Opcje uwierzytelniania bez hasła dla Azure Active Directory

Funkcje takie jak uwierzytelnianie wieloskładnikowe (MFA) to doskonały sposób zabezpieczania organizacji, ale użytkownicy często są sfrustrowani dodatkową warstwą zabezpieczeń na konieczność zapamiętowania swoich haseł. Metody uwierzytelniania bez hasła są wygodniejsze, ponieważ hasło jest usuwane i zastępowane czymś, co masz, a także coś, co znasz.

Authentication Coś, co masz Coś, co jesteś lub wiesz
Logowanie bez hasła Windows 10 urządzenie, telefon lub klucz zabezpieczeń Numer PIN lub biometryczny

Każda organizacja ma różne potrzeby, jeśli chodzi o uwierzytelnianie. Globalna platforma Microsoft Azure i Azure Government oferują następujące trzy opcje uwierzytelniania bez hasła zintegrowane z Azure Active Directory (Azure AD):

  • Windows Hello for Business
  • Microsoft Authenticator
  • Klucze zabezpieczeń FIDO2

Authentication: Security versus convenience

Windows Hello for Business

Windows Hello dla firm jest idealnym rozwiązaniem dla pracowników przetwarzających informacje, które mają własne Windows PC. Poświadczenia biometryczne i PIN są bezpośrednio powiązane z komputerem użytkownika, co uniemożliwia dostęp osobie innej niż właściciel. Dzięki integracji infrastruktury kluczy publicznych (PKI) i wbudowanej obsłudze logowania jednokrotnego Windows Hello dla firm zapewnia wygodną metodę bezproblemowego uzyskiwania dostępu do zasobów firmowych lokalnie i w chmurze.

Example of a user sign-in with Windows Hello for Business

W poniższych krokach pokazano, jak działa proces logowania z Azure AD:

Diagram that outlines the steps involved for user sign-in with Windows Hello for Business

  1. Użytkownik loguje się do Windows przy użyciu gestu biometrycznego lub numeru PIN. Gest odblokowuje klucz prywatny Windows Hello dla firm i jest wysyłany do dostawcy obsługi zabezpieczeń uwierzytelniania w chmurze, określanego jako dostawca ap w chmurze.
  2. Dostawca ap w chmurze żąda wartości innej niż (losowa dowolna liczba, która może być używana tylko raz) z Azure AD.
  3. Azure AD zwraca wartość inną niż 5 minut.
  4. Dostawca ap w chmurze podpisuje nonce przy użyciu klucza prywatnego użytkownika i zwraca podpisany nonce do Azure AD.
  5. Azure AD weryfikuje podpisany nonce przy użyciu bezpiecznie zarejestrowanego klucza publicznego użytkownika względem podpisu innego. Azure AD sprawdza poprawność podpisu, a następnie sprawdza poprawność zwróconego podpisanego nonce. Po zweryfikowaniu wartości niestandardowej Azure AD tworzy podstawowy token odświeżania (PRT) z kluczem sesji zaszyfrowanym w kluczu transportu urządzenia i zwraca go do dostawcy ap w chmurze.
  6. Dostawca ap w chmurze odbiera zaszyfrowany prT z kluczem sesji. Dostawca usługi Cloud AP używa prywatnego klucza transportu urządzenia do odszyfrowania klucza sesji i chroni klucz sesji przy użyciu modułu TPM (Trusted Platform Module) urządzenia.
  7. Dostawca ap w chmurze zwraca pomyślną odpowiedź uwierzytelniania na Windows. Następnie użytkownik może uzyskać dostęp do Windows, a także aplikacji w chmurze i lokalnych bez konieczności ponownego uwierzytelniania (SSO).

Przewodnik planowania Windows Hello dla firm może pomóc w podejmowaniu decyzji dotyczących typu wdrożenia Windows Hello dla firm i opcji, które należy wziąć pod uwagę.

Microsoft Authenticator

Możesz również zezwolić pracownikowi na użycie metody uwierzytelniania bez hasła. Możesz już używać aplikacji Authenticator jako wygodnej opcji uwierzytelniania wieloskładnikowego oprócz hasła. Możesz również użyć Authenticator App jako opcji bez hasła.

Sign in to Microsoft Edge with the Microsoft Authenticator

Aplikacja Authenticator przekształca wszystkie iOS lub Android telefon w silne, bez hasła. Użytkownicy mogą zalogować się do dowolnej platformy lub przeglądarki, wysyłając powiadomienie do telefonu, pasując do numeru wyświetlanego na ekranie na telefonie, a następnie używając biometrycznego (dotyku lub twarzy) lub numeru PIN w celu potwierdzenia. Aby uzyskać szczegółowe informacje na temat instalacji, zobacz Pobieranie i instalowanie Microsoft Authenticator.

