Método de autenticação com chaves de acesso (FIDO2) no Microsoft Entra ID

By Mirko Peters · 2026-08-24

Aprenda a implementar a autenticação com chaves de acesso FIDO2 no Entra ID. Prepare-se para que as chaves de acesso se tornem a experiência de entrada padrão com este método de autenticação poderoso.

Automatically translated with AI from the original post. Read the English original

Chaves de acesso (FIDO2) — Definição

Chaves de acesso são credenciais de autenticação modernas e resistentes a phishing, baseadas no padrão FIDO2, que substituem senhas por pares de chaves criptográficas. Uma chave de acesso é composta por uma chave privada mantida no dispositivo do usuário e por uma chave pública armazenada pelo serviço. Ao entrar, o serviço desafia o dispositivo a comprovar a posse da chave privada, possibilitando uma autenticação segura e sem senha.

Explicação rápida

As chaves de acesso FIDO2 simplificam e fortalecem a autenticação ao eliminar segredos compartilhados (senhas) e usar criptografia de chave pública. Elas são vinculadas ao dispositivo do usuário e protegidas por métodos de desbloqueio do dispositivo, como biometria (impressão digital, reconhecimento facial) ou PIN local. Como a autenticação se baseia em asserções criptográficas, e não em senhas digitadas pelo usuário, as chaves de acesso são resistentes a phishing, ataques de repetição e credential stuffing. Soluções como o Microsoft Entra oferecem suporte a chaves de acesso para permitir entradas contínuas e seguras em aplicativos web e móveis, além de possibilitar a sincronização de chaves entre dispositivos, por meio de recursos confiáveis da plataforma em nuvem, quando desejado.

No cenário em constante evolução da segurança digital, métodos de autenticação robustos são essenciais para proteger os ativos da organização e as identidades dos usuários. Este artigo aborda a implementação e os benefícios das chaves de acesso, especificamente a autenticação FIDO2, no Microsoft Entra ID. Vamos explorar o que são as chaves de acesso, como o FIDO2 funciona e as vantagens concretas que elas oferecem para fortalecer a postura de segurança e simplificar a experiência de entrada do usuário.

Chaves de acesso do Microsoft Entra — 9 fatos surpreendentes sobre chaves de acesso (FIDO2)

• Chaves de acesso não são apenas "senhas fortes": elas usam criptografia de chave pública, de modo que o servidor armazena apenas uma chave pública — a chave privada nunca sai do seu dispositivo.
• Elas são intrinsecamente resistentes a phishing: o WebAuthn/FIDO2 vincula as credenciais à origem de um site, de modo que um site falso não consegue obter dados de autenticação utilizáveis.
• As chaves de acesso podem ser sincronizadas entre seus dispositivos por meio de backup na nuvem da plataforma (Apple iCloud Keychain, Gerenciador de Senhas do Google, conta Microsoft), o que possibilita a recuperação — mas isso introduz uma nova superfície de confiança com o provedor de nuvem.
• Você pode ter várias chaves de acesso por conta e por dispositivo; criar mais de uma chave de acesso é recomendado para backup e acesso entre dispositivos, em vez de depender de uma única credencial.
• As chaves de acesso funcionam com verificação biométrica ou PIN do dispositivo, mas não transmitem dados biométricos — o dispositivo verifica sua identidade localmente e assina os desafios com a chave privada.
• Elas oferecem suporte a autenticadores de plataforma (integrados a celulares e notebooks) e a autenticadores itinerantes (chaves de segurança USB/NFC), o que torna possíveis estratégias multiplataforma para implantações de chaves de acesso do Microsoft Entra.
• A atestação de chave de acesso pode revelar informações do modelo do dispositivo às partes confiáveis, a menos que seja usada a atestação anônima — escolhas de privacidade são importantes durante a implementação.
• Migrar os usuários para longe das senhas pode reduzir drasticamente a tomada de contas, mas as organizações ainda precisam de fluxos alternativos (recuperação de conta, autenticadores alternativos) para evitar bloqueios quando os dispositivos são perdidos.
• Adotar chaves de acesso ajuda a atender a estruturas regulatórias e de segurança: a autenticação FIDO2 é reconhecida como autenticação forte resistente a phishing e pode simplificar a conformidade quando integrada ao Microsoft Entra ID.

Entendendo chaves de acesso e FIDO2

O que são chaves de acesso?

As passkeys representam uma mudança revolucionária na tecnologia de autenticação, criada para oferecer uma alternativa mais segura e mais fácil de usar do que as senhas tradicionais. Em sua essência, as passkeys são credenciais criptográficas que permitem que os usuários façam login em sites e aplicativos sem precisar de uma sequência de caracteres fácil de memorizar. Em vez disso, o processo de autenticação utiliza criptografia de chave pública, na qual um par exclusivo de chaves criptográficas é gerado para cada conta online. Uma chave, a chave pública, é armazenada com o provedor de serviço (por exemplo, Microsoft Entra ID), enquanto a outra, a chave privada, permanece protegida no dispositivo do usuário ou em um autenticador seguro. Quando um usuário tenta fazer login, o serviço desafia o dispositivo a comprovar a posse da chave privada, um processo verificado criptograficamente sem que a chave privada seja transmitida em nenhum momento. Esse design intrínseco torna as passkeys significativamente mais resistentes a phishing e a outros ataques baseados em credenciais, elevando o padrão de proteção da identidade digital. Os usuários podem registrar uma passkey em diversos dispositivos, de smartphones a chaves de segurança FIDO2 dedicadas, o que cria um método de autenticação flexível e resiliente.

