Che cos'è un token di aggiornamento primario?

Un token di aggiornamento primario (PRT) è un artefatto essenziale dell'autenticazione di Microsoft Entra nei dispositivi con Windows 10, o versioni successive, Windows Server 2016 e versioni successive, iOS e Android. Si tratta di un token JSON Web (JWT) rilasciato appositamente per i broker di token proprietari Microsoft per consentire l'accesso Single Sign-On (SSO) alle applicazioni utilizzate in questi dispositivi. Questo articolo contiene informazioni dettagliate sul rilascio di un PRT, su come viene usato e protetto il token nei dispositivi con Windows 10, o versioni successive. È consigliabile usare le versioni più recenti di Windows 10, Windows 11 e Windows Server 2019+ per ottenere l'esperienza SSO ottimale.

Il presente articolo presuppone che si abbia già familiarità con i diversi stati dei dispositivi disponibili in Microsoft Entra ID e con il funzionamento dell'accesso Single Sign-On in Windows 10, o versioni successive. Per altre informazioni sui dispositivi in Microsoft Entra ID, vedere l'articolo Informazioni sulla gestione dei dispositivi in Microsoft Entra ID.

Terminologia e componenti chiave

I componenti di Windows seguenti svolgono un ruolo chiave nella richiesta e nell'uso di un token di aggiornamento primario:

• Cloud Authentication Provider (CloudAP):CloudAP è il provider di autenticazione moderno per l'accesso a Windows che verifica l'accesso degli utenti a un dispositivo Windows 10, o versioni successive. CloudAP offre un framework di plug-in che i provider di identità possono usare per consentire l'autenticazione in Windows tramite le credenziali dello stesso provider di identità.
• Web Account Manager (WAM): WAM è il broker di token predefinito nei dispositivi Windows 10, o versioni successive. WAM fornisce anche un framework di plug-in che i provider di identità possono usare per abilitare l'accesso SSO alle loro applicazioni tramite il provider di identità stesso.
• Plug-in Microsoft Entra CloudAP: un plug-in specifico di Microsoft Entra, basato sul framework CloudAP, che verifica le credenziali utente con Microsoft Entra ID durante l'accesso a Windows.
• Plug-in Microsoft WAM: plug-in specifico di Microsoft Entra, basato sul framework WAM, che consente l'accesso SSO alle applicazioni che usano Microsoft Entra ID per l'autenticazione.
• Dsreg: componente specifico di Microsoft Entra in Windows 10, o versioni successive, che gestisce il processo di registrazione dei dispositivi per tutti i loro stati.
• Trusted Platform Module (TPM): un TPM è un componente hardware, integrato in un dispositivo, che fornisce funzioni di sicurezza basate su hardware per i segreti di utenti e dispositivi. Per maggiori informazioni, vedere l'articolo Panoramica della tecnologia Trusted Platform Module.

Che cosa contiene un token di aggiornamento primario?

Un PRT contiene attestazioni disponibili nella maggior parte dei token di aggiornamento di Microsoft Entra ID. Il token di aggiornamento primario contiene anche alcune attestazioni specifiche del dispositivo. Questi sono:

• ID dispositivo: un PRT viene rilasciato a un utente su un dispositivo specifico. L'attestazione dell'ID dispositivo deviceID determina il dispositivo in cui è stato rilasciato il token di aggiornamento primario per l'utente. Questa attestazione viene successivamente rilasciata ai token ottenuti tramite il token di aggiornamento primario. L'attestazione dell'ID dispositivo viene usata per determinare l'autorizzazione per l'accesso condizionale in base allo stato o alla conformità del dispositivo.
• Chiave della sessione: la chiave della sessione è una chiave simmetrica crittografata, generata dal servizio di autenticazione di Microsoft Entra e rilasciata come parte del token di aggiornamento primario (PRT). La chiave della sessione funge da dimostrazione del possesso quando viene usato un token di aggiornamento primario per ottenere token per altre applicazioni. La chiave della sessione viene implementata nei dispositivi aggiunti a Windows 10, o versioni successive, o nei dispositivi ibridi aggiunti a Microsoft Entra, se è precedente a 30 giorni.

