A FIDO2 biztonsági kulcs egyszerűsítheti a Windows-munkahelyi bejelentkezést. Hogy ez az adott környezetben működik-e, az eszköz csatlakozásától és az identitásarchitektúrától függ. Egy USB-port és egy hagyományos Windows-tartomány önmagában nem írja le megfelelően a követelményeket.
Először tisztázni kell, melyik bejelentkezésről van szó
A weboldalas bejelentkezés, a Windows-kliens zárolásának feloldása, a fájlmegosztás elérése és a Távoli asztal kapcsolat létrehozása különböző műveletek. Ha egy kulcs ugyanazon a laptopon megnyit egy webalkalmazást, az még nem bizonyítja a Windows-fiókba történő bejelentkezést. Egy sikeres tesztfiók sem igazolja automatikusan az összes rendszergazdai és különleges fiókot.
A választás előtt ezért rögzítjük, melyik fiók melyik végponton jelentkezik be, hogyan csatlakozik az eszköz, és milyen alkalmazások következnek utána. Ebből adódnak a szükséges vizsgálatok. A hozzáférési kulcsok és a helyreállítás alapjai ismertetik a hitelesítő, az eszköz és a szolgáltatás közötti különbséget.
Az Entra-csatlakozás, a hibrid csatlakozás és a tisztán helyi AD megkülönböztetése
A Microsoft a Windows-kliensen történő FIDO2-kulcsos bejelentkezést az alábbi csatlakozású eszközökre dokumentálja: Microsoft Entra Join és Microsoft Entra Hybrid Join. A kizárólag helyi AD DS-tartománytagság kifejezetten nem támogatott forgatókönyvként szerepel ebben a szabványos eljárásban. Ez nem a helyi címtárszolgáltatások ellen szól, hanem ennek a konkrét bejelentkezési módnak a határát jelöli.
| Az eszköz kiinduló állapota | Dokumentált FIDO2 Windows-útvonal | További tisztázandók |
|---|---|---|
| Microsoft Entra joined | Támogatott kliensforgatókönyv a feltételek teljesülése esetén. | Regisztrált módszer, házirend és szükséges helyi erőforrások. |
| Microsoft Entra hybrid joined | Támogatott kliensforgatókönyv további hibrid előkészítéssel. | AD/Kerberos-előfeltételek és tényleges erőforrás-hozzáférés. |
| Kizárólag helyi AD DS-tartomány | Nem ugyanaz a támogatott szabványos útvonal, mint ebben a Microsoft-útmutatóban. | Külön megoldást kell vizsgálni; a sikeres webes bejelentkezés nem egyenértékű vele. |
A Microsoft konkrét eszköz-, szoftver- és házirendkövetelményeket ad meg. Egy korábban megnevezett minimális verzió nem helyettesíti a jelenlegi gyártói támogatás ellenőrzését. A tervezés karbantartott, még támogatott verziókkal történik. Források: Microsoft: FIDO2-kulcsos bejelentkezés Windows-kliensen (külső hivatkozás).
A hibrid hozzáféréshez előkészített második útvonal kell
A hibrid munkahelyen továbbra is fontos a helyi AD-struktúra. A hagyományos AD-erőforrások modern bejelentkezés utáni eléréséhez elő kell készíteni az erre szolgáló Entra/Kerberos-feltételeket. A kulcs önmagában nem biztosít tartományvezérlőt, és megfelelő integráció nélkül nem hoz létre teljes helyi bejelentkezési útvonalat.
Vizsgáljuk többek között a tényleges csatlakozási állapotot, a felhasználók megfeleltetését, a támogatott tartományvezérlő-verziókat és az egyeztetett hibrid konfigurációt. A hálózati és offline eseteket külön teszteljük. Egy egyszerűsített architektúraábra nem helyettesíti ezt a felmérést. Műszaki hivatkozás: Microsoft: FIDO2 és helyi AD-erőforrások (külső hivatkozás).
A kulcs regisztrációja és a Windows engedélyezése összetartozik
Egy kompatibilis kulcsmodellt engedélyezett hitelesítési módszerként kell regisztrálni a megfelelő felhasználói fiókhoz. A Windows-munkahelyen is szükség van a megfelelő bejelentkezési útvonalra és annak engedélyezésére. A szolgáltatói, modell- és házirendkövetelményeket együtt vizsgáljuk; egy tetszőleges USB-kulcs a bedugástól még nem válik érvényes vállalati hitelesítő eszközzé.
A FIDO2-kulcs PIN-kódja a hitelesítő helyi engedélyezésére szolgál. Nem a tartományi jelszó és nem közösen használt csapatjelszó. A bevezetéshez előkészítjük a kiadást, az első regisztrációt, a megfelelő személyazonosság-ellenőrzést, a hibakezelési támogatást és a követhető visszavonást. Egy jelszókezelő kiegészítheti a hozzáférések szervezését, de nem helyettesíti ezt a regisztrációt.
