En FIDO2-sikkerhedsnøgle kan gøre login på Windows-arbejdspladsen lettere. Om det virker i jeres miljø, afhænger af enhedstilknytningen og identitetsarkitekturen. En USB-port og et klassisk Windows-domæne beskriver ikke kravene tilstrækkeligt.
Afklar først, hvilket login der menes
Login på et websted, oplåsning af Windows-klienten, adgang til en fildeling og oprettelse af en Fjernskrivebord-forbindelse er forskellige handlinger. En nøgle, der åbner en webapplikation på samme bærbare computer, beviser ikke dermed, at den kan logge ind på computerens Windows-konto. En vellykket pilotkonto godkender heller ikke automatisk alle administrator- og specialkonti.
Før valget noteres derfor, hvilken konto der logger ind på hvilken enhed, hvordan enheden er tilknyttet, og hvilke programmer der følger efter. Det afgør de nødvendige prøver. Artiklen om grundlæggende passkeys og gendannelse forklarer forskellen mellem autentifikator, enhed og tjeneste.
Skeln mellem Entra join, hybrid join og rent lokalt AD
Microsoft dokumenterer FIDO2-nøglelogin på Windows-klienten for enheder med Microsoft Entra Join og Microsoft Entra Hybrid Join. Medlemskab af et rent lokalt AD DS-domæne er udtrykkeligt angivet som et ikke-understøttet scenarie i denne standardprocedure. Det er ikke en vurdering imod lokale katalogtjenester; det angiver grænsen for netop denne loginvej.
| Enhedens udgangspunkt | Dokumenteret FIDO2-Windows-vej | Yderligere afklaring |
|---|---|---|
| Microsoft Entra joined | Understøttet klientscenarie, når forudsætningerne er opfyldt. | Registreret metode, politik og nødvendige lokale ressourcer. |
| Microsoft Entra hybrid joined | Understøttet klientscenarie med yderligere hybridforberedelse. | AD/Kerberos-forudsætninger og faktisk ressourceadgang. |
| Kun lokalt AD DS-domæne | Ikke samme understøttede standardvej som i denne Microsoft-vejledning. | Vurder en selvstændig løsning; vellykket weblogin er ikke det samme. |
Microsoft angiver konkrete krav til enheder, software og politikker. En historisk nævnt minimumsversion erstatter ikke en kontrol af den aktuelle leverandørsupport. Der planlægges med vedligeholdte, fortsat understøttede versioner. Kilder: Microsoft: FIDO2-nøglelogin på Windows-klienten (eksternt link).
Hybrid adgang kræver en forberedt anden vej
På den hybride arbejdsplads er den lokale AD-struktur fortsat relevant. Adgang til klassiske AD-ressourcer efter moderne login kræver, at de relevante Entra/Kerberos-forudsætninger er forberedt. Nøglen leverer ikke selv en domænecontroller og skaber ikke en komplet lokal loginvej uden passende integration.
Blandt andet kontrolleres den faktiske tilknytningsstatus, brugerkobling, understøttede domænecontrollerversioner og den aftalte hybridkonfiguration. Netværks- og offlinesituationer testes separat. En forenklet arkitekturtegning erstatter ikke denne kortlægning. Teknisk reference: Microsoft: FIDO2 og lokale AD-ressourcer (eksternt link).
Nøgleregistrering og aktivering i Windows hænger sammen
En kompatibel nøglemodel skal være registreret som tilladt godkendelsesmetode for den rigtige brugerkonto. Windows-arbejdspladsen skal desuden have den passende loginvej og aktivering. Leverandør-, model- og politikkrav vurderes samlet; en vilkårlig USB-nøgle bliver ikke automatisk en gyldig virksomhedslegitimation ved at blive sat i.
PIN-koden til en FIDO2-nøgle godkender autentifikatoren lokalt. Den er hverken domæneadgangskoden eller en fælles teamadgangskode. Udrulningen forbereder udlevering, første registrering, passende identitetskontrol, fejlhjælp og sporbar tilbagetagelse. En adgangskodeadministrator kan supplere organiseringen af adgangen, men erstatter ikke registreringen.