Visão geral da autenticação FIDO2

A autenticação FIDO2 é o padrão aberto fundamental que sustenta o conceito de passkeys. Desenvolvido pela FIDO Alliance em colaboração com o World Wide Web Consortium (W3C), o FIDO2 define um conjunto de protocolos que possibilitam autenticação forte e resistente a phishing na web. Esse padrão utiliza o WebAuthn, uma API web, e o CTAP2, um protocolo entre cliente e autenticador, para viabilizar a comunicação segura entre o dispositivo do usuário (o autenticador) e o serviço online. Quando uma organização decide habilitar passkeys no Microsoft Entra ID, ela está, essencialmente, habilitando a autenticação FIDO2. Isso permite que os usuários registrem uma passkey a partir de uma chave de segurança FIDO2 ou de um dispositivo que atue como autenticador. O processo consiste em o usuário criar uma passkey, que então passa a ser um método de autenticação principal ou um componente robusto da autenticação multifator. A arquitetura garante que as chaves privadas nunca saiam do autenticador, oferecendo uma barreira robusta contra ameaças cibernéticas comuns e estabelecendo um novo padrão de segurança para a autenticação. O Microsoft Entra ID oferece suporte completo ao FIDO2, permitindo que administradores habilitem passkeys como uma opção de login robusta.

Benefícios de usar passkeys

A adoção de passkeys no Microsoft Entra ID traz uma série de benefícios atraentes, centrados principalmente em segurança aprimorada e em uma melhor experiência do usuário. Essa transição representa um passo proativo rumo a um futuro sem senhas, oferecendo uma solução prática e eficaz para o gerenciamento de identidades moderno. As organizações também podem implementar passkeys como um fator robusto de autenticação multifator, fortalecendo sua postura geral de segurança. A possibilidade de registrar passkeys diretamente no Microsoft Entra ID, muitas vezes por meio do aplicativo Microsoft Authenticator ou de uma chave de segurança FIDO2 dedicada, simplifica a implantação e o gerenciamento para os administradores do Entra.

Passkeys no Microsoft Entra: prós e contras

Prós

• Autenticação resistente a phishing: as passkeys usam criptografia de chave pública vinculada ao dispositivo, impedindo o roubo de credenciais por phishing.
• Experiência de uso simples: o login geralmente usa biometria da plataforma ou PIN, simplificando os fluxos de acesso em comparação com senhas.
• Sincronização entre dispositivos: muitas implementações (incluindo as integradas a serviços como as Passkeys do Microsoft Entra) podem sincronizar credenciais entre os dispositivos do usuário para maior praticidade.
• Menor sobrecarga de gerenciamento de senhas: elimina a necessidade de criar, lembrar ou redefinir senhas, reduzindo custos de suporte e atritos.
• Privacidade robusta: apenas a origem da parte confiável (relying party) é revelada ao autenticador; as credenciais não podem ser reutilizadas entre sites.
• Transição compatível com versões anteriores: pode ser adotada em conjunto com os métodos de autenticação existentes, permitindo uma implantação em etapas.

Desvantagens

• Dependência de dispositivos e complexidade de recuperação: se o usuário perder todos os dispositivos ou o acesso à sincronização, a recuperação da conta pode ser mais complexa do que a redefinição de senhas.
• Suporte multiplataforma variável: embora esteja melhorando, nem todos os navegadores, plataformas ou serviços oferecem suporte totalmente equivalente aos fluxos de passkeys.
• Complexidade de implementação: a integração adequada com o ciclo de vida da conta, a recuperação e o provisionamento em vários dispositivos exige um planejamento e um desenvolvimento cuidadosos.
• Política corporativa e conformidade: as organizações podem precisar atualizar suas políticas de governança de identidade, gerenciamento de dispositivos e conformidade para adotar passkeys de forma ampla.
• Necessidade de orientação aos usuários: alguns usuários podem não conhecer o conceito e precisar de orientação sobre o uso dos dispositivos e as opções de recuperação.

