Planera en distribution av lösenordslös autentisering i Microsoft Entra-ID

Lösenord är en primär attackvektor. Angripare använder social manipulering, nätfiske och sprayattacker för att kompromettera lösenord. En strategi för lösenordsfri autentisering minskar risken för dessa attacker.

Microsoft erbjuder följande tre alternativ för lösenordslös autentisering som integreras med Microsoft Entra-ID:

• Microsoft Authenticator – omvandlar alla iOS- eller Android-telefoner till en stark, lösenordslös autentiseringsuppgift genom att tillåta användare att logga in på valfri plattform eller webbläsare.

• FIDO2-kompatibla säkerhetsnycklar – användbart för användare som loggar in på delade datorer som kiosker, i situationer där användningen av telefoner är begränsad och för mycket privilegierade identiteter.

• Windows Hello för företag – bäst för användare på deras dedikerade Windows-datorer.

Använda guiden lösenordslösa metoder

Administrationscentret för Microsoft Entra har en guide för lösenordslösa metoder som hjälper dig att välja lämplig metod för var och en av dina målgrupper. Om du ännu inte har fastställt lämpliga metoder går https://aka.ms/passwordlesswizarddu tillbaka till den här artikeln för att fortsätta planera för de valda metoderna. Du behöver administratörsbehörighet för att få åtkomst till den här guiden.

Scenarier med lösenordslös autentisering

Microsofts lösenordslösa autentiseringsmetoder möjliggör många scenarier. Tänk på organisationens behov, förutsättningar och funktionerna i varje autentiseringsmetod för att välja din strategi för lösenordslös autentisering.

I följande tabell visas de lösenordslösa autentiseringsmetoderna efter enhetstyper. Våra rekommendationer är i fet kursiv stil.

Förutsättningar

Se till att du uppfyller kraven innan du startar din lösenordslösa distribution.

Roller som krävs

Här är de minst privilegierade roller som krävs för den här distributionen:

Som en del av den här distributionsplanen rekommenderar vi att lösenordslös autentisering aktiveras för alla privilegierade konton.

Microsoft Authenticator-appen och säkerhetsnycklar

Förutsättningarna bestäms av dina valda lösenordslösa autentiseringsmetoder.

Windows Hello för företag

Förutsättningarna och distributionsvägarna för Windows Hello för företag är mycket beroende av om du distribuerar i en lokal, hybrid- eller molnbaserad konfiguration. Den är också beroende av din strategi för enhetsanslutning.

Välj Windows Hello för företag och slutför guiden för att fastställa förutsättningarna och distributionen som är lämpliga för din organisation.

Guiden använder dina indata för att skapa en stegvis plan som du kan följa.

Planera projektet

När teknikprojekt misslyckas beror det vanligtvis på felaktiga förväntningar på påverkan, resultat och ansvarsområden. För att undvika dessa fallgropar bör du se till att du engagerar rätt intressenter och att intressenternas roller i projektet är väl förstådda.

Planera en pilot

När du distribuerar lösenordslös autentisering bör du först aktivera en eller flera pilotgrupper. Du kan skapa grupper specifikt för det här ändamålet. Lägg till de användare som ska delta i piloten i grupperna. Aktivera sedan nya lösenordslösa autentiseringsmetoder för de valda grupperna. Se metodtips för en pilot.

Planera kommunikation

Din kommunikation till slutanvändarna bör innehålla följande information:

• Vägledning om kombinerad registrering för både Microsoft Entra multifaktorautentisering och SSPR

• Ladda ned Microsoft Authenticator

• Registrera i Microsoft Authenticator

• Logga in med din telefon

Microsoft tillhandahåller kommunikationsmallar för slutanvändare. Ladda ned distributionsmaterialet för autentisering som hjälper dig att utarbeta din kommunikation. Distributionsmaterialen innehåller anpassningsbara affischer och e-postmallar som du kan använda för att informera användarna om kommande alternativ för lösenordslös autentisering i din organisation.

