Chiavi FIDO2 in Entra ID: abilitarle, registrarle, consegnarle a utenti non tecnici.
Passaggi nell'interfaccia di Entra, restrizioni sui modelli di chiave, registrazione con PIN e un piano di consegna realistico per persone che cambiano postazione.
Una chiave FIDO2 (per esempio una chiave USB con NFC) è un'MFA resistente al phishing: non esiste un codice da digitare e la chiave risponde solo al sito vero. Per utenti poco avvezzi alla tecnologia è anche più semplice di un'app: si inserisce la chiave, si inserisce il PIN, si tocca.
Secondo Microsoft le passkey FIDO2 sono disponibili in tutte le edizioni di Entra ID, Free compreso.
1. Abilitare il metodo
Serve almeno il ruolo Authentication Policy Administrator.
- Interfaccia di amministrazione di Entra → Entra ID → Sicurezza → Metodi di autenticazione → Criteri.
- Seleziona Passkey (FIDO2).
- Se compare il banner per i profili di passkey, il passaggio ai profili è irreversibile: leggilo con attenzione, poi accetta. Le impostazioni globali diventano il profilo predefinito. Si possono avere fino a tre profili.
- Nella scheda Configura imposta Consenti configurazione self-service = Sì. Se è No, gli utenti non possono registrare la chiave da Informazioni di sicurezza.
- Apri il profilo predefinito, scegli i tipi di passkey (device-bound per le chiavi fisiche; le sincronizzate vanno in un secondo momento, se vuoi) e salva.
- In Abilita e destinazione scegli Tutti gli utenti oppure un gruppo pilota.
2. Limitare i modelli ammessi
Nel profilo puoi attivare Applica attestazione e le restrizioni sulle chiavi: elenchi di AAGUID (l'identificativo del modello) ammessi o bloccati. Se compri un solo modello, ammettere solo quello evita chiavi di provenienza sconosciuta.
Due avvertenze dalla documentazione:
- l'attestazione si controlla solo in fase di registrazione;
- se togli un AAGUID da quelli ammessi, gli utenti con quella chiave non possono più accedere.
Gli ospiti B2B non possono registrare passkey.
3. Registrazione da parte dell'utente
L'utente apre mysignins.microsoft.com/security-info, sceglie Aggiungi metodo di accesso → Chiave di sicurezza, inserisce la chiave, imposta il PIN e la tocca. Prima deve aver completato un'MFA negli ultimi cinque minuti: se non ha ancora altri metodi, questo è il punto in cui di solito ci si blocca. Per questo conviene la registrazione assistita, con l'IT accanto.
Provisioning da amministratore: esiste una procedura via Microsoft Graph (in anteprima, al momento della consultazione) in cui l'amministratore prepara la chiave al posto dell'utente: richiede le opzioni di creazione, inizializza la chiave con un client CTAP (inserendo il PIN) e registra il risultato. Richiede il ruolo Authentication Administrator. Utile per grandi numeri, meno per venti persone.
4. Un piano di consegna realistico
- Due chiavi per persona. Una per l'uso quotidiano, una di scorta conservata in azienda. Chi perde la chiave unica non lavora fino a quando non gliene dai un'altra.
- Etichetta con nome (o ID) sulla chiave: serve a ritrovarla e a non scambiarla.
- Il PIN lo sceglie l'utente, non l'IT. Una pagina con tre immagini: "inserisci, PIN, tocca".
- Postazioni condivise: la chiave segue la persona, non il PC. È il vantaggio principale per chi cambia postazione.
- Scaglioni: gruppo pilota (IT più due utenti pazienti), poi un reparto alla volta, con una persona di riferimento per ciascuno.
- Recupero: decidi prima chi può revocare una chiave persa e rilasciarne una nuova, e come verifichi l'identità di chi la chiede.
Per revocare una chiave persa: Entra → Utenti → l'utente → Metodi di autenticazione → elimina la chiave.