FIDO2: prós e contras

Prós

• Autenticação criptográfica robusta: o FIDO2 oferece autenticação baseada em credenciais de chave pública que é, por natureza, resistente a phishing e a ataques de repetição (replay).
• Baseado em padrões e interoperável: amplamente suportado pelas principais plataformas, navegadores e chaves de segurança, permitindo ampla compatibilidade no ecossistema.
• Flexibilidade dos autenticadores: oferece suporte a autenticadores de plataforma (integrados aos dispositivos) e autenticadores removíveis (chaves de segurança), oferecendo opções de implantação.
• Postura de segurança aprimorada: reduz a dependência de senhas e mitiga o impacto de vazamentos de bancos de dados de credenciais, já que os servidores armazenam apenas chaves públicas.
• Prontidão corporativa: o FIDO2 pode se integrar a provedores de identidade corporativos e pode ser combinado com soluções como o Microsoft Entra para aplicar políticas de autenticação mais robustas.

Desvantagens

• Esforço de implantação e integração: integrar o FIDO2 aos sistemas existentes, ao logon único e a aplicações legadas pode exigir desenvolvimento e testes substanciais.
• Requisitos de dispositivos e hardware do usuário: alguns usuários podem precisar comprar chaves removíveis ou depender de dispositivos compatíveis para usar autenticadores de plataforma.
• Desafios na recuperação de conta: estabelecer processos de recuperação seguros e fáceis de usar, sem reintroduzir vetores de autenticação fracos, é difícil.
• Sobrecarga operacional: gerenciar tokens de hardware, provisionamento, tratamento de tokens perdidos e políticas de ciclo de vida acrescenta tarefas operacionais para a TI.
• Experiência do usuário fragmentada: diferenças na forma como navegadores e plataformas implementam a interface dos fluxos FIDO2 podem gerar experiências inconsistentes entre dispositivos.

Configurando passkeys no Microsoft Entra ID

Como registrar uma passkey

Para registrar uma passkey no Microsoft Entra ID, os usuários podem usar diversos métodos, sendo o aplicativo Microsoft Authenticator a principal opção para passkeys sincronizadas. O processo normalmente começa acessando a página de informações de segurança do usuário ou por meio de solicitações específicas durante uma tentativa de entrada. Depois de iniciado, o usuário será orientado a criar uma passkey, o que geralmente envolve verificação biométrica ou um PIN no dispositivo. Essa ação gera com segurança o par de chaves criptográficas: a chave pública é registrada no Microsoft Entra ID, enquanto a chave privada permanece no dispositivo do usuário ou em um provedor de passkeys seguro. Para quem usa chaves de segurança FIDO2, o registro consiste em conectar a chave física e seguir as instruções na tela para estabelecer o perfil da passkey. Administradores do Entra podem supervisionar as políticas de registro de passkeys, garantindo que os usuários consigam registrar passkeys com facilidade e fortalecer seus recursos de autenticação resistente a phishing.

Habilitando passkeys no Authenticator

Habilitar chaves de acesso (passkeys) no Microsoft Authenticator é uma etapa essencial para organizações que buscam uma experiência de login simples e segura. Os administradores do Entra podem configurar políticas no centro de administração do Microsoft Entra para permitir que os usuários registrem uma chave de acesso sincronizada diretamente pelo aplicativo Authenticator. Para isso, acesse o painel de métodos de autenticação, onde é possível gerenciar configurações específicas para FIDO2 e chaves de acesso. Depois de habilitado, os usuários verão a opção de criar uma chave de acesso nas configurações do aplicativo Authenticator, normalmente na seção 'Informações de segurança'. Isso permite registrar uma chave de acesso sincronizada que pode ser usada em vários dispositivos para entrar em aplicativos do Microsoft Entra, fortalecendo significativamente as estratégias de autenticação multifator e aproximando a organização de um futuro sem senhas, conforme destacado nos recursos do Microsoft Learn.

Tornar as chaves de acesso o método de autenticação padrão

Para organizações comprometidas em fortalecer sua postura de segurança e adotar um ambiente realmente sem senhas, tornar as chaves de acesso o método de autenticação padrão no Microsoft Entra ID é o objetivo final. Os administradores do Entra, ou usuários com a função de Administrador da política de autenticação, podem configurar políticas de autenticação para priorizar chaves de acesso em vez de senhas tradicionais. Isso envolve definir as chaves de acesso como método preferencial no centro de administração do Microsoft Entra, garantindo que os usuários sejam solicitados a usar a chave de acesso para entrar sempre que possível. Embora uma abordagem em fases seja necessária para garantir a prontidão dos usuários, a capacidade de tornar as chaves de acesso o método padrão aumenta significativamente a autenticação resistente a phishing, reduz a dependência de métodos menos seguros e simplifica a experiência do usuário. Essa mudança estratégica reforça as atualizações de segurança contínuas e os avanços do Microsoft Entra ID rumo a um ecossistema de gerenciamento de identidades mais seguro e eficiente.

Checklist: configurando chaves de acesso no Microsoft Entra

Use este checklist para planejar, implantar e validar chaves de acesso (passkeys) no Microsoft Entra ID.

Pré-requisitos

• Confirme que o locatário do Azure AD / Microsoft Entra ID está ativo e que você tem privilégios de Administrador global ou Administrador de identidade.
• Verifique se a assinatura e o licenciamento oferecem suporte a autenticação sem senha e aos recursos de FIDO2 e chaves de acesso.
• Garanta que os dispositivos e navegadores usados pelos usuários oferecem suporte a chaves de acesso/FIDO2 (Windows, macOS, iOS, Android modernos e navegadores baseados em Chromium).
• Confirme que a organização possui um plano documentado de adoção de autenticação sem senha e uma estratégia de comunicação.