È possibile vedere il contenuto di un token di aggiornamento primario?

Un token di aggiornamento primario è un BLOB opaco inviato da Microsoft Entra e il cui contenuto non è noto ad alcun componente client. Non è possibile vedere il contenuto di un token di aggiornamento primario.

Come viene rilasciato un token di aggiornamento primario?

La registrazione del dispositivo è un prerequisito per l'autenticazione basata su dispositivo in Microsoft Entra ID. Un token di aggiornamento primario viene rilasciato agli utenti solo nei dispositivi registrati. Per informazioni più dettagliate sulla registrazione dei dispositivi, vedere l'articolo Windows Hello for Business e registrazione dei dispositivi. Durante la registrazione del dispositivo, il componente dsreg genera due set di coppie di chiavi crittografiche:

• Chiave del dispositivo (dkpub/dkpriv)
• Chiave di trasporto (tkpub/tkpriv)

Le chiavi private sono associate al TPM del dispositivo se esso dispone di un TPM valido e funzionante, mentre le chiavi pubbliche vengono inviate a Microsoft Entra ID durante il processo di registrazione del dispositivo. Queste chiavi vengono usate per convalidare lo stato del dispositivo durante le richieste del token di aggiornamento primario.

Il token di aggiornamento primario viene rilasciato durante l'autenticazione utente in un dispositivo Windows 10, o versioni successive, in due scenari:

• Aggiunto a Microsoft Entra o Aggiunto a Microsoft Entra ibrido: un token di aggiornamento primario viene rilasciato durante l'accesso a Windows quando l'utente accede con le credenziali dell'organizzazione. Un token di aggiornamento primario viene rilasciato con tutte le credenziali supportate da Windows 10, o versioni successive, ad esempio password e Windows Hello for Business. In questo scenario il plug-in CloudAP di Microsoft Entra è l'autorità primaria per il PRT.
• Dispositivo registrato Microsoft Entra: un token di aggiornamento primario viene rilasciato quando un utente aggiunge un account aziendale secondario al dispositivo Windows 10, o versioni successive. Gli utenti possono aggiungere un account a Windows 10 in due modi diversi:
  • Aggiungendo un account tramite il prompt Consenti alla mia organizzazione dei gestire il mio dispositivo, dopo l'accesso a un'app (ad esempio, Outlook)
  • Da Impostazioni>Account>Accedi all'azienda o all'istituto di istruzione>Connetti

Negli scenari con dispositivi registrati di Microsoft Entra, il plug-in Microsoft Entra WAM è l'autorità primaria per il PRT poiché l'accesso a Windows non avviene con questo account Microsoft Entra.

Qual è la durata di un token di aggiornamento primario?

Una volta rilasciato, un token di aggiornamento primario è valido per 14 giorni e viene rinnovato continuamente fino a quando l'utente usa attivamente il dispositivo.

Come viene usato un token di aggiornamento primario?

Un token di aggiornamento primario viene usato da due componenti chiave in Windows:

• Plug-in Microsoft Entra CloudAP: durante l'accesso a Windows, il plug-in Microsoft Entra CloudAP richiede un token di aggiornamento primario da Microsoft Entra ID usando le credenziali fornite dall'utente. Il token di aggiornamento primario viene anche memorizzato nella cache per consentire l'accesso dalla cache quando l'utente non dispone di una connessione Internet.
• Plug-in Microsoft Entra WAM: quando gli utenti tentano di accedere alle applicazioni, il plug-in Microsoft Entra WAM usa il token di aggiornamento primario per abilitare l'accesso SSO in Windows 10, o versioni successive. Il plug-in WAM di Microsoft Entra usa il token di aggiornamento primario per richiedere i token di aggiornamento e di accesso per le applicazioni basate su WAM per le richieste di token. Viene inoltre abilitato l'accesso SSO nei browser inserendo il token di aggiornamento primario nelle richieste del browser. Il browser SSO in Windows 10, o versioni successive, è supportato in Microsoft Edge (in modo nativo), Chrome (tramite gli account Windows 10 o Mozilla Firefox v91+ (impostazione SSO Windows Firefox)

  Nota

  Nei casi in cui l'utente dispone di due account dello stesso tenant Microsoft Entra connesso a un'applicazione browser, l'autenticazione del dispositivo fornita dal PRT dell'account primario viene applicata automaticamente anche al secondo account. Di conseguenza, anche il secondo account soddisfa i criteri di accesso condizionale basato su dispositivo nel tenant.