Planera användarregistrering

Användare registrerar sin lösenordslösa metod som en del av det kombinerade arbetsflödet för säkerhetsinformation på https://aka.ms/mysecurityinfo. Microsoft Entra loggar registrering av säkerhetsnycklar och Authenticator-appen samt andra ändringar i autentiseringsmetoderna.

För den första användaren som inte har något lösenord kan administratörer ange ett tillfälligt åtkomstlösenord för att registrera sin säkerhetsinformation i https://aka.ms/mysecurityinfo . Detta är ett tidsbegränsat lösenord som uppfyller starka autentiseringskrav. Tillfälligt åtkomstpass är en process per användare.

Den här metoden kan också användas för enkel återställning när användaren har förlorat eller glömt sin autentiseringsfaktor, till exempel säkerhetsnyckeln eller Authenticator-appen, men måste logga in för att registrera en ny stark autentiseringsmetod.

Planera för och distribuera Microsoft Authenticator

Microsoft Authenticator omvandlar alla iOS- eller Android-telefoner till en stark, lösenordslös autentiseringsuppgift. Det är en kostnadsfri nedladdning från Google Play eller Apple App Store. Låt användarna ladda ned Microsoft Authenticator och följa anvisningarna för att aktivera telefoninloggning.

Tekniska överväganden

Active Directory Federation Services (AD FS) (AD FS)-integrering – När en användare aktiverar autentiseringsuppgifterna för lösenordslösa autentiseringsuppgifter för autentisering för den användaren skickas som standard ett meddelande om godkännande. Användare i en hybridklientorganisation hindras från att dirigeras till AD FS för inloggning om de inte väljer "Använd ditt lösenord i stället". Den här processen kringgår även eventuella lokala principer för villkorsstyrd åtkomst och direktautentiseringsflöden (PTA). Men om en login_hint anges vidarebefordras användaren till AD FS och kringgår alternativet att använda lösenordslösa autentiseringsuppgifter. För icke-Microsoft 365-program som använder AD FS för autentisering tillämpas inte Microsoft Entras principer för villkorsstyrd åtkomst och du måste konfigurera principer för åtkomstkontroll i AD FS.

MFA-server – Slutanvändare som är aktiverade för multifaktorautentisering via en organisations lokala MFA-server kan skapa och använda en enda lösenordslös autentiseringsautentisering för telefoner. Om användaren försöker uppgradera flera installationer (5 eller fler) av Authenticator-appen med autentiseringsuppgifterna kan den här ändringen resultera i ett fel.

Enhetsregistrering – Om du vill använda Authenticator-appen för lösenordslös autentisering måste enheten vara registrerad i Microsoft Entra-klientorganisationen och kan inte vara en delad enhet. En enhet kan bara registreras i en enda klientorganisation. Den här gränsen innebär att endast ett arbets- eller skolkonto stöds för telefoninloggning med hjälp av Authenticator-appen.

Distribuera telefoninloggning med Authenticator-appen

Följ stegen i artikeln Aktivera lösenordslös inloggning med Microsoft Authenticator för att aktivera Authenticator-appen som en lösenordslös autentiseringsmetod i din organisation.

Testa Authenticator-appen

Följande är exempel på testfall för lösenordslös autentisering med Authenticator-appen:

Felsöka telefoninloggning

Planera för och distribuera FIDO2-kompatibla säkerhetsnycklar

Aktivera kompatibla säkerhetsnycklar. Här är en lista över FIDO2-säkerhetsnyckelprovidrar som tillhandahåller nycklar som är kända för att vara kompatibla med den lösenordslösa upplevelsen.

Planera livscykeln för säkerhetsnyckeln

Förbered för och planera nyckellivscykeln.

Nyckeldistribution – Planera hur du etablerar nycklar till din organisation. Du kan ha en centraliserad etableringsprocess eller tillåta slutanvändare att köpa FIDO 2.0-kompatibla nycklar.