Preparar o Microsoft Entra ID

• Acesse o centro de administração do Microsoft Entra e localize Métodos de autenticação > Políticas.
• Habilite o método de autenticação Chave de acesso (FIDO2) e defina-o como Permitido ou Obrigatório para usuários ou grupos específicos.
• Configure restrições de usuário e de dispositivo (âncoras de confiança, autenticador de plataforma versus autenticador externo), conforme necessário.
• Revise as políticas de autenticação legada para reduzir conflitos e garantir que os fluxos sem senha sejam priorizados.

Configurar o Acesso Condicional e as configurações de segurança

• Atualize as políticas de Acesso Condicional para permitir ou exigir login sem senha, onde for apropriado.
• Adicione controles de acesso baseados em risco (Azure AD Identity Protection) junto com a implantação das chaves de acesso.
• Teste as políticas no modo somente relatório antes de aplicá-las.

Integração e registro de usuários

• Crie um guia passo a passo para o registro de chaves de acesso (inscrição pelo Windows Hello, solicitações da plataforma ou navegador, ou chaves de segurança externas).
• Forneça capturas de tela e instruções de dispositivos conhecidos para as plataformas mais comuns (Windows, macOS, iOS, Android).
• Defina uma política para múltiplas chaves de acesso por usuário e um processo de backup e recuperação.
• Faça um piloto com um pequeno grupo de usuários e colete feedback.

Testes e validação

• Verifique o registro e o login bem-sucedidos dos usuários-piloto em todas as plataformas e navegadores compatíveis.
• Teste cenários de SSO, solicitações de MFA e o comportamento do Acesso Condicional com chaves de acesso.
• Confirme que os métodos alternativos de login (MFA secundário, recuperação de conta) estão funcionando e são seguros.
• Monitore os logs de entrada e os relatórios de uso dos métodos de autenticação no Microsoft Entra.

Implantação e treinamento

• Comunique o cronograma de implantação, os benefícios e os recursos de suporte aos usuários.
• Forneça às equipes de suporte de TI runbooks para cenários comuns de registro e de falha.
• Aplique as políticas em fases, expandindo dos grupos-piloto para toda a organização.

Monitoramento e manutenção

• Revise regularmente os logs de entrada do Microsoft Entra e os relatórios de métodos de autenticação para identificar anomalias.
• Acompanhe as métricas de adoção e os chamados de suporte dos usuários relacionados às chaves de acesso.
• Mantenha a documentação atualizada para mudanças de sistema operacional ou navegador que afetem o comportamento das chaves de acesso.
• Revise e atualize periodicamente as políticas de Acesso Condicional e de métodos de autenticação.

Solução de problemas e reversão

• Documente os erros comuns (compatibilidade de dispositivos, avisos do navegador, falhas de registro) e suas resoluções.
• Forneça processos claros de recuperação de conta e de acesso de emergência para usuários que perderem o acesso às chaves de acesso.
• Se ocorrerem problemas críticos, esteja preparado para reverter a aplicação do método de autenticação e comunique os passos de reversão.

Considerações de segurança e conformidade

• Garanta que a implantação de chaves de acesso esteja alinhada às políticas de segurança e aos requisitos de conformidade da organização.
• Valide se o armazenamento das chaves de acesso e os métodos de atestação atendem aos padrões corporativos.
• Analise as orientações de segurança de autenticadores de terceiros e de fabricantes de dispositivos.

Concluir esta lista de verificação ajudará a garantir uma adoção bem-sucedida e segura do Microsoft Entra Passkeys em toda a sua organização.

Tipos de chaves de acesso e seus recursos

Explorando as chaves de acesso sincronizadas

As chaves de acesso sincronizadas representam um grande avanço em termos de conveniência e acessibilidade para o usuário dentro do ecossistema de chaves de acesso, especialmente no Microsoft Entra ID. Essas chaves são projetadas para sincronizar entre os diversos dispositivos do usuário, oferecendo uma experiência de entrada sem interrupções e sem comprometer a robustez da autenticação FIDO2. Quando um usuário cria uma chave de acesso em um dispositivo, ela pode ser replicada com segurança para outros dispositivos autenticados por meio de um provedor de chaves de acesso seguro, geralmente integrado diretamente ao sistema operacional ou a um gerenciador de senhas dedicado. Por exemplo, ao habilitar as chaves de acesso sincronizadas pelo aplicativo Microsoft Authenticator, o usuário pode registrar uma chave de acesso uma única vez e, depois, usá-la para entrar no Microsoft Entra ID a partir do celular, do tablet ou do PC, desde que os dispositivos estejam vinculados à mesma conta. Essa capacidade aumenta muito a praticidade das chaves de acesso como método de autenticação padrão, aproximando as organizações de um futuro verdadeiramente sem senhas, ao garantir que os usuários sempre tenham acesso às suas credenciais de autenticação resistentes a phishing.