Uwierzytelnianie bez hasła przy użyciu aplikacji Authenticator jest zgodne z tym samym wzorcem podstawowym co Windows Hello dla firm. Jest to nieco bardziej skomplikowane, ponieważ użytkownik musi zostać zidentyfikowany, aby Azure AD można było znaleźć używaną wersję aplikacji Authenticator:

Diagram that outlines the steps involved for user sign-in with the Microsoft Authenticator App

  1. Użytkownik wprowadza swoją nazwę użytkownika.
  2. Azure AD wykrywa, że użytkownik ma silne poświadczenia i uruchamia przepływ silnych poświadczeń.
  3. Powiadomienie jest wysyłane do aplikacji za pośrednictwem usługi Apple Push Notification Service (APNS) na urządzeniach iOS lub za pośrednictwem usługi Firebase Cloud Messaging (FCM) na urządzeniach Android.
  4. Użytkownik otrzymuje powiadomienie wypychane i otwiera aplikację.
  5. Aplikacja wywołuje Azure AD i otrzymuje wyzwanie potwierdzające obecność i nonce.
  6. Użytkownik wykonuje wyzwanie, wprowadzając numer BIOMETRYCZNy lub PIN w celu odblokowania klucza prywatnego.
  7. Nonce jest podpisany przy użyciu klucza prywatnego i wysyłany z powrotem do Azure AD.
  8. Azure AD przeprowadza weryfikację klucza publicznego/prywatnego i zwraca token.

Aby rozpocząć logowanie bez hasła, wykonaj następujące instrukcje:

Klucze zabezpieczeń FIDO2

FiDO (Fast IDentity Online) Alliance pomaga promować otwarte standardy uwierzytelniania i ograniczyć użycie haseł jako formy uwierzytelniania. FIDO2 to najnowszy standard obejmujący standard uwierzytelniania internetowego (WebAuthn).

Klucze zabezpieczeń FIDO2 to niezrównana metoda uwierzytelniania bez hasła oparta na standardach, która może mieć dowolny kształt. Fast Identity Online (FIDO) to otwarty standard uwierzytelniania bez hasła. Funkcja FIDO umożliwia użytkownikom i organizacjom korzystanie ze standardu do logowania się do zasobów bez nazwy użytkownika lub hasła przy użyciu klucza zabezpieczeń zewnętrznego lub klucza platformy wbudowanego w urządzenie.

Użytkownicy mogą zarejestrować się, a następnie wybrać klucz zabezpieczeń FIDO2 w interfejsie logowania jako główny sposób uwierzytelniania. Te klucze zabezpieczeń FIDO2 są zazwyczaj urządzeniami USB, ale mogą również używać Bluetooth lub NFC. W przypadku urządzenia sprzętowego, które obsługuje uwierzytelnianie, bezpieczeństwo konta jest zwiększane, ponieważ nie ma hasła, które można ujawnić lub odgadnąć.

Klucze zabezpieczeń FIDO2 mogą służyć do logowania się do Azure AD lub hybrydowych Azure AD dołączonych do urządzeń Windows 10 i uzyskiwania logowania jednokrotnego do zasobów w chmurze i lokalnych. Użytkownicy mogą również zalogować się do obsługiwanych przeglądarek. Klucze zabezpieczeń FIDO2 są doskonałym rozwiązaniem dla przedsiębiorstw, które są bardzo wrażliwe na zabezpieczenia lub mają scenariusze lub pracowników, którzy nie są gotowi lub mogą korzystać z telefonu jako drugi czynnik.

Mamy dokument referencyjny, dla którego przeglądarki obsługują uwierzytelnianie FIDO2 za pomocą Azure AD, a także najlepsze rozwiązania dla deweloperów, którzy chcą obsługiwać uwierzytelnianie FIDO2 w opracowywanych aplikacjach.

Sign in to Microsoft Edge with a security key

Następujący proces jest używany, gdy użytkownik loguje się przy użyciu klucza zabezpieczeń FIDO2:

Diagram that outlines the steps involved for user sign-in with a FIDO2 security key

  1. Użytkownik podłącza klucz zabezpieczeń FIDO2 do komputera.
  2. Windows wykrywa klucz zabezpieczeń FIDO2.
  3. Windows wysyła żądanie uwierzytelnienia.
  4. Azure AD wysyła z powrotem nonce.
  5. Użytkownik wykonuje gest odblokowania klucza prywatnego przechowywanego w bezpiecznej enklawie klucza zabezpieczeń FIDO2.
  6. Klucz zabezpieczeń FIDO2 podpisuje element niebędący kluczem prywatnym.
  7. Żądanie tokenu podstawowego odświeżania (PRT) z podpisanym nonce jest wysyłane do Azure AD.
  8. Azure AD sprawdza podpisany nonce przy użyciu klucza publicznego FIDO2.
  9. Azure AD zwraca żądanie PRT w celu umożliwienia dostępu do zasobów lokalnych.

