在 Microsoft Authenticator 中啟用通行密鑰

本文會列出在 Microsoft Entra ID 的 Authenticator 中啟用和強制使用密鑰的步驟。 首先，您會更新驗證方法原則，以允許使用者在 Authenticator 中使用通行金鑰註冊和登入。 然後，您可以使用條件式存取驗證強度原則，在使用者存取敏感性資源時強制執行通行金鑰登入。

需求

• Microsoft Entra 多重要素驗證 (MFA)
• Android 14 及更高版本或 iOS 17 及更高版本
• 屬於複雜金鑰註冊/驗證程式一部分的任何裝置上的作用中因特網連線。 組織中必須允許這兩個端點的連線，才能啟用跨裝置註冊和驗證：
  • https://cable.ua5v.com
  • https://cable.auth.com
• 若為跨裝置註冊/驗證，兩個裝置都必須啟用藍牙

若要深入了解您可以在 Authenticator 中使用通行金鑰登入的位置，請參閱 使用 Microsoft Entra ID 支援 FIDO2 驗證 (部分為機器翻譯)。

在系統管理中心的 Authenticator 中啟用密鑰

驗證原則系統管理員必須同意在驗證方法原則的 Passkey (FIDO2) 設定中允許 Authenticator。 他們必須明確允許 Authenticator 證明 GUID (AAGUIDs)，讓 Microsoft Authenticator 允許使用者在 Authenticator 應用程式中註冊密鑰。 驗證方法原則的 [Microsoft Authenticator 應用程式] 區段中沒有啟用密鑰的設定。

1. 以至少驗證原則管理員的身分登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 [保護]>[驗證方法]>[驗證方法原則]。

3. 在 [密鑰 (FIDO2)] 方法下，選取 [所有使用者] 或 [新增群組] 以選取特定群組。 僅支援安全性群組。

4. 在 [設定] 索引標籤上：

   • 將 [允許自助設定] 設定為 [是]。 如果設定為 [否]，使用者就無法使用 安全性資訊來註冊密鑰，即使驗證方法原則已啟用密鑰 (FIDO2)。

   • 將 [強制執行證明] 設定為 [是]。

     在傳遞金鑰 （FIDO） 原則中啟用證明時，Microsoft Entra ID 會嘗試驗證所建立的通行密鑰的合法性。 當使用者在 Authenticator 中註冊通行密鑰時，證明會確認合法Microsoft Authenticator 應用程式使用 Apple 和 Google 服務建立通行密鑰。 以下是更多詳細資料：

     • iOS：驗證器證明會使用 iOS 應用程式證明服務 ，以確保驗證器應用程式的合法性，再註冊通行密鑰。

       注意

       強制執行證明時，支援在 Authenticator 中註冊複雜密鑰，目前已向 iOS Authenticator 應用程式使用者推出。 支援在 Android 裝置上的 Authenticator 中註冊證明的通行密鑰，可供最新版本的所有使用者使用。

     • Android：

       • 對於 Play 完整性證明，Authenticator 證明會使用 Play 完整性 API 來確保驗證器應用程式的合法性，再註冊通行密鑰。
       • 針對密鑰證明，Authenticator 證明會使用 Android 的密鑰證明來驗證所註冊的通行密鑰是否為硬體支援。

     注意

     針對iOS和Android，Authenticator證明依賴Apple和Google服務來驗證 Authenticator 應用程式的真實性。 大量服務使用量可能會讓複雜密鑰註冊失敗，而且使用者可能需要再試一次。 如果 Apple 和 Google 服務已關閉，Authenticator 證明會封鎖需要證明的註冊，直到服務還原為止。 若要監視Google Play完整性服務的狀態，請參閱 Google Play狀態儀錶板。 若要監視 iOS 應用程式證明服務的狀態，請參閱 系統狀態。

   • 金鑰限制會設定註冊和驗證的特定密鑰可用性。 將 [強制密鑰限制] 設定為 [是]，只允許或封鎖其 AAGUID 所識別的特定複雜密鑰。

     此設定必須為 [是]，且您必須新增 Microsoft Authenticator AAGUID，讓使用者能夠藉由登入 Authenticator 應用程式，或從其安全性資訊將密鑰新增至 Microsoft Authenticator 來註冊密鑰。

     安全性資訊需要將此設定設為 [是]，使用者才能選擇 Authenticator 中的密鑰，並經歷專用的 Authenticator 複雜密鑰註冊流程。 如果您選擇 [ 否]，使用者仍可根據操作系統和瀏覽器選擇 安全性密鑰或複雜密鑰方法，在 Microsoft Authenticator 中新增複雜密鑰 。 不過，我們並不預期許多使用者會探索並使用該方法。