Diferentes tipos de chaves de acesso disponíveis

Além das chaves de acesso sincronizadas, é fundamental que os administradores do Entra entendam as várias formas que uma chave de acesso pode assumir para gerenciar com eficácia os métodos de autenticação no Microsoft Entra ID. A principal distinção está entre chaves de acesso sincronizadas e chaves de acesso vinculadas a dispositivos. Ambos os tipos utilizam o padrão FIDO2 para autenticação resistente a phishing, mas suas estratégias de implantação e gerenciamento são diferentes. As organizações podem optar por habilitar chaves de acesso sincronizadas para maior conveniência geral dos usuários, exigindo chaves de acesso vinculadas a dispositivos para contas altamente privilegiadas ou requisitos de conformidade específicos, criando assim uma estratégia de autenticação flexível e robusta. Essa abordagem abrangente garante que a organização possa registrar chaves de acesso alinhadas às diversas necessidades de segurança e às preferências dos usuários.

Usando chaves de segurança FIDO2

As chaves de segurança FIDO2 oferecem um método altamente seguro e específico para usar chaves de acesso, atuando como autenticadores de hardware dedicados para a autenticação FIDO2 no Microsoft Entra ID. Esses dispositivos físicos, normalmente pequenos tokens USB, geram e armazenam a chave privada de forma segura em seu hardware resistente a adulteração. Quando um usuário precisa entrar no Microsoft Entra ID, basta inserir a chave de segurança FIDO2 e seguir as instruções, que geralmente envolvem um PIN ou verificação biométrica diretamente na chave.

Isso oferece uma camada adicional de segurança, já que a chave privada nunca sai do hardware, o que a torna imune a muitos ataques baseados em software. Os administradores do Entra podem habilitar passkeys especificamente por meio de chaves de segurança FIDO2, oferecendo uma opção de autenticação multifator robusta, altamente recomendada para funções críticas ou ambientes em que a segurança máxima é fundamental. O processo de registrar uma passkey com uma chave de segurança FIDO2 é simples e oferece aos usuários um método de autenticação poderoso e resistente a phishing.

Erros comuns sobre chaves de segurança FIDO2

As chaves de segurança FIDO2 são ferramentas de autenticação robustas, frequentemente usadas com plataformas como as Passkeys do Microsoft Entra. A seguir, veja erros comuns e como evitá-los.

• Presumir que a chave substitui totalmente a recuperação de conta: Muitos acreditam que uma chave FIDO2 sozinha cobre todos os cenários de recuperação. Se você perder a chave e não tiver habilitado métodos de recuperação alternativos (chaves de backup, códigos de recuperação ou passkeys gerenciadas pela plataforma, como as Passkeys do Microsoft Entra), poderá ficar sem acesso à conta.
• Não registrar chaves ou métodos de backup: Registrar apenas uma chave de segurança é arriscado. Sempre adicione pelo menos uma chave de backup e habilite opções de recuperação secundárias para evitar a perda da conta.
• Confundir chaves FIDO2 com tokens OTP de hardware: As chaves FIDO2 usam criptografia de chave pública e são resistentes a phishing, diferentemente de muitos tokens de senha de uso único (OTP). Trate-as de forma diferente nos fluxos de trabalho e na documentação.
• Esperar compatibilidade universal sem verificar: Nem todos os sites ou plataformas oferecem suporte a todos os recursos do FIDO2. Verifique o suporte do navegador, da plataforma e do serviço, especialmente ao integrar com serviços de identidade como as Passkeys do Microsoft Entra.
• Usar armazenamento ou identificação inseguros para chaves de backup: Guardar uma chave de backup em um lugar óbvio ou marcada como "chave de segurança" compromete a segurança. Mantenha as chaves reserva em locais seguros e discretos.
• Negligenciar atualizações de firmware e orientações do fabricante: Algumas chaves recebem atualizações ou têm problemas conhecidos. Ignorar os comunicados do fabricante é arriscado: siga as janelas recomendadas de manutenção e substituição.
• Compartilhar uma única chave entre vários usuários: As chaves normalmente são vinculadas a uma única identidade de usuário. Compartilhar uma chave enfraquece a responsabilização individual e pode violar requisitos de auditoria e conformidade.
• Confundir credenciais residentes com não residentes: Credenciais residentes (detectáveis) ficam armazenadas na chave; credenciais não residentes dependem do servidor. Escolher o tipo errado para o seu caso de uso pode afetar a portabilidade e as opções de recuperação.
• Presumir que a posse física da chave significa acesso irrestrito: Uma chave roubada ainda pode estar protegida por PIN ou biometria no dispositivo, mas presumir que ela está segura sem habilitar essas proteções é um erro. Sempre habilite o PIN ou a biometria disponíveis e considere as políticas de bloqueio de dispositivo.
• Negligenciar a educação dos usuários e os processos operacionais: Implantar chaves sem treinamento leva a uso indevido, perda de chaves e sobrecarga do suporte. Forneça integração clara, procedimentos para casos de perda de chave e dicas de integração (por exemplo, usar as Passkeys do Microsoft Entra para simplificar a experiência do usuário).

