FIDO2-turva-avain voi helpottaa Windows-työasemalle kirjautumista. Toimivuus omassa ympäristössä riippuu laitteen liitostavasta ja identiteettiarkkitehtuurista. Pelkkä USB-portti ja perinteinen Windows-toimialue eivät kuvaa vaatimuksia riittävästi.
Selvitä ensin, mistä kirjautumisesta puhutaan
Verkkosivulle kirjautuminen, Windows-asiakkaan lukituksen avaaminen, tiedostojaon käyttäminen ja Etätyöpöytä-yhteyden muodostaminen ovat eri toimintoja. Avain, joka avaa verkkosovelluksen samalla kannettavalla, ei siten vielä osoita kirjautumista sen Windows-tilille. Myöskään onnistunut pilottitili ei automaattisesti vahvista kaikkia ylläpito- ja erikoistilejä.
Ennen valintaa kirjataan siis, mikä tili kirjautuu millä päätelaitteella, miten laite on liitetty ja mitä sovelluksia käytetään sen jälkeen. Tästä määräytyvät tarvittavat testit. Artikkeli passkey-avainten ja palauttamisen perusteista selittää todentimen, laitteen ja palvelun eron.
Erota Entra-liitos, hybridiliitos ja pelkkä paikallinen AD
Microsoft dokumentoi FIDO2-avainkirjautumisen Windows-asiakkaalla laitteille, joissa on Microsoft Entra Join ja Microsoft Entra Hybrid Join. Jäsenyys pelkästään paikallisessa AD DS -toimialueessa on tässä vakiomenettelyssä nimenomaisesti mainittu ei-tuettuna tapauksena. Tämä ei ole kannanotto paikallisia hakemistopalveluja vastaan, vaan tämän kirjautumistavan rajaus.
| Laitteen lähtötilanne | Dokumentoitu FIDO2-reitti Windowsissa | Lisäksi selvitettävä |
|---|---|---|
| Microsoft Entra joined | Tuettu asiakasskenaario edellytysten täyttyessä. | Rekisteröity menetelmä, käytäntö ja tarvittavat paikalliset resurssit. |
| Microsoft Entra hybrid joined | Tuettu asiakasskenaario, joka vaatii hybridivalmisteluja. | AD/Kerberos-edellytykset ja todellinen resurssien käyttö. |
| Pelkkä paikallinen AD DS -toimialue | Ei sama tuettu vakioreitti kuin tässä Microsoftin ohjeessa. | Arvioi erillinen ratkaisu; onnistunut verkkokirjautuminen ei osoita vastaavuutta. |
Microsoft määrittelee laite-, ohjelmisto- ja käytäntövaatimukset. Historiallisesti mainittu vähimmäisversio ei korvaa valmistajan nykyisen tuen tarkistamista. Suunnittelussa käytetään ylläpidettyjä, edelleen tuettuja versioita. Lähteet: Microsoft: FIDO2-avainkirjautuminen Windows-asiakkaalla (ulkoinen linkki).
Hybridikäyttö vaatii valmistellun toisen reitin
Hybridityöasemalla paikallinen AD-rakenne on edelleen merkityksellinen. Perinteisten AD-resurssien käyttäminen modernin kirjautumisen jälkeen vaatii asianmukaisten Entra/Kerberos-edellytysten valmistelun. Avain ei itse tarjoa toimialueen ohjainta eikä luo täydellistä paikallista kirjautumisreittiä ilman sopivaa integraatiota.
Tarkistettavia asioita ovat muun muassa todellinen liitostila, käyttäjien vastaavuus, tuetut toimialueen ohjainversiot ja sovittu hybridikokoonpano. Verkko- ja offline-tilanteet testataan erikseen. Yksinkertaistettu arkkitehtuurikuva ei korvaa tätä kartoitusta. Tekninen viite: Microsoft: FIDO2 ja paikalliset AD-resurssit (ulkoinen linkki).
Avaimen rekisteröinti ja Windows-kirjautumisen käyttöönotto kuuluvat yhteen
Yhteensopiva avainmalli on rekisteröitävä sallituksi todennusmenetelmäksi oikealle käyttäjätilille. Windows-työasemalla on lisäksi oltava sopiva kirjautumistapa ja sen käyttölupa. Toimittajan, mallin ja käytäntöjen vaatimukset arvioidaan yhdessä; mikä tahansa USB-avain ei muutu kelvolliseksi yritystunnisteeksi vain liittämällä se koneeseen.
FIDO2-avaimen PIN-koodi hyväksyy todentimen käytön paikallisesti. Se ei ole toimialueen salasana eikä yhteinen tiimisalasana. Käyttöönottoa varten valmistellaan luovutus, ensirekisteröinti, asianmukainen henkilöllisyyden tarkistus, virhetilanteiden tuki ja jäljitettävä poisotto. Salasanojen hallintaohjelma voi täydentää käyttöoikeuksien järjestämistä, mutta ei korvaa tätä rekisteröintiä.
