Метод аутентификации с помощью passkeys (FIDO2) в Microsoft Entra ID

By Mirko Peters · 2026-08-24

Узнайте, как внедрить аутентификацию FIDO2 с passkeys в Entra ID. Подготовьтесь к тому, что passkeys станут основным способом входа с помощью этого мощного метода аутентификации.

Automatically translated with AI from the original post. Read the English original

Passkeys (FIDO2) — определение

Passkeys — это современные учетные данные для аутентификации, устойчивые к фишингу, которые основаны на стандарте FIDO2 и заменяют пароли криптографическими парами ключей. Passkey состоит из закрытого ключа, который хранится на устройстве пользователя, и открытого ключа, который хранится в сервисе. При входе сервис отправляет устройству запрос на подтверждение владения закрытым ключом, что обеспечивает безопасную аутентификацию без пароля.

Краткое объяснение

Passkeys FIDO2 упрощают и усиливают аутентификацию, устраняя общие секреты (пароли) и используя криптографию с открытым ключом. Они привязаны к устройству пользователя и защищены средствами разблокировки устройства, такими как биометрия (отпечаток пальца, распознавание лица) или локальный PIN-код. Поскольку аутентификация опирается на криптографические подтверждения, а не на пароли, вводимые пользователем, passkeys устойчивы к фишингу, атакам повторного воспроизведения и подбору учетных данных на основе утекших паролей. Такие решения, как Microsoft Entra, поддерживают passkeys для удобного и безопасного входа в веб- и мобильные приложения, а при необходимости позволяют синхронизировать ключи между устройствами с помощью доверенных облачных функций платформы.

В условиях развития цифровой безопасности надежные методы аутентификации имеют первостепенное значение для защиты активов организации и учетных записей пользователей. В этой статье мы подробно рассмотрим внедрение и преимущества passkeys, а именно аутентификации FIDO2 в Microsoft Entra ID. Мы разберем, что такое passkeys, как работает FIDO2 и какие ощутимые преимущества они дают для повышения уровня защиты и упрощения входа пользователей.

Microsoft Entra Passkeys — 9 неожиданных фактов о passkeys (FIDO2)

• Passkeys — это не просто «сильные пароли»: они используют криптографию с открытым ключом, поэтому сервер хранит только открытый ключ, а закрытый ключ никогда не покидает ваше устройство.
• Они по своей природе устойчивы к фишингу: WebAuthn/FIDO2 привязывает учетные данные к источнику (origin) сайта, поэтому поддельный сайт не может получить пригодные для аутентификации данные.
• Passkeys могут синхронизироваться между вашими устройствами через облачное резервное копирование платформы (Apple iCloud Keychain, Google Password Manager, учетная запись Microsoft), что обеспечивает восстановление доступа, но создает новую зону доверия к облачному провайдеру.
• На одну учетную запись и на одно устройство можно создать несколько passkeys; рекомендуется создавать несколько passkeys для резервирования и доступа с разных устройств, а не полагаться на одни учетные данные.
• Passkeys работают с биометрической проверкой или PIN-кодом устройства, но не передают биометрические данные: устройство проверяет вас локально и подписывает запросы закрытым ключом.
• Они поддерживают как платформенные аутентификаторы (встроенные в телефоны и ноутбуки), так и переносные аутентификаторы (USB/NFC-ключи безопасности), что делает возможными кроссплатформенные стратегии для развертываний passkeys в Microsoft Entra.
• Аттестация passkey может раскрыть сведения о модели устройства проверяющей стороне, если не используется анонимизированная аттестация, поэтому выбор параметров конфиденциальности важен при внедрении.
• Переход пользователей с паролей может существенно снизить риск захвата учетных записей, но организациям по-прежнему нужны резервные сценарии (восстановление учетной записи, альтернативные аутентификаторы), чтобы избежать блокировки доступа при утере устройств.
• Внедрение passkeys помогает выполнять требования нормативных и стандартов безопасности: аутентификация FIDO2 признана надежной аутентификацией, устойчивой к фишингу, и может упростить соблюдение требований при интеграции с Microsoft Entra ID.

Понимание Passkeys и FIDO2

Что такое Passkeys?

Passkeys — это революционный сдвиг в технологии аутентификации, призванный стать более безопасной и удобной альтернативой традиционным паролям. По сути, passkeys — это криптографические учётные данные, которые позволяют пользователям входить на сайты и в приложения без необходимости помнить набор символов. Вместо этого процесс аутентификации опирается на криптографию с открытым ключом: для каждой учётной записи в сети генерируется уникальная пара криптографических ключей. Один ключ, открытый, хранится у поставщика услуг (например, Microsoft Entra ID), а второй, закрытый, остаётся надёжно на устройстве пользователя или в защищённом приложении-аутентификаторе. Когда пользователь пытается войти, сервис предлагает устройству подтвердить владение закрытым ключом; эта проверка выполняется криптографически, и сам закрытый ключ никогда не передаётся. Такая конструкция делает passkeys значительно более устойчивыми к фишингу и другим атакам на учётные данные, поднимая планку защиты цифровой идентичности. Пользователи могут зарегистрировать passkey на разных устройствах — от смартфонов до специализированных ключей безопасности FIDO2, — что делает этот метод аутентификации гибким и надёжным.

