Slik integrerer du Windows Hello med FIDO2-nøkler: krav, distribusjon og administrasjon

Passordløs autentisering er ikke lenger bare et løfte: det er en realitet du kan implementere i dag på Windows 10 og Windows 11 med FIDO2-sikkerhetsnøkler og Windows Hello for Business. Denne artikkelen gir en trinnvis veiledning om hvordan du aktiverer pålogging med sikkerhetsnøkkel på enheter som er koblet til Microsoft Entra ID (tidligere Azure AD) og på hybrid-PC-er. Vi dekker også brukernøkkelregistrering, PIN-/biometrisk administrasjon og scenarier som ikke støttes.

Utover teorien inkluderer vi implementeringsutfordringer fra den virkelige verden (fjernstøtte, RDP, nøkkeltildeling, PIN-krav), praktiske anbefalinger og kompatibilitetsnotater for iOS og macOS. Hvis du vil implementere FIDO2 klokt, er her alt du trenger for å unngå overraskelser og oppnå en problemfri opplevelse.

Hva er FIDO2, og hvordan passer det sammen med Windows Hello?

FIDO2 er en åpen standard for passordløs autentisering som er avhengig av asymmetrisk kryptografi . Den består av to komponenter: WebAuthn (et nettleser-API definert av W3C) og CTAP2 (en protokoll mellom klienten og autentiseringsenheten, definert av FIDO Alliance). Sikkerhetsnøkler kan være USB , NFC eller innebygde lesere, og autentiseringsenheten kan være innebygd (Windows Hello) eller en ekstern enhet.

Når du registrerer en nøkkel, genererer klienten et offentlig/privat nøkkelpar . Den offentlige nøkkelen lagres på tjenesten (avhengig part), og den private nøkkelen forblir sikker på enheten eller maskinvarenøkkelen din . Ved innlogging sender serveren en utfordring, og autentisatoren returnerer en signatur som kun er gyldig for det autoriserte domenet takket være RP-ID-en, og blokkerer dermed phishing og bruk av legitimasjon på falske nettsteder.

I Microsoft-miljøer integreres denne metoden med Windows Hello for Business og Microsoft Entra ID, noe som gir passordløs tilgang til enheter og skyapper . Tilgangsnøkler kan være enhetsbundne eller synkroniserte innenfor leverandørens økosystem; Windows Hello fungerer som en lokal autentiseringsenhet, og FIDO2-nøkler fungerer som eksterne autentiseringsenheter på tvers av plattformer.

Forutsetninger og ikke-støttede scenarier

Før du begynner, må du bekrefte at organisasjonen din har aktivert denne metoden, og at du bruker en kompatibel nettleser . For registrering og bruk av sikkerhetsnøkler krever Microsoft Windows 10-oppdateringen mai 2019 eller nyere, og enheter som er godkjent av organisasjonen (nøkkelen må være FIDO2 og kompatibel med Microsoft).

Dette er de relevante ikke-støttede scenariene å vurdere når du planlegger utplasseringen:

• Logg på eller lås opp Windows med en tilgangsnøkkel i Microsoft Authenticator (passord på mobil) i stedet for en fysisk FIDO2-nøkkel for pålogging av enheten.
• Kun miljøer Domenetilknyttet AD DS (ren on-prem) intet lag Skriv inn ID.
• Bruksområder som RDP, VDI og Citrix som er avhengige av en annen nøkkel enn den WebAuthn-omdirigering.
• S/MIME-signaturer med FIDO2-sikkerhetsnøkkelen (støttes ikke).
• OperasjonerKjør som«med en sikkerhetsnøkkel (støttes ikke).»
• Logg på servere med en sikkerhetsnøkkel (støttes ikke).
• Bruk ingen forbindelse– Hvis du ikke logger på med nøkkelen din mens du er på nett, kan du ikke bruke den til å logge på eller låse opp uten nett.
• Nøkler med flere påloggings-ID-kontoer: Windows velger standard siste konto lagt til til nøkkelen for pålogging, selv om du i WebAuthn-flyter kan velge kontoen.
• Låse opp enheter med Windows 10 1809 (ikke-støttet erfaring). 1903 eller høyere anbefales.

