Opcje uwierzytelniania bez hasła dla usługi Microsoft Entra ID
Funkcje takie jak uwierzytelnianie wieloskładnikowe (MFA) to doskonały sposób na zabezpieczenie organizacji, ale użytkownicy często są sfrustrowani dodatkową warstwą zabezpieczeń, ponieważ muszą pamiętać swoje hasła. Metody uwierzytelniania bez hasła są wygodniejsze, ponieważ hasło zostało usunięte i zastąpione czymś, co masz lub znasz.
| Uwierzytelnianie | Coś, co masz | Coś, co jesteś lub wiesz |
|---|---|---|
| Logowanie bez hasła | Urządzenie z systemem Windows 10, telefon lub klucz zabezpieczeń | Biometryczne lub PIN |
Każda organizacja ma różne potrzeby, jeśli chodzi o uwierzytelnianie. Platforma Microsoft Azure i platforma Azure Government oferują następujące cztery opcje uwierzytelniania bez hasła, które integrują się z identyfikatorem Entra firmy Microsoft:
- Windows Hello for Business
- Microsoft Authenticator
- Passkeys (FIDO2)
- Uwierzytelnianie oparte na certyfikatach
Windows Hello for Business
Windows Hello dla firm jest idealnym rozwiązaniem dla pracowników przetwarzających informacje, którzy mają własne wyznaczone komputery z systemem Windows. Poświadczenia biometryczne i PIN są bezpośrednio powiązane z komputerem użytkownika, co uniemożliwia dostęp osobie innej niż właściciel. Dzięki integracji infrastruktury kluczy publicznych (PKI) i wbudowanej obsłudze logowania jednokrotnego Windows Hello dla firm zapewnia wygodną metodę bezproblemowego uzyskiwania dostępu do zasobów firmowych lokalnie i w chmurze.
W poniższych krokach pokazano, jak działa proces logowania z identyfikatorem Entra firmy Microsoft:
- Użytkownik loguje się do systemu Windows przy użyciu gestu biometrycznego lub numeru PIN. Gest odblokuje klucz prywatny Windows Hello dla firm i jest wysyłany do dostawcy pomocy technicznej zabezpieczeń uwierzytelniania w chmurze, określanego jako dostawca ap w chmurze.
- Dostawca ap w chmurze żąda wartości innej niż (losowej dowolnej liczby, która może być używana raz) z identyfikatora Entra firmy Microsoft.
- Identyfikator Entra firmy Microsoft zwraca wartość inną niż 5 minut.
- Dostawca usługi Cloud AP podpisuje nonce przy użyciu klucza prywatnego użytkownika i zwraca podpisany element inny niż identyfikator Entra firmy Microsoft.
- Microsoft Entra ID weryfikuje podpisany nonce przy użyciu bezpiecznie zarejestrowanego klucza publicznego użytkownika względem podpisu innego. Identyfikator Entra firmy Microsoft weryfikuje podpis, a następnie weryfikuje zwrócony podpisany element inny niż. Po zweryfikowaniu elementu innego identyfikator Entra firmy Microsoft tworzy podstawowy token odświeżania (PRT) z kluczem sesji zaszyfrowanym kluczem transportu urządzenia i zwraca go do dostawcy ap w chmurze.
- Dostawca ap w chmurze odbiera zaszyfrowane żądanie ściągnięcia z kluczem sesji. Dostawca usługi Cloud AP używa prywatnego klucza transportu urządzenia do odszyfrowania klucza sesji i chroni klucz sesji przy użyciu modułu TPM (Trusted Platform Module) urządzenia.
- Dostawca ap w chmurze zwraca pomyślną odpowiedź uwierzytelniania na system Windows. Następnie użytkownik może uzyskiwać dostęp do aplikacji systemu Windows i chmury i aplikacji lokalnych bez konieczności ponownego uwierzytelniania (SSO).
Przewodnik planowania Windows Hello dla firm może pomóc w podejmowaniu decyzji dotyczących typu wdrożenia Windows Hello dla firm i opcji, które należy wziąć pod uwagę.