Windows Hello for Business on oma osansa
Windows Hello for Business käyttää laitteeseen sidottuja avaimia ja paikallista hyväksyntää esimerkiksi PIN-koodilla tai biometrialla. Mukana kulkeva FIDO2-turva-avain on sitä vastoin erillinen todennin, jota voi käyttää tuetuilla työasemilla. Molemmat voivat kuulua ratkaisuun, mutta niiden käyttöönotto ja luottamusreitit suunnitellaan erikseen.
Olemassa oleva Hello-PIN ei siis todista USB-avaimen rekisteröintiä eikä koko hybridiresurssireitin valmistelua. Toisaalta Microsoftin turva-avainkirjautumisen määritys ei automaattisesti vaadi samaa täydellistä Hello-käyttöönottoa. Perusteet: Microsoft: Windows Hello for Business (ulkoinen linkki).
Hyväksy RDP, VDI ja palvelinkirjautuminen erikseen
Etätyöpöytäympäristössä arvioidaan yhdessä kolme osaa: paikallinen asiakasalusta, kohdejärjestelmä ja yhteyden muodostava ohjelmisto. Lisäksi on kaksi erillistä kysymystä: voiko avain todentaa istunnon avaamisen ja voiko sitä tämän jälkeen käyttää sovellukseen istunnon sisällä?
WebAuthn-uudelleenohjaus voi mahdollistaa käytön etäistunnon sisällä tukematta kaikkia Windows-kirjautumisen muotoja. Microsoftin nykyinen suunnitteluohje kuvaa eri yhdistelmiä; yleinen väite ”RDP toimii aina” tai ”ei koskaan” olisi epätarkka. Myöskään paikallista vuorovaikutteista palvelinkirjautumista, Suorita nimellä -toimintoa tai muita protokollia ei päätellä onnistuneesta Windows-asiakastestistä. Microsoft: salasanattomien RDP-tilanteiden suunnittelu (ulkoinen linkki).
Sovi vara-avaimista, hätäkäytöstä ja työsuhteen päättymisestä etukäteen
Pilottiin kuuluu kadonnut tai viallinen avain. Riippumattomasti rekisteröity varamenetelmä valmistellaan ja säilytetään suojattuna; rekisteröimätön varalaite ei ole valmis palautusreitti. Vastuuhenkilöiden on osattava varmistaa henkilöllisyys, perua kadonnut menetelmä ja luovuttaa korvaava avain hallitusti.
Ylläpidon hätäkäyttö on erillinen tehtävä. Se suunnitellaan tavallisista vikasyistä riippumattomaksi, suojataan sopivalla vahvalla todennuksella ja testataan säännöllisesti valvotuissa oloissa. Tämä ei ole yleinen suositus poistaa monitekijäsuojaus käytöstä. Toteutus perustuu ajantasaiseen Microsoftin hätäkäyttödokumentaatioon (ulkoinen linkki) ja organisaation omaan ympäristöön.
Työsuhteen päättyessä tilit, rekisteröidyt avaimet ja aktiiviset istunnot perutaan tarpeen mukaan. Avaimen palauttaminen yksin ei vahvista koko prosessin valmistumista. Fyysinen palautus, menetelmän tekninen peruminen ja mahdollinen uusi rekisteröinti myöhempää käyttöä varten ovat eri vaiheita.
Arvioi todellinen työasema DAXSin kanssa
DAXS kartoittaa yhdessä identiteetit, laitteiden liitostavan, paikalliset resurssit ja etäkäytön. Rajattu pilotti testaa kirjautumisen, oikeudet, häiriön ja korvaamisen aiotuilla työasemilla. Tuloksena on dokumentoitu sopiva toimintatapa, jolla on selkeät rajat ja vastuut, ilman yleislupausta jokaiselle Windows-toimialueelle.
Keskustele FIDO2:n käytöstä yrityksessä · Suunnittele työasemat ja identiteetit · Arvioi paikallinen infrastruktuuri
Usein kysytyt kysymykset
Riittääkö perinteinen AD-toimialue tähän FIDO2-kirjautumiseen Windowsissa?
Microsoft ei mainitse pelkkää paikallista AD-liitosta tässä tuettuna vakiotapauksena. Entra-liitos ja hybridiliitos ovat eri tapauksia. Muut menettelyt tarvitsevat oman arkkitehtuuri- ja yhteensopivuusarvionsa.
Korvaako avain yritystilini?
Se on tilille rekisteröity kirjautumismenetelmä. Käyttäjähallinta, käyttöoikeudet ja pääsyn poistaminen työsuhteen päättyessä ovat edelleen tarpeen.
Voinko avata sillä automaattisesti kaikki palvelimet ja VDI-istunnot?
Et. Kohdejärjestelmä, yhteysasiakas, protokolla ja aiottu käyttötapa tarkistetaan erikseen. Toimiva verkkokirjautuminen ei ole riittävä osoitus.
