访问此页面需要授权。 可以尝试 登录 或 更改目录 。 访问此页面需要授权。 可以尝试 更改目录 。 本文重点介绍如何使用 Windows 10 和 11 台设备启用基于 FIDO2 的安全密钥无密码身份验证。 完成本文中的步骤后，就可以使用 FIDO2 安全密钥，通过 Microsoft Entra 帐户登录 Microsoft Entra ID 以及已建立 Microsoft Entra 混合联接的 Windows 设备。 FIDO2 安全密钥的先决条件 至少具有 身份验证策略管理员 权限的帐户，用于配置身份验证方法。 至少具有 身份验证策略管理员 权限的帐户，用于配置身份验证方法。 需要在Microsoft Entra 管理中心的 身份验证方法 中启用 Passkey （FIDO2） 策略中的 密码登录 。 需要在Microsoft Entra 管理中心的 身份验证方法 中启用 Passkey （FIDO2） 策略中的 密码登录 。 设备需要满足以下要求： 设备类型 Microsoft Entra 已加入 Microsoft Entra 混合联接 兼容的 FIDO2 安全密钥 X X WebAuthN 需要Windows 10版本 1903 或更高版本 X X 已建立 Microsoft Entra 联接的设备 需要 Windows 10 版本 1909 或更高版本 X Microsoft Entra 混合联接设备 需要运行 Windows 10 版本 2004 或更高版本 X 运行 Windows Server 2016 或更高版本并已完整安装补丁的域控制器 X Microsoft Entra混合身份验证管理模块 X Microsoft Intune （可选） X X 预配包（可选） X X 组策略（可选） X Windows Server Active Directory 域服务 (AD DS) 已建立域联接（仅针对本地设备）的部署。 使用除 webauthn 重定向 之外的安全密钥的方案，例如 RDP、VDI 和 Citrix。 使用安全密钥的 S/MIME。 支持使用 FIDO2 安全密钥进行 OOBE 登录。 可以使用 Web 登录解锁 Windows 设备。 有关详细信息，请参阅 使用 Web Sign-In 在 Windows 中启用无密码 Sign-In 。 使用包含多个Microsoft Entra帐户的安全密钥登录或解锁Windows设备时，设备默认为添加到密钥的最后一个帐户。 但是，WebAuthn 允许用户选择要用于身份验证的特定帐户。 解锁设备需要 Windows 10 版本 1809。 为获得最佳体验，请使用版本 1903 或更高版本Windows 10。 Microsoft Entra已加入的设备必须运行Windows 10版本 1909 或更高版本。 已建立 Microsoft Entra 混合联接的设备必须运行 Windows 10 版本 2004 或更高版本。 为 FIDO2 安全密钥配置设备绑定型密钥配置文件 设备绑定型密钥配置文件允许你为存储在物理安全密钥上的设备绑定密钥定义证明信息和密钥限制设置。 至少以 身份验证策略管理员 的身份登录到 Microsoft Entra 管理中心。 至少以 身份验证策略管理员 的身份登录到 Microsoft Entra 管理中心。 浏览到 Entra ID > 身份验证方法 。 浏览到 Entra ID > 身份验证方法 。 在 身份验证方法 | 策略 页上，选择 通行密钥 (FIDO2) > 配置 。 在 身份验证方法 | 策略 页上，选择 通行密钥 (FIDO2) > 配置 。 选择“ + 添加配置文件 ”。 选择“ + 添加配置文件 ”。 输入 配置文件名称 ，例如 FIDO2 安全密钥 。 输入 配置文件名称 ，例如 FIDO2 安全密钥 。 对于 Passkey 类型 ，请选择 “设备绑定 ”和“ 保存 ”。 注意 如果为某个通行密钥配置文件禁用设备绑定式通行密钥，即使目标用户已经注册了设备绑定式通行密钥，他们也无法使用其登录。 对于 Passkey 类型 ，请选择 “设备绑定 ”和“ 保存 ”。 如果为某个通行密钥配置文件禁用设备绑定式通行密钥，即使目标用户已经注册了设备绑定式通行密钥，他们也无法使用其登录。 示例：针对特定 AAGUID 的目标设置 您可以针对特定的 AAGUID 控制用户可以注册哪些身份验证器。 在此示例中，密钥配置文件仅允许特定型号的 FIDO2 安全密钥使用 AAGUID。 选择 目标特定 AAGUID 。 选择 目标特定 AAGUID 。 将 行为 设置为 “允许 ”。 将 行为 设置为 “允许 ”。 在 “模型/提供程序 AAGUID” 下，为要允许登录的 FIDO2 安全密钥模型添加 AAGUID，然后选择“ 保存 ”。 Warning 如果选择 “强制证明 ”，则注册时需要证明。 Microsoft Entra ID 可以通过受信任的元数据验证身份验证器的制造商和型号。 证明向组织保证，密钥是真实的，来自规定的供应商。 