访问此页面需要授权。 可以尝试 登录 或 更改目录 。 访问此页面需要授权。 可以尝试 更改目录 。 本文介绍适用于 Microsoft Entra ID 的 Microsoft Authenticator 中针对密钥的 Authenticator 特定要求和配置。 在按照本文中的步骤操作之前，请启用通行密钥并创建通行密钥配置文件。 有关步骤，请参阅 Microsoft Entra ID中的“启用密钥”（FIDO2 ）。 Authenticator 中密钥的先决条件 至少具有 身份验证策略管理员 权限的帐户，用于配置身份验证方法。 至少具有 身份验证策略管理员 权限的帐户，用于配置身份验证方法。 需要在Microsoft Entra 管理中心的 身份验证方法 中启用 Passkey （FIDO2） 策略中的 密码登录 。 需要在Microsoft Entra 管理中心的 身份验证方法 中启用 Passkey （FIDO2） 策略中的 密码登录 。 Android 14 及更高版本或 iOS 17 及更高版本。 Android 14 及更高版本或 iOS 17 及更高版本。 对于跨设备注册和身份验证： 确保两台设备上都启用了蓝牙和活动 Internet 连接。 如果组织限制蓝牙使用，则可以 允许蓝牙与已启用 passkey 的 FIDO2 验证器进行完全配对 ，以允许跨设备密码登录和注册。 你的组织需要允许连接至下表中的终结点，以便启用跨设备注册和身份验证。 必须允许设备访问这些 URL。 有关 Apple 设备要求的详细信息，请参阅 在企业网络上使用 Apple 产品 。 平台 URL Android cable.ua5v.com iOS cable.auth.com app-site-association.cdn-apple.com app-site-association.networking.apple 注意 在 iOS 上，用户只能在 Authenticator 应用中直接注册经过证明的通行密钥。 在 Android 上，用户可以直接在 Authenticator 应用中注册已证明的通行密钥，也可以通过跨设备注册流程进行注册。 确保两台设备上都启用了蓝牙和活动 Internet 连接。 如果组织限制蓝牙使用，则可以 允许蓝牙与已启用 passkey 的 FIDO2 验证器进行完全配对 ，以允许跨设备密码登录和注册。 你的组织需要允许连接至下表中的终结点，以便启用跨设备注册和身份验证。 必须允许设备访问这些 URL。 有关 Apple 设备要求的详细信息，请参阅 在企业网络上使用 Apple 产品 。 平台 URL Android cable.ua5v.com iOS cable.auth.com app-site-association.cdn-apple.com app-site-association.networking.apple 确保两台设备上都启用了蓝牙和活动 Internet 连接。 如果组织限制蓝牙使用，则可以 允许蓝牙与已启用 passkey 的 FIDO2 验证器进行完全配对 ，以允许跨设备密码登录和注册。 你的组织需要允许连接至下表中的终结点，以便启用跨设备注册和身份验证。 必须允许设备访问这些 URL。 有关 Apple 设备要求的详细信息，请参阅 在企业网络上使用 Apple 产品 。 在 iOS 上，用户只能在 Authenticator 应用中直接注册经过证明的通行密钥。 在 Android 上，用户可以直接在 Authenticator 应用中注册已证明的通行密钥，也可以通过跨设备注册流程进行注册。 若要了解有关 FIDO2 支持的详细信息，请参阅 支持使用 Microsoft Entra ID 进行 FIDO2 身份验证。 如果在条件访问策略中授予“要求将设备标记为合规”，则不会阻止 Microsoft Authenticator 应用访问 UserAuthenticationMethod.Read 范围。 Authenticator 需要在 Authenticator 注册期间访问 UserAuthenticationMethod.Read 范围，以确定用户可以配置的凭据。 Authenticator 需要访问“UserAuthenticationMethod.ReadWrite”来注册凭据，这无法逃避“ 要求将设备标记为合规 ”检查。 