Dostawcy kluczy zabezpieczeń FIDO2

Następujący dostawcy oferują klucze zabezpieczeń FIDO2 różnych form, które są znane jako zgodne ze środowiskiem bez hasła. Zachęcamy do oceny właściwości zabezpieczeń tych kluczy, kontaktując się z dostawcą, a także FIDO Alliance.

Dostawca Biometrycznych USB Funkcja NFC BLE Certyfikat FIPS Kontakt
AuthenTrend y y y y n https://authentrend.com/about-us/#pg-35-3
Ciright n n y n n https://www.cyberonecard.com/
Zachwyt y y n n n https://www.ensurity.com/contact
Excelsecu y y y y n https://www.excelsecu.com/productdetail/esecufido2secu.html
Feitian y y y y y https://shop.ftsafe.us/pages/microsoft
Fortinet n y n n n https://www.fortinet.com/
Giesecke + Devrient (G+D) y y y y n https://www.gi-de.com/en/identities/enterprise-security/hardware-based-authentication
GoTrustID Inc. n y y y n https://www.gotrustid.com/idem-key
HID n y y n n https://www.hidglobal.com/contact-us
Hypersecu n y n n n https://www.hypersecu.com/hyperfido
IDmelon Technologies Inc. y y y y n https://www.idmelon.com/#idmelon
Kensington y y n n n https://www.kensington.com/solutions/product-category/why-biometrics/
KONA I y n y y n https://konai.com/business/security/fido
NeoWave n y y n n https://neowave.fr/en/products/fido-range/
Nymi y n y n n https://www.nymi.com/nymi-band
Octatco y y n n n https://octatco.com/
OneSpan Inc. n y n y n https://www.onespan.com/products/fido
Swissbit n y y n n https://www.swissbit.com/en/products/ishield-fido2/
Grupa Thales n y y n n https://cpl.thalesgroup.com/access-management/authenticators/fido-devices
Thetis y y y y n https://thetis.io/collections/fido2
Token2 Szwajcaria y y y n n https://www.token2.swiss/shop/product/token2-t2f2-alu-fido2-u2f-and-totp-security-key
TrustKey Solutions y y n n n https://www.trustkeysolutions.com/security-keys/
VinCSS n y n n n https://passwordless.vincss.net
Yubico y y y n y https://www.yubico.com/solutions/passwordless/

Uwaga

Jeśli kupujesz i planujesz używać kluczy zabezpieczeń opartych na komunikacji NFC, potrzebujesz obsługiwanego czytnika NFC dla klucza zabezpieczeń. Czytnik NFC nie jest wymaganiem ani ograniczeniem platformy Azure. Zapoznaj się z dostawcą klucza zabezpieczeń opartego na komunikacji NFC, aby uzyskać listę obsługiwanych czytników NFC.

Jeśli jesteś dostawcą i chcesz uzyskać urządzenie na tej liście obsługiwanych urządzeń, zapoznaj się z naszymi wskazówkami dotyczącymi tego, jak stać się dostawcą kluczy zabezpieczeń zgodnym z firmą Microsoft FIDO2.

Aby rozpocząć pracę z kluczami zabezpieczeń FIDO2, wykonaj następujące instrukcje:

Obsługiwane scenariusze

Obowiązują następujące zastrzeżenia:

  • Administratorzy mogą włączyć metody uwierzytelniania bez hasła dla swojej dzierżawy.

  • Administratorzy mogą kierować wszystkich użytkowników lub wybierać użytkowników/grupy w ramach dzierżawy dla każdej metody.

  • Użytkownicy mogą rejestrować te metody uwierzytelniania bez hasła i zarządzać nimi w portalu konta.

  • Użytkownicy mogą logować się przy użyciu tych metod uwierzytelniania bez hasła:

    • Authenticator aplikacji: działa w scenariuszach, w których jest używane uwierzytelnianie Azure AD, w tym we wszystkich przeglądarkach, podczas konfigurowania Windows 10 oraz ze zintegrowanymi aplikacjami mobilnymi w dowolnym systemie operacyjnym.
    • Klucze zabezpieczeń: praca na ekranie blokady dla Windows 10 i internetu w obsługiwanych przeglądarkach, takich jak Microsoft Edge (zarówno starsza, jak i nowa przeglądarka Edge).
  • Użytkownicy mogą używać poświadczeń bez hasła do uzyskiwania dostępu do zasobów w dzierżawach, w których są gośćmi, ale nadal mogą być zobowiązani do wykonania uwierzytelniania wieloskładnikowego w tej dzierżawie zasobów. Aby uzyskać więcej informacji, zobacz Możliwe podwójne uwierzytelnianie wieloskładnikowe.