Обзор аутентификации FIDO2

Аутентификация FIDO2 — это базовый открытый стандарт, на котором основана концепция passkeys. Он разработан Альянсом FIDO совместно с Консорциумом World Wide Web (W3C) и определяет набор протоколов, которые обеспечивают надёжную аутентификацию, устойчивую к фишингу, в интернете. Стандарт опирается на WebAuthn, веб-API, и CTAP2, протокол взаимодействия клиента с аутентификатором, что обеспечивает безопасный обмен данными между устройством пользователя (аутентификатором) и онлайн-сервисом. Когда организация решает включить passkeys в Microsoft Entra ID, по сути, она включает аутентификацию FIDO2. Это позволяет пользователям регистрировать passkey с помощью ключа безопасности FIDO2 или устройства, выступающего в роли аутентификатора. Пользователь создаёт passkey, который затем становится основным методом аутентификации или надёжным компонентом многофакторной аутентификации. Архитектура гарантирует, что закрытые ключи никогда не покидают аутентификатор, обеспечивая серьёзный барьер против распространённых киберугроз и задавая новый эталон безопасности аутентификации. Microsoft Entra ID полностью поддерживает FIDO2, позволяя администраторам включать passkeys как надёжный вариант входа.

Преимущества использования passkeys

Внедрение passkeys в Microsoft Entra ID приносит множество весомых преимуществ, в первую очередь связанных с повышением безопасности и улучшением пользовательского опыта. Этот переход означает проактивный шаг к будущему без паролей и предлагает практичное и эффективное решение для современного управления идентификацией. Организации также могут внедрять passkeys как надёжный фактор многофакторной аутентификации, укрепляя общий уровень безопасности. Возможность регистрировать passkeys непосредственно в Microsoft Entra ID, часто через приложение Microsoft Authenticator или специализированный ключ безопасности FIDO2, упрощает развёртывание и управление для администраторов Entra.

Microsoft Entra Passkeys: плюсы и минусы

Плюсы

• Устойчивость к фишингу: passkeys используют криптографию с открытым ключом, привязанную к устройству, что исключает кражу учётных данных с помощью фишинга.
• Простой пользовательский опыт: вход часто выполняется с помощью биометрии платформы или PIN-кода, что упрощает процесс входа по сравнению с паролями.
• Синхронизация между устройствами: многие реализации (включая интегрированные со службами вроде Microsoft Entra Passkeys) могут синхронизировать учётные данные между устройствами пользователя для удобства.
• Снижение нагрузки на управление паролями: исчезает необходимость создавать, запоминать или сбрасывать пароли, что уменьшает затраты на поддержку и количество трудностей для пользователей.
• Высокий уровень приватности: аутентификатору раскрывается только источник (origin) доверяющей стороны; учётные данные нельзя повторно использовать на разных сайтах.
• Совместимость при переходе: можно внедрять наряду с существующими методами аутентификации, что позволяет проводить поэтапное развёртывание.

Минусы

• Зависимость от устройств и сложность восстановления: если пользователь потеряет все устройства или доступ к синхронизации, восстановление учётной записи может быть сложнее, чем сброс пароля.
• Неоднородная поддержка на разных платформах: поддержка улучшается, но не все браузеры, платформы и сервисы одинаково полно поддерживают сценарии с ключами доступа.
• Сложность внедрения: корректная интеграция с жизненным циклом учётных записей, восстановлением доступа и подготовкой нескольких устройств требует тщательного проектирования и разработки.
• Корпоративные политики и соответствие требованиям: для широкого внедрения ключей доступа организациям, возможно, придётся обновить политики управления идентификацией, управления устройствами и соответствия требованиям.
• Необходимость обучения пользователей: некоторые пользователи могут не знать об этой технологии и нуждаться в инструкциях по работе с устройствами и вариантам восстановления доступа.