在 Authenticator 中配置密钥配置文件 至少以 身份验证策略管理员 的身份登录到 Microsoft Entra 管理中心。 至少以 身份验证策略管理员 的身份登录到 Microsoft Entra 管理中心。 浏览到 Entra ID > 身份验证方法 。 浏览到 Entra ID > 身份验证方法 。 在 身份验证方法 | 策略 页上，选择 通行密钥 (FIDO2) > 配置 。 在 身份验证方法 | 策略 页上，选择 通行密钥 (FIDO2) > 配置 。 选择“ + 添加配置文件 ”。 选择“ + 添加配置文件 ”。 为该配置文件输入一个 名称 ，例如 Authenticator 密钥 。 为该配置文件输入一个 名称 ，例如 Authenticator 密钥 。 选择是否 强制证明 。 如需更多信息，请参阅 身份验证器证明 。 选择是否 强制证明 。 如需更多信息，请参阅 身份验证器证明 。 对于 Passkey 类型 ，请选择 “设备绑定 ”。 对于 Passkey 类型 ，请选择 “设备绑定 ”。 选择 特定目标 AAGUID ，并将 行为 设置为 允许 。 选择 特定目标 AAGUID ，并将 行为 设置为 允许 。 选择 “+ 添加 AAGUID > Microsoft Authenticator 并 保存 。 选择 “+ 添加 AAGUID > Microsoft Authenticator 并 保存 。 在 Authenticator 中为密钥配置文件启用并指定目标组 至少以 身份验证策略管理员 的身份登录到 Microsoft Entra 管理中心。 至少以 身份验证策略管理员 的身份登录到 Microsoft Entra 管理中心。 浏览到 Entra ID > 身份验证方法 。 浏览到 Entra ID > 身份验证方法 。 在 身份验证方法 | 策略 页上，选择 通行密钥 (FIDO2) > 启用并设定目标 。 在 身份验证方法 | 策略 页上，选择 通行密钥 (FIDO2) > 启用并设定目标 。 在“启用和目标” 选项卡上，确保“启用” 为“开启” 。 在“启用和目标” 选项卡上，确保“启用” 为“开启” 。 选择 “添加目标 ”，然后选择“ 所有用户 ”或 “选择目标” 以选择特定组。 选择 “添加目标 ”，然后选择“ 所有用户 ”或 “选择目标” 以选择特定组。 在 Authenticator 中选择密钥的配置文件，然后单击“保存” 。 注意 一个目标组（例如工程）可以针对多个密钥配置文件进行范围设置。 当用户的范围为多个密钥配置文件时，如果密钥完全满足至少一个范围密钥配置文件的要求，则允许使用密钥进行注册和身份验证。 检查过程没有特定的顺序。 如果用户属于 Passkey (FIDO2) 策略中被排除的组，则将完全无法注册或登录通行密钥 (FIDO2)。 该屏蔽规则优先于任何所包含组的成员资格。 在 Authenticator 中选择密钥的配置文件，然后单击“保存” 。 一个目标组（例如工程）可以针对多个密钥配置文件进行范围设置。 当用户的范围为多个密钥配置文件时，如果密钥完全满足至少一个范围密钥配置文件的要求，则允许使用密钥进行注册和身份验证。 检查过程没有特定的顺序。 如果用户属于 Passkey (FIDO2) 策略中被排除的组，则将完全无法注册或登录通行密钥 (FIDO2)。 该屏蔽规则优先于任何所包含组的成员资格。 启用通行密钥并在 Microsoft Entra 管理中心创建通行密钥配置文件时，可以选择是否强制执行证明。 有关配置通行密钥配置文件的常规步骤，请参阅 启用通行密钥 (FIDO2) 。 启用证明后，Microsoft Entra ID验证所创建的通行密钥的合法性。 当用户在 Authenticator 中注册通行密钥时，认证证明会借助 Apple 和 Google 的服务来验证该通行密钥是否由正规的 Authenticator 应用创建： iOS ：验证器证明使用 iOS 应用证明服务 ，以确保验证器应用的合法性，然后再注册通行密钥。 iOS ：验证器证明使用 iOS 应用证明服务 ，以确保验证器应用的合法性，然后再注册通行密钥。 Android ： 对于 Play Integrity 证明，Authenticator 证明将使用 Play Integrity API 来确保 Authenticator 应用的合法性，然后再注册密钥。 对于密钥证明，Authenticator 证明将使用 Android 密钥证明 来验证硬件是否支持要注册的密钥。 