Microsoft Authenticator
Możesz również zezwolić telefonowi pracownika na użycie metody uwierzytelniania bez hasła. Oprócz hasła można już używać aplikacji Authenticator jako wygodnej opcji uwierzytelniania wieloskładnikowego. Możesz również użyć aplikacji Authenticator jako opcji bez hasła.
Aplikacja Authenticator zamienia dowolny telefon z systemem iOS lub Android na silne, bez hasła. Użytkownicy mogą zalogować się do dowolnej platformy lub przeglądarki, wysyłając powiadomienie do telefonu, pasując do numeru wyświetlanego na ekranie na telefonie. Następnie mogą użyć biometrycznego (dotyku lub twarzy) lub numeru PIN, aby potwierdzić. Aby uzyskać szczegółowe informacje na temat instalacji, zobacz Pobieranie i instalowanie aplikacji Microsoft Authenticator .
Uwierzytelnianie bez hasła przy użyciu aplikacji Authenticator jest zgodne z tym samym wzorcem podstawowym co Windows Hello dla firm. Jest to nieco bardziej skomplikowane, ponieważ użytkownik musi zostać zidentyfikowany, aby identyfikator Entra firmy Microsoft mógł znaleźć używaną wersję aplikacji Authenticator:
- Użytkownik wprowadza swoją nazwę użytkownika.
- Identyfikator entra firmy Microsoft wykrywa, że użytkownik ma silne poświadczenia i uruchamia przepływ silnego poświadczenia.
- Powiadomienie jest wysyłane do aplikacji za pośrednictwem usługi Apple Push Notification Service (APNS) na urządzeniach z systemem iOS lub za pośrednictwem usługi Firebase Cloud Messaging (FCM) na urządzeniach z systemem Android.
- Użytkownik otrzymuje powiadomienie wypychane i otwiera aplikację.
- Aplikacja wywołuje identyfikator Firmy Microsoft Entra i otrzymuje wyzwanie dotyczące obecności i niezwiązane z weryfikacją obecności.
- Użytkownik ukończy wyzwanie, wprowadzając numer BIOmetryczny lub PIN w celu odblokowania klucza prywatnego.
- Nonce jest podpisany przy użyciu klucza prywatnego i wysyłany z powrotem do identyfikatora Entra firmy Microsoft.
- Identyfikator Entra firmy Microsoft przeprowadza weryfikację klucza publicznego/prywatnego i zwraca token.
Aby rozpocząć logowanie bez hasła, wykonaj następujące instrukcje:
Passkeys (FIDO2)
FiDO (Fast IDentity Online) Alliance pomaga promować otwarte standardy uwierzytelniania i zmniejszyć wykorzystanie haseł jako formy uwierzytelniania. FIDO2 to najnowszy standard obejmujący standard uwierzytelniania internetowego (WebAuthn).
Klucze zabezpieczeń FIDO2 to niefeksowa metoda uwierzytelniania bez hasła oparta na standardach, która może mieć dowolny współczynnik. Fast Identity Online (FIDO) to otwarty standard uwierzytelniania bez hasła. FiDO umożliwia użytkownikom i organizacjom stosowanie standardu w celu logowania się do zasobów bez nazwy użytkownika lub hasła przy użyciu zewnętrznego klucza zabezpieczeń lub klucza platformy wbudowanego w urządzenie.
Użytkownicy mogą zarejestrować się, a następnie wybrać klucz zabezpieczeń FIDO2 w interfejsie logowania jako główny sposób uwierzytelniania. Te klucze zabezpieczeń FIDO2 są zwykle urządzeniami USB, ale mogą również używać połączenia Bluetooth lub NFC. W przypadku urządzenia sprzętowego obsługującego uwierzytelnianie bezpieczeństwo konta jest zwiększane, ponieważ nie ma hasła, które można ujawnić lub odgadnąć.