Windows Hello for Business er en særskilt komponent
Windows Hello for Business bruger enhedsbundne nøgler og lokal godkendelse, eksempelvis med PIN eller biometri. En bærbar FIDO2-sikkerhedsnøgle er derimod en selvstændig autentifikator til understøttede arbejdspladser. Begge kan indgå i et koncept, men klargøring og tillidsveje skal planlægges separat.
En eksisterende Hello-PIN beviser derfor hverken, at USB-nøglen er registreret, eller at hele den hybride ressourcevej er oprettet. Omvendt kræver Microsofts opsætning af sikkerhedsnøglelogin ikke automatisk den samme komplette Hello-udrulning. Baggrund: Microsoft: Windows Hello for Business (eksternt link).
Godkend RDP, VDI og serverlogin separat
I et Fjernskrivebord-miljø vurderes tre komponenter sammen: den lokale klientplatform, målsystemet og softwaren, som opretter forbindelsen. Dertil kommer to separate spørgsmål: Kan nøglen godkende sessionsstarten, og kan den bagefter bruges til en applikation inde i sessionen?
WebAuthn-omdirigering kan muliggøre brug i en fjernsession uden at understøtte enhver form for Windows-login. Microsofts aktuelle planlægning beskriver forskellige kombinationer; generelle udsagn som »RDP virker altid« eller »RDP virker aldrig« ville være upræcise. Lokalt interaktivt serverlogin, Kør som og andre protokoller udledes heller ikke af en vellykket Windows-klienttest. Microsoft: planlæg adgangskodefri RDP-scenarier (eksternt link).
Aftal reservenøgler, nødadgang og fratrædelse på forhånd
En mistet eller defekt nøgle indgår i piloten. En uafhængigt registreret reservemetode forberedes passende og opbevares beskyttet; en endnu uregistreret reserveenhed er ikke en færdig gendannelsesvej. De ansvarlige skal vide, hvordan identitet kontrolleres, en mistet metode tilbagekaldes, og en erstatning udleveres ordentligt.
Administrativ nødadgang er en selvstændig opgave. Den planlægges uafhængigt af sædvanlige fejlårsager, beskyttes med egnet stærk godkendelse og afprøves regelmæssigt under kontrollerede forhold. Det er ikke en generel anbefaling om at slå multifaktorbeskyttelse fra. Den konkrete udformning følger den aktuelle Microsoft-dokumentation om nødadgang (eksternt link) og organisationens eget miljø.
Ved fratrædelse tilbagekaldes konti, registrerede nøgler og aktive sessioner efter behov. En afleveret nøgle bekræfter ikke alene, at alt er afsluttet. Fysisk aflevering, teknisk tilbagekaldelse af metoden og eventuel ny registrering til senere brug forbliver separate trin.
Vurder den faktiske arbejdsplads med DAXS
DAXS kortlægger identiteter, enhedstilknytning, lokale ressourcer og fjernadgang samlet. En overskuelig pilot afprøver login, rettigheder, fejl og erstatning på de planlagte arbejdspladser. Resultatet er en dokumenteret passende driftsvej med klare grænser og ansvar, uden et generelt løfte til ethvert Windows-domæne.
Drøft FIDO2 i virksomheden · Planlæg arbejdspladser og identiteter · Vurder lokal infrastruktur
Ofte stillede spørgsmål
Er et klassisk AD-domæne nok til denne FIDO2-Windows-loginvej?
Microsoft angiver ikke rent lokalt AD join som et understøttet standardscenarie her. Entra join og hybrid join er forskellige tilfælde. Andre metoder kræver deres egen arkitektur- og kompatibilitetsvurdering.
Erstatter nøglen min virksomhedskonto?
Den er en registreret loginmetode for en konto. Brugeradministration, rettigheder og spærring ved fratrædelse er stadig nødvendige.
Kan jeg automatisk åbne enhver server og VDI-session med den?
Nej. Målsystem, forbindelsesklient, protokol og ønsket brug kontrolleres separat. Et fungerende weblogin er ikke tilstrækkeligt bevis.
