FIDO passkeys část 5 - Entra ID passkey profily a synchronizované passkeys

Passkeys - přístupové klíče

FIDO autentizace s přístupovými klíči (passkeys) je standardizovaná metoda vícefaktorového (Multi-Factor) ověřování bez hesla (Passwordless Authentication) odolná proti phishingu (Phishing resistant). Přístupové klíče jsou přihlašovací údaje (credentials) založené na standardu FIDO2.

Passkeys mohou být uložené na různých modelech bezpečnostních klíčů nebo u různých poskytovatelů přístupových klíčů. Passkeys nelze použít v procesu samoobslužného resetování hesla (SSPR).

Typy přístupových klíčů

Microsoft Entra ID dnes (nově) podporuje dva hlavní typy přístupových klíčů

• Device-bound passkeys (přístupové klíče vázané na zařízení) - privátní klíč je vytvořen a uložen na jednom fyzickém zařízení, které nemůže opustit, příkladem je FIDO2 Security key, ale také Microsoft Authenticator
• Synced passkeys (synchronizované přístupové klíče) - privátní klíč je vygenerován hardwarovým bezpečnostním modulem (HSM), zašifrován a uložen na zařízení, šifrovaný klíč je synchronizovaný mezi zařízeními uživatele pomocí cloudové služby, synchronizované passkeys nepodporují attestation (ověřování), příkladem je Google Password Manager a Apple iCloud Keychain, ale také různí správci hesel s podporou passkeys (jako 1Password, Bitwarden)

Pozn.: Detailně jsme přístupové klíče popisovali v předchozích dílech série.

Novinky - passkey profily a synchronizované passkeys

• MC1221452 - (Update)Microsoft Entra ID: General Availability of passkey profiles and migration for existing Passkeys (FIDO2) tenants
• How to enable passkeys (FIDO2) in Microsoft Entra ID

Od března 2026 přechází do všeobecné dostupnosti (GA - General Availability) nové funkce v rámci Microsoft Entra ID. Jde o profily přístupových klíčů (passkey profiles) a synchronizované přístupové klíče (synced passkeys).

Zavádění do tenantů začíná od začátku března a dokončení se předpokládá do konce března. Když jsem funkci aktivoval, tak jsem ji ještě viděl označenu jako Public Preview. V průběhu psaní článku se přepnulo do finální verze.

Průběh přechodu na profily

V první fázi mají správci umožněno zapojit se (opt in) do nového způsobu práce s profily přístupových klíčů, který podporuje konfiguraci přístupových klíčů na úrovni skupin a zavádí novou vlastnost passkeyType.

V druhé fázi dojde k automatické migraci tenantů, které mají povolené Passkeys (FIDO2) a nezapojili se sami, na passkey profiles schéma. To by mělo probíhat od dubna do konce května.

Podporované typy passkeys (passkeyType)

• Device-bound passkeys
• Synced passkeys
• oboje

Profily přístupových klíčů

V současné době můžeme vytvořit až 3 profily přístupových klíčů. V každém profilu můžeme nastavit různé požadavky na passkeys. Jako je vyžadování attestation, specifické AAGUID či podporovaný typ přístupového klíče. Profily pak přiřazujeme ke skupinám uživatelů.

K jedné skupině můžeme přiřadit více profilů a tím kombinovat dostupné možnosti. Passkey pak musí splňovat podmínky alespoň v jednom profilu, aby je bylo možno registrovat a použít pro autentizaci. Pokud zakážeme synchronizované passkeys, tak ani ty existující není možno použít k autentizaci. Naproti tomu registrovaný Security Key je možno používat stále (i po zablokovaní daného typu).