  • Użytkownicy mogą nie rejestrować poświadczeń bez hasła w dzierżawie, w której są gośćmi, tak samo jak w przypadku braku hasła zarządzanego w tej dzierżawie.

Wybieranie metody bez hasła

Wybór tych trzech opcji bez hasła zależy od wymagań firmy dotyczących zabezpieczeń, platformy i aplikacji.

Poniżej przedstawiono kilka czynników, które należy wziąć pod uwagę podczas wybierania technologii bez hasła firmy Microsoft:

Windows Hello for Business Logowanie bez hasła przy użyciu aplikacji Authenticator Klucze zabezpieczeń FIDO2
Wymagania wstępne Windows 10, wersja 1809 lub nowsze
Azure Active Directory
Aplikacja Authenticator
Telefon (urządzenia iOS i Android z systemem Android 6.0 lub nowszym).
Windows 10, wersja 1903 lub nowsza
Azure Active Directory
Tryb Platforma Oprogramowanie Sprzęt
Systemy i urządzenia Komputer z wbudowanym modułem TPM (Trusted Platform Module)
Rozpoznawanie numerów PIN i biometrycznych
Rozpoznawanie numerów PIN i biometrycznych na telefonie Urządzenia zabezpieczeń FIDO2, które są zgodne z firmą Microsoft
Środowisko użytkownika Zaloguj się przy użyciu numeru PIN lub rozpoznawania biometrycznego (twarzy, irysu lub odcisku palca) przy użyciu urządzeń Windows.
Windows Hello uwierzytelnianie jest powiązane z urządzeniem. Użytkownik potrzebuje zarówno urządzenia, jak i składnika logowania, takiego jak numer PIN lub czynnik biometryczny w celu uzyskania dostępu do zasobów firmy.
Zaloguj się przy użyciu telefonu komórkowego przy użyciu skanowania odcisków palców, rozpoznawania twarzy lub irysów albo numeru PIN.
Użytkownicy logują się do konta służbowego lub osobistego z komputera lub telefonu komórkowego.
Logowanie przy użyciu urządzenia zabezpieczającego FIDO2 (biometryczne, numer PIN i NFC)
Użytkownik może uzyskiwać dostęp do urządzenia na podstawie mechanizmów kontroli organizacji i uwierzytelniać się na podstawie numeru PIN, biometrii przy użyciu urządzeń, takich jak klucze zabezpieczeń USB i karty inteligentne z obsługą NFC, klucze lub urządzenia do noszenia.
Scenariusze z włączoną obsługą Środowisko bez hasła w przypadku urządzenia Windows.
Dotyczy dedykowanego komputera roboczego z możliwością logowania jednokrotnego do urządzeń i aplikacji.
Rozwiązanie bez hasła w dowolnym miejscu przy użyciu telefonu komórkowego.
Dotyczy uzyskiwania dostępu do aplikacji służbowych lub osobistych w Internecie z dowolnego urządzenia.
Środowisko pracy bez hasła dla pracowników korzystających z biometrii, numeru PIN i nfc.
Dotyczy komputerów udostępnionych i tam, gdzie telefon komórkowy nie jest opłacalną opcją (na przykład dla personelu pomocy technicznej, kiosku publicznego lub zespołu szpitalnego)

Użyj poniższej tabeli, aby wybrać metodę, która będzie obsługiwać wymagania i użytkowników.

Persona Scenariusz Środowisko Technologia bez hasła
Administracja Bezpieczny dostęp do urządzenia na potrzeby zadań zarządzania Przypisane urządzenie Windows 10 klucz zabezpieczeń Windows Hello dla firm i/lub FIDO2
Administracja Zadania zarządzania na urządzeniach innych niż Windows Urządzenie przenośne lub inne niż windows Logowanie bez hasła przy użyciu aplikacji Authenticator
Pracownik przetwarzający informacje Praca nad produktywnością Przypisane urządzenie Windows 10 klucz zabezpieczeń Windows Hello dla firm i/lub FIDO2
Pracownik przetwarzający informacje Praca nad produktywnością Urządzenie przenośne lub inne niż windows Logowanie bez hasła przy użyciu aplikacji Authenticator
Proces roboczy linii frontonu Kioski w fabryce, fabryce, sprzedaży detalicznej lub wpisie danych Udostępnione urządzenia Windows 10 Klucze zabezpieczeń FIDO2

Następne kroki

Aby rozpocząć pracę z hasłami w Azure AD, wykonaj jedną z następujących instrukcji: