Uwierzytelnianie za pomocą kluczy dostępu (passkeys, FIDO2) w Microsoft Entra ID

By Mirko Peters · 2026-08-24

Dowiedz się, jak wdrożyć uwierzytelnianie kluczami dostępu FIDO2 w Entra ID. Przygotuj się na to, że klucze dostępu staną się domyślnym sposobem logowania dzięki tej potężnej metodzie uwierzytelniania.

Automatically translated with AI from the original post. Read the English original

Klucze dostępu (FIDO2) — definicja

Klucze dostępu to nowoczesne, odporne na phishing poświadczenia uwierzytelniające oparte na standardzie FIDO2, które zastępują hasła parami kluczy kryptograficznych. Klucz dostępu składa się z klucza prywatnego, przechowywanego na urządzeniu użytkownika, oraz klucza publicznego, przechowywanego przez usługę. Podczas logowania usługa wysyła urządzeniu wyzwanie, aby potwierdziło posiadanie klucza prywatnego, co umożliwia bezpieczne uwierzytelnianie bez hasła.

Krótkie wyjaśnienie

Klucze dostępu FIDO2 upraszczają i wzmacniają uwierzytelnianie, eliminując wspólne sekrety (hasła) i wykorzystując kryptografię klucza publicznego. Są powiązane z urządzeniem użytkownika i chronione metodami odblokowania urządzenia, takimi jak dane biometryczne (odcisk palca, rozpoznawanie twarzy) lub lokalny kod PIN. Ponieważ uwierzytelnianie opiera się na kryptograficznych potwierdzeniach, a nie na hasłach wpisywanych przez użytkownika, klucze dostępu są odporne na phishing, ataki typu replay i credential stuffing. Rozwiązania takie jak Microsoft Entra obsługują klucze dostępu, umożliwiając płynne i bezpieczne logowanie w aplikacjach internetowych i mobilnych, a w razie potrzeby także synchronizację kluczy między urządzeniami za pomocą zaufanych funkcji platform chmurowych.

W zmieniającym się świecie cyfrowego bezpieczeństwa solidne metody uwierzytelniania mają kluczowe znaczenie dla ochrony zasobów organizacji i tożsamości użytkowników. Ten artykuł omawia wdrożenie i korzyści płynące z kluczy dostępu, a konkretnie uwierzytelniania FIDO2, w Microsoft Entra ID. Wyjaśnimy, czym są klucze dostępu, jak działa FIDO2 oraz jakie wymierne korzyści dają w zakresie wzmocnienia bezpieczeństwa i usprawnienia procesu logowania użytkowników.

Klucze dostępu w Microsoft Entra — 9 zaskakujących faktów o kluczach dostępu (FIDO2)

• Klucze dostępu to coś więcej niż „silne hasła”: wykorzystują kryptografię klucza publicznego, więc serwer przechowuje wyłącznie klucz publiczny — klucz prywatny nigdy nie opuszcza urządzenia.
• Z natury są odporne na phishing: WebAuthn/FIDO2 wiąże poświadczenia z pochodzeniem (originem) witryny, więc fałszywa strona nie może uzyskać użytecznych danych uwierzytelniających.
• Klucze dostępu mogą synchronizować się między urządzeniami za pomocą chmurowej kopii zapasowej platformy (Apple iCloud Keychain, Menedżer haseł Google, konto Microsoft), co umożliwia odzyskiwanie dostępu — wprowadza to jednak nową powierzchnię zaufania wobec dostawcy chmury.
• Na jedno konto i na jedno urządzenie można mieć wiele kluczy dostępu; zaleca się tworzenie kilku kluczy dla kopii zapasowej i dostępu z różnych urządzeń, zamiast polegania na jednym poświadczeniu.
• Klucze dostępu działają z weryfikacją biometryczną lub kodem PIN urządzenia, ale nie przesyłają danych biometrycznych — urządzenie weryfikuje użytkownika lokalnie i podpisuje wyzwania kluczem prywatnym.
• Obsługują zarówno uwierzytelniacze platformy (wbudowane w telefony i laptopy), jak i uwierzytelniacze przenośne (klucze bezpieczeństwa USB/NFC), co umożliwia strategie międzyplatformowe we wdrożeniach kluczy dostępu w Microsoft Entra.
• Atestacja klucza dostępu może ujawniać stronom ufającym informacje o modelu urządzenia, chyba że zastosowano anonimizującą atestację — wybory dotyczące prywatności mają znaczenie podczas wdrażania.
• Migracja użytkowników z dala od haseł może znacznie ograniczyć przejęcia kont, ale organizacje nadal potrzebują procedur awaryjnych (odzyskiwanie konta, alternatywne uwierzytelniacze), aby uniknąć blokad w przypadku utraty urządzeń.
• Wdrażanie kluczy dostępu pomaga spełniać wymogi regulacyjne i ramy bezpieczeństwa: uwierzytelnianie FIDO2 jest uznawane za silne uwierzytelnianie odporne na phishing i może upraszczać zgodność z wymogami, gdy zostanie zintegrowane z Microsoft Entra ID/Entra.

Zrozumienie kluczy dostępu i FIDO2

Czym są klucze dostępu?

Klucze dostępu (passkeys) to przełomowa zmiana w technologii uwierzytelniania, zaprojektowana jako bezpieczniejsza i wygodniejsza alternatywa dla tradycyjnych haseł. W istocie klucze dostępu są poświadczeniami kryptograficznymi, które pozwalają użytkownikom logować się do witryn i aplikacji bez konieczności zapamiętywania ciągu znaków. Zamiast tego uwierzytelnianie opiera się na kryptografii klucza publicznego: dla każdego konta online generowana jest unikalna para kluczy kryptograficznych. Jeden z nich, klucz publiczny, jest przechowywany u dostawcy usługi (np. Microsoft Entra ID), a drugi, klucz prywatny, pozostaje bezpiecznie na urządzeniu użytkownika lub w bezpiecznym uwierzytelniaczu. Gdy użytkownik próbuje się zalogować, usługa wymaga od urządzenia udowodnienia posiadania klucza prywatnego. Weryfikacja odbywa się kryptograficznie, bez przesyłania samego klucza prywatnego. Ta konstrukcja sprawia, że klucze dostępu są znacznie odporniejsze na phishing i inne ataki oparte na poświadczeniach, podnosząc standard ochrony tożsamości cyfrowej. Użytkownicy mogą zarejestrować klucz dostępu na różnych urządzeniach, od smartfonów po dedykowane klucze bezpieczeństwa FIDO2, co tworzy elastyczną i odporną metodę uwierzytelniania.

