Синхронізовані та прив'язані до пристрою passkey-ключі в Microsoft Entra ID: який вибрати?

By Mirko Peters · 2026-10-28

Порівняйте синхронізовані та прив'язані до пристрою passkey-ключі в Microsoft Entra ID. Дізнайтеся, який метод автентифікації підходить звичайним корпоративним користувачам, а який ІТ-адміністраторам.

Automatically translated with AI from the original post. Read the English original

Під час впровадження сучасної автентифікації вибір між синхронізованими та прив'язаними до пристрою passkey-ключами в Microsoft Entra ID є найважливішим архітектурним рішенням, перед яким стоять ІТ-керівники. Обидва варіанти усувають вразливі паролі та протидіють фішингу на основі ШІ, але вони по-різному працюють із втратою пристрою, хмарною синхронізацією та адміністративним контролем.

Головне

• Синхронізовані passkey-ключі зберігають облікові дані в довірених хмарних облікових записах, наприклад iCloud або Google, що дозволяє їм переміщуватися між пристроями та залишатися доступними після втрати телефона.
• Прив'язані до пристрою passkey-ключі існують виключно на одному фізичному пристрої, наприклад на апаратному ключі безпеки або в застосунку Microsoft Authenticator, і їх не можна синхронізувати.
• Microsoft рекомендує синхронізовані passkey-ключі для звичайних працівників компанії через високу зручність і менше тертя під час входу.
• ІТ-адміністраторам і облікових записів із високими привілеями варто використовувати апаратні ключі, прив'язані до пристрою, щоб зберігати повний контроль над обліковими даними.
• Microsoft Entra ID підтримує обидва типи облікових даних, що дає організаціям змогу поєднувати продуктивність користувачів із суворими політиками безпеки.

Розуміння синхронізованих passkey-ключів у корпоративному середовищі

Синхронізовані passkey-ключі є найкращим поєднанням безпеки та зручності для сучасного робочого місця. Коли користувач створює синхронізований passkey-ключ на мобільному пристрої або робочій станції, приватний ключ шифрується і зберігається в довіреному хмарному обліковому записі постачальника, наприклад в Apple iCloud Keychain, Google Password Manager або сторонніх рішеннях на кшталт 1Password і Dashlane. Ця архітектура дозволяє облікових даним безперешкодно переміщуватися разом із користувачем у межах його екосистеми.

Якщо працівник купує новий ноутбук або замінює пошкоджений смартфон, вхід до свого хмарного облікового запису одразу відновлює доступ до passkey-ключів. За даними, які наводить Microsoft, приблизно 99 відсотків користувачів успішно реєструють синхронізовані passkey-ключі, а швидкість входу в них приблизно у чотирнадцять разів вища, ніж у традиційних паролів у поєднанні з багатофакторною автентифікацією. Для звичайних інформаційних працівників, які працюють із застосунками Microsoft 365, такими як Teams і Outlook, синхронізовані passkey-ключі усувають тертя та водночас підвищують загальний рівень безпеки організації.

Водночас така зручність створює проблему з видимістю для ІТ-адміністраторів. Оскільки синхронізовані passkey-ключі копіюються між хмарними екосистемами, адміністратори втрачають детальний контроль над тим, які саме пристрої містять копію приватного ключа. Відсутність апаратної ізоляції робить синхронізовані варіанти менш придатними для ролей із високими привілеями, де принципово важлива абсолютна певність щодо меж зберігання облікових даних.

Роль прив'язаних до пристрою passkey-ключів для користувачів із привілеями

На відміну від синхронізованих аналогів, прив'язані до пристрою passkey-ключі постійно закріплені за одним фізичним апаратним пристроєм. Приватний ключ генерується безпосередньо на пристрої і фізично не може його покинути. До цієї категорії належать окремі апаратні ключі безпеки, а також passkey-ключі, що зберігаються локально в застосунку Microsoft Authenticator.