FIDO2: плюсы и минусы

Плюсы

• Надёжная криптографическая аутентификация: FIDO2 использует аутентификацию на основе учётных данных с открытым ключом, которая по своей природе устойчива к фишингу и атакам повторного воспроизведения.
• Основан на стандартах и совместим: широко поддерживается основными платформами, браузерами и ключами безопасности, что обеспечивает совместимость с большей частью экосистемы.
• Гибкость аутентификаторов: поддерживаются платформенные аутентификаторы (встроенные в устройства) и переносные аутентификаторы (ключи безопасности), что даёт выбор при развёртывании.
• Более высокий уровень безопасности: снижает зависимость от паролей и ослабляет последствия утечек баз учётных данных, поскольку серверы хранят только открытые ключи.
• Готовность к корпоративному использованию: FIDO2 может интегрироваться с корпоративными поставщиками удостоверений и сочетаться с решениями вроде Microsoft Entra для применения более строгих политик аутентификации.

Минусы

• Трудозатраты на развёртывание и интеграцию: интеграция FIDO2 с существующими системами, единым входом (SSO) и устаревшими приложениями может потребовать значительной разработки и тестирования.
• Требования к устройствам и оборудованию: некоторым пользователям могут понадобиться переносные ключи или совместимые устройства для работы с платформенными аутентификаторами.
• Сложности с восстановлением доступа: сложно создать безопасные и удобные процессы восстановления, не возвращая при этом слабые методы аутентификации.
• Операционные издержки: управление аппаратными токенами, их выдача, обработка утерянных токенов и политики жизненного цикла добавляют ИT-специалистам дополнительных задач.
• Фрагментированный пользовательский опыт: различия в реализации интерфейса FIDO2 в браузерах и платформах могут приводить к неодинаковому опыту пользователей на разных устройствах.

Настройка ключей доступа в Microsoft Entra ID

Как зарегистрировать ключ доступа

Чтобы зарегистрировать ключ доступа в Microsoft Entra ID, пользователи могут использовать разные способы; для синхронизируемых ключей доступа основным вариантом является приложение Microsoft Authenticator. Обычно процесс начинается со страницы сведений о безопасности пользователя или с помощью специальных запросов при попытке входа. После запуска пользователю предлагается создать ключ доступа, что часто требует биометрической проверки или ввода PIN-кода на устройстве. Эта операция безопасно создаёт криптографическую пару ключей: открытый ключ регистрируется в Microsoft Entra ID, а закрытый остаётся на устройстве пользователя или в защищённом поставщике ключей доступа. Для пользователей, применяющих ключи безопасности FIDO2, регистрация включает подключение физического ключа и выполнение инструкций на экране для создания профиля ключа доступа. Администраторы Entra могут контролировать политики регистрации ключей доступа, помогая пользователям легко регистрировать ключи и повышать возможности аутентификации, устойчивой к фишингу.

Включение ключей доступа в Authenticator

Включение passkeys в Microsoft Authenticator — важный шаг для организаций, которые хотят обеспечить удобный и безопасный вход. Администраторы Entra могут настроить политики в центре администрирования Microsoft Entra, чтобы пользователи могли регистрировать синхронизированный passkey прямо через приложение Authenticator. Для этого нужно перейти в раздел методов проверки подлинности, где управляются параметры FIDO2 и passkeys. После включения пользователи увидят в настройках приложения Authenticator возможность создать passkey, обычно в разделе «Сведения о безопасности». Так они смогут зарегистрировать синхронизированный passkey, который затем можно использовать на нескольких устройствах для входа в приложения Microsoft Entra. Это существенно укрепляет стратегии многофакторной аутентификации и приближает переход к будущему без паролей, о чём говорится в материалах Microsoft Learn.

Passkeys как метод аутентификации по умолчанию

Для организаций, которые стремятся укрепить свою систему безопасности и по-настоящему перейти к среде без паролей, главная цель — сделать passkeys методом аутентификации по умолчанию в Microsoft Entra ID. Администраторы Entra или пользователи с ролью администратора политик проверки подлинности могут настроить политики аутентификации так, чтобы passkeys имели приоритет над традиционными паролями. Для этого passkeys задаются предпочтительным методом в центре администрирования Microsoft Entra, и пользователям по возможности предлагается входить с помощью passkey. Поэтапный подход может понадобиться, чтобы пользователи успели подготовиться, но возможность сделать passkeys методом по умолчанию заметно повышает устойчивость к фишингу, снижает зависимость от менее надёжных методов и упрощает работу пользователей. Этот стратегический шаг отражает постоянные обновления безопасности и развитие Microsoft Entra ID в сторону более безопасной и эффективной системы управления идентификацией.

Чек-лист: настройка passkeys в Microsoft Entra

Используйте этот чек-лист, чтобы спланировать, развернуть и проверить passkeys в Microsoft Entra ID (Microsoft Entra Passkeys).

Предварительные требования

• Убедитесь, что клиент Azure AD / Microsoft Entra ID активен и у вас есть роль глобального администратора или администратора удостоверений.
• Проверьте, что лицензии и подписка поддерживают беспарольную аутентификацию и функции FIDO2/passkey.
• Убедитесь, что устройства и браузеры пользователей поддерживают passkeys/FIDO2 (современные версии Windows, macOS, iOS, Android и браузеры на основе Chromium).
• Убедитесь, что у организации есть задокументированный план перехода на вход без пароля и стратегия коммуникации.