Come viene rinnovato un token di aggiornamento primario?

Un token di aggiornamento primario viene rinnovato in due modi diversi:

• Plug-in Microsoft Entra CloudAP ogni 4 ore: il plug-in CloudAP rinnova il token di aggiornamento primario ogni 4 ore durante l'accesso a Windows. Se l'utente non ha una connessione Internet durante tale periodo, il plug-in CloudAP rinnova il token di aggiornamento primario dopo che il dispositivo è connesso a Internet e viene eseguito un nuovo accesso a Windows.
• Plug-in Microsoft Entra WAM durante le richieste di token dell'app: il plug-in WAM abilita l'accesso SSO nei dispositivi Windows 10, o versioni successive, abilitando le richieste di token invisibile all'utente per le applicazioni. Il plug-in WAM può rinnovare il token di aggiornamento primario durante queste richieste di token in due modi diversi:
  • Un'app richiede a WAM un token di accesso in modo invisibile all'utente, tuttavia non è disponibile alcun token di aggiornamento per tale app. In questo caso, WAM usa il token di aggiornamento primario per richiedere un token per l'app e restituisce un nuovo token di aggiornamento primario nella risposta.
  • Un'app richiede a WAM un token di accesso, ma il token di aggiornamento primario non è valido o Microsoft Entra ID richiede un'autorizzazione aggiuntiva( ad esempio, l'autenticazione a più fattori Microsoft Entra). In questo scenario, WAM avvia un accesso interattivo che richiede all'utente di eseguire nuovamente l'autenticazione o di fornire una verifica aggiuntiva, al completamento dell'autenticazione viene rilasciato un nuovo token di aggiornamento primario.

In un ambiente AD FS, la comunicazione diretta con il controller di dominio non è richiesta per rinnovare il PRT. Il rinnovo del PRT richiede soltanto che gli endpoint /adfs/services/trust/2005/usernamemixed e /adfs/services/trust/13/usernamemixed siano abilitati nel proxy tramite il protocollo WS-Trust.

Gli endpoint di trasporto di Windows sono necessari per l'autenticazione della password solo quando si modifica una password, non per il rinnovo del token di aggiornamento primario.

Considerazioni essenziali

• Nei dispositivi aggiunti a Microsoft Entra e aggiunti a Microsoft Entra ibrido, il plug-in CloudAP è l'autorità primaria per un token di aggiornamento primario. Se un token di aggiornamento primario viene rinnovato durante una richiesta di token basata su WAM, il PRT viene restituito al plug-in CloudAP, che ne verifica la validità con Microsoft Entra ID prima di accettarlo.

Piattaforma Android:

• Un token di aggiornamento primario è valido per 90 giorni e viene rinnovato continuamente finché il dispositivo è in uso. Tuttavia, se il dispositivo non viene utilizzato è valido solo per 14 giorni.
• Un token di aggiornamento primario viene rilasciato e rinnovato solo durante l'autenticazione dell'app nativa. Un token di aggiornamento primario non viene rinnovato o rilasciato durante una sessione del browser.
• È possibile ottenere un PRT senza dover registrare il dispositivo (Workplace Join) e abilitare l'accesso SSO.
• I PRT ottenuti senza registrazione del dispositivo non possono soddisfare i criteri di autorizzazione per l'accesso condizionale che si basa sullo stato o sulla conformità del dispositivo.

Come viene protetto il token di aggiornamento primario?