Usando Passkeys do Entra no Windows

Integrando passkeys ao Windows Hello for Business

Integrar passkeys do Entra ao Windows Hello for Business oferece uma sinergia poderosa para aumentar a segurança e simplificar a experiência de login em dispositivos Windows. Quando uma organização decide habilitar passkeys no Microsoft Entra ID, especialmente por meio do Windows Hello for Business, os usuários passam a ter passkeys vinculadas ao dispositivo, que utilizam a autenticação robusta por biometria ou PIN já integrada ao ambiente Windows. Isso significa que, para usar a passkey no login, o usuário simplesmente se autentica com o método já conhecido do Windows Hello, como impressão digital, reconhecimento facial ou PIN. Essa integração oferece um método de autenticação fluido e altamente resistente a phishing, já que a chave privada da passkey nunca sai do dispositivo e é protegida pelo hardware seguro do Windows Hello for Business. Os administradores do Entra podem configurar políticas para permitir essa integração, tornando simples para os usuários registrar uma passkey e vivenciar um futuro verdadeiramente sem senhas diretamente nos seus dispositivos Windows.

Acessando passkeys do Entra no Windows

Acessar passkeys do Entra em dispositivos Windows foi projetado para ser um processo simples e seguro, seja por meio de passkeys sincronizadas ou de passkeys vinculadas ao dispositivo pelo Windows Hello for Business. No caso das passkeys sincronizadas, os usuários que habilitaram passkeys no Microsoft Authenticator ou em outro provedor de passkeys encontrarão o perfil de passkey disponível no dispositivo Windows, permitindo que façam login em aplicativos do Microsoft Entra com facilidade. Quando houver solicitação de autenticação, o Windows oferecerá a opção de usar a passkey, geralmente exigindo apenas uma confirmação simples ou uma verificação biométrica. Para quem usa o Windows Hello for Business, o acesso é ainda mais integrado, pois a passkey fica diretamente vinculada ao elemento seguro do dispositivo. Isso permite que os usuários façam login no Microsoft Entra ID e em outros serviços simplesmente se autenticando com o Windows Hello, oferecendo uma experiência de login consistente e altamente segura em todo o ecossistema Windows, o que fortalece de forma significativa os recursos de autenticação resistente a phishing.

Atualizações de segurança e melhores práticas

Para manter o mais alto nível de segurança e garantir o funcionamento ideal ao usar passkeys do Entra no Windows, seguir atualizações de segurança e melhores práticas é essencial. Os administradores do Entra devem priorizar a atualização do sistema operacional Windows, do aplicativo Microsoft Authenticator e do firmware de qualquer chave de segurança FIDO2, para se beneficiar das melhorias de segurança e correções mais recentes. Revisar e atualizar regularmente as políticas de autenticação no centro de administração do Microsoft Entra ajuda a garantir que o registro e o uso de passkeys estejam alinhados aos requisitos de segurança da organização. Também são fundamentais orientar os usuários sobre como criar uma passkey com segurança, entender as diferenças entre passkeys sincronizadas e passkeys vinculadas ao dispositivo e reforçar a importância de proteger seus dispositivos. A Microsoft Learn oferece amplos recursos sobre essas atualizações de segurança e melhores práticas, orientando as organizações rumo a uma estratégia de autenticação resiliente e sem senha no ambiente do Microsoft Entra ID.

Solução de problemas e suporte

Problemas comuns com passkeys

Ao implantar e gerenciar passkeys no Microsoft Entra ID, administradores e usuários do Entra podem encontrar alguns problemas comuns que exigem solução de problemas. Um desafio frequente é garantir que os usuários consigam registrar uma passkey com sucesso, principalmente quando a compatibilidade dos dispositivos ou as configurações de política não estão corretamente alinhadas. Os usuários podem ter dificuldades se a chave de segurança FIDO2 não for reconhecida ou se houver conflitos com métodos de autenticação já existentes. Outro problema comum está relacionado à não sincronização das passkeys sincronizadas em todos os dispositivos pretendidos, geralmente por problemas de conectividade ou configurações incorretas do provedor de passkeys. Além disso, os usuários podem excluir acidentalmente o perfil de passkey ou ter dificuldades para definir as passkeys como método de autenticação padrão, caso as opções de contingência não estejam configuradas corretamente. Entender esses possíveis obstáculos é o primeiro passo para resolvê-los de forma eficaz e manter uma experiência sem senha tranquila.