Подготовка Microsoft Entra ID

• Откройте центр администрирования Microsoft Entra и перейдите в раздел Методы проверки подлинности > Политики.
• Включите метод проверки подлинности Passkey (FIDO2) и задайте значение «Разрешено» или «Обязательно» для целевых пользователей или групп.
• При необходимости настройте ограничения для пользователей и устройств (доверенные корневые центры, платформенный и перемещаемый аутентификаторы).
• Проверьте устаревшие политики проверки подлинности, чтобы снизить конфликты и обеспечить приоритет сценариев входа без пароля.

Настройка условного доступа и параметров безопасности

• Обновите политики условного доступа, чтобы разрешить или требовать вход без пароля там, где это уместно.
• Добавьте контроль доступа на основе рисков (Azure AD Identity Protection) параллельно с внедрением passkeys.
• Перед принудительным применением проверяйте политики в режиме только отчётов.

Подключение и регистрация пользователей

• Подготовьте пошаговое руководство по регистрации passkeys (через Windows Hello, запросы платформы и браузера или внешние ключи безопасности).
• Добавьте скриншоты и инструкции для известных устройств для распространённых платформ (Windows, macOS, iOS, Android).
• Определите политику для нескольких passkeys на одного пользователя и процесс резервного копирования и восстановления.
• Проведите пилотный запуск с небольшой группой пользователей и соберите их отзывы.

Тестирование и проверка

• Убедитесь, что пилотные пользователи успешно регистрируются и входят на поддерживаемых платформах и в браузерах.
• Проверьте сценарии единого входа (SSO), запросы MFA и поведение условного доступа при использовании passkeys.
• Убедитесь, что резервные способы входа (дополнительная MFA, восстановление учётной записи) работают и безопасны.
• Отслеживайте журналы входа и отчёты об использовании методов проверки подлинности в Microsoft Entra.

Развёртывание и обучение

• Сообщите пользователям о графике внедрения, преимуществах и ресурсах поддержки.
• Подготовьте для ИТ-служб поддержки руководства по типовым сценариям регистрации и сбоев.
• Вводите политики поэтапно, расширяя охват от пилотных групп до всей организации.

Мониторинг и сопровождение

• Регулярно проверяйте журналы входа Microsoft Entra и отчёты о методах проверки подлинности на предмет аномалий.
• Отслеживайте показатели внедрения и обращения в службу поддержки, связанные с passkeys.
• Поддерживайте документацию в актуальном состоянии при изменениях ОС и браузеров, которые влияют на работу паскеев.
• Периодически проверяйте и обновляйте политики условного доступа и методов аутентификации.

Устранение неполадок и откат

• Документируйте распространённые ошибки (совместимость устройств, запросы браузера, сбои регистрации) и способы их устранения.
• Настройте понятные процессы восстановления учётной записи и экстренного доступа для пользователей, которые потеряли доступ к паскеям.
• Если возникнут критические проблемы, будьте готовы отменить принудительное применение методов аутентификации и сообщить шаги отката.

Вопросы безопасности и соответствия требованиям

• Убедитесь, что развёртывание паскеев соответствует политикам безопасности организации и требованиям соответствия.
• Проверьте, что способы хранения и аттестации паскеев соответствуют корпоративным стандартам.
• Изучите рекомендации по безопасности сторонних аутентификаторов и производителей устройств.

Выполнение этого чек-листа поможет обеспечить успешное и безопасное внедрение Microsoft Entra Passkeys в вашей организации.

Типы паскеев и их особенности

Синхронизируемые паскеи

Синхронизируемые паскеи — важный шаг вперёд в удобстве и доступности для пользователей в экосистеме паскеев, особенно в Microsoft Entra ID. Такие паскеи синхронизируются между различными устройствами пользователя и обеспечивают бесшовный вход без ущерба для надёжности аутентификации FIDO2. Когда пользователь создаёт паскей на одном устройстве, его можно безопасно реплицировать на другие авторизованные устройства через защищённого провайдера паскеев, который часто интегрирован непосредственно в операционную систему или в отдельный менеджер паролей. Например, включив синхронизируемые паскеи в приложении Microsoft Authenticator, пользователь может зарегистрировать паскей один раз, а затем использовать его для входа в Microsoft Entra ID с телефона, планшета или компьютера, если устройства привязаны к одной и той же учётной записи. Эта возможность существенно повышает практичность паскеев как метода аутентификации по умолчанию и приближает организации к по-настоящему беспарольному будущему, поскольку пользователи всегда имеют доступ к своим устойчивым к фишингу учётным данным.