Un token di aggiornamento primario viene protetto mediante l'associazione al dispositivo in cui l'utente ha effettuato l'accesso. Microsoft Entra ID e Windows 10, o versioni successive, abilitano la protezione del token di aggiornamento primario tramite i metodi riportati di seguito:

• Durante il primo accesso: nel corso del primo accesso viene rilasciato un PRT firmando le richieste tramite la chiave del dispositivo generata crittograficamente durante la registrazione del dispositivo. In un dispositivo con un TPM valido e funzionante, la chiave del dispositivo è protetta dal TPM che impedisce l'accesso da parte di utenti malintenzionati. Il PRT non viene rilasciato se non è possibile convalidare la firma della chiave del dispositivo corrispondente.
• Durante le richieste di token e il rinnovo: quando viene rilasciato un PRT, anche Microsoft Entra ID rilascia una chiave di sessione crittografata per il dispositivo. La crittografia viene eseguita con la chiave di trasporto pubblica (tkpub) generata e inviata a Microsoft Entra ID come parte della registrazione del dispositivo. Questa chiave della sessione può essere decrittografata solo tramite la chiave di trasporto privata (tkpriv) protetta dal TPM. La chiave della sessione è la chiave di verifica del possesso (POP, Proof-of-Possession) per tutte le richieste inviate a Microsoft Entra ID. Anche la chiave della sessione è protetta dal TPM e nessun altro componente del sistema operativo può accedervi. Le richieste di token o di token di aggiornamento primario sono firmate in modo sicuro da questa chiave della sessione tramite TPM, pertanto non possono essere manomesse. Microsoft Entra invalida le richieste dal dispositivo che non sono firmate dalla chiave della sessione corrispondente.

Proteggendo queste chiavi con il TPM, si migliora la sicurezza del token di aggiornamento primario contro eventuali malintenzionati che tentino di rubare le chiavi o di riprodurre il PRT. Pertanto, grazie al TPM si migliora notevolmente la sicurezza contro il furto di credenziali per i dispositivi aggiunti a Microsoft Entra, aggiunti a Microsoft Entra ibrido e registrati in Microsoft Entra. Al fine di garantire prestazioni e affidabilità, si consiglia la versione TPM 2.0 per tutti gli scenari di registrazione di dispositivi Microsoft Entra in Windows 10, o versioni successive. A partire dall'aggiornamento 1903 di Windows 10, Microsoft Entra ID non usa il TPM 1.2 per nessuna delle chiavi indicate in precedenza per problemi di attendibilità.

Come vengono protetti i token delle app e i cookie del browser?

Token dell'app: quando un'app richiede un token tramite WAM, Microsoft Entra ID rilascia un token di aggiornamento e un token di accesso. Tuttavia, WAM restituisce all'app solo il token di accesso e protegge il token di aggiornamento nella cache crittografandolo con la chiave DPAPI (Data Protection API) dell'utente. WAM usa in modo sicuro il token di aggiornamento firmando le richieste con la chiave della sessione per rilasciare ulteriori token di accesso. La chiave DPAPI è protetta da una chiave simmetrica basata su Microsoft Entra ID che si trova in Microsoft Entra. Quando il dispositivo deve decrittografare il profilo utente con la chiave DPAPI, Microsoft Entra ID fornisce la chiave DPAPI crittografata dalla chiave della sessione che il plug-in CloudAP richiede al TPM di decrittografare. Questa funzionalità garantisce la coerenza nella protezione dei token di aggiornamento ed evita che le applicazioni implementino meccanismi di protezione individuali.

Cookie del browser: in Windows 10, o versioni successive, Microsoft Entra ID supporta l'accesso SSO del browser in Internet Explorer e Microsoft Edge in modo nativo, in Google Chrome tramite l'estensione degli account di Windows 10 e in Mozilla Firefox v91+ tramite un'impostazione del browser. La sicurezza è integrata non solo per proteggere i cookie, ma anche gli endpoint a cui i cookie vengono inviati. I cookie del browser sono protetti nello stesso modo del token di aggiornamento primario, usando la chiave della sessione per firmare e proteggere i cookie.