Nyckelaktivering – Slutanvändarna måste aktivera säkerhetsnyckeln själv. Slutanvändarna registrerar sina säkerhetsnycklar på https://aka.ms/mysecurityinfo och aktiverar den andra faktorn (PIN-kod eller biometrisk kod) vid första användningen. För förstagångsanvändare kan de använda TAP för att registrera sin säkerhetsinformation.

Inaktivera en nyckel – Om en administratör vill ta bort en FIDO2-nyckel som är associerad med ett användarkonto kan de göra det genom att ta bort nyckeln från användarens autentiseringsmetod enligt nedan. Mer information finns i Inaktivera en nyckel

Utfärda en ny nyckel: Användaren kan registrera den nya FIDO2-nyckeln genom att gå till https://aka.ms/mysecurityinfo

Tekniska överväganden

Det finns tre typer av lösenordslösa inloggningsdistributioner som är tillgängliga med säkerhetsnycklar:

• Microsoft Entra-webbappar i en webbläsare som stöds

• Microsoft Entra-anslutna Windows 10-enheter

• Microsoft Entra Hybrid-anslutna Windows 10-enheter

  • Ger åtkomst till både molnbaserade och lokala resurser. Mer information om åtkomst till lokala resurser finns i Enkel inloggning till lokala resurser med FIDO2-nycklar

För Microsoft Entra-webbappar och Microsoft Entra-anslutna Windows-enheter använder du:

• Windows 10 version 1809 eller senare med en webbläsare som stöds som Microsoft Edge eller Mozilla Firefox (version 67 eller senare).

• Windows 10 version 1809 stöder FIDO2-inloggning och kan kräva att programvara från FIDO2-nyckeltillverkaren distribueras. Vi rekommenderar att du använder version 1903 eller senare.

För microsoft Entra-domänanslutna hybridenheter använder du:

• Windows 10 version 2004 eller senare.

• Fullständigt korrigerade domänservrar som kör Windows Server 2016 eller 2019.

• Senaste versionen av Microsoft Entra Anslut.

Aktivera Windows 10-stöd

Om du aktiverar Windows 10-inloggning med FIDO2-säkerhetsnycklar måste du aktivera funktionerna för autentiseringsprovidern i Windows 10. Välj en av följande:

• Aktivera provider för autentiseringsuppgifter med Microsoft Intune

  • Vi rekommenderar Microsoft Intune-distribution.

• Aktivera provider för autentiseringsuppgifter med ett etableringspaket

  • Om Microsoft Intune-distribution inte är möjlig måste administratörer distribuera ett paket på varje dator för att aktivera autentiseringsproviderns funktioner. Paketinstallationen kan utföras med något av följande alternativ:
    • Grupprincip eller Configuration Manager
    • Lokal installation på en Windows 10-dator

• Aktivera provider för autentiseringsuppgifter med grupprincip

  • Stöds endast för Hybrid-anslutna Microsoft Entra-enheter.

Aktivera lokal integrering

Följ stegen i artikeln Aktivera lösenordslös säkerhetsnyckel logga in på lokala resurser (förhandsversion).

Princip för nyckelbegränsningar

När du distribuerar säkerhetsnyckeln kan du begränsa användningen av FIDO2-nycklar endast till specifika tillverkare som har godkänts av din organisation. För att begränsa nycklar krävs AAGUID (Authenticator Attestation GUID). Det finns två sätt att hämta din AAGUID.

Om säkerhetsnyckeln är begränsad och användaren försöker registrera FIDO2-säkerhetsnyckeln får de följande fel:

Om AAGUID är begränsad efter att användaren har registrerat säkerhetsnyckeln visas följande meddelande:

*FIDO2-nyckel blockerad av princip för nyckelbegränsning

Distribuera inloggning med FIDO2-säkerhetsnycklar

Följ stegen i artikeln Aktivera inloggning med lösenordslös säkerhetsnyckel för att aktivera FIDO2-säkerhetsnyckel som en lösenordslös autentiseringsmetod i din organisation.

Testa säkerhetsnycklar

Här är exempeltestfallen för lösenordslös autentisering med säkerhetsnycklar.

