用途
Passkeys 和 FIDO2 安全密钥是 Microsoft Entra ID 中真正抗钓鱼的身份验证方法。本技能覆盖务实的推广流程：为不同人群选择合适的 Passkey 类型，通过临时访问通行证（Temporary Access Pass，TAP）完成引导，借助条件访问（Conditional Access）的身份验证强度强制执行，最后淘汰旧方法。
适用场景：将 Entra 租户从密码+SMS/应用推送迁移到无密码、抗钓鱼的身份验证。用于方法选型、注册活动、CA 强制执行和旧方法退役规划。
不适用场景：通用 CA 策略编写（conditional-access-mfa）、完整的 Windows Hello for Business 桌面设计（windows-hello）、Verified ID 凭证签发（entra-verified-id）。
Passkey 类型——按人群选择
| 类型 | 存放位置 | 最适合 |
|---|---|---|
| Microsoft Authenticator 中的设备绑定 Passkey | iOS/Android 应用，硬件绑定，不同步 | BYOD 为主的工作团队、一线员工 |
| 同步 Passkey（Apple iCloud 钥匙串、Google、Windows Hello 经 1Password 等） | 操作系统钥匙串，在用户设备间同步 | 使用受管 iOS/macOS/Windows 的知识工作者 |
| 硬件 FIDO2 安全密钥（YubiKey、Feitian 等） | 可移除，带认证 | 特权管理员、共享工作站用户、受监管岗位 |
| Windows Hello for Business | 每设备，TPM 绑定 | Windows 工作站主登录（见 windows-hello） |
经验法则：默认人群 = 设备绑定的 Authenticator Passkey。管理员和 tier-0 = 硬件密钥。在 MDM/策略允许的情况下，Mac/iPhone 用户 = 来自操作系统钥匙串的同步 Passkey。
主要能力与实施方法
启用身份验证方法。 在 Entra → 身份验证方法中启用：Passkey (FIDO2)，并明确认证强制执行决策；Microsoft Authenticator（含 Passkey 能力）；临时访问通行证。先将推广范围限定到试点组。
认证策略。 决定是否要求 FIDO2 注册时进行认证：
- 强制执行认证 = 是：只有你允许列表中的 AAGUID（验证器型号）可以注册。控制力强；但物流负担重，因为新设备型号需要加入允许列表。
- 强制执行认证 = 否：任何 FIDO2 验证器（包括平台提供商的同步 Passkey）都可以注册。摩擦更低；控制更少。
对特权人群：强制执行 + 允许列表硬件密钥。对普通员工：宽松。
通过临时访问通行证引导。 每个用户都需要一种不使用密码即可注册首个 Passkey 的方式。TAP 提供有时间限制、一次性（或有限次）的代码：
- 新员工：由 HR/入职流程签发 TAP。
- 注册活动中的现有用户：由帮助台在验证后签发 TAP。
- 设备丢失恢复：在身份验证后重新签发 TAP（可考虑 Verified ID）。
注册活动。 使用内置注册活动在登录时提示用户设置 Authenticator Passkey。运行 60–90 天；衡量采用率。配合沟通：3 封邮件 + 一条 Teams 横幅。
条件访问——身份验证强度。 创建 CA 策略，要求以下对象使用抗钓鱼 MFA 身份验证强度：
- 所有管理员角色（全局管理员、特权角色管理员等）。
- 特权应用（Azure 门户、Entra 管理中心、Exchange 管理、GitHub Enterprise 登录）。
- 高影响数据应用（SAP、HR、财务）。
按应用推广，而非全租户，以限制影响范围。
淘汰弱方法。
- SMS 和语音——在身份验证方法策略中禁用为 MFA 方法。如确有必要，仅保留用于 SSPR。
- 无号码匹配的 Authenticator 推送——号码匹配现为默认；确认已强制执行。
- 旧版 MFA 注册页——迁移到组合注册（早已是默认）。
顺序：先弱化（标记为“次要”），监控登录日志中仍依赖该方法的用户，然后禁用。
生命周期。
- 设备丢失：在用户身份验证方法中撤销已注册的验证器，签发新 TAP，用户重新注册。
- 岗位变动：Passkey 持续有效——它绑定到用户身份。下次登录时重新评估 CA 强度。
- 离职：标准离职流程撤销身份；Passkey 随之失效。
报告。 在 Entra → 监控 → 身份验证方法活动中跟踪：至少注册一种抗钓鱼方法的用户百分比；使用抗钓鱼方法的登录百分比；按应用的方法使用情况。目标：60 天内 100% 管理员使用抗钓鱼方法；12 个月内 90% 员工。
防护准则
- 在注册覆盖率足够高之前，不要强制执行抗钓鱼 CA。否则周一早上 9 点就会发生锁定。分阶段：先注册活动，再按组强制执行。