Klucze zabezpieczeń FIDO2 mogą służyć do logowania się do swoich urządzeń z systemem Microsoft Entra ID lub Microsoft Entra dołączonych hybrydowo do systemu Windows 10 i uzyskiwania logowania jednokrotnego do zasobów w chmurze i lokalnych. Użytkownicy mogą również zalogować się do obsługiwanych przeglądarek. Klucze zabezpieczeń FIDO2 są doskonałym rozwiązaniem dla przedsiębiorstw, które są bardzo wrażliwe na zabezpieczenia lub mają scenariusze lub pracowników, którzy nie są gotowi lub mogą używać telefonu jako drugiego czynnika.
Zapoznaj się z dokumentem referencyjnym tutaj: Obsługa uwierzytelniania FIDO2 za pomocą identyfikatora Entra firmy Microsoft. Aby uzyskać najlepsze rozwiązania dla deweloperów, zobacz Obsługa uwierzytelniania FIDO2 w opracowywanych aplikacjach.
Następujący proces jest używany, gdy użytkownik loguje się przy użyciu klucza zabezpieczeń FIDO2:
- Użytkownik podłącza klucz zabezpieczeń FIDO2 do komputera.
- System Windows wykrywa klucz zabezpieczeń FIDO2.
- System Windows wysyła żądanie uwierzytelniania.
- Identyfikator Entra firmy Microsoft wysyła z powrotem nonce.
- Użytkownik wykonuje gest odblokowania klucza prywatnego przechowywanego w bezpiecznej enklawie klucza zabezpieczeń FIDO2.
- Klucz zabezpieczeń FIDO2 podpisuje wartość inną niż klucz prywatny.
- Żądanie tokenu podstawowego odświeżania (PRT) z podpisanym nonce jest wysyłane do identyfikatora Entra firmy Microsoft.
- Identyfikator Entra firmy Microsoft weryfikuje podpisany nonce przy użyciu klucza publicznego FIDO2.
- Identyfikator Entra firmy Microsoft zwraca żądanie PRT, aby umożliwić dostęp do zasobów lokalnych.
Dostawcy kluczy zabezpieczeń FIDO2
Następujący dostawcy oferują klucze zabezpieczeń FIDO2 różnych form, które są znane jako zgodne ze środowiskiem bez hasła. Zachęcamy do oceny właściwości zabezpieczeń tych kluczy, kontaktując się z dostawcą i FIDO Alliance.
Uwaga
Jeśli kupujesz i planujesz używać kluczy zabezpieczeń opartych na komunikacji NFC, potrzebujesz obsługiwanego czytnika NFC dla klucza zabezpieczeń. Czytnik NFC nie jest wymaganiem ani ograniczeniem platformy Azure. Zapoznaj się z dostawcą dla klucza zabezpieczeń opartego na komunikacji NFC, aby uzyskać listę obsługiwanych czytników NFC.
Jeśli jesteś dostawcą i chcesz uzyskać urządzenie na tej liście obsługiwanych urządzeń, zapoznaj się z naszymi wskazówkami dotyczącymi tego, jak stać się dostawcą kluczy zabezpieczeń FIDO2 zgodnym z firmą Microsoft.
Aby rozpocząć pracę z kluczami zabezpieczeń FIDO2, wykonaj następujące instrukcje:
Uwierzytelnianie oparte na certyfikatach
Uwierzytelnianie oparte na certyfikatach firmy Microsoft (CBA) umożliwia klientom zezwolenie lub wymaganie od użytkowników uwierzytelniania bezpośrednio przy użyciu certyfikatów X.509 względem identyfikatora Entra firmy Microsoft dla aplikacji i logowania w przeglądarce. CbA umożliwia klientom wdrażanie uwierzytelniania odpornego na wyłudzanie informacji i logowanie się przy użyciu certyfikatu X.509 względem infrastruktury kluczy publicznych (PKI).