Quando un utente avvia un'interazione nel browser, il browser (o l'estensione) richiama un host client nativo COM. L'host client nativo verifica che la pagina provenga da uno dei domini consentiti. Il browser può inviare altri parametri all'host client nativo, incluso un oggetto nonce, tuttavia l'host client nativo garantisce la convalida del nome host. L'host client nativo richiede un cookie del token di aggiornamento primario al plug-in CloudAP, che lo crea e lo firma con la chiave della sessione protetta dal TPM. Poiché il cookie del PRT è firmato dalla chiave della sessione è difficile manometterlo. Il cookie del PRT è incluso nell'intestazione della richiesta per consentire a Microsoft Entra ID di convalidare il dispositivo da cui proviene. Se si usa il browser Chrome, solo l'estensione definita in modo esplicito nel manifesto dell'host client nativo può eseguire la chiamata, impedendo così alle estensioni arbitrarie di effettuare tali richieste. Quando Microsoft Entra ID convalida il cookie del token di aggiornamento primario rilascia un cookie di sessione per il browser. Questo cookie di sessione contiene anche la stessa chiave della sessione rilasciata con un token di aggiornamento primario. Durante le richieste successive, la chiave della sessione viene convalidata in modo efficace associando il cookie al dispositivo e impedendo le riproduzione da altre posizioni.

Quando un token di aggiornamento primario riceve un'attestazione MFA?

Un token di aggiornamento primario può ottenere un'attestazione di autenticazione a più fattori (MFA) in scenari specifici. Quando si usa un token di aggiornamento primario basato su MFA per richiedere token per le applicazioni, l'attestazione MFA viene trasferita a tali token delle app. Questa funzionalità offre un'esperienza uniforme agli utenti, evitando le richieste di autenticazione MFA per ogni app che la richiede. Un token di aggiornamento primario può ottenere un'attestazione MFA nei modi seguenti:

• Accesso con Windows Hello for Business: Windows Hello for Business sostituisce le password e si avvale di chiavi crittografiche per fornire un'autenticazione a due fattori avanzata. Windows Hello for Business è una funzionalità specifica di un utente su un dispositivo e a sua volta richiede MFA per il provisioning. Se un utente accede con Windows Hello for Business, il relativo token di aggiornamento primario ottiene un'attestazione MFA. Questo scenario si applica anche agli utenti che accedono con smart card se l'autenticazione tramite smart card genera un'attestazione MFA da AD FS.
  • Poiché Windows Hello for Business è considerato un tipo di autenticazione a più fattori, l'attestazione MFA viene aggiornata quando viene aggiornato il PRT stesso, pertanto la durata dell'autenticazione a più fattori viene estesa continuamente quando gli utenti eseguono l'accesso con Windows Hello for Business.
• MFA durante una richiesta di accesso interattivo tramite WAM: nel corso di una richiesta di token tramite WAM, se un utente deve eseguire l'autenticazione a più fattori per accedere all'app, il PRT rinnovato durante questa interazione viene contrassegnato con un'attestazione MFA.
  • In questo caso, l'attestazione MFA non viene aggiornata continuamente, quindi la durata dell'autenticazione a più fattori è basata sulla durata impostata nella directory.
  • Se si utilizzano un token di aggiornamento primario e un token di aggiornamento esistenti per accedere a un'app, i due token vengono considerati come prima verifica di autenticazione. Verrà richiesto un nuovo token di accesso con una seconda verifica e con attestazione MFA contrassegnata. Inoltre, mediante tale processo vengono anche rilasciati un nuovo token di aggiornamento primario e un token di aggiornamento.

Windows 10, o versioni successive, gestisce un elenco partizionato di token di aggiornamento primari per ogni credenziale. Pertanto, è presente un token di aggiornamento primario per ogni credenziale di tipo Windows Hello for Business, password o smart card. Questo partizionamento garantisce che le attestazioni MFA siano isolate in base alle credenziali usate e non siano confuse durante le richieste di token.

Come viene invalidato un token di aggiornamento primario?