     如果您的組織目前未強制執行金鑰限制，而且已經有使用中的密鑰，您應該收集目前使用的金鑰的 AAGUID。 包含這些使用者和 Authenticator AAGUID。 您可以使用分析記錄的自動化腳本來執行此動作，例如註冊詳細數據和登入記錄。

     如果您變更金鑰限制並移除您先前允許的 AAGUID，則先前註冊允許方法的使用者會無法再將其用來登入。

   • 將 [限制特定金鑰] 設定為 [允許]。

   • 選取 [Microsoft Authenticator]，將 Authenticator 應用程式 AAGUID 自動新增至密鑰限制清單，或手動新增下列 AAGUID，讓使用者登入 Authenticator 應用程式或在 [安全性資訊] 頁面上瀏覽引導式流程，以在 Authenticator 中註冊複雜密鑰：

     • Android 的 Authenticator：de1e552d-db1d-4423-a619-566b625cdc84
     • iOS 的 Authenticator：90a3ccdf-635c-4729-a248-9b709135078f

     注意

     如果您關閉密鑰調整，請確定您清除 [Microsoft Authenticator] 複選框，讓使用者不會在安全性資訊中的 Authenticator 應用程式中設定通行密鑰。

   

5. 完成設定之後，請選取 [儲存]。

   注意

   如果在嘗試儲存時看到錯誤，請在一個作業中以單一群組取代多個群組，然後再次按一下 [儲存]。

使用 Graph 總管在 Authenticator 中啟用密鑰

除了使用 Microsoft Entra 系統管理中心之外，您也可以使用 Graph 總管來啟用 Authenticator 中的通行金鑰。 至少獲指派驗證原則管理員角色的人員可以更新驗證方法原則，以允許 Authenticator 的AAGUID。

若要使用 Graph 總管來設定原則：

1. 登入 Graph 總管，並同意 Policy.Read.All 和 Policy.ReadWrite.AuthenticationMethod 權限。

2. 擷取驗證方法原則：

   GET https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2
   

3. 若要停用證明強制執行並強制執行金鑰限制，只允許 Microsoft Authenticator 使用 AAGUID，請使用下列要求本文執行 PATCH 作業：

   PATCH https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2
   
   Request Body:
   {
       "@odata.type": "#microsoft.graph.fido2AuthenticationMethodConfiguration",
       "isAttestationEnforced": true,
       "keyRestrictions": {
           "isEnforced": true,
           "enforcementType": "allow",
           "aaGuids": [
               "90a3ccdf-635c-4729-a248-9b709135078f",
               "de1e552d-db1d-4423-a619-566b625cdc84"
   
               <insert previous AAGUIDs here to keep them stored in policy>
           ]
       }
   }
   

4. 請確定密鑰 (FIDO2) 原則已正確更新。

   GET https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2
   

將藍牙使用限制為 Authenticator 中的通行密鑰

某些組織會限制藍牙使用方式，其中包括使用通行密鑰。 在這種情況下，組織可以允許藍牙與已啟用傳遞密鑰的 FIDO2 驗證器進行獨佔配對，以允許傳遞密鑰。 如需如何僅針對通行密鑰設定藍牙使用方式的詳細資訊，請參閱 藍牙限制環境中的Passkeys。

刪除密鑰

如果使用者刪除 Authenticator 中的傳遞金鑰，密碼也會從使用者的登入方法中移除。 驗證原則系統管理員也可以遵循下列步驟，從使用者的驗證方法中刪除通行密鑰，但不會從 Authenticator 移除通行密鑰。

1. 登入 [Microsoft Entra 系統管理中心]，並搜尋需要移除其密鑰的使用者。
2. 選取 [驗證方法]> 以滑鼠右鍵按一下 [FIDO2 安全性金鑰]，然後按一下 [刪除]。

在 Authenticator 中使用密鑰強制執行登入

若要讓使用者在存取敏感性資源時以通行金鑰登入，請使用內建的網路釣魚防護驗證強度，或依照下列步驟建立自訂驗證強度：

1. 以條件式存取系統管理員身分登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 [資料保護]> [驗證方法] > [驗證強度]。

3. 選取 [新驗證強度]。

4. 提供新驗證強度的描述性 [名稱]。

5. 選擇性地提供 [描述]。

6. 選取 [密鑰 (FIDO2)]，然後選取 [進階選項]。

7. 您可以選取 [網络釣魚防護 MFA 強度 ]，或為 Authenticator 中的通行密鑰新增 AAGUID：

   • Android 的 Authenticator：de1e552d-db1d-4423-a619-566b625cdc84
   • 適用於 iOS 的 Authenticator： 90a3ccdf-635c-4729-a248-9b709135078f

8. 選擇 [下一步] 並檢閱原則設定。

下一步

Windows 中通行金鑰的支援