDO2-passkeys en authenticator-passkeys die bij passkey-aanmeldingen worden gebruikt.

Hoe bekijk en beheer ik passkeys voor gebruikers in Microsoft Entra?

Beheerders kunnen de registratiestatus van passkeys bekijken en passkeys beheren via de verificatiemethoden en rapporten van Microsoft Entra ID. Gebruikers zien hun passkeys in de beveiligingsinstellingen van hun Microsoft Entra-account. Daar kunnen ze een passkey registreren of een passkey verwijderen die op het apparaat of bij de cloudprovider is opgeslagen.

Ondersteunt Microsoft Entra ID passkeys en welke authenticators zijn compatibel?

Ja, Microsoft Entra ID ondersteunt passkeys op basis van de FIDO2-passkeystandaarden. Veel authenticators zijn compatibel, waaronder Windows Hello, platformauthenticators en externe beveiligingssleutels. Door deze standaarden ondersteunt Microsoft Entra ID zowel gebonden passkeys als gesynchroniseerde inloggegevens in de cloud.

Wat gebeurt er als de passkey van een gebruiker al op een ander apparaat is geregistreerd?

Als een passkey al op een ander apparaat is geregistreerd en de gebruiker die elders wil gebruiken, moet de gebruiker ofwel gesynchroniseerde passkeys gebruiken (indien toegestaan) ofwel een nieuwe passkey op het nieuwe apparaat registreren. Beheerders kunnen bij het configureren van passkeyprofielen en opties voor synchronisatie in de cloud rekening houden met scenario’s met meerdere apparaten.

Kan Intune worden gebruikt om apparaten te beheren die passkeys en Windows Hello gebruiken?

Ja, Microsoft Intune kan de compliance en configuratie beheren van apparaten die passkeys en Windows Hello gebruiken. Intune-beleid kan ervoor zorgen dat aan de beveiligingsvereisten van apparaten wordt voldaan voordat passkey-aanmelding wordt toegestaan. Dit kan worden gecombineerd met de Entra-instelling voor passkeys op Windows voor een samenhangende uitrol.

Hoe ondersteun ik passkeys voor meerdere applicaties en diensten in mijn organisatie?

Ondersteun passkeys voor meerdere applicaties door ervoor te zorgen dat die applicaties zijn gefedereerd met of geïntegreerd in Microsoft Entra ID, passkey-aanmelding in te schakelen in je authenticatie-instellingen en passkeyprofielen aan te maken waarin je bepaalt of gebruikers passkeys voor meerdere apps en Microsoft 365-diensten mogen gebruiken.

Wat is een cloudpasskeyprovider en heb ik die nodig?

Een cloudpasskeyprovider slaat passkeys op en synchroniseert ze over de apparaten van een gebruiker. Het gebruik van een cloudpasskeyprovider is optioneel, maar aanbevolen als gebruikers gesynchroniseerde passkeys op meerdere apparaten willen gebruiken in plaats van alleen gebonden passkeys die aan één apparaat zijn gekoppeld.