Microsoft Entra uwierzytelnianie oparte na certyfikatach w systemach iOS i macOS

W tym temacie omówiono obsługę uwierzytelniania opartego na certyfikatach przez Microsoft Entra dla urządzeń z systemów macOS i iOS.

Microsoft Entra uwierzytelnianie oparte na certyfikatach na urządzeniach z systemem macOS

Urządzenia z systemem macOS mogą używać CBA do uwierzytelniania w Microsoft Entra ID przy użyciu certyfikatu klienta X.509. Microsoft Entra CBA jest obsługiwana zarówno z certyfikatami na urządzeniach, jak i zewnętrznymi sprzętowo chronionymi kluczami zabezpieczeń. W systemie macOS Microsoft Entra CBA jest obsługiwana we wszystkich przeglądarkach i w pierwszych aplikacjach Microsoft.

Przeglądarki obsługiwane w systemie macOS

Edge	Chrom	Safari	Firefox
✅	✅	✅	✅

Microsoft Entra CBA nie jest obecnie obsługiwane w przypadku logowania opartego na urządzeniach do maszyn z systemem macOS. Certyfikat używany do logowania się na urządzeniu może być tym samym certyfikatem używanym do uwierzytelniania w Microsoft Entra ID z poziomu przeglądarki lub aplikacji klasycznej, ale samo logowanie urządzenia nie jest jeszcze obsługiwane przez Microsoft Entra ID.

Microsoft Entra uwierzytelnianie oparte na certyfikatach na urządzeniach z systemem iOS

Urządzenia z systemem iOS mogą używać uwierzytelniania opartego na certyfikatach (CBA) do uwierzytelniania w Microsoft Entra ID przy użyciu certyfikatu klienta na urządzeniu podczas nawiązywania połączenia z:

Aplikacje mobilne pakietu Office, takie jak Microsoft Outlook i Microsoft Word
klienci Exchange ActiveSync (EAS)

Microsoft Entra CBA jest obsługiwana dla certyfikatów na urządzeniu w natywnych przeglądarkach oraz w aplikacjach pierwszej strony Microsoft na urządzeniach z systemem iOS.

Wymagania wstępne

Wersja systemu iOS musi być systemem iOS 9 lub nowszym.
Microsoft Authenticator lub portal firmy jest wymagany dla aplikacji firmowych.

Obsługa certyfikatów urządzeń i magazynu zewnętrznego

Certyfikaty są konfigurowane bezpośrednio na urządzeniu. Klienci mogą aprowizować certyfikaty na urządzeniu przy użyciu usługi Mobile Zarządzanie urządzeniami (MDM). Ponieważ system iOS nie obsługuje obecnie kluczy chronionych sprzętem, klienci mogą używać zewnętrznych urządzeń magazynujących na potrzeby certyfikatów.

Obsługiwane platformy

Obsługiwane są tylko przeglądarki natywne
Aplikacje korzystające z najnowszych bibliotek MSAL lub Microsoft Authenticator mogą wykonywać CBA
Edge z profilem, gdy użytkownicy dodają konto i logują się na profil, obsługuje CBA.
Microsoft aplikacje własne z najnowszymi bibliotekami MSAL lub Microsoft Authenticator mogą wykonywać uwierzytelnianie oparte na certyfikatach.

Przeglądarki

Edge	Chrom	Safari	Firefox
❌	❌	✅	❌

Obsługa aplikacji mobilnych Microsoft

Aplikacje	Wsparcie
aplikacja Azure Information Protection	✅
Portal Firmowy	✅
Microsoft Teams	✅
Office (dla urządzeń przenośnych)	✅
OneNote	✅
OneDrive	✅
Outlook	✅
Power BI	✅
Skype dla firm	✅
Word/Excel/PowerPoint	✅
Yammer	✅

Obsługa klientów Exchange ActiveSync

W systemie iOS 9 lub nowszym natywny klient poczty systemu iOS jest obsługiwany.

Aby określić, czy aplikacja poczty e-mail obsługuje Microsoft Entra CBA, skontaktuj się z deweloperem aplikacji.