Najważniejsze korzyści wynikające z korzystania z usługi Microsoft Entra CBA
| Świadczenia | opis |
|---|---|
| Fantastyczne środowisko pracy użytkownika | — Użytkownicy, którzy potrzebują uwierzytelniania opartego na certyfikatach, mogą teraz bezpośrednio uwierzytelniać się w usłudze Microsoft Entra ID i nie muszą inwestować w federacyjne usługi AD FS. — Interfejs użytkownika portalu umożliwia użytkownikom łatwe konfigurowanie sposobu mapowania pól certyfikatu na atrybut obiektu użytkownika w celu wyszukania użytkownika w dzierżawie (powiązania nazwy użytkownika certyfikatu) — Interfejs użytkownika portalu służący do konfigurowania zasad uwierzytelniania w celu określenia, które certyfikaty są jednoskładnikowe i wieloskładnikowe. |
| Łatwe wdrażanie i administrowanie | - Microsoft Entra CBA jest bezpłatną funkcją i nie potrzebujesz żadnych płatnych wersji microsoft Entra ID, aby z niego korzystać. — Nie ma potrzeby złożonych wdrożeń lokalnych ani konfiguracji sieci. — Bezpośrednie uwierzytelnianie względem identyfikatora Entra firmy Microsoft. |
| Zabezpieczanie | — Hasła lokalne nie muszą być przechowywane w chmurze w żadnej formie. — Chroni konta użytkowników, bezproblemowo współpracując z zasadami dostępu warunkowego firmy Microsoft Entra, w tym uwierzytelnianiem wieloskładnikowym odpornym na wyłudzanie informacji (uwierzytelnianie wieloskładnikowe wymaga licencjonowanej wersji) i blokowanie starszego uwierzytelniania. — Obsługa silnego uwierzytelniania, w której użytkownicy mogą definiować zasady uwierzytelniania za pomocą pól certyfikatów, takich jak identyfikatory wystawcy lub identyfikatory zasad (identyfikatory obiektów), aby określić, które certyfikaty kwalifikują się jako pojedyncze elementy i wieloskładnikowe. — Funkcja bezproblemowo współpracuje z funkcjami dostępu warunkowego i siłą uwierzytelniania, aby wymusić uwierzytelnianie wieloskładnikowe w celu zabezpieczenia użytkowników. |
Obsługiwane scenariusze
Obsługiwane są następujące scenariusze:
- Logowania użytkowników do aplikacji opartych na przeglądarce internetowej na wszystkich platformach.
- Logowania użytkowników do aplikacji mobilnych pakietu Office na platformach iOS/Android i aplikacjach natywnych pakietu Office w systemie Windows, w tym Outlook, OneDrive itd.
- Logowania użytkowników w przeglądarkach natywnych dla urządzeń przenośnych.
- Obsługa szczegółowych reguł uwierzytelniania na potrzeby uwierzytelniania wieloskładnikowego przy użyciu identyfikatorów OPERACYJNEGO podmiotu i zasad wystawcy certyfikatów.
- Konfigurowanie powiązań konta certyfikatu do użytkownika przy użyciu dowolnego pola certyfikatu:
- Nazwa podmiotu (SAN) PrincipalName i SAN RFC822Nare
- Identyfikator klucza podmiotu (SKI) i SHA1PublicKey
- Konfigurowanie powiązań konta certyfikatu do użytkownika przy użyciu dowolnych atrybutów obiektu użytkownika:
- Główna nazwa użytkownika
- onPremisesUserPrincipalName
- Identyfikatory użytkownika certyfikatu
Obsługiwane scenariusze
Obowiązują następujące zastrzeżenia:
- Administracja istratory mogą włączyć metody uwierzytelniania bez hasła dla swojej dzierżawy.
- Administracja istratory mogą kierować do wszystkich użytkowników lub wybierać użytkowników/grupy zabezpieczeń w ramach dzierżawy dla każdej metody.
- Użytkownicy mogą rejestrować te metody uwierzytelniania bez hasła i zarządzać nimi w portalu konta.