Como habilitar e direcionar passkeys

Habilitar e direcionar passkeys de forma eficaz no Microsoft Entra ID é uma tarefa administrativa crítica, que exige configuração cuidadosa no centro de administração do Microsoft Entra. Os administradores do Entra, ou quem tiver a função Administrador de Política de Autenticação, devem acessar a seção de métodos de autenticação para habilitar passkeys na organização. Isso envolve selecionar Chave de Segurança FIDO2 ou permitir que os usuários registrem uma passkey sincronizada pelo aplicativo Microsoft Authenticator. Direcionar a implantação de passkeys para grupos específicos de usuários é uma prática recomendada, pois permite uma adoção em fases e garante que os usuários certos possam criar uma passkey. Isso pode ser feito atribuindo políticas a grupos de usuários específicos, garantindo que apenas pessoas autorizadas registrem passkeys e as utilizem como método de autenticação principal ou de autenticação multifator. Um direcionamento adequado ajuda a gerenciar a transição para um ambiente sem senha e está alinhado às atualizações de segurança da organização.

Obtendo ajuda para configurar passkeys

Para administradores e usuários do Entra que precisam de ajuda para configurar passkeys, há diversos recursos disponíveis para garantir uma transição tranquila para esse método de autenticação resistente a phishing. O Microsoft Learn oferece documentação e tutoriais completos que detalham cada etapa do processo, desde como habilitar passkeys no Microsoft Entra ID até a solução de problemas comuns. O centro de administração do Microsoft Entra oferece ajuda contextual e guias para configurar políticas de autenticação e gerenciar o registro de passkeys. Além disso, os canais de suporte da Microsoft estão disponíveis para problemas mais complexos, oferecendo assistência especializada para configurar e manter passkeys no Microsoft Entra. Aproveitar esses recursos pode ajudar as organizações a superar desafios, habilitar de forma eficaz passkeys sincronizadas e tornar as passkeys o método de autenticação padrão com sucesso, fortalecendo significativamente sua postura de segurança e adotando uma experiência de login moderna e sem senha.

Perguntas frequentes

perfil de chave de acesso: criar e gerenciar um perfil de chave de acesso

chave de acesso do Entra no Windows: habilitar e usar a chave de acesso do Entra em dispositivos Windows

como as chaves de acesso funcionam: como as chaves de acesso funcionam entre dispositivos e as chaves de acesso sincronizadas

O que é uma passkey do Microsoft Entra e em que ela difere de uma passkey FIDO2?

Uma passkey do Microsoft Entra é uma credencial moderna e resistente a phishing, armazenada em um dispositivo ou em um provedor de passkeys na nuvem e gerenciada pelo Microsoft Entra ID. Ela usa criptografia de chave pública, semelhante a uma passkey FIDO2, mas está integrada aos recursos do Microsoft 365 e do Entra para habilitar o login com passkey e a sincronização baseada na nuvem entre dispositivos.

Como habilito o login com passkey para minha organização?

Para habilitar o login com passkey, você precisa criar um perfil de passkey no Microsoft Entra, configurar os perfis de passkey para definir a política (incluindo se os usuários podem usar passkeys sincronizadas) e, opcionalmente, integrar ao Microsoft Intune para aplicar controles de dispositivo. Os administradores decidem se as passkeys se tornarão a experiência de autenticação padrão ou se continuarão opcionais.

O que significa "want to allow synced passkeys" e como configuro essa opção?

"Want to allow synced passkeys" é uma decisão de política que permite que os usuários armazenem passkeys em um provedor de passkeys na nuvem, para usar passkeys sincronizadas em vários dispositivos. Para configurar, habilite a opção no perfil de passkey, garanta que os usuários sejam solicitados a registrar uma passkey e verifique se o provedor de passkeys na nuvem é compatível.

Os usuários podem registrar uma passkey diretamente ou são solicitados a fazer isso?

Os usuários podem registrar uma passkey diretamente nas configurações de segurança da conta do Microsoft Entra ou podem ser solicitados a registrar uma passkey durante os fluxos de login, quando a organização impõe passkeys como experiência de autenticação padrão ou quando o perfil de passkey dispara uma solicitação de registro.

Como as passkeys funcionam no Windows e o Microsoft Entra oferece suporte ao Windows Hello?

No Windows, as passkeys funcionam usando o Windows Hello como autenticador. Ao usar entra passkey on windows, o dispositivo pode gerar uma passkey vinculada, armazenada no TPM ou em um provedor de passkeys na nuvem, e o Microsoft Entra ID oferece suporte ao uso do Windows Hello para criar e usar passkeys de autenticador.

O que são passkeys vinculadas e onde as passkeys são armazenadas?

Passkeys vinculadas são passkeys associadas ao autenticador de um dispositivo específico (como o Windows Hello) e normalmente são armazenadas em um armazenamento seguro com suporte de hardware (TPM). Passkeys sincronizadas ou armazenadas na nuvem ficam no provedor de passkeys na nuvem associado à conta do usuário no Microsoft Entra.

Como crio um perfil de passkey e ele pode ser escopo para várias políticas?

Você cria um perfil de passkey no portal do Microsoft Entra selecionando os métodos de autenticação e as configurações. Os perfis de passkey podem ser direcionados a vários grupos ou ambientes, e você pode criar perfis de passkey com escopo ou até três perfis de passkey para aplicar regras diferentes a populações de usuários distintas.