Aktiver Windows-pålogging med FIDO2-nøkler

Organisasjoner kan aktivere pålogging med sikkerhetsnøkkel i Windows på flere måter. Nedenfor har vi samlet alle støttede alternativer , slik at du kan velge det som passer best for din administrasjonsstil (MDM, provisjonering eller GPO).

Krav til systemversjon

For enheter som er koblet til Microsoft Entra ID, kreves Windows 10 versjon 1909 eller nyere . For hybride Entra ID-tilknyttede enheter kreves Windows 10 versjon 2004 eller nyere . I Windows 11 er disse funksjonene innebygd i nyere versjoner.

Aktiver med Microsoft Intune

Hvis du administrerer enhetene dine med Intune, kan du aktivere bruken av sikkerhetsnøkler fra Intune-administrasjonssenteret ved å følge disse trinnene:

1. Få tilgang til administrasjonssenteret for Microsoft Intune.
2. Naviger til Enheter > Registrer enheter > Windows-registrering > Windows Hello for bedrifter.
3. I innstillingene, angi «Bruk sikkerhetsnøkler for å logge inn» i Aktivert.

Denne innstillingen er ikke avhengig av at Windows Hello for Business er aktivert; den aktiverer sikkerhetsnøkkelens legitimasjonsleverandør for pålogging.

Målrettet Intune-distribusjon (OMA-URI)

Hvis du trenger detaljer, kan du opprette en egendefinert profil for å aktivere legitimasjonsleverandøren for bestemte grupper av datamaskiner eller brukere:

1. Microsoft Intune-administrasjonssenter > Enheter > Windows > Konfigurasjonsprofiler > Opprett profil.
2. Konfigurer: Plattform = Windows 10 og nyere; Profiltype = Maler > Tilpasset; Navn og beskrivelse etter eget valg.
3. I Innstillinger legger du til en OMA-URI-rad med:
   • Navn: Aktiver FIDO-sikkerhetsnøkler for Windows-pålogging
   • OMA-URI: ./Enhet/Leverandør/MSFT/PassForWork/Sikkerhetsnøkkel/BrukSikkerhetsnøkkelForPålogging
   • Datatype: Heltall
   • verdi: 1
4. Tilordne profilen til brukere/enheter/grupper nødvendig.

Aktiver med en klargjøringspakke

På enheter som ikke administreres av Intune, kan du bruke en klargjøringspakke ved hjelp av Windows Configuration Designer (tilgjengelig i Microsoft Store). Sammendrag av prosedyren:

1. Åpne Windows Configuration Designer og opprett en Nytt prosjekt (flyt for klargjøringspakke).
2. Velg “Alle utgaver av Windows-skrivebordet" når du blir spurt om konfigurasjonsomfanget.
3. I Kjøretidsinnstillinger > WindowsHelloForBusiness > Sikkerhetsnøkler > Bruk sikkerhetsnøkkel for pålogging, merk av for «Aktivert».
4. Eksporter og kompiler pakken (.ppkg- og .cat-filer genereres) og bruk den på måldatamaskinene.

Aktiver med gruppepolicy (GPO)

For datamaskiner som er koblet til Entra ID på en hybrid måte , finnes det et GPO for å aktivere pålogging med en FIDO2-sikkerhetsnøkkel. Sti: Datamaskinkonfigurasjon > Administrative maler > System > Pålogging > Aktiver pålogging med sikkerhetsnøkkel.

• Aktivert: Tillater pålogging med sikkerhetsnøkler.
• Deaktivert eller ikke konfigurert: Forhindrer dette.

Den krever den oppdaterte CredentialProviders.admx -policymalen (inkludert i moderne Windows Server og Windows 10 20H1). Du kan administrere den lokalt eller fra et sentralt administrativt mallager.

Registrering og administrasjon av sikkerhetsnøkkelen av brukeren

Før du registrerer deg, må du sørge for at administratoren har aktivert metoden for organisasjonen din, og at datamaskinen/enheten din er oppdatert. Du trenger en godkjent FIDO2-nøkkel (USB eller NFC) og en støttet nettleser.

Slik legger du til nøkkelen som en metode på jobb- eller skolekontoen din: Gå til Min profil > Sikkerhetsinformasjon , velg «Legg til metode» og velg «Sikkerhetsnøkkel». Velg type (USB eller NFC), sett inn eller trykk på nøkkelen når du blir bedt om det, og følg instruksjonene på skjermen.