- Użytkownicy mogą logować się przy użyciu tych metod uwierzytelniania bez hasła:
- Aplikacja Authenticator: działa w scenariuszach, w których jest używane uwierzytelnianie firmy Microsoft Entra, w tym we wszystkich przeglądarkach, podczas instalacji systemu Windows 10 i ze zintegrowanymi aplikacjami mobilnymi w dowolnym systemie operacyjnym.
- Klucze zabezpieczeń: praca na ekranie blokady dla systemu Windows 10 i sieci Web w obsługiwanych przeglądarkach, takich jak Microsoft Edge (starsza wersja i nowa przeglądarka Edge).
- Użytkownicy mogą używać poświadczeń bez hasła do uzyskiwania dostępu do zasobów w dzierżawach, w których są gośćmi, ale nadal mogą być zobowiązani do wykonania uwierzytelniania wieloskładnikowego w tej dzierżawie zasobów. Aby uzyskać więcej informacji, zobacz Możliwe podwójne uwierzytelnianie wieloskładnikowe.
- Użytkownicy nie mogą rejestrować poświadczeń bez hasła w dzierżawie, w której są gośćmi, tak samo jak nie mają hasła zarządzanego w tej dzierżawie.
Nieobsługiwane scenariusze
Zalecamy nie więcej niż 20 zestawów kluczy dla każdej metody bez hasła dla dowolnego konta użytkownika. W miarę dodawania większej liczby kluczy rozmiar obiektu użytkownika zwiększa się i można zauważyć pogorszenie niektórych operacji. W takim przypadku należy usunąć niepotrzebne klucze. Aby uzyskać więcej informacji i poleceń cmdlet programu PowerShell do wykonywania zapytań i usuwania kluczy, zobacz Używanie modułu programu PowerShell WHfBTools do czyszczenia oddzielonych kluczy Windows Hello dla firm. Użyj /UserPrincipalName opcjonalny parametr, aby wykonać zapytanie tylko o klucze dla określonego użytkownika. Wymagane uprawnienia są uruchamiane jako administrator lub określony użytkownik.
Jeśli używasz programu PowerShell do tworzenia pliku CSV ze wszystkimi istniejącymi kluczami, dokładnie zidentyfikuj klucze, które należy zachować, i usuń te wiersze z woluminu CSV. Następnie użyj zmodyfikowanego pliku CSV z programem PowerShell, aby usunąć pozostałe klucze, aby ograniczyć liczbę kluczy konta.
Usunięcie dowolnego klucza zgłoszonego jako "Oddzielone"="True" w pliku CSV jest bezpieczne. Klucz oddzielony to jeden dla urządzenia, które nie jest już zarejestrowane w usłudze Microsoft Entra ID. Jeśli usunięcie wszystkich osieroconych nadal nie spowoduje przekroczenia limitu konta użytkownika, należy przyjrzeć się kolumnom DeviceId i CreationTime , aby zidentyfikować klucze przeznaczone do usunięcia. Należy zachować ostrożność, aby usunąć dowolny wiersz w pliku CSV dla kluczy, które chcesz zachować. Klucze dla dowolnego identyfikatora Urządzenia odpowiadającego urządzeniom, których aktywnie używa użytkownik, należy usunąć z woluminu CSV przed wykonaniem kroku usuwania.
Wybieranie metody bez hasła
Wybór tych trzech opcji bez hasła zależy od wymagań firmy dotyczących zabezpieczeń, platformy i aplikacji.
