Matriz de autenticação de chave de acesso (FIDO2) com Entra ID da Microsoft
Artigo
O Microsoft Entra ID permite que chaves de acesso (FIDO2) sejam usadas para autenticação sem senha multifator. Este artigo aborda quais aplicativos nativos, navegadores da Web e sistemas operacionais oferecem suporte ao logon usando chave de acesso com ID do Microsoft Entra.
O Microsoft Entra ID atualmente oferece suporte a chaves de acesso vinculadas ao dispositivo armazenadas em chaves de segurança FIDO2 e no Microsoft Authenticator. A Microsoft está empenhada em proteger clientes e utilizadores com chaves de acesso. Estamos investindo em chaves de acesso sincronizadas e vinculadas ao dispositivo para contas de trabalho.
A seção a seguir aborda o suporte para autenticação por chave de acesso (FIDO2) em navegadores da Web com ID do Microsoft Entra.
SO
Chrome
Edge
Firefox
Safari
Windows
✅
✅
✅
N/A
macOS
✅
✅
✅
✅
ChromeOS
✅
N/A
N/A
N/A
Linux
✅
✅
✅
N/A
iOS
✅
✅
✅
✅
Android
✅
✅
❌
N/A
Considerações para cada plataforma
Windows
O início de sessão com chave de segurança requer um dos seguintes itens:
Windows 10 versão 1903 ou posterior
Microsoft Edge baseado em Chromium
Chrome 76 ou posterior
Firefox 66 ou posterior
macOS
O início de sessão com chave de acesso requer o macOS Catalina 11.1 ou posterior com o Safari 14 ou posterior porque o Microsoft Entra ID requer verificação do utilizador para autenticação multifator.
As chaves de segurança NFC (near-field communication) e Bluetooth Low Energy (BLE) não são suportadas no macOS pela Apple.
O novo registro de chave de segurança não funciona nesses navegadores macOS porque eles não solicitam a configuração de biometria ou PIN.
As chaves de segurança NFC e BLE não são suportadas no ChromeOS pela Google.
O registo da chave de segurança não é suportado no ChromeOS ou no navegador Chrome.
Linux
O início de sessão com chave de acesso no Microsoft Authenticator não é suportado no Firefox no Linux.
iOS
O início de sessão com chave de acesso requer o iOS 14.3 ou posterior porque o Microsoft Entra ID requer a verificação do utilizador para autenticação multifator.
As chaves de segurança BLE não são suportadas no iOS pela Apple.
NFC com chaves de segurança certificadas FIPS 140-3 não é suportado no iOS pela Apple.
O novo registro de chave de segurança não funciona em navegadores iOS porque eles não solicitam a configuração de biometria ou PIN.
O login com chave de acesso requer o Google Play Services 21 ou posterior porque o Microsoft Entra ID requer verificação do usuário para autenticação multifator.
As chaves de segurança BLE não são suportadas no Android pela Google.
O registo da chave de segurança com o Microsoft Entra ID ainda não é suportado no Android.
O login com chave de acesso não é compatível com o Firefox no Android.
Problemas conhecidos
Inicie sessão quando estiverem registadas mais de três chaves de acesso
Se registou mais de três chaves de acesso, iniciar sessão com uma chave de acesso poderá não funcionar no iOS ou no Safari no macOS. Se tiver mais de três chaves de acesso, como solução alternativa, clique em Opções de início de sessão e inicie sessão sem introduzir um nome de utilizador.
A seção a seguir aborda o suporte para autenticação por chave de acesso (FIDO2) em aplicativos da Microsoft e de terceiros com o Microsoft Entra ID.
Nota
No momento, a autenticação por chave de acesso com um Provedor de Identidade (IDP) de terceiros não é suportada em aplicativos de terceiros que usam o agente de autenticação ou em aplicativos da Microsoft no macOS, iOS ou Android.
Suporte nativo a aplicativos com agente de autenticação
Os aplicativos da Microsoft fornecem suporte nativo para autenticação de chave de acesso para todos os usuários que têm um agente de autenticação instalado para seu sistema operacional. A autenticação por chave de acesso também é suportada para aplicativos de terceiros que usam o agente de autenticação.
Se um usuário instalou um agente de autenticação, ele pode optar por entrar com uma chave de acesso quando acessar um aplicativo como o Outlook. Eles são redirecionados para entrar com chave de acesso e redirecionados de volta para o Outlook como um usuário conectado após a autenticação bem-sucedida.
As tabelas a seguir listam quais agentes de autenticação são suportados para diferentes sistemas operacionais.
SO
Agente de autenticação
iOS
Microsoft Authenticator
macOS
Portal da Empresa do Microsoft Intune
Android
Autenticador, Portal da Empresa ou Link para o aplicativo do Windows
Suporte a aplicativos da Microsoft sem agente de autenticação
A tabela a seguir lista o suporte a aplicativos Microsoft para chave de acesso (FIDO2) sem um agente de autenticação. Atualize as suas aplicações para a versão mais recente para se certificar de que funcionam com chaves de acesso.
Suporte a aplicativos de terceiros sem agente de autenticação
Se o usuário ainda não tiver instalado um agente de autenticação, ele ainda poderá entrar com uma chave de acesso quando acessar aplicativos habilitados para MSAL. Para obter mais informações sobre os requisitos para aplicativos habilitados para MSAL, consulte Suporte à autenticação sem senha com chaves FIDO2 em aplicativos que você desenvolve.
Considerações para cada plataforma
Windows
O início de sessão com a chave de segurança FIDO2 para aplicações nativas requer o Windows 10 versão 1903 ou posterior.
Entrar com chave de acesso no Microsoft Authenticator para aplicativos nativos requer o Windows 11 versão 22H2 ou posterior.
Microsoft Graph PowerShell oferece suporte a chave de acesso (FIDO2). Alguns módulos do PowerShell que usam o Internet Explorer em vez do Edge não são capazes de executar a autenticação FIDO2. Por exemplo, os módulos do PowerShell para SharePoint Online ou Teams, ou quaisquer scripts do PowerShell que exijam credenciais de administrador, não solicitam FIDO2.
Como solução alternativa, a maioria dos fornecedores pode colocar certificados nas chaves de segurança FIDO2. A autenticação baseada em certificado (CBA) funciona em todos os navegadores. Se você puder habilitar o CBA para essas contas de administrador, poderá exigir o CBA em vez de FIDO2 nesse ínterim.
O início de sessão com chave de acesso em aplicações nativas com o plug-in SSO requer o iOS 17.1 ou posterior.
macOS
No macOS, o plug-in Microsoft Enterprise Single Sign On (SSO) é necessário para ativar o Portal da Empresa como um agente de autenticação. Os dispositivos que executam o macOS devem atender aos requisitos do plug-in SSO, incluindo o registro no gerenciamento de dispositivos móveis.
O início de sessão com chave de acesso em aplicações nativas com o plug-in SSO requer o macOS 14.0 ou posterior.
Android
O início de sessão com a chave de segurança FIDO2 para aplicações nativas requer o Android 13 ou posterior.
O início de sessão com chave de acesso no Microsoft Authenticator para aplicações nativas requer o Android 14 ou posterior.
Iniciar sessão com chaves de segurança FIDO2 fabricadas pela Yubico e com YubiOTP ativado pode não funcionar em dispositivos Samsung Galaxy. Como solução alternativa, os usuários podem desativar o YubiOTP e tentar entrar novamente.