A Windows Hello for Business külön összetevő
A Windows Hello for Business eszközhöz kötött kulcsokat és helyi engedélyezést használ, például PIN-kóddal vagy biometriával. A hordozható FIDO2 biztonsági kulcs ezzel szemben külön hitelesítő, amely támogatott munkahelyeken használható. Mindkettő lehet a megoldás része, de kiépítésüket és bizalmi útvonalaikat külön kell megtervezni.
Egy meglévő Hello-PIN tehát nem bizonyítja az USB-kulcs regisztrációját és a teljes hibrid erőforrásútvonal beállítását sem. Fordítva: a Microsoft biztonsági kulcsos bejelentkezési konfigurációja nem igényli automatikusan ugyanazt a teljes Hello-bevezetést. Alapok: Microsoft: Windows Hello for Business (külső hivatkozás).
Az RDP, a VDI és a szerverbejelentkezés külön átvétele
Távoli asztalos környezetben három összetevőt vizsgálunk együtt: a helyi kliensplatformot, a célrendszert és a kapcsolatot létrehozó szoftvert. Ehhez két külön kérdés társul: hitelesítheti-e a kulcs a munkamenet indítását, majd használható-e egy alkalmazáshoz a munkameneten belül?
A WebAuthn-átirányítás lehetővé teheti a használatot egy távoli munkameneten belül anélkül, hogy minden Windows-bejelentkezési formát támogatna. A Microsoft jelenlegi tervezési útmutatója különböző kombinációkat ír le; az „RDP mindig működik” vagy „soha nem működik” kijelentés pontatlan lenne. A helyi interaktív szerverbejelentkezés, a Futtatás másként és más protokollok sem vezethetők le sikeres Windows-klienspróbából. Microsoft: jelszó nélküli RDP-forgatókönyvek tervezése (külső hivatkozás).
A tartalék kulcsokat, vészhozzáférést és kilépést előre rendezni kell
A pilot része egy elveszett vagy hibás kulcs esete. A külön regisztrált tartalék módszert megfelelően előkészítjük és védetten tároljuk; egy még nem regisztrált csereeszköz nem kész helyreállítási útvonal. A felelősöknek tudniuk kell, hogyan ellenőrzik a személyazonosságot, vonják vissza az elveszett módszert és adják ki rendezett módon a pótlást.
A rendszergazdai vészhozzáférés külön feladat. A szokásos hibaforrásoktól függetlenül tervezzük, megfelelő erős hitelesítéssel védjük, és rendszeresen, ellenőrzött körülmények között teszteljük. Ez nem általános ajánlás a többtényezős védelem kikapcsolására. A konkrét kialakítás az aktuális Microsoft vészhozzáférési dokumentációt (külső hivatkozás) és a szervezet saját környezetét követi.
Kilépéskor a fiókokat, regisztrált kulcsokat és aktív munkameneteket megfelelően visszavonjuk. A kulcs visszaadása önmagában nem igazolja a teljes lezárást. A fizikai átvétel, a módszer technikai visszavonása és az esetleges későbbi használathoz szükséges új regisztráció külön lépés marad.
A tényleges munkahely vizsgálata a DAXS-szal
A DAXS együtt méri fel az identitásokat, az eszközök csatlakozását, a helyi erőforrásokat és a távoli hozzáféréseket. Egy áttekinthető pilot a kijelölt munkahelyeken teszteli a bejelentkezést, jogosultságokat, kiesést és pótlást. Az eredmény dokumentált, megfelelő működési eljárás egyértelmű határokkal és felelősségekkel, általános ígéret nélkül minden Windows-tartományra.
A FIDO2 vállalati használatának megbeszélése · Munkahelyek és identitások tervezése · A helyi infrastruktúra értékelése
Gyakori kérdések
Elég a hagyományos AD-tartomány ehhez a FIDO2 Windows-bejelentkezési módhoz?
A Microsoft itt nem sorolja a tisztán helyi AD-csatlakozást a támogatott szabványos forgatókönyvek közé. Az Entra- és a hibrid csatlakozás külön eset. Más eljárások önálló architektúra- és kompatibilitásvizsgálatot igényelnek.
A kulcs helyettesíti a vállalati fiókomat?
Egy fiókhoz regisztrált bejelentkezési módszer. A felhasználókezelésre, jogosultságokra és kilépéskori letiltásra továbbra is szükség van.
Automatikusan minden szervert és VDI-munkamenetet megnyithatok vele?
Nem. A célrendszert, kapcsolódási klienst, protokollt és tervezett használatot külön vizsgáljuk. A működő webes bejelentkezés nem elegendő bizonyíték.
