Partilhar via

Ativar chaves de acesso no Microsoft Authenticator

  • Artigo

Este artigo lista as etapas para habilitar e impor o uso de chaves de acesso no Authenticator for Microsoft Entra ID. Primeiro, você atualiza a política de métodos de autenticação para permitir que os usuários finais se registrem e entrem com chaves de acesso no Authenticator. Em seguida, você pode usar as políticas de forças de autenticação de Acesso Condicional para impor a entrada por chave de acesso quando os usuários acessam um recurso confidencial.

Requisitos

Nota

Os usuários precisam instalar a versão mais recente do Authenticator para Android ou iOS para usar uma chave de acesso.

Para saber mais sobre onde você pode usar chaves de acesso no Authenticator para entrar, consulte Suporte para autenticação FIDO2 com ID do Microsoft Entra.

Ativar chaves de acesso no Autenticador no centro de administração

Um Administrador de Política de Autenticação precisa consentir para permitir o Autenticador nas configurações de Chave de Acesso (FIDO2) da política de Métodos de Autenticação. Eles precisam permitir explicitamente os GUIDs de Atestado de Autenticador (AAGUIDs) para o Microsoft Authenticator para permitir que os usuários registrem chaves de acesso no aplicativo Authenticator. Não há nenhuma configuração para habilitar chaves de acesso na seção Aplicativo Microsoft Authenticator da política de Métodos de Autenticação.

  1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Política de Autenticação.

  2. Navegue até Métodos>de autenticação de proteção>Política de método de autenticação.

  3. No método Passkey (FIDO2), selecione Todos os usuários ou Adicionar grupos para selecionar grupos específicos. Apenas grupos de segurança são suportados.

  4. Na guia Configurar:

    • Defina Permitir configuração de autoatendimento como Sim. Se definido como Não, os usuários não poderão registrar uma chave de acesso usando Informações de segurança, mesmo que as chaves de acesso (FIDO2) estejam habilitadas pela política de métodos de autenticação.

    • Defina Impor atestado como Sim.

      Quando o atestado está habilitado na política de chave de acesso (FIDO), o Microsoft Entra ID tenta verificar a legitimidade da chave de acesso que está sendo criada. Quando o usuário está registrando uma chave de acesso no Autenticador, o atestado verifica se o aplicativo legítimo Microsoft Authenticator criou a chave de acesso usando os serviços da Apple e do Google. Aqui estão mais detalhes:

      • iOS: O atestado de autenticador usa o serviço iOS App Attest para garantir a legitimidade do aplicativo Authenticator antes de registrar a chave de acesso.

        Nota

        O suporte para registrar chaves de acesso no Authenticator quando o atestado é imposto está sendo implementado para usuários do aplicativo iOS Authenticator. O suporte para registrar chaves de acesso atestadas no Authenticator em dispositivos Android está disponível para todos os usuários na versão mais recente do aplicativo.

      • Android:

        • Para o atestado Play Integrity, o atestado do Authenticator usa a API Play Integrity para garantir a legitimidade do aplicativo Authenticator antes de registrar a chave de acesso.
        • Para o atestado de chave, o atestado de autenticador usa o atestado de chave pelo Android para verificar se a chave de acesso que está sendo registrada é lastreada em hardware.

      Nota

      Para iOS e Android, o atestado de autenticador depende dos serviços da Apple e do Google para verificar a autenticidade do aplicativo Authenticator. O uso intenso do serviço pode fazer com que o registro de chave de acesso falhe e os usuários talvez precisem tentar novamente. Se os serviços da Apple e do Google estiverem inativos, o atestado do Autenticador bloqueará o registro que requer atestado até que os serviços sejam restaurados. Para monitorar o status do serviço de integridade do Google Play, consulte Painel de status do Google Play. Para monitorar o status do serviço iOS App Attest, consulte Status do sistema.

    • As principais restrições definem a usabilidade de chaves de acesso específicas para registro e autenticação. Defina Impor restrições de chave como Sim para permitir ou bloquear apenas determinadas chaves de acesso, que são identificadas por seus AAGUIDs.

      Essa configuração deve ser Sim e você precisa adicionar os AAGUIDs do Microsoft Authenticator para permitir que os usuários registrem chaves de acesso no Authenticator, entrando no aplicativo Authenticator ou adicionando Passkey no Microsoft Authenticator a partir de suas informações de segurança.

      As informações de segurança exigem que essa configuração seja definida como Sim para que os usuários possam escolher a chave de acesso no Autenticador e passar por um fluxo de registro de chave de acesso do Autenticador dedicado. Se você escolher Não, os usuários ainda poderão adicionar uma chave de acesso no Microsoft Authenticator escolhendo a chave de segurança ou o método de chave de acesso, dependendo do sistema operacional e do navegador. No entanto, não esperamos que muitos usuários descubram e usem esse método.

      Se sua organização atualmente não impõe restrições de chave e já tem uso ativo de chave de acesso, você deve coletar os AAGUIDs das chaves que estão sendo usadas hoje. Inclua esses usuários e os AAGUIDs do autenticador. Você pode fazer isso com um script automatizado que analisa logs, como detalhes de registro e logs de entrada.