Przegląd uwierzytelniania FIDO2

Uwierzytelnianie FIDO2 to podstawowy otwarty standard, na którym opiera się koncepcja kluczy dostępu. Standard został opracowany przez FIDO Alliance we współpracy z World Wide Web Consortium (W3C). FIDO2 definiuje zestaw protokołów umożliwiających silne uwierzytelnianie odporne na phishing w sieci. Opiera się on na WebAuthn, interfejsie API sieci Web, oraz na CTAP2, protokole między klientem a uwierzytelniaczem, który zapewnia bezpieczną komunikację między urządzeniem użytkownika (uwierzytelniaczem) a usługą online. Gdy organizacja decyduje się włączyć klucze dostępu w usłudze Microsoft Entra ID, w praktyce włącza uwierzytelnianie FIDO2. Dzięki temu użytkownicy mogą zarejestrować klucz dostępu z klucza bezpieczeństwa FIDO2 lub z urządzenia pełniącego rolę uwierzytelniacza. Proces polega na utworzeniu klucza dostępu przez użytkownika, który następnie staje się podstawową metodą uwierzytelniania albo solidnym elementem uwierzytelniania wieloskładnikowego. Architektura gwarantuje, że klucze prywatne nigdy nie opuszczają uwierzytelniacza, co stanowi skuteczną barierę przed typowymi zagrożeniami cybernetycznymi i wyznacza nowy punkt odniesienia dla bezpieczeństwa uwierzytelniania. Microsoft Entra ID w pełni obsługuje FIDO2, dzięki czemu administratorzy mogą włączyć klucze dostępu jako solidną opcję logowania.

Korzyści z używania kluczy dostępu

Wdrożenie kluczy dostępu w usłudze Microsoft Entra ID przynosi wiele istotnych korzyści, przede wszystkim w zakresie zwiększonego bezpieczeństwa i lepszego doświadczenia użytkownika. Ta zmiana jest proaktywnym krokiem w kierunku przyszłości bez haseł i oferuje praktyczne, skuteczne rozwiązanie w zakresie nowoczesnego zarządzania tożsamością. Organizacje mogą też wdrożyć klucze dostępu jako solidny czynnik uwierzytelniania wieloskładnikowego, wzmacniając ogólną postawę bezpieczeństwa. Możliwość rejestrowania kluczy dostępu bezpośrednio w usłudze Microsoft Entra ID, często za pośrednictwem aplikacji Microsoft Authenticator lub dedykowanego klucza bezpieczeństwa FIDO2, upraszcza wdrażanie i zarządzanie dla administratorów Entra.

Klucze dostępu w Microsoft Entra: zalety i wady

Zalety

• Uwierzytelnianie odporne na phishing: klucze dostępu wykorzystują kryptografię klucza publicznego powiązaną z urządzeniem, co uniemożliwia kradzież poświadczeń za pomocą phishingu.
• Łatwość użytkowania: logowanie często wykorzystuje biometrię platformy lub kod PIN, co upraszcza procesy logowania w porównaniu z hasłami.
• Synchronizacja między urządzeniami: wiele wdrożeń (w tym te zintegrowane z usługami takimi jak klucze dostępu w Microsoft Entra) może synchronizować poświadczenia na urządzeniach użytkownika, zapewniając wygodę.
• Mniejsze obciążenie związane z zarządzaniem hasłami: eliminuje potrzebę tworzenia, zapamiętywania i resetowania haseł, co obniża koszty wsparcia i uciążliwość dla użytkowników.
• Silna prywatność: uwierzytelniaczowi ujawniany jest wyłącznie origin strony uzależnionej (relying party), a poświadczeń nie można ponownie wykorzystać w innych witrynach.
• Zgodność wsteczna przy przejściu: można wdrażać je równolegle z istniejącymi metodami uwierzytelniania, co umożliwia etapowe wdrożenie.

Wady

• Zależność od urządzeń i złożoność odzyskiwania: jeśli użytkownik utraci wszystkie urządzenia lub dostęp do synchronizacji, odzyskanie konta może być bardziej skomplikowane niż reset hasła.
• Zmienne wsparcie między platformami: choć sytuacja się poprawia, nie wszystkie przeglądarki, platformy i usługi w równym stopniu obsługują przepływy passkey.
• Złożoność wdrożenia: poprawna integracja z cyklem życia konta, odzyskiwaniem i obsługą wielu urządzeń wymaga starannego projektu i prac deweloperskich.
• Zasady przedsiębiorstwa i zgodność: organizacje mogą potrzebować zaktualizować zasady zarządzania tożsamością, zarządzania urządzeniami i zgodności, aby szeroko wdrożyć passkeys.
• Wymagana edukacja użytkowników: niektórzy użytkownicy mogą nie znać tej koncepcji i potrzebować wskazówek dotyczących korzystania z urządzeń oraz opcji odzyskiwania.

FIDO2: zalety i wady

Zalety

• Silne uwierzytelnianie kryptograficzne: FIDO2 zapewnia uwierzytelnianie oparte na poświadczeniach z kluczem publicznym, które z natury jest odporne na phishing i ataki typu replay.
• Oparte na standardach i interoperacyjne: szeroko obsługiwane przez główne platformy, przeglądarki i klucze bezpieczeństwa, co zapewnia szeroką zgodność w ekosystemie.
• Elastyczność uwierzytelniaczy: obsługuje uwierzytelniacze platformowe (wbudowane w urządzenia) i przenośne (klucze bezpieczeństwa), dając wybór sposobu wdrożenia.
• Lepsza postawa bezpieczeństwa: ogranicza zależność od haseł i łagodzi skutki wycieku bazy poświadczeń, ponieważ serwery przechowują wyłącznie klucze publiczne.
• Gotowość do zastosowań w przedsiębiorstwie: FIDO2 może integrować się z dostawcami tożsamości przedsiębiorstwa i być łączony z rozwiązaniami, takimi jak Microsoft Entra, aby egzekwować silniejsze zasady uwierzytelniania.