Различные типы доступных паскеев

Помимо синхронизируемых паскеев администраторам Entra важно понимать различные формы, которые может принимать паскей, чтобы эффективно управлять методами аутентификации в Microsoft Entra ID. Основное различие — между синхронизируемыми и привязанными к устройству паскеями. Оба типа используют стандарт FIDO2 для аутентификации, устойчивой к фишингу, но подходы к их развёртыванию и управлению различаются. Организации могут включить синхронизируемые паскеи для удобства пользователей в целом, а для привилегированных учётных записей или отдельных требований соответствия — требовать привязанные к устройству паскеи. Такой подход создаёт гибкую и надёжную стратегию аутентификации. Это комплексный подход, который позволяет регистрировать паскеи, соответствующие разным требованиям безопасности и предпочтениям пользователей.

Использование ключей безопасности FIDO2

Ключи безопасности FIDO2 предлагают высоконадёжный и отдельный способ использования паскеев, выступая в роли выделенных аппаратных аутентификаторов для FIDO2-аутентификации в Microsoft Entra ID. Такие физические устройства, как правило, небольшие USB-токены, генерируют и надёжно хранят закрытый ключ внутри своего защищённого от взлома аппаратного обеспечения. Когда пользователю нужно войти в Microsoft Entra ID, он просто вставляет ключ безопасности FIDO2 и следует подсказкам, часто включающим ввод PIN-кода или биометрическую проверку непосредственно на ключе.

Это обеспечивает дополнительный уровень безопасности: закрытый ключ никогда не покидает аппаратное устройство, поэтому он защищён от многих программных атак. Администраторы Entra могут включить пасскеи именно через ключи безопасности FIDO2, что даёт надёжный вариант многофакторной аутентификации. Он особенно рекомендуется для критичных ролей или сред, где максимальная безопасность имеет первостепенное значение. Процесс регистрации пасскея с ключом безопасности FIDO2 прост и даёт пользователям мощный метод аутентификации, устойчивый к фишингу.

Распространённые ошибки при работе с ключами безопасности FIDO2

Ключи безопасности FIDO2 — это надёжные средства аутентификации, которые часто используются с такими платформами, как пасскеи Microsoft Entra. Ниже перечислены распространённые ошибки и способы их избежать.

• Предположение, что ключ полностью заменяет восстановление учётной записи: многие думают, что одного ключа FIDO2 достаточно для всех сценариев восстановления. Если вы потеряете ключ и не настроили альтернативные методы восстановления (резервные ключи, коды восстановления или управляемые платформой пасскеи, такие как пасскеи Microsoft Entra), вы можете потерять доступ к учётной записи.
• Отсутствие регистрации резервных ключей или методов: регистрация только одного ключа безопасности рискованна. Всегда добавляйте как минимум один резервный ключ и включайте дополнительные методы восстановления, чтобы не потерять доступ к учётной записи.
• Путаница между ключами FIDO2 и аппаратными OTP-токенами: ключи FIDO2 используют криптографию с открытым ключом и устойчивы к фишингу, в отличие от многих токенов одноразовых паролей (OTP). Относитесь к ним по-разному в рабочих процессах и документации.
• Ожидание универсальной работы «подключил и работает» без проверки совместимости: не все сайты и платформы поддерживают все возможности FIDO2. Проверяйте поддержку браузером, платформой и сервисом, особенно при интеграции со службами идентификации, такими как пасскеи Microsoft Entra.
• Небезопасное хранение или маркировка резервных ключей: если хранить резервный ключ на видном месте или подписать его «ключ безопасности», это ставит безопасность под угрозу. Храните запасные ключи в надёжных и незаметных местах.
• Игнорирование обновлений прошивки и рекомендаций производителя: некоторые ключи получают обновления или имеют известные проблемы. Пренебрегать уведомлениями производителя опасно: следуйте рекомендованным срокам обслуживания и замены.
• Совместное использование одного ключа несколькими пользователями: ключи обычно привязаны к identity одного пользователя. Передача ключа подрывает индивидуальную подотчётность и может нарушать требования аудита и соответствия.
• Непонимание разницы между резидентными и нерезидентными ключами: резидентные (обнаруживаемые) учётные данные хранятся на самом ключе, а нерезидентные зависят от сервера. Выбор неподходящего типа для вашего сценария может повлиять на переносимость и варианты восстановления.
• Предположение, что физическое владение равно неограниченному доступу: украденный ключ может быть защищён PIN-кодом или биометрией на устройстве, но считать его безопасным без включения этих защит — ошибка. Всегда включайте доступные PIN-код или биометрию и рассмотрите политики блокировки устройств.
• Пренебрежение обучением пользователей и операционными процессами: внедрение ключей без обучения ведёт к неправильному использованию, потере ключей и росту нагрузки на поддержку. Предусмотрите понятное подключение пользователей, процедуры на случай потери ключа и советы по интеграции (например, использование пасскеев Microsoft Entra для упрощения пользовательского опыта).

