Microsoft Entra ID: passkeys i odzyskiwanie konta MFA

Wprowadzenie: dlaczego to ma znaczenie

Adopcja MFA nadal rośnie, ale wiele organizacji wciąż zmaga się z tarciem po stronie użytkowników, nakładami na szkolenia i kosztami helpdesku — szczególnie wtedy, gdy użytkownicy tracą dostęp do swoich metod uwierzytelniania. Podczas Ignite 2025 Microsoft zaprezentował synced passkeys oraz high-assurance account recovery dla Entra ID, dostępne teraz w public preview, z myślą o tym, aby silne uwierzytelnianie było łatwiejsze do wdrożenia i prostsze dla użytkowników końcowych.

Co nowego

1) Synced passkeys (public preview)

Synced passkeys całkowicie eliminują hasła i pozwalają użytkownikom logować się przy użyciu biometrii lub PIN-u urządzenia, a następnie synchronizować passkeys między urządzeniami za pośrednictwem platform takich jak iCloud Keychain i Google Password Manager.

Kluczowe korzyści wskazane przez Microsoft:

• Wyższy wskaźnik powodzenia logowania w porównaniu z metodami legacy (przytoczone dane konsumenckie Microsoft: 95% vs 30%).
• Szybsze logowanie niż hasło + MFA oparte na kodach (przytoczone: 14x szybciej).
• Odporne na phishing uwierzytelnianie, ograniczające ryzyko kradzieży poświadczeń i przechwytywania OTP.
• Szerokie natywne wsparcie systemów operacyjnych na głównych platformach.

2) Profile passkey zapewniające szczegółową kontrolę administracyjną

Aby odpowiedzieć na typowe obawy związane z rolloutem (tarcie podczas rejestracji, niespójny UX, zgłoszenia do helpdesku), Entra ID wprowadza konfigurację opartą na grupach dla uwierzytelniania passkey.

Administratorzy mogą definiować wymagania per grupa, takie jak:

• Wymagania dotyczące attestation
• Typ passkey (device-bound vs synced)
• Kontrolki dotyczące konkretnego dostawcy passkey

To przenosi passkeys z pojedynczego przełącznika dla całego tenanta do modelu wdrożenia opartego na politykach, dopasowanego do rzeczywistych person i profili ryzyka.

3) High-assurance account recovery z ID + biometrią (public preview)

Gdy użytkownicy tracą dostęp do standardowych metod logowania (w tym passkeys), odzyskiwanie konta staje się najsłabszym ogniwem — i celem podszywania się oraz socjotechniki. Nowy proces odzyskiwania Microsoft wykorzystuje weryfikację dokumentu tożsamości wydanego przez instytucję państwową oraz dopasowanie biometryczne wspierane przez AI.

Jak to działa:

• Użytkownicy wybierają „Recover my account” w środowisku logowania Entra.
• Kończą zdalną weryfikację dokumentu (np. prawo jazdy, paszport).
• Wykonują Face Check (liveness + selfie dopasowane do zdjęcia na dokumencie) z użyciem Microsoft Entra Verified ID Face Check opartego na usługach Azure AI.
• Entra ID dopasowuje zweryfikowane atrybuty (np. imię i nazwisko/adres) do katalogu organizacji/systemu HR.
• Po odzyskaniu dostępu użytkownicy są proszeni o zarejestrowanie synced passkey, aby ograniczyć przyszłe blokady.

Organizacje mogą wybierać dostawców weryfikacji tożsamości (IDV) przez Microsoft Security Store: Idemia, LexisNexis i AU10TIX, z pokryciem w 192 krajach.

Wpływ na administratorów IT i użytkowników końcowych

• Mniejsza liczba zgłoszeń do helpdesku i niższe koszty dzięki ograniczeniu resetów haseł i kruchych metod odzyskiwania.
• Lepsza postawa bezpieczeństwa dzięki promowaniu uwierzytelniania odpornego na phishing oraz silniejszych mechanizmów odzyskiwania.
• Bardziej przewidywalne wdrożenia dzięki profilom passkey o zakresie grupowym i etapowemu włączaniu.
• Lepsze doświadczenie użytkownika końcowego: mniej kodów, mniej błędów i prowadzony proces odzyskiwania.

Działania / kolejne kroki

1. Przeprowadź pilotaż synced passkeys z kontrolowaną grupą użytkowników; zweryfikuj gotowość urządzeń/platform i komunikację do użytkowników.
2. Utwórz profile passkey według persony (np. pracownicy liniowi, kontraktorzy, uprzywilejowani administratorzy) i zdefiniuj wymagania dotyczące dostawcy/attestation.
3. Oceń wymagania dotyczące odzyskiwania konta (prywatność, zgodność, dopasowanie atrybutów HR) i przeprowadź symulacje przed włączeniem w środowisku produkcyjnym.
4. Wybierz dostawcę IDV w Microsoft Security Store i zaplanuj wsparcie operacyjne dla scenariuszy odzyskiwania.

Uwagi licencyjne

• Passkeys: wliczone dla wszystkich klientów Microsoft Entra ID
• Account recovery: wliczone w Microsoft Entra ID P1
• Face Check: dodatek rozliczany per weryfikacja lub wliczony w Microsoft Entra Suite
• Government ID check: rozliczane pay-per-verification przez Microsoft Security Store