Синхронизируемые и привязанные к устройству passkey в Microsoft Entra ID: что выбрать?

By Mirko Peters · 2026-10-28

Сравните синхронизируемые и привязанные к устройству passkey в Microsoft Entra ID. Узнайте, какой способ аутентификации подходит обычным корпоративным пользователям, а какой — ИT-администраторам.

Automatically translated with AI from the original post. Read the English original

При внедрении современной аутентификации выбор между синхронизируемыми и привязанными к устройству passkey в Microsoft Entra ID — это самое важное архитектурное решение, перед которым стоят ИT-руководители. Оба варианта устраняют уязвимые пароли и защищают от фишинга на базе ИИ, но по-разному справляются с утратой устройства, облачной синхронизацией и видимостью административных действий.

Главное

• Синхронизируемые passkey хранят учётные данные в доверенных облачных учётных записях, таких как iCloud или Google, что позволяет им переноситься между устройствами и сохраняться при утере телефона.
• Привязанные к устройству passkey существуют строго на одном физическом носителе, например на аппаратном ключе безопасности или в приложении Microsoft Authenticator, и не могут быть синхронизированы.
• Microsoft рекомендует синхронизируемые passkey для рядовых сотрудников компании благодаря высокому удобству и меньшему количеству препятствий.
• ИT-администраторам и учётным записям с повышенными привилегиями следует использовать аппаратные ключи, привязанные к устройству, чтобы сохранять полный контроль над учётными данными.
• Microsoft Entra ID поддерживает оба типа учётных данных, что позволяет организациям сочетать продуктивность пользователей с жёсткими политиками безопасности.

Синхронизируемые passkey в корпоративной среде

Синхронизируемые passkey — это идеальное сочетание безопасности и удобства для современного рабочего места. Когда пользователь создаёт синхронизируемый passkey на мобильном устройстве или рабочей станции, закрытый ключ шифруется и хранится в учётной записи доверенного облачного провайдера, например в Apple iCloud Keychain, Google Password Manager или в сторонних решениях вроде 1Password и Dashlane. Такая архитектура позволяет учётным данным беспрепятственно следовать за пользователем по всей его экосистеме.

Если сотрудник покупает новый ноутбук или заменяет повреждённый смартфон, вход в учётную запись облачного провайдера мгновенно возвращает доступ к его passkey. По данным, которые приводит Microsoft, около 99 процентов пользователей успешно регистрируют синхронизируемые passkey, а скорость входа примерно в четырнадцать раз выше, чем у традиционных паролей в сочетании с многофакторной аутентификацией. Для обычных информационных работников, которые используют приложения Microsoft 365, такие как Teams и Outlook, синхронизируемые passkey убирают трения и повышают общий уровень безопасности организации.

Однако у такого удобства есть оборотная сторона с точки зрения видимости для ИТ-администраторов. Поскольку синхронизируемые passkey реплицируются между облачными экосистемами, администраторы теряют детальный контроль над тем, на каких именно устройствах хранится копия закрытого ключа. Отсутствие аппаратной изоляции делает синхронизируемые варианты менее подходящими для ролей ИТ с повышенными привилегиями, где абсолютная уверенность в границах учётных данных имеет первостепенное значение.

Роль привязанных к устройству passkey для привилегированных пользователей

В отличие от синхронизируемых аналогов, привязанные к устройству passkey намертво закреплены за одним физическим аппаратным носителем. Закрытый ключ генерируется непосредственно на устройстве и физически не может его покинуть. К этой категории относятся как выделенные аппаратные ключи безопасности, так и passkey, хранящиеся локально в приложении Microsoft Authenticator.

Для ИT-администраторов и владельцев учётных записей, которые держат ключи от корпоративного королевства, passkey, привязанные к устройству, — золотой стандарт. Если сотрудник теряет телефон, на котором в приложении Authenticator настроен passkey, привязанный к устройству, эта конкретная учётная информация исчезает вместе с оборудованием. Облачной резервной копии, которая автоматически её восстановила бы, нет, поэтому риск репликации учётных данных в облаке полностью исключён.

Такой подход создаёт сложности с восстановлением, если физический токен утерян или повреждён, но он обеспечивает бескомпромиссный уровень безопасности, необходимый для управления инфраструктурой Azure и для ролей глобальных администраторов. Организации могут задать эти строгие параметры в Microsoft Entra ID, используя настройки аттестации, чтобы потребовать аутентификацию с аппаратной поддержкой.

Управление компромиссами в Microsoft Entra ID

Успешное внедрение passkey в масштабах предприятия требует учёта операционных компромиссов, присущих каждому формату. Развёртывание passkey — уже не футуристическая концепция: поскольку Microsoft Entra ID делает passkey способом входа по умолчанию и постепенно отказывается от устаревших кодов по SMS и голосовых кодов, организациям необходимо спроектировать двухконтурную стратегию.

Для основной массы сотрудников развёртывание синхронизируемых passkey обеспечивает высокий уровень принятия, минимизирует заявки в службу поддержки на сброс пароля и заметно повышает долю успешных входов. Работа остаётся быстрой и опирается на привычные биометрические запросы, такие как распознавание лица или сканирование отпечатка пальца.

С другой стороны, для привилегированных пользователей требование использовать аппаратные ключи безопасности, привязанные к устройству, создаёт жёсткий периметр против изощрённых киберугроз. Организациям необходимо наладить чёткие процедуры восстановления при утере аппаратных токенов, чтобы администраторы могли быстро отзывать доступ в Entra ID, не ставя под угрозу целостность системы идентификации.

Заключение

Выбор между синхронизируемыми и привязанными к устройству passkey — это не поиск единого универсального решения, а подбор правильного механизма защиты для правильного профиля пользователя. Применяя синхронизируемые passkey для повседневной работы и оставляя аппаратные ключи, привязанные к устройству, для административных групп, организации могут добиться оптимального уровня безопасности без ущерба для удобства. Чтобы глубже разобраться в технических механизмах этих учётных данных, вы можете послушать полный выпуск подкаста M365 FM, где обсуждается современная безопасность облачных сервисов Microsoft.

Часто задаваемые вопросы

Можно ли использовать синхронизируемые passkey для административных учётных записей в Microsoft Entra ID?

Технически это возможно, но Microsoft настоятельно рекомендует для ИТ-администраторов и ролей с повышенными привилегиями аппаратные ключи, привязанные к устройству, чтобы исключить несанкционированную репликацию учётных данных в облаке.

Что произойдёт с синхронизируемым passkey, если я потеряю смартфон?

Ничего катастрофического. Поскольку синхронизируемые passkey надёжно сохраняются в резервной копии вашей учётной записи у доверенного облачного провайдера, вход на новом устройстве с той же учётной записью мгновенно восстанавливает ваши passkey.

Совместимы ли passkey, привязанные к устройству, с приложением Microsoft Authenticator?

Да. Passkey, которые хранятся непосредственно в приложении Microsoft Authenticator, относятся к привязанным к устройству: они остаются связанными с конкретным телефоном и не синхронизируются с внешними облачными хранилищами ключей.

Могут ли администраторы задавать определённые типы passkey в Microsoft Entra ID?

Да. Администраторы могут использовать политики аттестации в Microsoft Entra ID, чтобы разрешить вход исключительно с помощью passkey, привязанных к устройству, для сред с повышенными требованиями безопасности.