Zsynchronizowane i powiązane z urządzeniem klucze dostępu (passkeys) w Microsoft Entra ID: którego użyć?

By Mirko Peters · 2026-10-28

Porównaj zsynchronizowane klucze dostępu (passkeys) i klucze powiązane z urządzeniem w Microsoft Entra ID. Dowiedz się, która metoda uwierzytelniania sprawdzi się u zwykłych pracowników, a która u administratorów IT.

Automatically translated with AI from the original post. Read the English original

Wybór między zsynchronizowanymi a powiązanymi z urządzeniem kluczami dostępu w Microsoft Entra ID to przy wdrażaniu nowoczesnego uwierzytelniania najważniejsza decyzja architektoniczna, przed którą stają liderzy IT. Obie opcje eliminują podatne na ataki hasła i skutecznie chronią przed phishingiem wspomaganym przez AI, ale inaczej radzą sobie z utratą urządzenia, synchronizacją w chmurze i widocznością działań administracyjnych.

Najważniejsze wnioski

• Zsynchronizowane klucze dostępu przechowują poświadczenia na zaufanych kontach w chmurze, takich jak iCloud czy Google, dzięki czemu mogą być używane na wielu urządzeniach i przetrwają utratę telefonu.
• Klucze powiązane z urządzeniem istnieją wyłącznie na jednym fizycznym urządzeniu, na przykład w sprzętowym kluczu zabezpieczającym lub w aplikacji Microsoft Authenticator, i nie można ich synchronizować.
• Microsoft zaleca zsynchronizowane klucze dostępu dla zwykłych pracowników ze względu na dużą wygodę i mniejsze utrudnienia.
• Administratorzy IT i konta o wysokich uprawnieniach powinni używać sprzętowych kluczy powiązanych z urządzeniem, aby zachować pełną kontrolę nad poświadczeniami.
• Microsoft Entra ID obsługuje oba typy poświadczeń, dzięki czemu organizacje mogą łączyć produktywność użytkowników z rygorystycznymi zasadami bezpieczeństwa.

Zsynchronizowane klucze dostępu w przedsiębiorstwie

Zsynchronizowane klucze dostępu to połączenie bezpieczeństwa i wygody w nowoczesnym miejscu pracy. Gdy użytkownik tworzy zsynchronizowany klucz dostępu na urządzeniu mobilnym lub stacji roboczej, klucz prywatny jest szyfrowany i przechowywany na koncie zaufanego dostawcy chmury, na przykład w Apple iCloud Keychain, Menedżerze haseł Google albo w rozwiązaniach zewnętrznych, takich jak 1Password czy Dashlane. Taka architektura pozwala poświadczeniu płynnie podążać za użytkownikiem po całym jego ekosystemie.

Jeśli pracownik kupi nowy laptop albo wymieni uszkodzony smartfon, zalogowanie się na koncie dostawcy chmury natychmiast przywraca dostęp do kluczy dostępu. Według danych podanych przez Microsoft około 99 procent użytkowników z powodzeniem rejestruje zsynchronizowane klucze dostępu, a logowanie jest około czternaście razy szybsze niż w przypadku tradycyjnych haseł połączonych z uwierzytelnianiem wieloskładnikowym. Dla zwykłych pracowników korzystających z aplikacji Microsoft 365, takich jak Teams czy Outlook, zsynchronizowane klucze dostępu eliminują utrudnienia i jednocześnie podnoszą ogólny poziom bezpieczeństwa organizacji.

Ta wygoda wiąże się jednak z problemem widoczności dla administratorów IT. Ponieważ zsynchronizowane klucze dostępu są replikowane w ekosystemach chmurowych, administratorzy tracą szczegółową kontrolę nad tym, które urządzenia przechowują kopię klucza prywatnego. Brak izolacji sprzętowej sprawia, że zsynchronizowane opcje są mało odpowiednie dla ról IT o wysokich uprawnieniach, gdzie kluczowa jest pełna pewność co do granic poświadczeń.

Rola kluczy powiązanych z urządzeniem dla użytkowników uprzywilejowanych

W przeciwieństwie do swoich odpowiedników synchronizowanych z chmurą klucze powiązane z urządzeniem są trwale przypisane do jednego fizycznego sprzętu. Klucz prywatny jest generowany bezpośrednio na urządzeniu i fizycznie nie może je opuścić. Do tej kategorii należą dedykowane fizyczne sprzętowe klucze zabezpieczające oraz klucze dostępu przechowywane lokalnie w aplikacji Microsoft Authenticator.