I Windows 11 23H2, hvis nettleseren prioriterer en passnøkkel på mobilenheten din, logger du på og trykker på Neste . Under «Flere alternativer» velger du «Sikkerhetsnøkkel» og fortsetter. I tidligere versjoner kan det vises en QR-paringsskjerm for en annen passnøkkel: Hvis du vil registrere den fysiske nøkkelen, setter du inn og trykker på nøkkelen for å tvinge frem den prosessen.

Under prosessen vil Windows be deg om å angi eller skrive inn nøkkelens PIN-kode i Windows-sikkerhetsboksen. Når du er ferdig, går du tilbake til Sikkerhetsinformasjon, gir nøkkelen et beskrivende navn og fullfører prosessen. Du kan registrere opptil 10 nøkler per konto.

For å fjerne en nøkkel fra sikkerhetsinformasjonen din, bruk Slett- lenken på nøkkelkortet og bekreft. Merk: Dette forhindrer bruk av den med kontoen din, men påloggingsinformasjonen som er lagret på nøkkelen, forblir. For å slette den må du tilbakestille nøkkelen til fabrikkinnstillinger .

Fra Windows-innstillinger > Kontoer > Påloggingsalternativer > Sikkerhetsnøkkel > Administrer kan du tilbakestille nøkkelen (gå tilbake til standardverdiene) eller opprette/endre PIN-koden for sikkerhetsnøkkelen . Sett inn eller trykk på nøkkelen for å bekrefte identiteten din, og følg produsentens instruksjoner.

FIDO2 Windows-påloggings- og autentiseringsflyt

Når leverandøren er aktivert, kan du velge sikkerhetsnøkkelleverandøren din på Windows- låseskjermen . Sett inn nøkkelen, skriv inn PIN-koden din, eller utfør den biometriske bevegelsen for å få tilgang til skrivebordet. På hybrid-PC-er må du også huske å aktivere passordløs pålogging for lokale ressurser.

Den tekniske flyten med Entra ID er som følger: Windows oppdager nøkkelen og sender en autentiseringsforespørsel ; Entra ID returnerer en «nonce»; nøkkelen signerer den noncen med sin private nøkkel; Windows ber om PRT (Primary Refresh Token) som legger ved signaturen; Entra ID verifiserer med den offentlige nøkkelen og returnerer PRT-en, noe som gir tilgang til ressurser.

For å sikre best mulig opplevelse og sikkerhet krever Microsoft at nøkler sertifiserer visse valgfrie CTAP2-utvidelser . I praksis: velg sertifiserte leverandører som eksplisitt angir Windows/Entra ID-kompatibilitet (for eksempel produsenter som er medlemmer av FIDO Alliance og MISA) for å unngå konflikter.

Når du jobber frakoblet, kan nøkkelen fungere i visse tilfeller, men det er begrensninger: hvis du ikke har logget deg på nettet med nøkkelen tidligere, vil du ikke kunne bruke den til å logge på eller låse opp mens du er frakoblet.

Hvilke metoder er gyldige for MFA og hvilke er gyldige for tilbakestilling av passord?

I Microsoft Entra brukes sikkerhetsinformasjonsmetoder for totrinnsverifisering og/eller tilbakestilling av passord (SSPR). Ikke alle metodene fungerer for begge.

metode	Bruk
Autentiseringsapplikasjon	Totrinnsverifisering og tilbakestilling av passord
SMS	Totrinnsverifisering og tilbakestilling av passord
Telefonsamtale	Totrinnsverifisering og tilbakestilling av passord
Passord / FIDO2-nøkkel	Totrinns bekreftelse
Ekstern autentiseringsmetode	Totrinns bekreftelse
elektronisk post	Kun tilbakestilling av passord
Sikkerhetsspørsmål	Kun tilbakestilling av passord

Begrensninger og lærdommer fra reelle utplasseringer

Når du distribuerer FIDO2 til produksjon, oppstår det praktiske problemer. Hvis du for eksempel aktiverer Windows Hello til å bruke FIDO2 og passord på nettsteder og i apper, kan det hende at Windows prioriterer PIN/Hello for enhetspålogging. På lokale kontoer kan dette være uønsket hvis du har tenkt å fortsette å bruke passordet ditt for første pålogging.