Poniżej przedstawiono kilka czynników, które należy wziąć pod uwagę podczas wybierania technologii bez hasła firmy Microsoft:
| Windows Hello for Business | Logowanie bez hasła przy użyciu aplikacji Authenticator | Klucze zabezpieczeń FIDO2 | |
|---|---|---|---|
| Wymagania wstępne | Windows 10, wersja 1809 lub nowsza Microsoft Entra ID |
Aplikacja Authenticator Telefon (urządzenia z systemami iOS i Android) |
Windows 10, wersja 1903 lub nowsza Microsoft Entra ID |
| Tryb | Platforma | Oprogramowanie | Sprzęt |
| Systemy i urządzenia | Komputer z wbudowanym modułem TPM (Trusted Platform Module) Rozpoznawanie numerów PIN i biometrycznych |
Numer PIN i rozpoznawanie biometryczne na telefonie | Urządzenia zabezpieczające FIDO2, które są zgodne z firmą Microsoft |
| Środowisko użytkownika | Zaloguj się przy użyciu numeru PIN lub funkcji rozpoznawania biometrycznego (twarzy, tęczówki lub odcisku palca) na urządzeniach z systemem Windows. Uwierzytelnianie funkcji Windows Hello jest powiązane z urządzeniem; użytkownik potrzebuje zarówno urządzenia, jak i składnika logowania, takiego jak numer PIN lub współczynnik biometryczny, aby uzyskać dostęp do zasobów firmy. |
Zaloguj się przy użyciu telefonu komórkowego ze skanowaniem odcisków palców, rozpoznawaniem twarzy lub tęczówki albo numerem PIN. Użytkownicy logują się do konta służbowego lub osobistego z komputera lub telefonu komórkowego. |
Logowanie przy użyciu urządzenia zabezpieczającego FIDO2 (biometryczne, pin i NFC) Użytkownik może uzyskiwać dostęp do urządzenia w oparciu o mechanizmy kontroli organizacji i uwierzytelniać się na podstawie numeru PIN, biometrii przy użyciu urządzeń, takich jak klucze zabezpieczeń USB i karty inteligentne z obsługą NFC, klucze lub urządzenia do noszenia. |
| Włączone scenariusze | Środowisko bez hasła na urządzeniu z systemem Windows. Dotyczy dedykowanego komputera roboczego z możliwością logowania jednokrotnego do urządzeń i aplikacji. |
Rozwiązanie bez hasła w dowolnym miejscu przy użyciu telefonu komórkowego. Dotyczy uzyskiwania dostępu do aplikacji służbowych lub osobistych w Internecie z dowolnego urządzenia. |
Bez hasła dla pracowników korzystających z biometrii, numeru PIN i nfc. Dotyczy udostępnionych komputerów i miejsca, w których telefon komórkowy nie jest opcją realną (np. dla personelu pomocy technicznej, kiosku publicznego lub zespołu szpitalnego) |
Skorzystaj z poniższej tabeli, aby wybrać metodę, która spełnia Twoje wymagania i użytkowników.
| Osoba | Scenariusz | Środowisko | Technologia bez hasła |
|---|---|---|---|
| Administrator | Bezpieczny dostęp do urządzenia na potrzeby zadań zarządzania | Przypisane urządzenie z systemem Windows 10 | Windows Hello dla firm i/lub klucz zabezpieczeń FIDO2 |
| Administrator | Zadania zarządzania na urządzeniach z systemem innych niż Windows | Urządzenie przenośne lub inne niż Windows | Logowanie bez hasła przy użyciu aplikacji Authenticator |
| Proces roboczy informacyjny | Praca nad produktywnością | Przypisane urządzenie z systemem Windows 10 | Windows Hello dla firm i/lub klucz zabezpieczeń FIDO2 |
| Proces roboczy informacyjny | Praca nad produktywnością | Urządzenie przenośne lub inne niż Windows | Logowanie bez hasła przy użyciu aplikacji Authenticator |
| Proces roboczy linii frontu | Kioski w fabryce, fabryce, sprzedaży detalicznej lub wpisie danych | Udostępnione urządzenia z systemem Windows 10 | Klucze zabezpieczeń FIDO2 |
Następne kroki
Aby rozpocząć pracę z bez hasłami w usłudze Microsoft Entra ID, wykonaj jedną z następujących instrukcji:
- Włączanie logowania bez hasła klucza zabezpieczeń FIDO2
- Włączanie logowania bez hasła opartego na telefonie przy użyciu aplikacji Authenticator