如果未选择 “强制证明 ”，Microsoft Entra ID无法保证有关密钥的任何属性，包括同步还是设备绑定。 证明强制实施控制是否仅在注册期间允许通行密钥 (FIDO2)。 如果用户注册通行密钥（FIDO2）时未提供认证证明，那么即使稍后选择了 强制要求认证证明 ，也不会被阻止登录。 在 “模型/提供程序 AAGUID” 下，为要允许登录的 FIDO2 安全密钥模型添加 AAGUID，然后选择“ 保存 ”。 如果选择 “强制证明 ”，则注册时需要证明。 Microsoft Entra ID 可以通过受信任的元数据验证身份验证器的制造商和型号。 证明向组织保证，密钥是真实的，来自规定的供应商。 如果未选择 “强制证明 ”，Microsoft Entra ID无法保证有关密钥的任何属性，包括同步还是设备绑定。 如果选择 “强制证明 ”，则注册时需要证明。 Microsoft Entra ID 可以通过受信任的元数据验证身份验证器的制造商和型号。 证明向组织保证，密钥是真实的，来自规定的供应商。 如果未选择 “强制证明 ”，Microsoft Entra ID无法保证有关密钥的任何属性，包括同步还是设备绑定。 证明强制实施控制是否仅在注册期间允许通行密钥 (FIDO2)。 如果用户注册通行密钥（FIDO2）时未提供认证证明，那么即使稍后选择了 强制要求认证证明 ，也不会被阻止登录。 证明强制实施控制是否仅在注册期间允许通行密钥 (FIDO2)。 如果用户注册通行密钥（FIDO2）时未提供认证证明，那么即使稍后选择了 强制要求认证证明 ，也不会被阻止登录。 为设备绑定型密钥配置文件启用并设定目标组 组织可以选择使用以下一种或多种方法，以便根据组织的要求对Windows登录使用安全密钥： 使用 Microsoft Entra 管理中心 启用 通过 Microsoft Intune 启用 有针对性的 Microsoft Intune 部署 通过组策略启用（仅限Microsoft Entra混合联接设备） 具有已建立 Microsoft Entra 混合联接的设备 的组织 还 必须完成本文中的 启用对本地资源的 FIDO2 身份验证 步骤，Windows 10 FIDO2 安全密钥身份验证才能进行。 具有已加入 Microsoft Entra设备的组织 必须先执行此作，然后其设备才能使用 FIDO2 安全密钥向本地资源进行身份验证。 使用 Microsoft Entra 管理中心 启用 至少以 身份验证策略管理员 的身份登录到 Microsoft Entra 管理中心。 至少以 身份验证策略管理员 的身份登录到 Microsoft Entra 管理中心。 浏览到 Entra ID > 身份验证方法 。 浏览到 Entra ID > 身份验证方法 。 在 身份验证方法 | 策略 页上，选择 通行密钥 (FIDO2) > 启用并设定目标 。 在 身份验证方法 | 策略 页上，选择 通行密钥 (FIDO2) > 启用并设定目标 。 在“启用和目标” 选项卡上，确保“启用” 为“开启” 。 在“启用和目标” 选项卡上，确保“启用” 为“开启” 。 选择 “添加目标 ”，然后选择“ 所有用户 ”或 “选择目标” 以选择特定组。

选择 “添加目标 ”，然后选择“ 所有用户 ”或 “选择目标” 以选择特定组。 选择设备绑定型密钥的配置文件。 选择设备绑定型密钥的配置文件。 选择 “保存” ，为所选用户启用设备绑定的密钥。 选择 “保存” ，为所选用户启用设备绑定的密钥。 启用 Microsoft Intune 若要通过 Intune 启用安全密钥，请完成以下步骤： 登录到 Microsoft Intune 管理中心 。 浏览到 设备 > 注册设备 > Windows 注册 > Windows Hello 企业版 。 将“使用安全密钥登录”设置为“启用”。 登录的安全密钥配置不依赖于配置Windows Hello 企业版。 这不会在已预配的设备上启用安全密钥。 在这种情况下，请使用下一种方法（定向 Intune 部署）。 若要以特定设备组为目标启用凭据提供程序，请通过 Intune 使用以下自定义设置： 登录到 Microsoft Intune 管理中心 。 浏览到 设备 > Windows > 配置文件 > 创建配置文件 。 使用以下设置配置新的配置文件： 平台：Windows 10及更高版本 配置类型：模板 > 自定义 名称：Windows登录的安全密钥 说明：允许在Windows登录期间使用 FIDO 安全密钥 平台：Windows 10及更高版本 名称：Windows登录的安全密钥 说明：允许在Windows登录期间使用 FIDO 安全密钥 选择 下一步 > 添加 ，然后在 添加行 中添加以下自定义 OMA-URI 设置： 名称：为Windows登录启用 FIDO 安全密钥 说明：（可选） OMA-URI：./Device/Vendor/MSFT/PassportForWork/SecurityKey/UseSecurityKeyForSignin 数据类型：整数 值：1 名称：为Windows登录启用 FIDO 安全密钥 OMA-URI：./Device/Vendor/MSFT/PassportForWork/SecurityKey/UseSecurityKeyForSignin 分配其余的策略设置，包括特定的用户、设备或组。 