Un token di aggiornamento primario viene invalidato negli scenari seguenti:

• Utente non valido: se un utente viene eliminato o disabilitato in Microsoft Entra ID, il PRT viene invalidato e non può essere usato per ottenere i token per le applicazioni. Se un utente eliminato o disabilitato ha già eseguito l'accesso a un dispositivo in precedenza, l'accesso dalla cache consente all'utente la connessione, fino a quando CloudAP non rileva lo stato non valido. Quando CloudAP determina che l'utente non è valido, blocca gli accessi successivi. A un utente non valido viene automaticamente impedito l'accesso ai nuovi dispositivi che non dispongono di credenziali memorizzate nella cache.
• Dispositivo non valido: se un dispositivo viene eliminato o disabilitato in Microsoft Entra ID, il token di aggiornamento primario ottenuto nel dispositivo viene invalidato e non può essere usato per ottenere token per altre applicazioni. Se un utente ha già eseguito l'accesso a un dispositivo non valido, può continuare a farlo. Tuttavia, tutti i token nel dispositivo vengono invalidati e l'utente non potrà eseguire l'accesso SSO a nessuna risorsa da questo dispositivo.
• Modifica della password: se un utente ha ottenuto il token di aggiornamento primario tramite password, tale PRT viene invalidato da Microsoft Entra ID quando l'utente modifica la password. In seguito alla modifica della password, l'utente ottiene un nuovo token di aggiornamento primario. Questo invalidamento può avvenire in due modi diversi:
  • Se l'utente accede a Windows con la nuova password, CloudAP rimuove il PRT precedente e richiede a Microsoft Entra ID di rilasciare un nuovo PRT con la nuova password. Se l'utente non dispone di una connessione Internet, la nuova password non può essere convalidata e Windows può richiedere all'utente di immettere la vecchia password.
  • Se un utente ha eseguito l'accesso con la password precedente o ha modificato la password dopo l'accesso a Windows, il PRT precedente viene usato per tutte le richieste di token basate su WAM. In questo scenario, all'utente viene richiesto di ripetere l'autenticazione durante la richiesta di token WAM e viene rilasciato un nuovo token di aggiornamento primario.
• Problemi relativi al TPM: talvolta si può verificare un errore o un problema del TPM di un dispositivo che impedisce l'accesso alle chiavi protette dal TPM. In questo caso, il dispositivo non è in grado di ottenere un PRT o di richiedere token tramite un PRT esistente poiché non può dimostrare il possesso delle chiavi crittografiche. Di conseguenza, qualsiasi PRT esistente viene invalidato da Microsoft Entra ID. Se Windows 10 rileva un errore, avvia un flusso di ripristino per registrare il dispositivo con nuove chiavi crittografiche. Con l'aggiunta a Microsoft Entra ibrido, proprio come accade per la registrazione iniziale, il ripristino viene eseguito automaticamente senza l'input dell'utente. Per i dispositivi aggiunti a Microsoft Entra o registrati in Microsoft Entra, il ripristino deve essere eseguito da un utente con privilegi di amministratore per il dispositivo. In questo scenario, il flusso di ripristino viene avviato da un prompt di Windows che guida l'utente nel ripristino del dispositivo.

Flussi dettagliati

I diagrammi seguenti illustrano i dettagli sottostanti relativi a rilascio, rinnovo e uso di un token di aggiornamento primario per richiedere un token di accesso per un'applicazione. Questi passaggi descrivono inoltre come vengono applicati i meccanismi di sicurezza illustrati in precedenza durante queste interazioni.

Rilascio del token di aggiornamento primario durante il primo accesso

Rinnovo del token di aggiornamento primario agli accessi successivi

Uso del token di aggiornamento primario durante le richieste di token dell'app

Accesso SSO del browser con il token di aggiornamento primario

Passaggi successivi

Per altre informazioni sulla risoluzione dei problemi correlati al token di aggiornamento primario, vedere l'articolo Risoluzione dei problemi relativi a dispositivi Windows 10 e Windows Server 2016 aggiunti a Microsoft Entra ibrido.