Wady

• Nakład na wdrożenie i integrację: integracja FIDO2 z istniejącymi systemami, logowaniem jednokrotnym i starszymi aplikacjami może wymagać znacznych prac deweloperskich i testów.
• Wymagania dotyczące urządzeń i sprzętu użytkowników: niektórzy użytkownicy mogą potrzebować zakupić przenośne klucze lub korzystać ze zgodnych urządzeń, aby używać uwierzytelniaczy platformowych.
• Wyzwania związane z odzyskiwaniem konta: ustanowienie bezpiecznych i przyjaznych dla użytkownika procesów odzyskiwania bez ponownego wprowadzania słabych metod uwierzytelniania jest trudne.
• Obciążenie operacyjne: zarządzanie tokenami sprzętowymi, ich udostępnianiem, obsługą zagubionych tokenów oraz zasadami cyklu życia dodaje zadań po stronie działu IT.
• Rozproszone doświadczenie użytkownika: różnice w sposobie, w jaki przeglądarki i platformy implementują interfejs przepływów FIDO2, mogą prowadzić do niespójnych doświadczeń na różnych urządzeniach.

Konfigurowanie passkeys w Microsoft Entra ID

Jak zarejestrować passkey

Aby zarejestrować passkey w Microsoft Entra ID, użytkownicy mogą skorzystać z różnych metod, a główną opcją w przypadku zsynchronizowanych passkeys jest aplikacja Microsoft Authenticator. Proces zwykle zaczyna się od przejścia na stronę Informacje zabezpieczające użytkownika lub od monitów wyświetlanych podczas próby logowania. Po jego uruchomieniu użytkownik zostaje przeprowadzony przez tworzenie passkey, co często wymaga weryfikacji biometrycznej lub podania kodu PIN na urządzeniu. Ta czynność bezpiecznie generuje parę kluczy kryptograficznych: klucz publiczny jest rejestrowany w Microsoft Entra ID, a klucz prywatny pozostaje na urządzeniu użytkownika lub w bezpiecznym dostawcy passkey. W przypadku kluczy bezpieczeństwa FIDO2 rejestracja polega na podłączeniu fizycznego klucza i wykonaniu instrukcji wyświetlanych na ekranie, aby utworzyć profil passkey. Administratorzy Entra mogą nadzorować zasady rejestracji passkey, zapewniając, że użytkownicy mogą łatwo rejestrować passkeys i wzmacniać swoje możliwości uwierzytelniania odpornego na phishing.

Włączanie passkeys w aplikacji Authenticator

Włączenie kluczy dostępu w aplikacji Microsoft Authenticator to kluczowy krok dla organizacji, które chcą zapewnić wygodne i bezpieczne logowanie. Administratorzy Entra mogą skonfigurować zasady w centrum administracyjnym Microsoft Entra, aby użytkownicy mogli zarejestrować zsynchronizowany klucz dostępu bezpośrednio w aplikacji Authenticator. W tym celu należy przejść do sekcji metod uwierzytelniania, w której można zarządzać określonymi ustawieniami dla FIDO2 i kluczy dostępu. Po włączeniu tej opcji użytkownicy zobaczą możliwość utworzenia klucza dostępu w ustawieniach aplikacji Authenticator, zwykle w sekcji „Informacje zabezpieczające”. Dzięki temu mogą zarejestrować zsynchronizowany klucz dostępu, którego będą mogli używać na wielu urządzeniach do logowania w aplikacjach Microsoft Entra. Znacząco wzmacnia to strategie uwierzytelniania wieloskładnikowego i przybliża organizacje do przyszłości bez haseł, co podkreślają materiały Microsoft Learn.

Ustawianie kluczy dostępu jako domyślnej metody uwierzytelniania

Organizacje, które chcą wzmocnić swoje zabezpieczenia i w pełni przejść na środowisko bez haseł, za cel ostateczny powinny uznać ustawienie kluczy dostępu jako domyślnej metody uwierzytelniania w Microsoft Entra ID. Administratorzy Entra lub osoby z rolą Administrator zasad uwierzytelniania mogą skonfigurować zasady uwierzytelniania tak, aby klucze dostępu były preferowane zamiast tradycyjnych haseł. Polega to na ustawieniu kluczy dostępu jako preferowanej metody w centrum administracyjnym Microsoft Entra, dzięki czemu użytkownicy będą proszeni o użycie klucza dostępu przy logowaniu, gdy tylko będzie to możliwe. Wdrożenie może wymagać podejścia etapowego, aby użytkownicy byli gotowi na zmianę, jednak możliwość ustawienia kluczy dostępu jako domyślnej metody uwierzytelniania znacząco wzmacnia uwierzytelnianie odporne na phishing, ogranicza zależność od mniej bezpiecznych metod i upraszcza korzystanie z usługi. Ten strategiczny krok wpisuje się w trwające aktualizacje zabezpieczeń i rozwój Microsoft Entra ID w kierunku bezpieczniejszego i sprawniejszego ekosystemu zarządzania tożsamościami.

Lista kontrolna: konfiguracja kluczy dostępu w Microsoft Entra

Skorzystaj z tej listy kontrolnej, aby zaplanować, wdrożyć i zweryfikować klucze dostępu w Microsoft Entra ID (Microsoft Entra Passkeys).

Wymagania wstępne

• Upewnij się, że dzierżawa Azure AD / Microsoft Entra ID jest aktywna, a Ty masz uprawnienia administratora globalnego lub administratora tożsamości.
• Sprawdź, czy subskrypcja i licencje obejmują funkcje uwierzytelniania bez hasła oraz kluczy dostępu FIDO2.
• Upewnij się, że urządzenia i przeglądarki używane przez użytkowników obsługują klucze dostępu/FIDO2 (aktualne systemy Windows, macOS, iOS, Android oraz przeglądarki oparte na Chromium).
• Potwierdź, że organizacja ma udokumentowany plan przejścia na uwierzytelnianie bez hasła oraz strategię komunikacji.