有关详细信息，请参阅 在 Microsoft Intune 中分配用户和设备配置文件 。 对于不受Microsoft Intune管理的设备，可以安装预配包以启用该功能。 可以从 Microsoft Store 安装Windows配置设计器应用。 完成以下步骤以创建预配包： 启动Windows配置设计器。 为项目指定名称并记下在其中创建项目的路径，然后选择“下一步”。 保持 预配包 选中 选定的项目工作流 ，然后选择 下一步 。 选择 所有 Windows 桌面版 在 选择要查看和配置的设置 ，然后选择 下一步 。 在新创建的项目中，浏览到“运行时设置” “Windows Hello 企业版”>“安全密钥” “使用安全密钥登录”。 将“使用安全密钥登录”设置为“启用”。 在“生成”窗口中，保留“描述预配包”下的默认值，然后选择“下一步”。 在“生成”窗口中，保留“选择预配包的安全性详细信息”下的默认值，然后选择“下一步”。 记下或更改“生成”窗口的“选择保存预配包的位置”下的路径，然后选择“下一步”。 在 “构建预配包” 页中选择 “生成” 。 将创建的两个文件（ppkg 和 cat）保存到稍后可以将它们应用到计算机的位置。 若要应用创建的预配包，请参阅 应用预配包 。 运行 Windows 10 版本 1903 的设备还必须启用共享电脑模式（ EnableSharedPCMode ）。 有关启用此功能的详细信息，请参阅 在 Windows 10 上设置共享或来宾电脑 。 对于 已建立 Microsoft Entra 混合联接的设备 ，组织可以配置以下组策略设置，以启用 FIDO 安全密钥登录。 在“计算机配置” “管理模板”>“系统” “登录”>“开启安全密钥登录”下可以找到此设置： 将此策略设置为“启用”，将允许用户使用安全密钥登录。 将此策略设置为“禁用”或“未配置”，将阻止用户使用安全密钥登录。 “组策略”设置需要更新版本的 CredentialProviders.admx 组策略模板。 此新模板适用于下一版本的 Windows Server 和 Windows 10 20H1。 此设置可通过运行这些较新版本Windows的设备进行管理，也可以按照以下指南进行集中管理： 如何在 Windows 中创建和管理组策略管理模板的中央存储。 使用 Microsoft 图形 API 预配 FIDO2 安全密钥（预览版） 目前为预览版，管理员可以使用 Microsoft Graph 和自定义客户端代表用户预配 FIDO2 安全密钥 。 预配需要具有 UserAuthenticationMethod.ReadWrite.All 权限的 身份验证管理员角色 或客户端应用程序。 预配改进包括： 具有从 Microsoft Entra ID 请求 WebAuthn 创建选项 的能力 使用 Microsoft Entra ID 直接注册预配的安全密钥的功能 使用这些新的 API，组织可以生成自己的客户端，代表用户在安全密钥上预配密钥 (FIDO2) 凭据。 若要简化此流程，需要执行三个主要步骤。 为用户 请求 creationOptions ：Microsoft Entra ID 返回客户端预配密钥 (FIDO2) 凭据所需的数据。 这包括用户信息、信赖方 ID、凭据策略要求、算法、注册质询等信息。 使用创建选项 预配 密钥 (FIDO2) 凭据：使用 creationOptions 和支持客户端到 Authenticator 协议 (CTAP) 的客户端来预配凭据。 在此步骤中，需要插入安全密钥并设置 PIN。 注册 预配凭据到Microsoft Entra ID：使用预配过程的格式化输出，以便为Microsoft Entra ID提供目标用户注册通行密钥（FIDO2）凭据所需的数据。 若要共享反馈或遇到有关此功能的问题，请使用以下步骤通过Windows反馈中心应用进行共享： 启动“反馈中心”并确保你已登录。 按照以下分类提交反馈： 类别：安全和隐私 子类别：FIDO 要捕获日志，请使用“重新创建我的问题”选项。 管理员创建设备绑定的密钥配置文件后，用户可以在其设备上注册 FIDO2 安全密钥。 有关注册步骤，请参阅 使用 FIDO2 安全密钥注册密钥 。 使用 FIDO2 安全密钥登录 注册后，用户可以在其设备上使用 FIDO2 安全密钥登录到Microsoft Entra ID。 有关登录步骤，请参阅 使用 FIDO2 安全密钥登录 。 启用对 Microsoft Entra ID 和 Microsoft Entra 混合联接设备的本地资源的访问权限 Microsoft Entra多重身份验证 想要尝试使用 Ask Learn 阐明或指导你完成本主题？ 上次更新时间为 2026-07-09