对于 Play Integrity 证明，Authenticator 证明将使用 Play Integrity API 来确保 Authenticator 应用的合法性，然后再注册密钥。 对于密钥证明，Authenticator 证明将使用 Android 密钥证明 来验证硬件是否支持要注册的密钥。 对于 iOS 和 Android，Authenticator 证明将依靠 Apple 和 Google 服务来验证 Authenticator 应用的真实性。 大量服务使用可能会使密钥注册失败，用户可能需要重试。 如果 Apple 和 Google 服务处于关闭状态，则在相应服务恢复之前，Authenticator 证明会阻止需要证明的注册。 若要监视 Google Play Integrity 服务的状态，请参阅 Google Play 状态仪表板 。 若要监视 iOS App Attest 服务的状态，请参阅 系统状态 。 在 iOS 上，用户只能在 Authenticator 应用中直接注册经证明的通行密钥。 在 Android 上，用户可以直接在 Authenticator 应用中注册已证明的通行密钥，也可以通过跨设备注册流程进行注册。 可以通过在密钥配置文件中针对“Authenticator 证明全局唯一标识符 (AAGUID)”进行设置，限制用户使用 Authenticator 密钥。 如果需要，还可以选择 “+ 添加 AAGUID ”并手动添加以下 AAGUID： 适用于 Android 的 Authenticator ： de1e552d-db1d-4423-a619-566b625cdc84 适用于 iOS 的 Authenticator ： 90a3ccdf-635c-4729-a248-9b709135078f 如果删除以前允许的 AAGUID，则以前注册允许方法的用户不能再将其用于登录。

使用 Graph 浏览器在 Authenticator 中启用通行密钥 除了使用 Microsoft Entra 管理中心外，还可以通过 Graph Explorer 在 Authenticator 中启用通行密钥。 如果你至少分配有 身份验证策略管理员 角色，则可以更新身份验证方法策略，以允许使用 Authenticator 的 AAGUID。 以下示例使用租户级 FIDO2 配置终结点。 有关基于配置文件的通行密钥管理方法，请参阅 启用通行密钥 (FIDO2) 。 若要使用 Graph 浏览器配置策略，请执行以下操作： 登录到 Graph 浏览器 ，并同意授予“Policy.Read.All”和“Policy.ReadWrite.AuthenticationMethod”权限 。 登录到 Graph 浏览器 ，并同意授予“Policy.Read.All”和“Policy.ReadWrite.AuthenticationMethod”权限 。 检索身份验证方法策略： GET https://graph.microsoft.com/v1.0/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2 若要启用证明强制实施，并强制实施密钥限制以仅允许将 AAGUID 用于 Authenticator，请使用以下请求正文执行 PATCH 操作： PATCH https://graph.microsoft.com/v1.0/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2 Request Body: { "@odata.type": "#microsoft.graph.fido2AuthenticationMethodConfiguration", "isAttestationEnforced": false, "keyRestrictions": { "isEnforced": true, "enforcementType": "allow", "aaGuids": [ "90a3ccdf-635c-4729-a248-9b709135078f", "de1e552d-db1d-4423-a619-566b625cdc84" <insert previous AAGUIDs here to keep them stored in policy> ] } } 若要启用证明强制实施，并强制实施密钥限制以仅允许将 AAGUID 用于 Authenticator，请使用以下请求正文执行 PATCH 操作： 确保正确更新通行密钥 (FIDO2) 策略。 