Использование пасскеев Entra в Windows

Интеграция пасскеев с Windows Hello для бизнеса

Интеграция пасскеев Entra с Windows Hello для бизнеса даёт мощный синергетический эффект для повышения безопасности и упрощения входа на устройствах Windows. Когда организация решает включить пасскеи в Microsoft Entra ID, особенно через Windows Hello для бизнеса, пользователи получают пасскеи, привязанные к устройству, которые опираются на надёжную биометрическую аутентификацию или PIN-код, уже интегрированные в их среду Windows. Это означает, что для входа с пасскеем пользователю достаточно пройти аутентификацию привычным способом Windows Hello: отпечатком пальца, распознаванием лица или PIN-кодом. Такая интеграция обеспечивает бесшовный и высоконадёжный метод аутентификации, устойчивый к фишингу, поскольку закрытый ключ пасскея никогда не покидает устройство и защищён безопасным аппаратным обеспечением Windows Hello для бизнеса. Администраторы Entra могут настроить политики, разрешающие эту интеграцию, что упрощает регистрацию пасскея для пользователей и позволяет по-настоящему перейти к беспарольному будущему прямо с устройств Windows.

Доступ к пасскеям Entra в Windows

Доступ к passkey Entra на устройствах Windows задуман как простой и безопасный процесс, будь то синхронизируемые passkey или привязанные к устройству passkey через Windows Hello for Business. Для синхронизируемых passkey пользователи, которые включили passkey в Microsoft Authenticator или у другого поставщика passkey, найдут свой профиль passkey на устройстве Windows, что позволит им легко входить в приложения Microsoft Entra. При запросе аутентификации Windows предложит использовать passkey, часто требуя простого подтверждения или биометрической проверки. Для тех, кто использует Windows Hello for Business, доступ еще более интегрирован: passkey напрямую связан с защищенным элементом устройства. Это позволяет пользователям входить в Microsoft Entra ID и другие сервисы, просто проходя аутентификацию с помощью Windows Hello. Так обеспечивается единообразный и высоконадежный опыт входа во всей экосистеме Windows, что заметно усиливает возможности аутентификации, устойчивой к фишингу.

Обновления безопасности и лучшие практики

Чтобы сохранить максимальный уровень безопасности и обеспечить оптимальную работу при использовании passkey Entra в Windows, соблюдение обновлений безопасности и лучших практик имеет решающее значение. Администраторам Entra следует в первую очередь поддерживать в актуальном состоянии операционные системы Windows, приложение Microsoft Authenticator и прошивку любых ключей безопасности FIDO2, чтобы получать последние улучшения безопасности и исправления ошибок. Регулярный пересмотр и обновление политик аутентификации в центре администрирования Microsoft Entra помогает убедиться, что регистрация и использование passkey соответствуют требованиям безопасности организации. Не менее важно обучать пользователей безопасному созданию passkey, понимать различия между синхронизируемыми и привязанными к устройству passkey, а также осознавать необходимость защиты своих устройств. Microsoft Learn содержит обширные материалы по этим обновлениям безопасности и лучшим практикам, помогая организациям выстроить устойчивую стратегию беспарольной аутентификации в среде Microsoft Entra ID.

Устранение неполадок и поддержка

Распространенные проблемы с passkey

При развертывании и управлении passkey в Microsoft Entra ID администраторы Entra и пользователи могут столкнуться с несколькими распространенными проблемами, которые требуют устранения неполадок. Одна из частых трудностей — убедиться, что пользователи могут успешно зарегистрировать passkey, особенно если совместимость устройств или настройки политик не согласованы между собой. Пользователи могут столкнуться с затруднениями, если их ключ безопасности FIDO2 не распознается или если возникает конфликт с уже имеющимися методами аутентификации. Еще одна распространенная проблема связана с тем, что синхронизируемые passkey не синхронизируются на все нужные устройства, что часто вызвано проблемами с подключением или неверными настройками поставщика passkey. Кроме того, пользователи могут случайно удалить свой профиль passkey или столкнуться с трудностями при попытке сделать passkey методом аутентификации по умолчанию, если резервные варианты не настроены должным образом. Понимание этих возможных препятствий — первый шаг к их эффективному устранению и поддержанию бесперебойного беспарольного опыта.

