Bezpečnostní klíč FIDO2 může zjednodušit přihlašování k pracovnímu počítači Windows. Zda to ve vašem prostředí funguje, závisí na připojení zařízení a architektuře identit. Samotný port USB a klasická doména Windows nejsou dostatečným popisem požadavků.
Nejprve ujasnit, o jaké přihlášení jde
Přihlášení k webu, odemknutí klienta Windows, přístup ke sdíleným souborům a navázání vzdálené plochy jsou různé operace. Klíč, který na témže notebooku otevře webovou aplikaci, tím ještě neprokazuje možnost přihlášení k jeho účtu Windows. Ani úspěšný pilotní účet automaticky nepotvrzuje všechny administrátorské a zvláštní účty.
Před výběrem se proto zaznamená, který účet se přihlašuje na kterém koncovém zařízení, jak je zařízení připojeno a jaké aplikace následují. Z toho vyplývají potřebné zkoušky. Text Základy přístupových klíčů a obnovení přístupu vysvětluje rozdíl mezi autentizátorem, zařízením a službou.
Rozlišovat Entra Join, Hybrid Join a pouze místní AD
Microsoft dokumentuje přihlášení klíčem FIDO2 ke klientovi Windows pro zařízení s Microsoft Entra Join a Microsoft Entra Hybrid Join. Členství výhradně v místní doméně AD DS je v tomto standardním postupu výslovně uvedeno jako nepodporovaný scénář. Nejde o hodnocení místních adresářových služeb; vymezuje to hranici této konkrétní přihlašovací cesty.
| Výchozí stav zařízení | Dokumentovaná cesta FIDO2 pro Windows | Co ještě ověřit |
|---|---|---|
| Microsoft Entra joined | Podporovaný klientský scénář při splnění předpokladů. | Registrovaná metoda, zásady a potřebné místní prostředky. |
| Microsoft Entra hybrid joined | Podporovaný klientský scénář s další hybridní přípravou. | Předpoklady AD/Kerberos a skutečný přístup k prostředkům. |
| Pouze místní doména AD DS | Nejde o stejnou podporovanou standardní cestu z tohoto návodu Microsoftu. | Ověřit samostatné řešení; nezaměňovat s úspěšným přihlášením k webu. |
Microsoft uvádí konkrétní požadavky na zařízení, software a zásady. Historicky uvedená minimální verze nenahrazuje ověření aktuální podpory výrobce. Plánuje se s udržovanými a stále podporovanými verzemi. Zdroje: Microsoft: přihlášení klíčem FIDO2 ke klientovi Windows (externí odkaz).
Hybridní přístup potřebuje připravenou druhou cestu
Na hybridním pracovišti zůstává místní struktura AD důležitá. Pro přístup ke klasickým prostředkům AD po moderním přihlášení musí být připraveny příslušné předpoklady Entra/Kerberos. Klíč sám neposkytuje řadič domény ani bez odpovídající integrace nevytváří úplnou místní přihlašovací cestu.
Ověřuje se mimo jiné skutečný stav připojení, přiřazení uživatelů, podporované verze řadičů domény a dohodnutá hybridní konfigurace. Síťové situace a režim offline se testují samostatně. Zjednodušené architektonické schéma tento průzkum nenahrazuje. Technický podklad: Microsoft: FIDO2 a místní prostředky AD (externí odkaz).
Registrace klíče a povolení ve Windows patří k sobě
Kompatibilní model klíče musí být zaregistrován jako povolená metoda ověřování pro správný uživatelský účet. Také pracoviště Windows potřebuje odpovídající a povolenou přihlašovací cestu. Požadavky poskytovatele, modelu a zásad se posuzují společně; libovolný klíč USB se pouhým zasunutím nestává platným firemním přihlašovacím prostředkem.
PIN klíče FIDO2 slouží k místnímu schválení na autentizátoru. Není to heslo domény ani sdílené týmové heslo. Před nasazením se připravuje vydání, počáteční registrace, vhodné ověření identity, pomoc při chybách a doložitelné odebrání. Správce hesel může doplnit organizaci přístupů, ale tuto registraci nenahrazuje.