GET https://graph.microsoft.com/v1.0/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2 确保正确更新通行密钥 (FIDO2) 策略。 限制蓝牙以仅使用 Authenticator 中的密钥 一些组织限制蓝牙使用，其中包括密钥的使用。 在这种情况下，组织可以通过仅允许蓝牙与已启用密钥的 FIDO2 验证器进行配对来允许密钥。 有关如何仅为密钥配置蓝牙使用的更多信息，请参阅 蓝牙受限环境中的密钥 。 对 Authenticator 中的密钥进行故障排除 本部分介绍用户在 Authenticator 中使用密钥时可能看到的问题，以及管理员解决其可能的方法。 在 Android 配置文件中存储密钥 Android 中的密钥仅可从存储它们的配置文件中使用。 如果密钥存储在 Android Work 配置文件中，则从该配置文件使用它。 如果密钥存储在 Android 个人配置文件中，则从该配置文件使用它。 为了确保用户可以访问和使用他们需要的密钥，具有 Android 个人配置文件和 Android Work 配置文件的用户都应在每个配置文件的 Authenticator 中创建其通行密钥。 身份验证强度条件访问策略循环问题的解决方法 如果条件访问策略要求使用抗钓鱼身份验证才能访问 所有资源（以前称为“所有云应用”） ，用户在 Authenticator 中尝试添加通行密钥时可能会陷入循环。 例如： 条件： 所有设备（Windows、Linux、macOS、Windows、Android） 目标资源： 所有资源（以前为“所有云应用”） 授予控制： 身份验证强度 – 要求在 Authenticator 中使用通行密钥 该策略强制目标用户使用密钥登录到所有云应用程序，其中包括 Authenticator 应用。 当用户尝试在 Android 或 iOS 版的 Authenticator 中添加密钥时，系统会要求用户使用该密钥。 可以 筛选应用程序 ，并将策略目标从 “所有资源”（以前为“所有云应用”） 转换为特定应用程序。 首先查看租户中使用的应用程序。 使用筛选器为 Authenticator 和其他应用程序添加标记。 可以 筛选应用程序 ，并将策略目标从 “所有资源”（以前为“所有云应用”） 转换为特定应用程序。 首先查看租户中使用的应用程序。 使用筛选器为 Authenticator 和其他应用程序添加标记。 为了进一步降低支持成本，你可以在强制实施密钥之前开展一次内部推广活动，帮助用户适应密钥的使用。 准备好强制使用密钥时，请创建两个条件访问策略： 移动操作系统（OS）版本政策 桌面操作系统版本策略 需要对每个策略使用不同的身份验证强度，并配置下表中列出的其他策略设置。 可以为用户启用 临时访问密码（TAP）， 也可以启用其他身份验证方法来帮助用户注册通行密钥。 TAP 限制用户可以注册通行密钥的时间。 只能在允许密钥注册的移动平台上接受它。 条件访问策略 桌面操作系统 移动 OS Name 需要 Authenticator 中的密钥才能访问桌面 OS。 需要 TAP、防钓鱼凭据或任何其他指定的身份验证方法才能访问移动 OS。 条件 特定设备（桌面操作系统）。 特定设备（移动操作系统）。 设备 N/A. Android、iOS。 排除设备 Android、iOS。 N/A. 目标资源 所有资源。 所有资源。 授予控制权 身份验证强度。 身份验证强度。 1 Methods 身份验证器中的通行密钥。 TAP，身份验证器中的通行密钥。 策略结果 无法在 Authenticator 中使用密钥登录的用户将定向到 “我的登录 ”向导模式。 注册后，系统会要求他们在移动设备上登录到 Authenticator。 使用 TAP 或其他允许的方法登录到 Authenticator 的用户可以直接在 Authenticator 中注册通行密钥。 由于用户满足身份验证要求，因此不会发生循环。 1 若要让用户注册新的登录方式，移动设备策略中的授予控制需要与用于注册 安全信息 的条件访问策略保持一致。 为了进一步降低支持成本，你可以在强制实施密钥之前开展一次内部推广活动，帮助用户适应密钥的使用。 准备好强制使用密钥时，请创建两个条件访问策略： 需要对每个策略使用不同的身份验证强度，并配置下表中列出的其他策略设置。 可以为用户启用 临时访问密码（TAP）， 也可以启用其他身份验证方法来帮助用户注册通行密钥。 TAP 限制用户可以注册通行密钥的时间。 只能在允许密钥注册的移动平台上接受它。 1 若要让用户注册新的登录方式，移动设备策略中的授予控制需要与用于注册 安全信息 的条件访问策略保持一致。 使用任一解决方法，用户还必须满足任何以 注册安全信息 为目标的条件访问策略，或者他们无法注册密钥。 如果在所有 资源 策略中设置了其他条件，则必须在注册通行密钥时满足这些条件。 由于“需要已批准的客户端应用”或“需要应用保护策略”条件访问授权控制而无法注册密钥的用户 如果用户包含在以下条件访问策略中，则无法在 Authenticator 中注册密钥： 条件： 所有设备（Windows、Linux、macOS、Windows、Android） 目标资源： 所有资源（以前为“所有云应用”） 授予控制权限： 要求使用经批准的客户端应用 或 要求应用保护策略 该策略强制用户使用支持 Microsoft Intune应用保护策略 的应用登录到所有云应用程序。 Authenticator 不支持 Android 或 iOS 上的此策略。 可以 筛选应用程序 ，并将策略目标从 “所有资源”（以前为“所有云应用”） 转换为特定应用程序。 首先查看租户中使用的应用程序。 使用筛选器标记相应的应用程序。 可以 筛选应用程序 ，并将策略目标从 “所有资源”（以前为“所有云应用”） 转换为特定应用程序。 首先查看租户中使用的应用程序。 使用筛选器标记相应的应用程序。 你可以使用移动设备管理 (MDM) 和 要求将设备标记为合规 控件。 如果 MDM 完全管理设备且符合要求，验证器可以满足此授权控制。 例如： 条件： 所有设备（Windows、Linux、macOS、Windows、Android） 目标资源： 所有资源（以前为“所有云应用”） 授予控制： 需要批准的客户端应用 或 要求应用保护策略 ，或 要求将设备标记为合规 你可以使用移动设备管理 (MDM) 和 要求将设备标记为合规 控件。 如果 MDM 完全管理设备且符合要求，验证器可以满足此授权控制。 例如： 条件： 所有设备（Windows、Linux、macOS、Windows、Android） 目标资源： 所有资源（以前为“所有云应用”） 授予控制： 需要批准的客户端应用 或 要求应用保护策略 ，或 要求将设备标记为合规 你可以向用户授予条件访问策略的临时豁免。 请考虑使用一个或多个补偿控件： 仅允许有限时间段的豁免。 当允许用户注册通行密钥时，通知用户。 在该时间段结束后删除豁免。 然后，指示用户错过时间时致电技术支持。 使用另一个条件访问策略要求用户仅从特定网络位置或合规设备注册。 你可以向用户授予条件访问策略的临时豁免。 请考虑使用一个或多个补偿控件： 仅允许有限时间段的豁免。 当允许用户注册通行密钥时，通知用户。 在该时间段结束后删除豁免。 然后，指示用户错过时间时致电技术支持。 使用另一个条件访问策略要求用户仅从特定网络位置或合规设备注册。 通过任何建议的解决方法，用户还必须满足任何以 注册安全信息 为目标的条件访问策略，或者他们无法注册密钥。 如果你有使用 “所有资源 ”策略设置的其他条件，则用户必须先满足这些条件，然后用户才能注册通行密钥。 在 Authenticator 中注册密钥 管理员在 Authenticator 中启用密钥后，用户可以在其 iOS 或 Android 设备上在应用中注册密钥。 有关注册步骤，请参阅 在 Microsoft Authenticator 中注册密钥 。 使用 Authenticator 中的密钥登录 注册后，用户可以在其设备上使用 Authenticator 中的密码登录到Microsoft Entra ID。 有关登录步骤，请参阅 在 Authenticator 中使用通行密钥登录 。 在 Microsoft Entra ID 中启用通行密钥 （FIDO2） 在 Microsoft Authenticator 中注册密钥 在 Authenticator 中使用 passkey 登录 Microsoft Authenticator身份验证方法 支持使用 Microsoft Entra ID 进行 FIDO2 身份验证 在 Windows 中支持密钥 想要尝试使用 Ask Learn 阐明或指导你完成本主题？ 上次更新时间为 2026-07-09