Как включить и настроить целевое применение passkey

Включение и грамотная настройка целевого применения passkey в Microsoft Entra ID — важная административная задача, которая требует тщательной конфигурации в центре администрирования Microsoft Entra. Администраторы Entra или пользователи с ролью Администратора политики проверки подлинности должны перейти в раздел методов проверки подлинности, чтобы включить passkey для своей организации. Для этого нужно выбрать FIDO2 Security Key или разрешить пользователям регистрировать синхронизируемый passkey через приложение Microsoft Authenticator. Выбор конкретных групп пользователей для развертывания passkey — лучшая практика, которая позволяет проводить поэтапное внедрение и гарантирует, что создать passkey смогут нужные пользователи. Это достигается назначением политик конкретным группам пользователей, что гарантирует регистрацию passkey и использование их в качестве основного или многофакторного метода аутентификации только авторизованными лицами. Правильный выбор целевых групп помогает управлять переходом к беспарольной среде и соответствует требованиям безопасности организации.

Помощь с настройкой passkey

Администраторам Entra и пользователям, которым нужна помощь с настройкой passkey, доступно множество ресурсов, которые помогут плавно перейти к этому методу аутентификации, устойчивому к фишингу. Microsoft Learn предлагает обширную документацию и руководства, которые подробно описывают каждый шаг, от включения passkey в Microsoft Entra ID до устранения распространённых проблем. Центр администрирования Microsoft Entra предоставляет контекстную справку и руководства по настройке политик аутентификации и управлению регистрацией passkey. Кроме того, для более сложных проблем доступны каналы поддержки Microsoft, где можно получить помощь экспертов по настройке и поддержке passkey в Microsoft Entra. Использование этих ресурсов поможет организациям преодолеть трудности, эффективно включить синхронизируемые passkey и сделать passkey методом аутентификации по умолчанию, что существенно укрепит их безопасность и позволит перейти к современному беспарольному опыту входа.

Часто задаваемые вопросы

passkey profile: создание и управление профилем passkey

entra passkey on windows: включение и использование entra passkey на устройствах Windows

passkeys work: как passkey работают на разных устройствах и синхронизируемые passkey

Что такое passkey Microsoft Entra и чем он отличается от passkey FIDO2?

Passkey Microsoft Entra — это современные учётные данные, устойчивые к фишингу, которые хранятся либо на устройстве, либо в облачном поставщике passkey и управляются через Microsoft Entra ID. Они используют криптографию с открытым ключом, как и passkey FIDO2, но интегрированы с функциями Microsoft 365 и Entra, что обеспечивает вход с помощью passkey и облачную синхронизацию между устройствами.

Как включить вход с помощью passkey для моей организации?

Чтобы включить вход с помощью passkey, создайте профиль passkey в Microsoft Entra, настройте профили passkey, задав политику (в том числе разрешать ли пользователям синхронизируемые passkey), и при необходимости интегрируйте его с Microsoft Intune для применения контроля над устройствами. Администраторы решают, станут ли passkey методом входа по умолчанию или останутся необязательным вариантом.

Что означает «разрешить синхронизируемые passkey» и как это настроить?

«Разрешить синхронизируемые passkey» — это политическое решение, которое позволяет пользователям хранить passkey в облачном поставщике passkey, чтобы использовать синхронизируемые passkey на разных устройствах. Чтобы настроить это, включите соответствующую опцию в профиле passkey, убедитесь, что пользователи получают запрос на регистрацию passkey, и что облачный поставщик passkey поддерживается.

Могут ли пользователи зарегистрировать passkey напрямую или им предлагается это сделать?

Пользователи могут зарегистрировать passkey напрямую в настройках безопасности своей учётной записи Microsoft Entra либо им может быть предложено зарегистрировать passkey во время входа, если организация делает passkey методом аутентификации по умолчанию или если профиль passkey запускает запрос на регистрацию.

Как работают passkey в Windows и поддерживает ли Microsoft Entra Windows Hello?

Passkey работают в Windows с использованием Windows Hello в качестве аутентификатора. При использовании entra passkey on windows устройство может создать привязанный passkey, который хранится в TPM или в облачном поставщике passkey, а Microsoft Entra ID поддерживает использование Windows Hello для создания и применения passkey-аутентификаторов.

Что такое привязанные passkey и где хранятся passkey?

Привязанные passkey связаны с конкретным аутентификатором устройства (например, Windows Hello) и обычно хранятся в аппаратно защищённом хранилище (TPM). Синхронизируемые passkey, или passkey, хранящиеся в облаке, находятся у облачного поставщика passkey, связанного с учётной записью пользователя в Microsoft Entra.

Как создать профиль passkey и можно ли ограничить его областью действия для нескольких политик?

Профиль passkey создаётся в портале Microsoft Entra: выберите методы аутентификации и параметры. Профили passkey могут применяться к нескольким группам или средам, и можно создать профили с ограниченной областью действия либо три профиля passkey, чтобы применять разные правила к различным группам пользователей.

Что делать, если пользователи не могут зарегистрировать passkey?