O que devo fazer se os usuários não conseguirem registrar uma passkey?

Se os usuários não conseguirem registrar uma passkey, verifique se o perfil de passkey que habilita o registro está atribuído à conta deles, confirme se os dispositivos atendem aos requisitos (por exemplo, Windows Hello ou um autenticador compatível), verifique se as configurações do provedor de passkeys na nuvem e do Microsoft Entra ID permitem registrar a passkey diretamente, e garanta que nenhuma política de configuração de dispositivos do Microsoft Intune esteja bloqueando os recursos do autenticador.

As passkeys vão se tornar a experiência de autenticação padrão no Microsoft Entra?

A Microsoft sinalizou que as passkeys se tornarão a experiência de autenticação padrão para muitos usuários. Os administradores podem configurar proativamente as passkeys como autenticação padrão, definindo-as como método principal no perfil de passkey, para que a autenticação padrão com passkeys passe a valer conforme a política da organização.

Como as passkeys sincronizadas no Microsoft Entra funcionam com vários dispositivos e com os aplicativos do Microsoft 365?

Usar passkeys sincronizadas permite que as passkeys de um usuário sejam sincronizadas por meio de um provedor de passkeys na nuvem, para que ele possa entrar em vários dispositivos. Ao usar os aplicativos do Microsoft 365, a entrada com passkey é processada pelo Microsoft Entra ID e pelo provedor na nuvem, permitindo que os usuários utilizem passkeys para o Microsoft 365 sem precisar se registrar novamente em cada dispositivo.

Posso forçar o uso de passkeys, e quão granular a política pode ser?

Sim, você pode forçar o uso de passkeys configurando políticas em perfis de passkey e em acesso condicional no Microsoft Entra ID. As políticas podem ser granulares: perfis de passkey com escopo definido permitem exigir passkeys para usuários, grupos ou cenários específicos e até restringir quais autenticadores ou provedores de passkeys na nuvem são permitidos.

Qual é a diferença entre o protocolo client to authenticator e a entrada com passkey?

O client to authenticator protocol (CTAP) é um protocolo técnico usado por autenticadores para se comunicar com clientes (navegadores e dispositivos). Já a entrada com passkey é o processo do usuário final para se autenticar com uma passkey. O CTAP é a base das passkeys FIDO2 e das passkeys de autenticadores usadas nos fluxos de entrada com passkey.

Como visualizo as passkeys e as gerencio para os usuários no Microsoft Entra?

Os administradores podem visualizar o status de registro de passkeys e gerenciá-las por meio dos métodos de autenticação e dos relatórios do Microsoft Entra ID. Os usuários podem ver suas passkeys nas configurações de segurança da conta do Microsoft Entra, onde podem registrar uma passkey ou remover uma passkey armazenada no dispositivo ou no provedor na nuvem.

As passkeys são compatíveis com o Microsoft Entra ID, e quais autenticadores são compatíveis?

Sim, o Microsoft Entra ID oferece suporte a passkeys por meio dos padrões FIDO2 e há muitos autenticadores compatíveis, incluindo o Windows Hello, autenticadores de plataforma e chaves de segurança externas. Com base nesses padrões, o Microsoft Entra ID oferece suporte tanto a passkeys vinculadas quanto a credenciais sincronizadas na nuvem.

O que acontece se a passkey de um usuário já estiver registrada em outro dispositivo?

Se uma passkey já estiver registrada em outro dispositivo e o usuário quiser usá-la em outro lugar, ele precisa usar passkeys sincronizadas (se permitido) ou registrar uma nova passkey no novo dispositivo. Os administradores devem considerar cenários com vários dispositivos ao configurar perfis de passkey e as opções de sincronização baseadas na nuvem.

O Intune pode ser usado para gerenciar dispositivos que usam passkeys e o Windows Hello?

Sim, o Microsoft Intune pode gerenciar a conformidade e a configuração de dispositivos que usam passkeys e o Windows Hello. As políticas do Intune podem garantir que os requisitos de segurança do dispositivo sejam atendidos antes de a entrada com passkey ser permitida, e podem ser combinadas com as configurações de passkey do Entra no Windows para uma implantação coesa.

Como ofereço suporte a passkeys para vários aplicativos e serviços na minha organização?

Para oferecer suporte a passkeys em vários aplicativos, certifique-se de que esses aplicativos estejam federados ou integrados ao Microsoft Entra ID, habilite a entrada com passkey nas configurações de autenticação e crie perfis de passkey que especifiquem se os usuários podem usar passkeys em vários aplicativos e serviços do Microsoft 365.

O que é um provedor de passkeys na nuvem e eu preciso de um?

Um provedor de passkeys na nuvem armazena e sincroniza passkeys entre os dispositivos do usuário. Usar um provedor de passkeys na nuvem é opcional, mas recomendado se você quiser que os usuários utilizem passkeys sincronizadas entre dispositivos, em vez de passkeys vinculadas apenas a um dispositivo específico.