      Se você alterar as restrições de chave e remover um AAGUID permitido anteriormente, os usuários que registraram anteriormente um método permitido não poderão mais usá-lo para entrar.

    • Defina Restringir chaves específicas como Permitir.

    • Selecione Microsoft Authenticator para adicionar automaticamente os AAGUIDs do aplicativo Authenticator à lista de restrição de chave ou adicione manualmente os seguintes AAGUIDs para permitir que os usuários registrem chaves de acesso no Authenticator entrando no aplicativo Authenticator ou passando por um fluxo guiado na página Informações de segurança:

      • Autenticador para Android: de1e552d-db1d-4423-a619-566b625cdc84
      • Autenticador para iOS: 90a3ccdf-635c-4729-a248-9b709135078f

      Nota

      Se você desativar as restrições de chave, desmarque a caixa de seleção Microsoft Authenticator para que os usuários não sejam solicitados a configurar uma chave de acesso no aplicativo Authenticator em Informações de segurança.

    Captura de ecrã a mostrar o Microsoft Authenticator ativado para a chave de acesso.

  5. Depois de concluir a configuração, selecione Salvar.

    Nota

    Se vir um erro quando tentar guardar, substitua vários grupos por um único grupo numa operação e, em seguida, clique novamente em Guardar .

Ativar chaves de acesso no Authenticator usando o Graph Explorer

Além de usar o centro de administração do Microsoft Entra, você também pode habilitar chaves de acesso no Authenticator usando o Graph Explorer. Aqueles que receberam pelo menos a função de Administrador de Política de Autenticação podem atualizar a política de Métodos de Autenticação para permitir os AAGUIDs para Autenticador.

Para configurar a política usando o Graph Explorer:

  1. Entre no Graph Explorer e concorde com as permissões Policy.Read.All e Policy.ReadWrite.AuthenticationMethod .

  2. Recupere a política de métodos de autenticação:

    GET https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2

  3. Para desabilitar a imposição de atestado e impor restrições de chave para permitir apenas AAGUIDs para o Microsoft Authenticator, execute uma operação PATCH usando o seguinte corpo de solicitação:

    PATCH https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2

Request Body:
{
    "@odata.type": "#microsoft.graph.fido2AuthenticationMethodConfiguration",
    "isAttestationEnforced": true,
    "keyRestrictions": {
        "isEnforced": true,
        "enforcementType": "allow",
        "aaGuids": [
            "90a3ccdf-635c-4729-a248-9b709135078f",
            "de1e552d-db1d-4423-a619-566b625cdc84"

            <insert previous AAGUIDs here to keep them stored in policy>
        ]
    }
}

  4. Certifique-se de que a política de chave de acesso (FIDO2) está atualizada corretamente.

    GET https://graph.microsoft.com/beta/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2

Restringir o uso do Bluetooth a chaves de acesso no Authenticator

Algumas organizações restringem o uso de Bluetooth, o que inclui o uso de chaves de acesso. Nesses casos, as organizações podem permitir chaves de acesso permitindo o emparelhamento Bluetooth exclusivamente com autenticadores FIDO2 habilitados para chave de acesso. Para obter mais informações sobre como configurar o uso de Bluetooth apenas para chaves de acesso, consulte Chaves de acesso em ambientes com restrição de Bluetooth.

Eliminar uma chave de acesso

Se um usuário excluir uma chave de acesso no Authenticator, a chave de acesso também será removida dos métodos de entrada do usuário. Um Administrador de Política de Autenticação também pode seguir estas etapas para excluir uma chave de acesso dos métodos de autenticação do usuário, mas não removerá a chave de acesso do Autenticador.

  1. Entre no centro de administração do Microsoft Entra e procure o usuário cuja chave de acesso precisa ser removida.
  2. Selecione Métodos> de autenticação, clique com o botão direito do mouse na chave de segurança FIDO2 e selecione Excluir.

Nota

A menos que o usuário tenha iniciado a exclusão da chave de acesso no Authenticator, ele também precisará remover a chave de acesso no Authenticator em seu dispositivo.

Impor o início de sessão com chaves de acesso no Autenticador

Para fazer com que os usuários entrem com uma chave de acesso quando acessarem um recurso confidencial, use a força de autenticação interna resistente a phishing ou crie uma força de autenticação personalizada seguindo estas etapas:

  1. Entre no centro de administração do Microsoft Entra como um Administrador de Acesso Condicional.

  2. Navegue até Proteção>Métodos>de autenticação Pontos fortes da autenticação.

  3. Selecione Nova força de autenticação.

  4. Forneça um Nome descritivo para sua nova força de autenticação.

  5. Opcionalmente, forneça uma Descrição.

  6. Selecione Chaves de acesso (FIDO2) e, em seguida, selecione Opções avançadas.

  7. Você pode selecionar Força de MFA resistente a phishing ou adicionar AAGUIDs para chaves de acesso no Authenticator:

    • Autenticador para Android: de1e552d-db1d-4423-a619-566b625cdc84
    • Autenticador para iOS: 90a3ccdf-635c-4729-a248-9b709135078f

  8. Escolha Avançar e revise a configuração da política.

Próximos passos

Suporte para chave de acesso no Windows