Windows Hello for Business je samostatná součást
Windows Hello for Business používá klíče vázané na zařízení a místní schválení, například PINem nebo biometrií. Přenosný bezpečnostní klíč FIDO2 je naproti tomu samostatný autentizátor použitelný na podporovaných pracovištích. Obojí může být součástí řešení, ale jejich zprovoznění a cesty důvěry se plánují odděleně.
Existující PIN Hello tedy neprokazuje registraci klíče USB ani nastavení celé hybridní cesty k prostředkům. Naopak konfigurace přihlašování bezpečnostním klíčem podle Microsoftu automaticky nevyžaduje stejné kompletní nasazení Hello. Základy: Microsoft: Windows Hello for Business (externí odkaz).
RDP, VDI a přihlášení k serveru ověřovat samostatně
V prostředí vzdálené plochy se společně posuzují tři součásti: místní klientská platforma, cílový systém a software navazující spojení. K tomu patří dvě oddělené otázky: dokáže klíč ověřit zahájení relace a lze jej potom použít pro aplikaci uvnitř této relace?
Přesměrování WebAuthn může umožnit použití uvnitř vzdálené relace, aniž by podporovalo každou podobu přihlášení k Windows. Aktuální plánovací dokumentace Microsoftu popisuje různé kombinace; obecné tvrzení „RDP funguje vždy“ nebo „RDP nefunguje nikdy“ by bylo nepřesné. Z úspěšného testu klienta Windows se neodvozuje ani místní interaktivní přihlášení k serveru, Spustit jako či další protokoly. Microsoft: plánování scénářů RDP bez hesla (externí odkaz).
Předem vyřešit náhradní klíče, nouzový přístup a odchod zaměstnance
Součástí pilotu je ztracený nebo vadný klíč. Nezávisle zaregistrovaná záložní metoda se vhodně připraví a bezpečně uloží; nezaregistrované náhradní zařízení není hotovou cestou obnovení. Odpovědné osoby musí vědět, jak ověřit identitu, zneplatnit ztracenou metodu a řádně vydat náhradu.
Nouzový administrátorský přístup je samostatný úkol. Plánuje se nezávisle na obvyklých příčinách výpadků, chrání se vhodným silným ověřováním a pravidelně se řízeně testuje. Nejde o obecné doporučení vypínat vícefaktorovou ochranu. Konkrétní provedení vychází z aktuální dokumentace Microsoftu k nouzovému přístupu (externí odkaz) a vlastního prostředí organizace.
Při odchodu se odpovídajícím způsobem odebírají účty, registrované klíče a běžící relace. Samotné vrácení klíče nepotvrzuje úplné dokončení. Fyzické převzetí, technické odebrání metody a případná nová registrace pro pozdější použití zůstávají oddělenými kroky.
Prověřit skutečné pracoviště s DAXS
DAXS společně zmapuje identity, připojení zařízení, místní prostředky a vzdálené přístupy. Přiměřený pilot ověří přihlášení, oprávnění, výpadek a náhradu na zamýšlených pracovištích. Výsledkem je zdokumentovaný vhodný provozní postup s jasnými hranicemi a odpovědnostmi, nikoli paušální příslib pro každou doménu Windows.
Probrat využití FIDO2 ve firmě · Naplánovat pracoviště a identity · Posoudit místní infrastrukturu
Časté dotazy
Stačí pro tuto cestu FIDO2 přihlášení k Windows klasická doména AD?
Microsoft zde neuvádí čistě místní AD Join jako podporovaný standardní scénář. Entra Join a Hybrid Join jsou odlišné případy. Jiné postupy vyžadují vlastní prověření architektury a kompatibility.
Nahrazuje klíč můj firemní účet?
Je to registrovaná přihlašovací metoda pro účet. Správa uživatelů, oprávnění a odebrání přístupu při odchodu zůstávají nutné.
Otevřu tím automaticky každý server a každou relaci VDI?
Ne. Cílový systém, připojovací klient, protokol a požadované použití se ověřují odděleně. Funkční přihlášení k webu není dostatečným důkazem.