Для ІТ-адміністраторів і облікових записів, які тримають ключі від корпоративного царства, пristрої-прив'язані паролі-ключі (passkeys) є золотим стандартом. Якщо працівник втрачає телефон, на якому в застосунку Authenticator налаштовано пристрій-прив'язаний passkey, цей конкретний облікові дані зникають разом із апаратом. Немає хмарної резервної копії, яка б їх автоматично відновила, тож ризик реплікації облікових даних у хмарі повністю усувається.

Цей підхід створює труднощі з відновленням, якщо фізичний токен буде втрачено або пошкоджено, але він забезпечує бескомпромісний рівень безпеки, необхідний для управління інфраструктурою Azure та для ролей глобального адміністратора. Організації можуть застосувати ці суворі параметри в Microsoft Entra ID, використовуючи налаштування атестації, щоб вимагати автентифікації з апаратною підтримкою.

Управління компромісами в Microsoft Entra ID

Успішне впровадження passkeys у масштабах підприємства вимагає визнання операційних компромісів, притаманних кожному формату. Розгортання passkeys більше не є футуристичною концепцією: оскільки Microsoft Entra ID робить passkeys стандартним способом входу та поступово відмовляється від застарілих кодів через SMS і голосові дзвінки, організаціям потрібна дворівнева стратегія.

Для більшості працівників розгортання синхронізованих passkeys забезпечує високий рівень прийняття, мінімізує заявки до служби підтримки щодо скидання паролів і суттєво покращує частку успішних автентифікацій. Робота залишається швидкою, адже користувачі використовують звичні біометричні запити, як-от розпізнавання обличчя чи сканування відбитка пальця.

Натомість для привілейованих користувачів обов'язкові апаратні ключі безпеки, прив'язані до пристрою, створюють жорсткий периметр захисту від витончених кіберзагроз. Підприємства мають налаштувати чіткі процеси відновлення після втрати апаратних токенів, забезпечивши адміністраторам можливість швидкого відкликання доступу в Entra ID без шкоди для цілісності системи ідентифікації.

Висновок

Вибір між синхронізованими та прив'язаними до пристрою passkeys полягає не в пошуку єдиного універсального рішення, а в підборі правильного засобу контролю безпеки для кожного профілю користувача. Розгортаючи синхронізовані passkeys для повсякденної продуктивності та залишаючи апаратні ключі, прив'язані до пристрою, для адміністративних команд, організації можуть досягти оптимального рівня безпеки без втрати зручності. Щоб дізнатися більше про технічні механізми цих облікових даних, послухайте повний епізод подкасту M365 FM, де експерти обговорюють сучасну безпеку хмари Microsoft.

Поширені запитання

Чи можна використовувати синхронізовані passkeys для адміністративних облікових записів у Microsoft Entra ID?

Технічно це можливо, але Microsoft наполегливо рекомендує для ІТ-адміністраторів і ролей з високими привілеями апаратні ключі, прив'язані до пристрою, щоб запобігти несанкціонованій реплікації облікових даних у хмарі.

Що станеться із синхронізованим passkey, якщо я втрачу смартфон?

Нічого катастрофічного. Оскільки синхронізовані passkeys надійно зберігаються в резервній копії вашого довіреного хмарного облікового запису, вхід на новому пристрої з тим самим обліковим записом миттєво відновлює ваші passkeys.

Чи сумісні пристрій-прив'язані passkeys із застосунком Microsoft Authenticator?

Так. Passkeys, збережені безпосередньо в застосунку Microsoft Authenticator, класифікуються як прив'язані до пристрою, тобто вони залишаються пов'язаними з конкретним телефоном і не синхронізуються із зовнішніми хмарними сховищами ключів.

Чи можуть адміністратори примусово застосовувати певні типи passkeys у Microsoft Entra ID?

Так. Адміністратори можуть використовувати політики атестації в Microsoft Entra ID, щоб обмежити входи лише прив'язаними до пристрою passkeys для середовищ з високим рівнем безпеки.