Obsługa certyfikatów na sprzętowym kluczu bezpieczeństwa

Certyfikaty można zainstalować na urządzeniach zewnętrznych, takich jak klucze bezpieczeństwa, wraz z numerem PIN w celu ochrony dostępu do klucza prywatnego. Rozwiązanie Microsoft oparte na certyfikatach mobilnych w połączeniu ze sprzętowymi kluczami zabezpieczeń to prosta, wygodna metoda MFA, certyfikowana zgodnie z wytycznymi FIPS (Federal Information Processing Standards) jako odporna na phishing.

Jeśli chodzi o system iOS 16/iPadOS 16.1, urządzenia firmy Apple zapewniają obsługę natywnych sterowników dla kart inteligentnych zgodnych ze standardem USB-C lub Lightning. Oznacza to, że urządzenia firmy Apple w systemie iOS 16/iPadOS 16.1 widzą urządzenie zgodne ze standardem CCID usb lub Lightning jako kartę inteligentną bez używania dodatkowych sterowników lub aplikacji innych firm. Microsoft Entra CBA działa na tych kartach inteligentnych zgodnych z CCID, które są podłączane przez USB-A, USB-C lub Lightning.

Zalety certyfikatów dotyczących sprzętowego klucza zabezpieczeń

Klucze zabezpieczeń z certyfikatami:

Można używać na dowolnym urządzeniu i nie trzeba aprowizować certyfikatu na każdym urządzeniu, które ma użytkownik
Są zabezpieczone sprzętowo przy użyciu numeru PIN, co sprawia, że są odporne na wyłudzanie informacji
Podawanie uwierzytelniania wieloskładnikowego przy użyciu numeru PIN jako drugiego czynnika w celu uzyskania dostępu do klucza prywatnego certyfikatu
Spełnić wymagania branżowe dotyczące posiadania uwierzytelniania wieloskładnikowego na oddzielnym urządzeniu
Pomoc w zabezpieczeniu na przyszłość, gdzie można przechowywać wiele poświadczeń, w tym klucze Fast Identity Online 2 (FIDO2)

Microsoft Entra CBA na urządzeniach mobilnych iOS za pomocą YubiKey

Mimo że natywny sterownik Smartcard/CCID jest dostępny w systemie iOS/iPadOS dla kart inteligentnych zgodnych z CCID i łączonych przez Lightning, złącze YubiKey 5Ci Lightning nie jest rozpoznawane jako połączona karta inteligentna na tych urządzeniach bez użycia oprogramowania pośredniczącego PIV (Personal Identity Verification), takiego jak Yubico Authenticator.

Wymagania wstępne dotyczące rejestracji jednorazowej

Mieć YubiKey z włączoną funkcją PIV i certyfikatem karty inteligentnej.
Pobierz aplikację Yubico Authenticator dla systemu iOS na telefonie iPhone w wersji 14.2 lub nowszej
Otwórz aplikację, włóż klucz YubiKey lub użyj komunikacji zbliżeniowej (NFC) i wykonaj kroki, aby przenieść certyfikat do pęku kluczy iOS.

Kroki testowania narzędzia YubiKey w aplikacjach Microsoft w urządzeniach przenośnych z systemem iOS

Zainstaluj najnowszą aplikację Microsoft Authenticator.
Otwórz Outlook i podłącz swój YubiKey.
Wybierz pozycję Dodaj konto i wprowadź nazwę główną użytkownika (UPN).
Wybierz pozycję Kontynuuj, a zostanie wyświetlony selektor certyfikatów systemu iOS.
Wybierz certyfikat publiczny skopiowany z yubiKey skojarzony z kontem użytkownika.
Wybierz opcję Wymagana YubiKey, aby otworzyć aplikację uwierzytelniającą YubiKey.
Wprowadź numer PIN, aby uzyskać dostęp do klucza YubiKey, a następnie wybierz przycisk Wstecz w lewym górnym rogu.

Użytkownik powinien zostać pomyślnie zalogowany i przekierowany do strony głównej Outlook.