Если пользователи не могут зарегистрировать passkey, проверьте, назначен ли их учётной записи профиль passkey, который включает регистрацию, убедитесь, что их устройства соответствуют требованиям (например, Windows Hello или совместимый аутентификатор), подтвердите, что настройки облачного поставщика passkey и Microsoft Entra ID разрешают регистрировать passkey напрямую, и проверьте, что политики конфигурации устройств Microsoft Intune не блокируют функции аутентификатора.

Станут ли passkey методом аутентификации по умолчанию в Microsoft Entra?

Microsoft сообщила, что пароли-ключи (passkeys) станут режимом входа по умолчанию для многих пользователей. Администраторы могут заранее настроить пароли-ключи как способ аутентификации по умолчанию, назначив их основным методом в профиле passkey, чтобы режим по умолчанию применялся в соответствии с политикой организации.

Как синхронизированные пароли-ключи в Microsoft Entra работают с несколькими устройствами и приложениями Microsoft 365?

Использование синхронизированных паролей-ключей позволяет синхронизировать пароли-ключи пользователя через облачного провайдера паролей-ключей, чтобы он мог входить с нескольких устройств. При работе с приложениями Microsoft 365 вход с паролем-ключом обеспечивают Microsoft Entra ID и облачный провайдер. Пользователи могут применять пароли-ключи для Microsoft 365 без повторной регистрации на каждом устройстве.

Можно ли принудительно требовать использование паролей-ключей и насколько гибкой может быть политика?

Да, принудительно требовать использование паролей-ключей можно, настроив политики в профилях passkey и условном доступе в Microsoft Entra ID. Политики могут быть очень гибкими: профили passkey с определенной областью действия позволяют требовать пароли-ключи для отдельных пользователей, групп или сценариев, а также ограничивать, какие аутентификаторы и облачные провайдеры паролей-ключей разрешены.

В чем разница между протоколом Client to Authenticator и входом с паролем-ключом?

Client to Authenticator Protocol (CTAP) — это технический протокол, с помощью которого аутентификаторы взаимодействуют с клиентами (браузерами и устройствами). Вход с паролем-ключом — это процесс аутентификации пользователя с помощью пароля-ключа. CTAP лежит в основе паролей-ключей FIDO2 и аутентификаторов, которые используются в сценариях входа с паролем-ключом.

Как просматривать пароли-ключи и управлять ими для пользователей в Microsoft Entra?

Администраторы могут просматривать статус регистрации паролей-ключей и управлять ими в методах аутентификации и отчетах Microsoft Entra ID. Пользователи видят свои пароли-ключи в настройках безопасности учетной записи Microsoft Entra, где они могут зарегистрировать пароль-ключ или удалить пароль-ключ, хранящийся на устройстве или у облачного провайдера.

Поддерживает ли Microsoft Entra ID пароли-ключи и какие аутентификаторы совместимы?

Да, Microsoft Entra ID поддерживает пароли-ключи на основе стандартов FIDO2, и совместимы многие аутентификаторы, включая Windows Hello, платформенные аутентификаторы и внешние ключи безопасности. Благодаря этим стандартам Microsoft Entra ID поддерживает как привязанные пароли-ключи, так и учетные данные, синхронизируемые через облако.

Что происходит, если пароль-ключ пользователя уже зарегистрирован на другом устройстве?

Если пароль-ключ уже зарегистрирован на другом устройстве, а пользователь хочет использовать его и на другом, он должен либо использовать синхронизированные пароли-ключи (если это разрешено), либо зарегистрировать новый пароль-ключ на новом устройстве. Настраивая профили passkey и параметры облачной синхронизации, администраторам стоит учитывать сценарии работы с несколькими устройствами.

Можно ли использовать Intune для управления устройствами, которые применяют пароли-ключи и Windows Hello?

Да, Microsoft Intune может управлять соответствием требованиям и конфигурацией устройств, использующих пароли-ключи и Windows Hello. Политики Intune могут гарантировать выполнение требований безопасности устройства до того, как будет разрешен вход с паролем-ключом, и сочетаться с параметрами Entra passkey on Windows для согласованного развертывания.

Как обеспечить поддержку паролей-ключей для нескольких приложений и сервисов в организации?

Чтобы поддерживать пароли-ключи для нескольких приложений, убедитесь, что эти приложения федеративны с Microsoft Entra ID или интегрированы с ним, включите вход с паролем-ключом в параметрах аутентификации и создайте профили passkey, в которых указано, могут ли пользователи применять пароли-ключи для нескольких приложений и сервисов Microsoft 365.

Что такое облачный провайдер паролей-ключей и нужен ли он?

Облачный провайдер паролей-ключей хранит пароли-ключи пользователя и синхронизирует их между его устройствами. Использование облачного провайдера необязательно, но рекомендуется, если вы хотите, чтобы пользователи применяли синхронизированные пароли-ключи на всех устройствах, а не только привязанные к одному устройству.