Lösenordslös FIDO-inloggning till Microsoft Entra-anslutna Windows 10-enheter

Lösenordsfri FIDO-inloggning till Microsoft Entra-webbappar

Felsöka inloggning med säkerhetsnycklar

Hantera lösenordslös autentisering

Om du vill hantera användarens lösenordslösa autentiseringsmetoder i administrationscentret för Microsoft Entra väljer du ditt användarkonto och väljer sedan Autentiseringsmetoder.

Microsoft Graph-API:er

Du kan också hantera de lösenordslösa autentiseringsmetoderna med api:et för autentiseringsmetoder i Microsoft Graph. Till exempel:

• Du kan hämta information om en användares FIDO2-säkerhetsnyckel och ta bort den om användaren har förlorat nyckeln.

• Du kan hämta information om en användares autentiseringsappregistrering och ta bort den om användaren har förlorat telefonen.

• Hantera dina autentiseringsmetodprinciper för säkerhetsnycklar och Authenticator-appen.

Mer information om vilka autentiseringsmetoder som kan hanteras i Microsoft Graph finns i ÖVERSIKT över API för Microsoft Entra-autentiseringsmetoder.

Återställning

Även om lösenordsfri autentisering är en enkel funktion med minimal påverkan på slutanvändarna kan det vara nödvändigt att återställa.

Återställning kräver att administratören loggar in på administrationscentret för Microsoft Entra, väljer önskade starka autentiseringsmetoder och ändrar alternativet aktivera till Nej. Den här processen inaktiverar de lösenordslösa funktionerna för alla användare.

Användare som redan har registrerat FIDO2-säkerhetsenheter uppmanas att använda säkerhetsenheten vid nästa inloggning och sedan se följande fel:

Rapportering och övervakning

Microsoft Entra ID har rapporter som ger tekniska insikter och affärsinsikter. Låt dina företags- och tekniska programägare överta ägarskapet för och använda dessa rapporter baserat på organisationens krav.

Följande tabell innehåller några exempel på vanliga rapporteringsscenarier:

Spåra användning och insikter

Microsoft Entra-ID lägger till poster i granskningsloggarna när:

• En administratör gör ändringar i avsnittet Autentiseringsmetoder.

• En användare gör någon form av ändring av sina autentiseringsuppgifter i Microsoft Entra-ID.

• En användare aktiverar eller inaktiverar sitt konto på en säkerhetsnyckel eller återställer den andra faktorn för säkerhetsnyckeln på sin Win 10-dator. Se händelse-ID: 4670 och 5382.

Microsoft Entra-ID:t behåller de flesta granskningsdata i 30 dagar och gör data tillgängliga med hjälp av administrationscentret eller API:et för Microsoft Entra som du kan ladda ned till dina analyssystem. Om du behöver längre kvarhållning exporterar och använder du loggar i ett SIEM-verktyg som Microsoft Sentinel, Splunk eller Sumo Logic. Vi rekommenderar längre kvarhållning för granskning, trendanalys och andra affärsbehov efter behov

Det finns två flikar i aktivitetsinstrumentpanelen för autentiseringsmetoder – Registrering och användning.

Fliken Registrering visar antalet användare som kan autentisering utan lösenord samt andra autentiseringsmetoder. På den här fliken visas två diagram:

• Användare som registrerats med autentiseringsmetod.

• Ny registrering efter autentiseringsmetod.

Fliken Användning visar inloggningar efter autentiseringsmetod.

Mer information finns i Spåra registrerade autentiseringsmetoder och användning i Microsoft Entra-organisationen.

Rapporter om inloggningsaktivitet

Använd inloggningsaktivitetsrapporten för att spåra de autentiseringsmetoder som används för att logga in på de olika programmen.

Välj användarraden och välj sedan fliken Autentiseringsinformation för att visa vilken autentiseringsmetod som användes för vilken inloggningsaktivitet.

Nästa steg

• Lär dig hur lösenordslös autentisering fungerar

• Distribuera andra identitetsfunktioner