访问此页面需要授权。 可以尝试 登录 或 更改目录 。 访问此页面需要授权。 可以尝试 更改目录 。 适用于: ✅ Windows 11 , ✅ Windows 10 与密码相比，密钥提供了一种更安全、更方便的登录网站和应用程序的方法。 与用户必须记住和键入的密码不同，密码作为机密存储在设备上，可以使用设备的解锁机制 (生物识别或 PIN) 。 无需进行其他登录质询即可使用密钥，从而使身份验证过程更快、更安全、更方便。 可以将密钥与支持它们的任何应用程序或网站一起使用，以便使用 Windows Hello 创建和登录。 创建密钥并将其与Windows Hello一起存储后，可以使用设备的生物识别或 PIN 登录。 或者，可以使用手机或平板电脑) (配套设备登录。 从 Windows 11 版本 22H2 和 KB5030310 开始，Windows 提供密钥管理的本机体验。 但是，可以在所有受支持的 Windows 客户端版本中使用密钥。 本文介绍如何在 Windows 设备上创建和使用密钥。 Microsoft长期以来一直是 FIDO 联盟的创始成员，并帮助在平台验证器（如 Windows Hello）中本机定义和使用密钥。 密钥使用 FIDO 行业安全标准，所有主要平台都采用该标准。 Microsoft等领先的技术公司正在支持作为 FIDO 联盟的一部分的密钥，许多网站和应用正在集成对密钥的支持。 FIDO 协议依赖于标准公钥/私钥加密技术来提供更安全的身份验证。 当用户向联机服务注册时，其客户端设备将生成新的密钥对。 私钥安全地存储在用户的设备上，而公钥则注册到服务。 若要进行身份验证，客户端设备必须通过对质询进行签名来证明其拥有私钥。 只有在用户使用Windows Hello解锁因子 (生物识别或 PIN) 解锁私钥后，才能使用私钥。 FIDO 协议优先考虑用户隐私，因为它们旨在防止联机服务跨不同服务共享信息或跟踪用户。 此外，身份验证过程中使用的任何生物识别信息都保留在用户的设备上，不会通过网络或服务传输。 与密码相较，密码具有多种优势，包括其易用性和直观性。 与密码不同，密钥易于创建，无需记住，也不需要受到保护。 此外，每个网站或应用程序都唯一的密钥，从而阻止其重用。 它们高度安全，因为它们仅存储在用户的设备上，服务仅存储公钥。 密钥旨在防止攻击者猜测或获取密钥，这有助于他们抵御攻击者可能试图诱使用户泄露私钥的钓鱼尝试。 浏览器或操作系统强制使用密钥，使其仅用于适当的服务，而不依赖于人工验证。 最后，密钥提供跨设备和跨平台身份验证，这意味着一台设备的密钥可用于在另一台设备上登录。 Windows 版本和许可要求 下表列出了支持密钥的 Windows 版本： Passkeys 许可证权利由以下许可证授予： 有关 Windows 许可的详细信息，请参阅 Windows 许可概述 。 用户可以按照以下主题中的步骤在 Windows 上创建、使用和管理其密钥： Windows 11上的密钥隐私同意 从 Windows 11 版本 24H2 开始，系统会提示用户同意隐私，然后应用程序才能访问密钥。 如果用户拒绝同意提示，则密钥注册和身份验证不适用于拒绝同意的应用程序。 用户可以随时在 “设置 > ”隐私 & 安全 > 密钥访问中管理密钥访问 。 在此页中，用户可以允许或阻止单个应用程序访问密钥。 如果用户拒绝对应用程序的密钥访问，他们可以按照以下步骤还原它： 打开 “设置” > “隐私”& 安全 > 密钥访问 。 在列表中查找应用程序并切换开关以允许密钥访问。 用于管理密钥同意提示的企业策略目前在 Windows 预览体验成员版本中可用，并且目标是在 2026 年 6 月底之前正式发布。 对于企业环境，管理员可以配置“设置”页面可见性，以确保用户有权访问密钥隐私设置。 有关详细信息，请参阅 设置策略 CSP - PageVisibilityList 。

对于密钥跨设备身份验证方案，Windows 设备和移动设备都必须启用蓝牙并连接到 Internet。 这允许用户通过蓝牙安全地授权另一台设备，而无需传输或复制密钥本身。 某些组织限制蓝牙的使用，包括使用密钥。 在这种情况下，组织可以通过允许仅使用已启用密钥传递的 FIDO2 验证器进行蓝牙配对来允许密钥。 若要将蓝牙的使用限制为仅传递密钥用例，请使用 蓝牙策略 CSP 和 DeviceInstallation Policy CSP 。 以下说明提供了有关如何配置设备的详细信息。 选择最适合需要的选项。 若要配置具有Microsoft Intune的设备， 可以结合以下设置使用自定义策略 ： OMA-URI： ./Device/Vendor/MSFT/Policy/Config/Bluetooth/ 允许广告 OMA-URI： ./Device/Vendor/MSFT/Policy/Config/Bluetooth/ AllowDiscoverableMode OMA-URI： ./Device/Vendor/MSFT/Policy/Config/Bluetooth/ AllowPrepairing OMA-URI： ./Device/Vendor/MSFT/Policy/Config/Bluetooth/ AllowPromptedProximalConnections OMA-URI： ./Device/Vendor/MSFT/Policy/Config/Bluetooth/ ServicesAllowedList 值： {0000FFFD-0000-1000-8000-00805F9B34FB};{0000FFF9-0000-1000-8000-00805F9B34FB} 设置允许的蓝牙服务和配置文件的列表： - FIDO 联盟通用第二因素验证器服务 ( 0000fffd-0000-1000-8000-00805f9b34fb ) - FIDO2 保护客户端到验证器的传输服务 ( 0000FFF9-0000-1000-8000-00805F9B34FB ) 有关详细信息，请参阅 FIDO CTAP 2.1 标准规范 和 蓝牙分配号码文档 。 OMA-URI： ./Device/Vendor/MSFT/Policy/Config/DeviceInstallation/ PreventInstallationOfMatchingDeviceIDs 值： <enabled/><data id="DeviceInstall_IDs_Deny_Retroactive" value="true"/><data id="DeviceInstall_IDs_Deny_List" value="1&#xF000;BTH\MS_BTHPAN"/> 通过 MDM Bridge WMI 提供程序 使用 PowerShell 脚本配置设备。 对于所有设备设置，必须以 SYSTEM (LocalSystem) 帐户的身份执行 WMI Bridge 客户端。 若要测试 PowerShell 脚本，可以： 打开提升权限的命令提示符并运行： psexec.exe -i -s powershell.exe 在 PowerShell 会话中运行脚本 有关详细信息，请参阅 将 PowerShell 脚本与 WMI Bridge 程序配合使用 。 应用设置后，如果尝试通过蓝牙配对设备，它将最初配对并立即断开连接。 蓝牙设备被阻止加载，并且无法从“设置”或设备管理器。 若要为密钥提供反馈，请打开 “反馈中心 ”，并使用“ 安全和隐私 > 密钥 ”类别。 想要尝试使用 Ask Learn 阐明或指导你完成本主题？ 上次更新时间为 2026-05-14