- TAP 必须通过经过身份验证的渠道签发（帮助台强验证、Verified ID、面对面）。泄露的 TAP 就是无密码绕过。
- 同步 Passkey 跨越设备信任边界。用户从个人 Mac 登录时使用的 Passkey 与其公司 Mac 相同。如果这不符合你的威胁模型，对敏感角色使用设备绑定 Passkey 或硬件密钥。
- 认证允许列表需要生命周期管理。新的 YubiKey 型号 = 新的 AAGUID。将其纳入采购流程。
- 号码匹配 MFA 不是抗钓鱼的。它能抵御 MFA 疲劳轰炸，但实时 AiTM 代理仍可成功。不要混为一谈。
- 将 SMS 作为“以防万一”的备用方法会破坏整个计划。攻击者会瞄准备用方法。对处于抗钓鱼 CA 下的人群移除它。
- 不要在范围中包含紧急访问（break-glass）账户的情况下发布“身份验证强度：抗钓鱼”的条件访问。始终排除紧急访问账户。
常见反模式
- “第一天就强制管理员使用 Passkey，没有注册活动”——管理员在最糟糕的时刻被锁定。
- “永远允许所有人将 SMS 作为 MFA 备用”——SIM 交换和诱骗攻击会击中 weakest 方法。第一天就对 tier-0 移除。
- “通过用户无法在没有 MFA 的情况下访问的邮箱发送 TAP”——先有鸡还是先有蛋。使用带身份验证的帮助台渠道。
- “强制执行认证 + 全新 YubiKey 型号未加入允许列表”——采购日意外。维护允许列表。
- “全局管理员在个人 iCloud 上使用同步 Passkey”——管理员凭证在个人手机上。对管理员使用硬件密钥 + 设备绑定。
- “将号码匹配 MFA 称为抗钓鱼”——它不是。AiTM 可以击败它。
- “在员工覆盖率未达 95% 前全租户禁用密码登录”——未注册用户被锁定。先按应用使用 CA + 监控。
示例提示
- 为 25,000 名用户规划 12 个月的 Passkey 推广：试点、活动、CA 强制执行、旧方法退役。
- 为 300 名管理员签发硬件 FIDO2 密钥并强制执行认证；构建 AAGUID 允许列表。
- 编写一条条件访问策略，要求全局管理员和 Azure 门户使用抗钓鱼 MFA。
- 在 90 天内为受监管人群用 Authenticator Passkey 替换 SMS MFA。
- 通过 HR 入职流程用临时访问通行证引导新员工。
- 构建带成功指标和回滚计划的 Passkey 注册活动。
- 恢复丢失手机和唯一 FIDO2 密钥的用户——带身份验证的运行手册。
- 为 Mac 为主创意团队比较设备绑定与同步 Passkey。
Microsoft Learn 参考
- Entra 中的 Passkey 概述：https://learn.microsoft.com/entra/identity/authentication/concept-authentication-passwordless
- Microsoft Authenticator Passkey：https://learn.microsoft.com/entra/identity/authentication/how-to-enable-authenticator-passkey
- FIDO2 安全密钥：https://learn.microsoft.com/entra/identity/authentication/concept-authentication-passwordless#fido2-security-keys
- 认证与 AAGUID：https://learn.microsoft.com/entra/identity/authentication/concept-fido2-compatibility
- 临时访问通行证：https://learn.microsoft.com/entra/identity/authentication/howto-authentication-temporary-access-pass
- CA 中的身份验证强度：https://learn.microsoft.com/entra/identity/authentication/concept-authentication-strengths
- 注册活动：https://learn.microsoft.com/entra/identity/authentication/how-to-mfa-registration-campaign
- 号码匹配 MFA：https://learn.microsoft.com/entra/identity/authentication/how-to-mfa-number-match
- 淘汰 SMS/语音：https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-methods-manage