Przygotowanie Microsoft Entra ID

• Przejdź do centrum administracyjnego Microsoft Entra i otwórz pozycję Metody uwierzytelniania > Zasady.
• Włącz metodę uwierzytelniania Klucz dostępu (FIDO2) i ustaw ją na Dozwolona lub Wymagana dla wybranych użytkowników lub grup.
• W razie potrzeby skonfiguruj ograniczenia dla użytkowników i urządzeń (kotwice zaufania, uwierzytelniacz wbudowany w platformę a uwierzytelniacz zewnętrzny).
• Przejrzyj zasady dotyczące starszych metod uwierzytelniania, aby ograniczyć konflikty i zapewnić priorytet dla procesów logowania bez hasła.

Konfiguracja dostępu warunkowego i ustawień zabezpieczeń

• Zaktualizuj zasady dostępu warunkowego, aby w odpowiednich przypadkach zezwalać na logowanie bez hasła lub je wymagać.
• Dodaj kontrolę dostępu opartą na ryzyku (Azure AD Identity Protection) równolegle z wdrażaniem kluczy dostępu.
• Przed wymuszeniem zasad przetestuj je w trybie tylko raportowania.

Wdrożenie i rejestracja użytkowników

• Przygotuj instrukcje krok po kroku dotyczące rejestracji kluczy dostępu (rejestracja przez Windows Hello, monity platformy lub przeglądarki albo zewnętrzne klucze zabezpieczeń).
• Przygotuj zrzuty ekranu i instrukcje dla znanych urządzeń w popularnych platformach (Windows, macOS, iOS, Android).
• Zdefiniuj zasady dotyczące wielu kluczy dostępu na użytkownika oraz procedurę tworzenia kopii zapasowych i odzyskiwania.
• Przeprowadź pilotaż z niewielką grupą użytkowników i zbierz ich opinie.

Testowanie i weryfikacja

• Sprawdź, czy użytkownicy pilotażowi mogą poprawnie zarejestrować klucz dostępu i zalogować się na obsługiwanych platformach i w obsługiwanych przeglądarkach.
• Przetestuj scenariusze logowania jednokrotnego (SSO), monity uwierzytelniania wieloskładnikowego oraz działanie dostępu warunkowego z kluczami dostępu.
• Potwierdź, że alternatywne metody logowania (dodatkowe uwierzytelnianie wieloskładnikowe, odzyskiwanie konta) działają i są bezpieczne.
• Monitoruj dzienniki logowania oraz raporty użycia metod uwierzytelniania w Microsoft Entra.

Wdrożenie i szkolenia

• Przekaż użytkownikom harmonogram wdrożenia, korzyści oraz dostępne zasoby pomocy.
• Przygotuj dla zespołów wsparcia IT podręczniki postępowania dla typowych problemów z rejestracją i awarii.
• Wymuszaj zasady etapami, rozszerzając je od grup pilotażowych na całą organizację.

Monitorowanie i utrzymanie

• Regularnie przeglądaj dzienniki logowania Microsoft Entra oraz raporty metod uwierzytelniania pod kątem anomalii.
• Śledź wskaźniki adopcji oraz zgłoszenia do pomocy technicznej dotyczące kluczy dostępu.
• Aktualizuj dokumentację o zmianach w systemie operacyjnym lub przeglądarce, które wpływają na działanie kluczy dostępu.
• Okresowo przeglądaj i aktualizuj zasady dostępu warunkowego oraz zasady metod uwierzytelniania.

Rozwiązywanie problemów i wycofywanie zmian

• Dokumentuj typowe błędy (zgodność urządzeń, monity przeglądarki, błędy rejestracji) oraz sposoby ich rozwiązania.
• Opracuj jasne procesy odzyskiwania konta i dostępu awaryjnego dla użytkowników, którzy utracą dostęp do kluczy dostępu.
• W przypadku krytycznych problemów bądź przygotowany na cofnięcie wymuszania metody uwierzytelniania i przekaż instrukcje wycofania zmian.

Zagadnienia bezpieczeństwa i zgodności

• Upewnij się, że wdrożenie kluczy dostępu jest zgodne z zasadami bezpieczeństwa organizacji oraz wymogami zgodności.
• Sprawdź, czy metody przechowywania i potwierdzania (attestation) kluczy dostępu spełniają standardy przedsiębiorstwa.
• Przejrzyj wytyczne dotyczące bezpieczeństwa od dostawców zewnętrznych uwierzytelniaczy i producentów urządzeń.

Ukończenie tej listy kontrolnej pomoże zapewnić udane i bezpieczne wdrożenie kluczy dostępu Microsoft Entra w całej organizacji.

Rodzaje kluczy dostępu i ich cechy

Synchronizowane klucze dostępu – bliższe spojrzenie

Zsynchronizowane klucze dostępu to znaczący krok naprzód pod względem wygody użytkowników i dostępności w ekosystemie kluczy dostępu, zwłaszcza w usłudze Microsoft Entra ID. Klucze te są zaprojektowane tak, aby synchronizować się między różnymi urządzeniami użytkownika, zapewniając płynne logowanie bez uszczerbku dla solidnych zabezpieczeń uwierzytelniania FIDO2. Gdy użytkownik utworzy klucz dostępu na jednym urządzeniu, może on zostać bezpiecznie skopiowany na inne uwierzytelnione urządzenia za pośrednictwem bezpiecznego dostawcy kluczy dostępu, często zintegrowanego bezpośrednio z systemem operacyjnym lub z dedykowanym menedżerem haseł. Na przykład włączenie zsynchronizowanych kluczy dostępu w aplikacji Microsoft Authenticator pozwala użytkownikowi zarejestrować klucz dostępu jeden raz, a następnie używać go do logowania się w usłudze Microsoft Entra ID ze smartfona, tabletu lub komputera PC, pod warunkiem że urządzenia są połączone z tym samym kontem. Ta możliwość znacznie zwiększa praktyczne zastosowanie kluczy dostępu jako domyślnej metody uwierzytelniania i przybliża organizacje do w pełni bezhasłowej przyszłości, zapewniając użytkownikom stały dostęp do ich odpornych na phishing poświadczeń uwierzytelniania.