Rozwiązywanie problemów z certyfikatami na kluczu zabezpieczeń sprzętowym

Co się stanie, jeśli użytkownik ma certyfikaty zarówno na urządzeniu z systemem iOS, jak i YubiKey?

Selektor certyfikatów systemu iOS pokazuje wszystkie certyfikaty na urządzeniu z systemem iOS i skopiowane z narzędzia YubiKey na urządzenie z systemem iOS. W zależności od wybranego przez użytkownika certyfikatu, może on zostać skierowany do aplikacji YubiKey Authenticator w celu wprowadzenia kodu PIN lub zostanie bezpośrednio uwierzytelniony.

My YubiKey jest zablokowany po niepoprawnym wpisaniu numeru PIN 3 razy. Jak mogę rozwiązać ten problem?

Użytkownicy powinni zobaczyć okno dialogowe z informacją o tym, że podjęto zbyt wiele prób numeru PIN. To okno dialogowe jest również wyświetlane podczas kolejnych prób wybrania opcji Użyj certyfikatu lub karty inteligentnej.
YubiKey Manager może zresetować numer PIN YubiKey.

Ten problem występuje z powodu buforowania certyfikatów. Pracujemy nad aktualizacją w celu wyczyszczenia pamięci podręcznej. Aby obejść ten problem, wybierz pozycję Anuluj, ponów próbę zalogowania i wybierz nowy certyfikat.

Microsoft Entra CBA z YubiKey kończy się niepowodzeniem. Jakie informacje pomogą w debugowaniu problemu?

Otwórz aplikację Microsoft Authenticator, wybierz ikonę trzech kropek w prawym górnym rogu i wybierz pozycję Send Feedback.
Wybierz Masz problemy?.
W obszarze Wybierz opcję wybierz pozycję Dodaj lub zaloguj się do konta.
Opisz wszelkie szczegóły, które chcesz dodać.
Wybierz strzałkę wysyłania w prawym górnym rogu. Zanotuj kod podany w wyświetlonym oknie dialogowym.

Jak wymusić odporne na phishing uwierzytelnianie wieloskładnikowe przy użyciu sprzętowego klucza zabezpieczeń w aplikacjach przeglądarkowych na urządzeniach mobilnych?

Możliwości uwierzytelniania opartego na certyfikatach i dostępu warunkowego z funkcją oceny siły uwierzytelniania sprawiają, że klienci mogą wymuszać wymogi uwierzytelniania. Przeglądarka Edge jako profil (dodawanie konta) współpracuje ze sprzętowym kluczem zabezpieczeń, na przykład YubiKey, a zasady dostępu warunkowego z funkcją regulacji siły uwierzytelniania mogą wymuszać uwierzytelnianie odporne na wyłudzanie informacji za pomocą CBA (Client-Based Authentication).

Obsługa narzędzia CBA dla narzędzia YubiKey jest dostępna w najnowszych bibliotekach Microsoft Authentication Library (MSAL) i dowolnej aplikacji innej firmy, która integruje najnowszą bibliotekę MSAL. Wszystkie aplikacje pierwszo-partyjne Microsoft mogą używać siły uwierzytelnienia CBA i dostępu warunkowego.

Obsługiwane systemy operacyjne

System operacyjny	Certyfikat na urządzeniu/pochodny PIV	Karty inteligentne/klucze zabezpieczeń
iOS	✅	Tylko obsługiwani dostawcy

Obsługiwane przeglądarki

System operacyjny	Certyfikat przeglądarki Chrome na urządzeniu	Karta inteligentna przeglądarki Chrome/klucz zabezpieczeń	Certyfikat przeglądarki Safari na urządzeniu	Karta inteligentna przeglądarki Safari/klucz zabezpieczeń	Certyfikat usługi Edge na urządzeniu	Edge karta inteligentna/klucz zabezpieczeń
iOS	❌	❌	✅	✅	❌	❌

Dostawcy kluczy zabezpieczeń

Dostawca	iOS
YubiKey	✅

Następne kroki

Opinia

Czy ta strona była pomocna?

Ostatnia aktualizacja o 2026-04-19