I virkelige scenarier rapporterer noen team at det ikke finnes noen fullstendig administrativ måte å tildele nøkler til brukere på: hver person må registrere dem i sikkerhetsinformasjonen sin når metoden er aktivert og 2FA er brukt. Dette gir fleksibilitet, men krever også utforming av en innledende onboarding- prosess (f.eks. et midlertidig pass den første dagen) og styring over opprettelse og sletting av nøkler.

Et annet poeng: bruk av nøkler krever en PIN-kode (eller biometrisk autentisering), så den typiske sekvensen er «sett inn nøkkel, skriv inn PIN-kode, berør nøkkel». Det er sikrere, men brukeropplevelsen er forskjellig fra et tradisjonelt passord, og det er lurt å forklare dette for brukeren for å unngå friksjon og planlegge opplåsing av disker (BitLocker).

Å håndheve nøkkelen som en sekundær faktor på maskinnivå ved å deaktivere passord kan ødelegge scenarioer som fjernstøtte (f.eks. TeamViewer), heving av "Kjør som administrator" og arbeid med RDP hvis hele miljøet ikke er riktig konfigurert. Deaktivering av passordet uten en plan kan føre til avhengighet av den lokale administratoren for visse oppgaver, for eksempel å avslutte sikkermodus , med de resulterende driftsrisikoene.

Praktiske anbefalinger: Definer en gjenopprettingsplan (sikkerhetskopienøkkel, alternative metoder som en autentiseringsapp), gi trinnvise registreringsveiledninger og etabler livssykluspolicyer (hva du skal gjøre hvis en nøkkel går tapt, hvordan du tilbakekaller den og hvordan du utsteder den på nytt). Hvis miljøet ditt bruker RDP i stor grad, bør du gjennomgå avhengigheter og kompatibilitet før du prøver å eliminere passordpålogging fullstendig .

Kompatibilitet med iOS/macOS og Microsoft 365-verktøy

I Apples økosystem finnes det nyanser: Microsofts FIDO2-kompatibilitet for iOS gjelder for nettlesere ; for native apper er løsningen sertifikatbasert legitimasjon ( Azure CBA ). macOS og iOS har begrensninger (for eksempel spesifikke BLE-nøkler og registreringsflyter) som bør verifiseres.

Videre har ikke alle verktøy for skyadministrasjon (som visse Azure PowerShell- moduler eller MSAL-klienter) konsekvent støttet FIDO2. I avanserte distribusjoner kan løsninger for legitimasjonsadministrasjon (CMS) legge til rette for ekstern onboarding, kontogjenoppretting og distribusjon av maskinvaretoken i stor skala.

Hvis en nøkkel går tapt, blokkeres forsøk på PIN-koder etter flere mislykkede forsøk, noe som gjør nøkkelen ubrukelig for tredjeparter. På organisasjonsnivå tillater et CMS- eller Entras administrasjonsarbeidsflyter tilbakekalling av legitimasjon registrert for den nøkkelen og utstedelse av en ny. I mellomtiden bruker noen miljøer Windows Hello eller Authenticator-appen som et midlertidig alternativ.

Brukertips: Registrering, bruk og sikkerhetskopiering

Mange guider anbefaler å initialisere nøkkelen og tilordne en PIN-kode før første gangs bruk. Noen produsenter tilbyr spesifikke verktøy (for eksempel PIN-endrings- eller tilbakestillingsadministratorer) som forenkler denne oppgaven, spesielt hvis du skal administrere to nøkler (primær og reserve) fra starten av.

Gylden regel: Registrer primær- og reservenøklene dine hos kritiske tjenester. Konfigurasjonen kan variere mellom leverandører (hver tjeneste har sin egen bane for Security/2FA/MFA), men det generelle mønsteret er å alltid legge til en "Security Key"-metode og fullføre WebAuthn/CTAP2-flyten som er angitt av nettleseren.

I Windows kan du administrere sikkerhetsnøkkelen din fra Innstillinger > Kontoer > Påloggingsalternativer > Sikkerhetsnøkkel , der du kan endre PIN-koden din, oppdatere biometrien (hvis det er en biometrisk nøkkel) eller tilbakestille den hvis du planlegger å bruke den på nytt. Hvis du tilbakestiller den, slettes alt innholdet i nøkkelen, og du kan starte på nytt.