Różne typy dostępnych kluczy dostępu

Poza zsynchronizowanymi kluczami dostępu administratorzy Entra powinni rozumieć różne postacie, jakie może przyjmować klucz dostępu, aby skutecznie zarządzać metodami uwierzytelniania w usłudze Microsoft Entra ID. Podstawowy podział przebiega między zsynchronizowanymi kluczami dostępu a kluczami dostępu powiązanymi z urządzeniem. Oba typy wykorzystują standard FIDO2 do uwierzytelniania odpornego na phishing, jednak ich strategie wdrażania i zarządzania różnią się. Organizacje mogą włączać zsynchronizowane klucze dostępu z myślą o ogólnej wygodzie użytkowników, a jednocześnie wymagać kluczy powiązanych z urządzeniem dla kont o podwyższonych uprawnieniach lub w przypadku określonych wymogów zgodności, tworząc w ten sposób elastyczną i solidną strategię uwierzytelniania. To kompleksowe podejście pozwala organizacji rejestrować klucze dostępu odpowiadające różnym potrzebom bezpieczeństwa i preferencjom użytkowników.

Korzystanie z kluczy zabezpieczających FIDO2

Klucze zabezpieczające FIDO2 oferują wysoko bezpieczny i odrębny sposób korzystania z kluczy dostępu, działając jako dedykowane sprzętowe uwierzytelniacze dla uwierzytelniania FIDO2 w usłudze Microsoft Entra ID. Te fizyczne urządzenia, zazwyczaj małe tokeny USB, bezpiecznie generują i przechowują klucz prywatny w swoim odpornym na manipulacje sprzęcie. Gdy użytkownik musi zalogować się do usługi Microsoft Entra ID, wystarczy, że włoży klucz zabezpieczający FIDO2 i postępuje zgodnie z monitami, które często obejmują wprowadzenie kodu PIN lub weryfikację biometryczną bezpośrednio na kluczu.

Zapewnia to dodatkową warstwę zabezpieczeń, ponieważ klucz prywatny nigdy nie opuszcza sprzętu, co chroni go przed wieloma atakami wykonywanymi programowo. Administratorzy Entra mogą włączyć klucze dostępu (passkeys) właśnie za pośrednictwem kluczy zabezpieczeń FIDO2. Jest to solidna opcja uwierzytelniania wieloskładnikowego, szczególnie zalecana dla kluczowych ról lub środowisk, w których najwyższy poziom bezpieczeństwa ma pierwszorzędne znaczenie. Proces rejestracji klucza dostępu przy użyciu klucza zabezpieczeń FIDO2 jest prosty, a użytkownicy zyskują potężną metodę uwierzytelniania odporną na phishing.

Typowe błędy związane z kluczami zabezpieczeń FIDO2

Klucze zabezpieczeń FIDO2 to silne narzędzia uwierzytelniania, często używane z platformami takimi jak klucze dostępu w Microsoft Entra. Poniżej przedstawiamy najczęstsze błędy i sposoby ich unikania.

• Założenie, że klucz w pełni zastępuje odzyskiwanie konta: Wielu sądzi, że sam klucz FIDO2 obejmuje wszystkie scenariusze odzyskiwania. Jeśli zgubisz klucz, a nie włączysz alternatywnych metod odzyskiwania (kluczy zapasowych, kodów odzyskiwania lub kluczy dostępu zarządzanych przez platformę, takich jak klucze dostępu w Microsoft Entra), możesz stracić dostęp do konta.
• Brak rejestracji kluczy zapasowych lub metod zapasowych: Rejestrowanie tylko jednego klucza zabezpieczeń jest ryzykowne. Zawsze dodaj co najmniej jeden klucz zapasowy i włącz dodatkowe opcje odzyskiwania, aby zapobiec utracie konta.
• Mylenie kluczy FIDO2 z sprzętowymi tokenami OTP: Klucze FIDO2 korzystają z kryptografii klucza publicznego i są odporne na phishing, w przeciwieństwie do wielu tokenów jednorazowych haseł (OTP). Należy traktować je inaczej w procesach i dokumentacji.
• Oczekiwanie uniwersalnego działania typu plug-and-play bez sprawdzenia zgodności: Nie wszystkie witryny i platformy obsługują każdą funkcję FIDO2. Sprawdź obsługę przeglądarki, platformy i usługi, szczególnie podczas integracji z usługami tożsamości, takimi jak klucze dostępu w Microsoft Entra.
• Niebezpieczne przechowywanie lub oznaczanie kluczy zapasowych: Przechowywanie klucza zapasowego w oczywistym miejscu lub oznaczenie go jako „klucz zabezpieczeń” osłabia bezpieczeństwo. Przechowuj klucze zapasowe w bezpiecznych, dyskretnych miejscach.
• Zaniedbywanie aktualizacji oprogramowania sprzętowego i zaleceń producenta: Niektóre klucze otrzymują aktualizacje lub mają znane problemy. Ignorowanie komunikatów producenta jest ryzykowne – stosuj się do zalecanych okresów konserwacji i wymiany.
• Udostępnianie jednego klucza wielu użytkownikom: Klucze są zwykle powiązane z tożsamością pojedynczego użytkownika. Udostępnianie klucza podważa indywidualną odpowiedzialność i może naruszać wymagania dotyczące audytu i zgodności.
• Nieporozumienia dotyczące kluczy rezydentnych i nierezydentnych: Poświadczenia rezydentne (wykrywalne) są przechowywane na kluczu, natomiast poświadczenia nierezydentne opierają się na serwerze. Wybór niewłaściwego typu do danego przypadku użycia może wpłynąć na przenośność i opcje odzyskiwania.
• Zakładanie, że posiadanie fizyczne oznacza nieograniczony dostęp: Skradziony klucz może być nadal chroniony kodem PIN lub biometrią na urządzeniu, jednak zakładanie, że jest bezpieczny bez włączenia tych zabezpieczeń, to błąd – zawsze włączaj dostępne zabezpieczenia PIN/biometryczne i rozważ zasady blokady urządzenia.
• Zaniedbywanie edukacji użytkowników i procesów operacyjnych: Wdrażanie kluczy bez szkoleń prowadzi do nadużyć, utraty kluczy i zwiększenia obciążenia pomocy technicznej. Zapewnij jasne procedury wdrożenia, postępowania w przypadku utraty klucza oraz wskazówki dotyczące integracji (na przykład wykorzystanie kluczy dostępu w Microsoft Entra w celu usprawnienia korzystania z usługi przez użytkowników).

Korzystanie z kluczy dostępu Entra w systemie Windows

Integracja kluczy dostępu z Windows Hello for Business

Integracja kluczy dostępu Entra z Windows Hello for Business stanowi potężną synergię, zwiększającą bezpieczeństwo i usprawniającą logowanie na urządzeniach z systemem Windows. Gdy organizacja zdecyduje się włączyć klucze dostępu w Microsoft Entra ID, zwłaszcza za pośrednictwem Windows Hello for Business, użytkownicy uzyskują dostęp do kluczy dostępu powiązanych z urządzeniem, które wykorzystują solidne uwierzytelnianie biometryczne lub kodem PIN, już zintegrowane z ich środowiskiem Windows. Oznacza to, że aby użyć klucza dostępu do logowania, użytkownicy po prostu uwierzytelniają się znaną sobie metodą Windows Hello, na przykład odciskiem palca, rozpoznawaniem twarzy lub kodem PIN. Ta integracja zapewnia płynną i wysoce odporną na phishing metodę uwierzytelniania, ponieważ klucz prywatny klucza dostępu nigdy nie opuszcza urządzenia i jest chroniony przez bezpieczny sprzęt Windows Hello for Business. Administratorzy Entra mogą konfigurować zasady zezwalające na tę integrację, dzięki czemu użytkownicy mogą łatwo zarejestrować klucz dostępu i w pełni doświadczyć bezhasłowej przyszłości bezpośrednio na swoich urządzeniach z systemem Windows.

Uzyskiwanie dostępu do kluczy dostępu Entra w systemie Windows

Dostęp do kluczy dostępu Entra na urządzeniach z systemem Windows jest zaprojektowany jako prosty i bezpieczny proces, niezależnie od tego, czy korzystamy z synchronizowanych kluczy dostępu, czy kluczy dostępu powiązanych z urządzeniem za pośrednictwem funkcji Windows Hello for Business. W przypadku synchronizowanych kluczy dostępu użytkownicy, którzy włączyli klucze dostępu w aplikacji Microsoft Authenticator lub u innego dostawcy kluczy dostępu, znajdą swój profil klucza dostępu gotowy do użycia na urządzeniu z systemem Windows, co pozwala im z łatwością logować się do aplikacji Microsoft Entra. Gdy system poprosi o uwierzytelnienie, Windows zaproponuje użycie klucza dostępu, często wymagając prostego potwierdzenia lub weryfikacji biometrycznej. Dla użytkowników korzystających z Windows Hello for Business dostęp jest jeszcze bardziej zintegrowany, ponieważ klucz dostępu jest bezpośrednio powiązany z bezpiecznym elementem urządzenia. Dzięki temu użytkownicy mogą logować się do Microsoft Entra ID i innych usług, po prostu uwierzytelniając się za pomocą Windows Hello. Zapewnia to spójne i wysoce bezpieczne środowisko logowania w całym ekosystemie Windows, znacznie wzmacniając odporne na phishing mechanizmy uwierzytelniania.

Aktualizacje zabezpieczeń i najlepsze praktyki

Aby zachować najwyższy poziom bezpieczeństwa i zapewnić optymalne działanie podczas korzystania z kluczy dostępu Entra w systemie Windows, kluczowe znaczenie ma stosowanie się do aktualizacji zabezpieczeń i najlepszych praktyk. Administratorzy Entra powinni priorytetowo traktować utrzymywanie aktualnych systemów Windows, aplikacji Microsoft Authenticator oraz oprogramowania sprzętowego kluczy zabezpieczeń FIDO2, aby korzystać z najnowszych ulepszeń zabezpieczeń i poprawek błędów. Regularne przeglądanie i aktualizowanie zasad uwierzytelniania w centrum administracyjnym Microsoft Entra pomaga zapewnić, że rejestracja i użycie kluczy dostępu są zgodne z wymaganiami bezpieczeństwa organizacji. Równie istotne jest edukowanie użytkowników w zakresie bezpiecznego tworzenia klucza dostępu, zrozumienia różnic między synchronizowanymi kluczami dostępu a kluczami powiązanymi z urządzeniem oraz znaczenia ochrony ich urządzeń. Microsoft Learn udostępnia obszerne materiały na temat tych aktualizacji zabezpieczeń i najlepszych praktyk, pomagając organizacjom budować odporną strategię uwierzytelniania bez haseł w środowisku Microsoft Entra ID.

Rozwiązywanie problemów i wsparcie

Typowe problemy z kluczami dostępu

Podczas wdrażania i zarządzania kluczami dostępu w Microsoft Entra ID administratorzy Entra i użytkownicy mogą napotkać kilka typowych problemów wymagających rozwiązywania. Częstym wyzwaniem jest zapewnienie, że użytkownicy mogą pomyślnie zarejestrować klucz dostępu, zwłaszcza gdy zgodność urządzeń lub konfiguracja zasad nie są prawidłowo dopasowane. Użytkownicy mogą mieć trudności, jeśli ich klucz zabezpieczeń FIDO2 nie zostanie rozpoznany lub jeśli wystąpią konflikty z istniejącymi metodami uwierzytelniania. Innym częstym problemem jest brak synchronizacji synchronizowanych kluczy dostępu na wszystkich zamierzonych urządzeniach, często z powodu problemów z łącznością lub nieprawidłowych ustawień dostawcy kluczy dostępu. Ponadto użytkownicy mogą przypadkowo usunąć swój profil klucza dostępu lub napotkać trudności przy próbie ustawienia kluczy dostępu jako domyślnej metody uwierzytelniania, jeśli metody awaryjne nie zostały prawidłowo skonfigurowane. Zrozumienie tych potencjalnych przeszkód jest pierwszym krokiem do ich skutecznego rozwiązania i utrzymania płynnego doświadczenia logowania bez haseł.

Jak włączyć i ukierunkować klucze dostępu

Włączanie i skuteczne ukierunkowanie kluczy dostępu w Microsoft Entra ID to krytyczne zadanie administracyjne, wymagające starannej konfiguracji w centrum administracyjnym Microsoft Entra. Administratorzy Entra lub osoby z rolą Administratora zasad uwierzytelniania muszą przejść do sekcji metod uwierzytelniania, aby włączyć klucze dostępu w swojej organizacji. Obejmuje to wybór opcji klucza zabezpieczeń FIDO2 lub zezwolenie użytkownikom na rejestrację synchronizowanego klucza dostępu za pośrednictwem aplikacji Microsoft Authenticator. Kierowanie wdrożenia kluczy dostępu do określonych grup użytkowników jest najlepszą praktyką, która umożliwia wdrażanie etapowe i zapewnia, że odpowiedni użytkownicy mogą utworzyć klucz dostępu. Można to osiągnąć, przypisując zasady do określonych grup użytkowników, dzięki czemu tylko upoważnione osoby mogą rejestrować klucze dostępu i używać ich jako głównej lub wieloskładnikowej metody uwierzytelniania. Właściwe ukierunkowanie ułatwia zarządzanie przejściem do środowiska bez haseł i jest zgodne z aktualizacjami zabezpieczeń organizacji.

Uzyskiwanie pomocy przy konfiguracji kluczy dostępu

Administratorzy Entra i użytkownicy potrzebujący pomocy w konfigurowaniu kluczy dostępu mogą skorzystać z różnych zasobów, które ułatwią płynne przejście na tę metodę uwierzytelniania odporną na phishing. Microsoft Learn oferuje obszerną dokumentację i samouczki, które szczegółowo opisują każdy etap, od włączania kluczy dostępu w usłudze Microsoft Entra ID po rozwiązywanie typowych problemów. Centrum administracyjne Microsoft Entra udostępnia kontekstową pomoc i przewodniki dotyczące konfigurowania zasad uwierzytelniania oraz zarządzania rejestracją kluczy dostępu. Ponadto w przypadku bardziej złożonych problemów dostępne są kanały wsparcia Microsoft, które oferują fachową pomoc przy konfigurowaniu i utrzymaniu kluczy dostępu w usłudze Microsoft Entra. Wykorzystanie tych zasobów pomoże organizacjom pokonać przeszkody, skutecznie włączyć zsynchronizowane klucze dostępu i z powodzeniem ustawić klucze dostępu jako domyślną metodę uwierzytelniania, co znacząco wzmocni ich poziom bezpieczeństwa i pozwoli przejść na nowoczesne, bezhasłowe logowanie.

Często zadawane pytania

profil klucza dostępu: tworzenie i zarządzanie profilem klucza dostępu

klucz dostępu Entra w systemie Windows: włączanie i używanie klucza dostępu Entra na urządzeniach z systemem Windows

działanie kluczy dostępu: jak klucze dostępu działają na wielu urządzeniach oraz zsynchronizowane klucze dostępu

Czym jest klucz dostępu Microsoft Entra i czym różni się od klucza dostępu FIDO2?

Klucz dostępu Microsoft Entra to nowoczesne, odporne na phishing poświadczenie przechowywane na urządzeniu lub u dostawcy kluczy dostępu w chmurze, zarządzane za pośrednictwem usługi Microsoft Entra ID. Wykorzystuje kryptografię klucza publicznego, podobnie jak klucz dostępu FIDO2, ale jest zintegrowany z funkcjami usług Microsoft 365 i Entra, dzięki czemu umożliwia logowanie kluczem dostępu oraz synchronizację w chmurze między urządzeniami.

Jak włączyć logowanie kluczem dostępu w mojej organizacji?

Aby włączyć logowanie kluczem dostępu, należy utworzyć profil klucza dostępu w usłudze Microsoft Entra, skonfigurować profile kluczy dostępu tak, aby określały zasady (w tym to, czy użytkownicy mogą korzystać z zsynchronizowanych kluczy dostępu), a opcjonalnie zintegrować je z usługą Microsoft Intune, aby egzekwować kontrolki urządzeń. Administratorzy decydują, czy klucze dostępu staną się domyślnym sposobem uwierzytelniania, czy pozostaną opcjonalne.

Co oznacza opcja „zezwalaj na zsynchronizowane klucze dostępu” i jak ją skonfigurować?

Opcja „zezwalaj na zsynchronizowane klucze dostępu” to decyzja dotycząca zasad, która pozwala użytkownikom przechowywać klucze dostępu u dostawcy kluczy dostępu w chmurze, dzięki czemu mogą korzystać z zsynchronizowanych kluczy dostępu na różnych urządzeniach. Aby ją skonfigurować, włącz tę opcję w profilu klucza dostępu, upewnij się, że użytkownicy otrzymują monit o zarejestrowanie klucza dostępu, oraz sprawdź, czy dostawca kluczy dostępu w chmurze jest obsługiwany.

Czy użytkownicy mogą zarejestrować klucz dostępu bezpośrednio, czy są do tego monitowani?

Użytkownicy mogą zarejestrować klucz dostępu bezpośrednio w ustawieniach zabezpieczeń konta w usłudze Microsoft Entra. Mogą też zostać monitowani o rejestrację podczas procesu logowania, gdy organizacja wymusza klucze dostępu jako domyślną metodę uwierzytelniania albo gdy profil klucza dostępu wyzwala monit o rejestrację.

Jak działają klucze dostępu w systemie Windows i czy usługa Microsoft Entra obsługuje Windows Hello?

Klucze dostępu w systemie Windows działają dzięki wykorzystaniu Windows Hello jako authenticatora. Przy użyciu klucza dostępu Entra w systemie Windows urządzenie może wygenerować powiązany klucz dostępu, przechowywany w module TPM lub u dostawcy kluczy dostępu w chmurze. Usługa Microsoft Entra ID obsługuje użycie Windows Hello do tworzenia i wykorzystywania kluczy dostępu authenticatora.

Czym są powiązane klucze dostępu i gdzie są przechowywane klucze dostępu?

Powiązane klucze dostępu to klucze przypisane do konkretnego authenticatora urządzenia (np. Windows Hello) i zazwyczaj przechowywane w sprzętowo zabezpieczonej pamięci (TPM). Zsynchronizowane klucze dostępu, czyli klucze przechowywane w chmurze, są zapisywane u dostawcy kluczy dostępu w chmurze powiązanego z kontem użytkownika w usłudze Microsoft Entra.

Jak utworzyć profil klucza dostępu i czy można go zakresować dla wielu zasad?

Profil klucza dostępu tworzy się w portalu Microsoft Entra, wybierając metody uwierzytelniania i ustawienia. Profile kluczy dostępu można zakresować dla wielu grup lub środowisk, a także tworzyć zakresowe profile kluczy dostępu lub trzy profile, aby stosować różne reguły do różnych grup użytkowników.

Co zrobić, jeśli użytkownicy nie mogą zarejestrować klucza dostępu?

Jeśli użytkownicy nie mogą zarejestrować klucza dostępu, sprawdź, czy profil klucza dostępu umożliwiający rejestrację jest przypisany do ich konta, czy ich urządzenia spełniają wymagania (np. Windows Hello lub zgodny authenticator), oraz czy ustawienia dostawcy kluczy dostępu w chmurze i usługi Microsoft Entra ID pozwalają na bezpośrednią rejestrację klucza dostępu. Upewnij się też, że zasady konfiguracji urządzeń w usłudze Microsoft Intune nie blokują funkcji authenticatora.

Czy klucze dostępu staną się domyślnym sposobem uwierzytelniania w usłudze Microsoft Entra?

Microsoft zapowiedział, że klucze dostępu (passkeys) staną się domyślnym sposobem uwierzytelniania dla wielu użytkowników. Administratorzy mogą proaktywnie skonfigurować klucze dostępu jako domyślne uwierzytelnianie, ustawiając je jako metodę podstawową w profilu klucza dostępu, tak aby domyślne uwierzytelnianie kluczami dostępu obowiązywało zgodnie z zasadami organizacji.

Jak synchronizowane klucze dostępu w Microsoft Entra działają z wieloma urządzeniami i aplikacjami Microsoft 365?

Korzystanie z synchronizowanych kluczy dostępu pozwala synchronizować klucze dostępu użytkownika za pośrednictwem dostawcy chmurowych kluczy dostępu, dzięki czemu może on logować się na wielu urządzeniach. Podczas korzystania z aplikacji Microsoft 365 logowanie kluczem dostępu obsługują usługa Microsoft Entra ID i dostawca chmurowy, co pozwala użytkownikom korzystać z kluczy dostępu w usługach Microsoft 365 bez ponownej rejestracji na każdym urządzeniu.

Czy mogę wymusić korzystanie z kluczy dostępu i jak szczegółowe mogą być zasady?

Tak, możesz wymusić korzystanie z kluczy dostępu, konfigurując zasady w profilach kluczy dostępu oraz dostęp warunkowy w usłudze Microsoft Entra ID. Zasady mogą być bardzo szczegółowe: zakresowe profile kluczy dostępu pozwalają wymusić ich użycie dla konkretnych użytkowników, grup lub scenariuszy, a nawet ograniczyć, które metody uwierzytelniania lub dostawcy chmurowych kluczy dostępu są dozwolone.

Jaka jest różnica między protokołem klient–uwierzytelniacz a logowaniem kluczem dostępu?

Protokół klient–uwierzytelniacz (CTAP) to protokół techniczny, za pomocą którego uwierzytelniacze komunikują się z klientami (przeglądarkami i urządzeniami). Logowanie kluczem dostępu to natomiast proces, w którym użytkownik końcowy uwierzytelnia się kluczem dostępu. CTAP stanowi podstawę kluczy dostępu FIDO2 oraz kluczy dostępu uwierzytelniaczy wykorzystywanych w przepływach logowania kluczem dostępu.

Jak wyświetlać klucze dostępu i zarządzać nimi dla użytkowników w Microsoft Entra?

Administratorzy mogą sprawdzać stan rejestracji kluczy dostępu i nimi zarządzać w ramach metod uwierzytelniania oraz raportów usługi Microsoft Entra ID. Użytkownicy widzą swoje klucze dostępu w ustawieniach zabezpieczeń konta Microsoft Entra, gdzie mogą zarejestrować klucz dostępu lub usunąć klucz przechowywany na urządzeniu albo u dostawcy chmurowego.

Czy usługa Microsoft Entra ID obsługuje klucze dostępu i które uwierzytelniacze są zgodne?

Tak, usługa Microsoft Entra ID obsługuje klucze dostępu zgodne ze standardami FIDO2, a wiele uwierzytelniaczy jest kompatybilnych, w tym Windows Hello, uwierzytelniacze platformy oraz zewnętrzne klucze zabezpieczeń. Dzięki tym standardom usługa Microsoft Entra ID obsługuje zarówno klucze dostępu powiązane z urządzeniem, jak i poświadczenia synchronizowane przez chmurę.

Co się stanie, jeśli klucz dostępu użytkownika jest już zarejestrowany na innym urządzeniu?

Jeśli klucz dostępu jest już zarejestrowany na innym urządzeniu, a użytkownik chce z niego korzystać także na innym, musi użyć synchronizowanych kluczy dostępu (jeśli są dozwolone) albo zarejestrować nowy klucz dostępu na nowym urządzeniu. Konfigurując profile kluczy dostępu oraz opcje synchronizacji w chmurze, administratorzy powinni uwzględnić scenariusze z wieloma urządzeniami.

Czy Intune może zarządzać urządzeniami korzystającymi z kluczy dostępu i Windows Hello?

Tak, Microsoft Intune może zarządzać zgodnością i konfiguracją urządzeń korzystających z kluczy dostępu i Windows Hello. Zasady Intune mogą zapewnić spełnienie wymagań bezpieczeństwa urządzenia, zanim zezwolą na logowanie kluczem dostępu, i mogą być łączone z ustawieniami kluczy dostępu w systemie Windows w usłudze Entra, aby uzyskać spójne wdrożenie.

Jak obsługiwać klucze dostępu dla wielu aplikacji i usług w mojej organizacji?

Aby obsługiwać klucze dostępu w wielu aplikacjach, upewnij się, że są one połączone federacyjnie lub zintegrowane z usługą Microsoft Entra ID, włącz logowanie kluczem dostępu w ustawieniach uwierzytelniania i utwórz profile kluczy dostępu określające, czy użytkownicy mogą korzystać z kluczy dostępu w wielu aplikacjach i usługach Microsoft 365.

Czym jest dostawca chmurowych kluczy dostępu i czy jest potrzebny?

Dostawca chmurowych kluczy dostępu przechowuje klucze dostępu użytkownika i synchronizuje je między jego urządzeniami. Korzystanie z takiego dostawcy jest opcjonalne, ale zalecane, jeśli chcesz, aby użytkownicy korzystali z synchronizowanych kluczy dostępu na różnych urządzeniach, a nie tylko z kluczy powiązanych z pojedynczym urządzeniem.