访问此页面需要授权。 可以尝试 登录 或 更改目录 。 访问此页面需要授权。 可以尝试 更改目录 。 本文全面概述了Microsoft Entra ID中的密钥（FIDO2）身份验证支持。 它概述了 Web 浏览器、本机应用和作系统之间的兼容性，可实现无密码多重身份验证。 你还将找到特定于平台的注意事项、已知问题和第三方应用和标识提供者（IdP）支持指南。 使用此信息可以确保与环境中的 passkey 无缝集成和最佳用户体验。 有关如何在 Windows 设备上使用 FIDO2 安全密钥登录的详细信息，请参阅 使用 Microsoft Entra ID 登录到 Windows 10 和 11 台设备。 Microsoft Entra ID支持同步的密钥和设备绑定的密钥作为正式版（GA）身份验证方法。 以下部分介绍使用 Microsoft Entra ID 在 Web 浏览器中对密钥（FIDO2）身份验证的支持。 使用安全密钥登录需要以下项之一： Windows 10版本 1903 或更高版本 基于 Chromium 的Microsoft Edge Chrome 76 或更高版本 Firefox 66 或更高版本 Windows 10版本 1903 或更高版本 基于 Chromium 的Microsoft Edge Chrome 76 或更高版本 Firefox 66 或更高版本 使用 passkey 登录需要 macOS Catalina 11.1 或更高版本和 Safari 14 或更高版本，因为Microsoft Entra ID要求用户验证多重身份验证。 Apple 不支持在 macOS 上使用近场通信（NFC）和蓝牙低能（BLE）安全密钥技术。 新安全密钥注册在这些 macOS 浏览器上不起作用，因为它们不提示设置生物识别或 PIN。 Google 不支持在 ChromeOS 上使用 NFC 和 BLE 安全密钥。 ChromeOS 或 Chrome 浏览器不支持安全密钥注册。 Linux 上的 Firefox 不支持在 Microsoft Authenticator 中使用 passkey 登录。 使用 passkey 登录需要 iOS 14.3 或更高版本，因为Microsoft Entra ID要求用户验证多重身份验证。 Apple 在 iOS 上不支持 BLE 安全密钥。 在 iOS 系统中，Apple 不支持配备 FIPS 140-3 认证安全密钥的 NFC。 新安全密钥注册在 iOS 浏览器上不起作用，因为它们不提示设置生物识别或 PIN。 使用 passkey 登录需要 Google Play Services 21 或更高版本，因为Microsoft Entra ID要求用户验证多重身份验证。 Google 不支持 Android 上的 BLE 安全密钥。 以下各节介绍以下Microsoft Entra ID中对通行密钥（FIDO2）身份验证的支持： Microsoft身份验证代理的应用支持 在没有身份验证代理的情况下 Microsoft应用支持 没有身份验证代理的第三方应用支持 第三方身份提供者 (IdP) 支持

使用身份验证代理Microsoft应用支持 Microsoft应用为为操作系统安装了身份验证代理的所有用户提供密钥身份验证的本机支持。 使用身份验证代理的第三方应用也支持密码身份验证。 如果用户安装了身份验证代理，则可以选择在访问应用（如 Outlook）时使用密钥登录。 他们重定向到使用 passkey 登录，并在身份验证成功后重定向回Outlook作为登录用户。 下表列出了不同操作系统所支持的身份验证代理。 在没有身份验证代理的情况下，Microsoft应用支持 下表列出了在没有身份验证代理的情况下对 passkey（FIDO2）的Microsoft应用支持。 将应用更新到最新版本，以确保它们可与通行密钥一起工作。 没有身份验证代理的第三方应用支持 如果用户尚未安装身份验证代理，则当他们访问启用了 MSAL 的应用时，他们仍然可以使用密钥登录。 有关启用 MSAL 的应用的要求的详细信息，请参阅 在开发的应用中使用 FIDO2 密钥支持无密码身份验证 。 目前，使用身份验证代理或 android、iOS 或 macOS 上的Microsoft应用不支持使用第三方 IdP 的 Passkey 身份验证。 Microsoft Entra ID不支持在 iOS/macOS 上使用第三方 IdP 进行密钥身份验证。 解决方法是，如果第三方 IdP 由移动设备管理（MDM）管理，则可以在 iOS/macOS 设备上实现自己的单一登录（SSO）扩展。 Apple 在 MDM 托管设备上的可扩展 SSO 框架使标识提供者能够截获定向到其 URL 的网络请求。 当标识提供者的 SSO 扩展截获网络请求时，他们可以实现自定义身份验证握手。 这样，他们就可以使用系统浏览器或本机 Apple API 进行身份验证，而无需更改Microsoft应用程序。 有关详细信息，请参阅以下 Apple 文档： 可扩展单点登录设备管理配置文件 企业单一登录 （SSO） API 集合 使用 FIDO2 安全密钥登录到本机应用需要Windows 10版本 1903 或更高版本。 Microsoft Authenticator到本机应用的 passkey 登录需要Windows 11版本 22H2 或更高版本。 Microsoft Graph PowerShell 支持密钥（FIDO2）。 某些使用 Internet Explorer 而不是 Edge 的 PowerShell 模块无法执行 FIDO2 身份验证。 例如，适用于 SharePoint Online 或 Teams 的 PowerShell 模块或任何需要管理员凭据的 PowerShell 脚本不会提示 FIDO2。 一种解决方法是，大多数供应商可以将证书放在 FIDO2 安全密钥上。 基于证书的身份验证 (CBA) 适合所有浏览器。 如果可以为这些管理员帐户启用 CBA，可在此期间要求进行 CBA 而不是 FIDO2。 一种解决方法是，大多数供应商可以将证书放在 FIDO2 安全密钥上。 基于证书的身份验证 (CBA) 适合所有浏览器。 如果可以为这些管理员帐户启用 CBA，可在此期间要求进行 CBA 而不是 FIDO2。 在没有 Microsoft Enterprise 单一登录（SSO）插件 需要 iOS 16.0 或更高版本的情况下，在本机应用中使用 passkey 登录。 使用带有 SSO 插件的原生应用中的密码钥匙登录需要 iOS 17.1 或更高版本。 在 macOS 上，需要 Microsoft Enterprise 单一登录（SSO）插件 才能启用公司门户作为身份验证代理。 运行 macOS 的设备必须满足 SSO 插件要求，包括注册移动设备管理。 使用 SSO 插件的本机应用中通过密码密钥登录需要 macOS 14.0 或更高版本。 使用 FIDO2 安全密钥登录到原生应用需要 Android 13 或更高版本。 Microsoft Authenticator到本机应用的密钥登录需要 Android 14 或更高版本。 使用已启用 YubiOTP 的 Yubico 制造的 FIDO2 安全密钥登录可能不适用于较旧的 Android 设备。 解决方法是，用户可以禁用 YubiOTP 并尝试再次登录。 有关详细信息，请参阅 Android OEM 设备 FIDO 已知问题 。 想要尝试使用 Ask Learn 阐明或指导你完成本主题？ 上次更新时间为 2026-04-16