Povolení profilů přístupových klíčů

• Microsoft Entra admin center - Entra ID - Authentication methods - Policies
• vybereme metodu Passkey (FIDO2)
• v horní části se nachází banner s textem Upgrade to the new experience pro přihlášení k profilům
• automaticky se vytvoří Default passkey profile, který obsahuje původní nastavení
• musíme jej editovat a zvolit Passkey type

Vytvoření či editace profilu

• Microsoft Entra admin center - Entra ID - Authentication methods - Policies
• v metodě Passkey (FIDO2) se přepneme na Configure
• musíme mít povolené Allow self-service set up, aby uživatelé mohli registrovat passkey
• můžeme editovat existující nebo přidat nový profil Add profile

• nastavení jsou stejná jako dříve, až na novou možnost typ passkey
• Passkey types umožňuje zvolit Device-bound, Synced nebo oboje, abychom mohli povolit synchronizované passkeys, tak nesmí být nastavené Enforce attestation
• nový profil uložíme tlačítkem Save

Aplikace profilu na skupinu

• Microsoft Entra admin center - Entra ID - Authentication methods - Policies
• v metodě Passkey (FIDO2) se přepneme na Enable and Target
• použití passkeys (metoda) musí být povoleno Enabled
• pomocí Add target můžeme přidat All users nebo Select targets, kde vybíráme konkrétní skupiny
• pod Passkey profiles vybereme profily, které chcete přiřadit konkrétnímu cíli
• nastavení uložíme tlačítkem Save

Synchronizované přístupové klíče

Pokud povolíme synchronizované passkeys, tak je otázka jak a kde je vyzkoušet či začít používat. Já jsem zatím provedl pár testů s Google Password Manager. Ten je integrovaný do Google Chrome a zkoušel jsem na Android zařízení i na Windows.

Registrace passkey do Google Password Manager na Androidu

Standardně si uživatelé spravují autentizační metody v rámci svého účtu My Account pod Security Info. Zde je možnost přidat (registrovat) novou metodu.

• použijeme Google Chrome na Android zařízení
• otevřeme stránku Security Info a přihlásíme se (musíme být ověřeni naposledy v předchozích 5 minutách)
• klikneme na Add sign-in method
• zvolíme Passkey
• zobrazí se informace o vytváření passkey, máme možnost zvolit vytvoření na jiném zařízení, pokračujeme Next
• začne se nastavovat passkey, zobrazí se dialog Google Password Manager, kde se musíme ověřit

• zpět na stránce Security Info zadáme jméno pro passkey a dojde k jeho vytvoření

Registrace passkey do Google Password Manager na Windows

Podobně to funguje, když použijeme Google Chrome na Windows zařízení, kde máme přihlášen náš Google účet.

• otevřeme stránku Security Info a přihlásíme se
• klikneme na Add sign-in method
• zvolíme Passkey
• zobrazí se informace o vytváření passkey, pokračujeme Next

• nyní záleží na tom, jaké máme v systému dostupné poskytovatele přístupových klíčů, mě nejprve vyskočil dialog na použití Security key, který jsem zrušil tlačítkem Cancel
• nyní se zobrazil dialog Google, který nabídl Google Password Manager, který zvolíme
• je zde informace, že dojde k vytvoření passkey, což provedeme tlačítkem Create, následně se musíme ověřit

• zadáme jméno pro passkey a dojde k jeho vytvoření

Pozn.: Jak jsem prováděl testy, tak jsem neustále passkey vytvářel a mazal. Opakovaně jsem narazil na problém s vytvořením. Když jsem existující passkey smazal u svého účtu v Security Info, ale ne na zařízení, například v Google Password Manager. Tak se při novém vytvoření passkey vytvořil (třeba) v Google Password Manager (zde byl vidět), ale průvodce skončil chybou Passkey not registered. Bylo potřeba smazat passkey v daném úložišti, pak již vytvoření prošlo.

Passkey v Security Info u účtu

Nově registrovaný přístupový klíč v My Security Info je označen ikonou passkey a textem Passkey (Synced) Google Password Manager. Vedle se zobrazuje naše zadané jméno Google Password Manager.

Přihlášení pomocí passkey

Pro přihlášení k Entra ID účtu se nový přístupový klíč nabízí mezi ostatními passkey na různých místech. Níže je obrázek z Microsoft přihlašovacího dialogu v prohlížeči Chrome, který má integrovaný Google Password Manager.