Dla administratorów IT i kont, które mają klucze do firmowego królestwa, passkeys powiązane z urządzeniem są złotym standardem. Jeśli pracownik zgubi telefon, na którym w aplikacji Microsoft Authenticator skonfigurowano passkey powiązany z urządzeniem, ten konkretny poświadczający znika razem ze sprzętem. Nie ma kopii zapasowej w chmurze, która mogłaby go automatycznie przywrócić, dzięki czemu całkowicie eliminuje się ryzyko replikacji poświadczeń w chmurze.

To podejście wiąże się z wyzwaniami odzyskiwania dostępu, jeśli fizyczny token zostanie zgubiony lub uszkodzony, ale zapewnia bezkompromisowy poziom bezpieczeństwa wymagany do zarządzania infrastrukturą Azure i do ról globalnego administratora. Organizacje mogą egzekwować te restrykcyjne parametry w usłudze Microsoft Entra ID, wykorzystując ustawienia atestacji, aby wymusić uwierzytelnianie oparte na sprzęcie.

Zarządzanie kompromisami w usłudze Microsoft Entra ID

Skuteczne wdrożenie passkeys w całej organizacji wymaga uwzględnienia kompromisów operacyjnych, które są nieodłączne dla każdego formatu. Wdrażanie passkeys nie jest już koncepcją z przyszłości: skoro Microsoft Entra ID czyni passkeys domyślnym sposobem logowania i wycofuje starsze kody SMS i połączenia głosowe, organizacje muszą zaprojektować strategię dwutorową.

W przypadku przeciętnej grupy pracowników wdrożenie zsynchronizowanych passkeys zapewnia wysoki poziom adopcji, minimalizuje liczbę zgłoszeń do działu helpdesk dotyczących resetowania haseł i znacząco poprawia skuteczność uwierzytelniania. Korzystanie z rozwiązania pozostaje szybkie, opiera się na znanych metodach biometrycznych, takich jak rozpoznawanie twarzy lub skan odcisku palca.

Z kolei w przypadku użytkowników uprzywilejowanych wymuszenie stosowania sprzętowych kluczy zabezpieczeń powiązanych z urządzeniem tworzy twardą barierę przed wyrafinowanymi zagrożeniami cybernetycznymi. Przedsiębiorstwa muszą ustanowić jasne procedury odzyskiwania dostępu w przypadku utraty tokenów sprzętowych, zapewniając administratorom szybkie możliwości unieważniania poświadczeń w Entra ID bez naruszania integralności systemu tożsamości.

Podsumowanie

Wybór między zsynchronizowanymi a powiązanymi z urządzeniem passkeys nie polega na znalezieniu jednego uniwersalnego rozwiązania, lecz na dopasowaniu właściwego mechanizmu bezpieczeństwa do odpowiedniego profilu użytkownika. Stosując zsynchronizowane passkeys do codziennej pracy produktywnej i zarezerwowując sprzętowe klucze powiązane z urządzeniem dla zespołów administracyjnych, organizacje mogą osiągnąć optymalny poziom bezpieczeństwa bez rezygnowania z wygody użytkowania. Aby poznać szersze mechanizmy techniczne stojące za tymi poświadczeniami, możesz posłuchać całego odcinka podcastu M365 FM, w którym znajdziesz eksperckątdyskusję o nowoczesnym bezpieczeństwie chmury Microsoft.

Często zadawane pytania

Czy mogę używać zsynchronizowanych passkeys dla kont administracyjnych w usłudze Microsoft Entra ID?

Choć jest to technicznie możliwe, firma Microsoft zdecydowanie zaleca sprzętowe klucze powiązane z urządzeniem dla administratorów IT i ról o najwyższych uprawnieniach, aby zapobiec nieautoryzowanej replikacji poświadczeń w chmurze.

Co się stanie z zsynchronizowanym passkey, jeśli zgubię smartfon?

Nic katastrofalnego. Ponieważ zsynchronizowane passkeys są bezpiecznie tworzone jako kopie zapasowe na koncie zaufanego dostawcy chmury, zalogowanie się na nowym urządzeniu na tym samym koncie natychmiast przywraca passkeys.

Czy passkeys powiązane z urządzeniem są zgodne z aplikacją Microsoft Authenticator?

Tak. Passkeys przechowywane bezpośrednio w aplikacji Microsoft Authenticator są klasyfikowane jako powiązane z urządzeniem, co oznacza, że pozostają przypisane do tego konkretnego telefonu i nie synchronizują się z zewnętrznymi pękami kluczy w chmurze.

Czy administratorzy mogą wymuszać określone typy passkeys w usłudze Microsoft Entra ID?

Tak. Administratorzy mogą korzystać z zasad atestacji w usłudze Microsoft Entra ID, aby ograniczyć logowania wyłącznie do passkeys powiązanych z urządzeniem w środowiskach o wysokim poziomie bezpieczeństwa.