Suporte para autenticação FIDO2 com Microsoft Entra ID

Artigo
04/23/2024

O Microsoft Entra ID permite que chaves de acesso sejam usadas para autenticação sem senha. Este artigo aborda quais aplicativos nativos, navegadores da Web e sistemas operacionais oferecem suporte à autenticação sem senha usando chaves de acesso com ID do Microsoft Entra.

Nota

O Microsoft Entra ID atualmente oferece suporte a chaves de acesso vinculadas ao dispositivo armazenadas em chaves de segurança FIDO2 e no Microsoft Authenticator. A Microsoft está empenhada em proteger clientes e utilizadores com chaves de acesso. Estamos investindo em chaves de acesso sincronizadas e vinculadas ao dispositivo para contas de trabalho.

Suporte a aplicativos nativos

Suporte a aplicativos nativos com agente de autenticação (visualização)

Os aplicativos da Microsoft fornecem suporte nativo para autenticação FIDO2 em visualização para todos os usuários que têm um agente de autenticação instalado para seu sistema operacional. A autenticação FIDO2 também é suportada na visualização para aplicativos de terceiros que usam o agente de autenticação.

As tabelas a seguir listam quais agentes de autenticação são suportados para diferentes sistemas operacionais.

SO	Agente de autenticação	Suporta FIDO2
iOS	Microsoft Authenticator	✅
macOS	Portal ^{da Empresa do Microsoft Intune 1}	✅
Androide²	Autenticador ou Portal da Empresa	❌

1 No macOS, o plug-in Microsoft Enterprise Single Sign On (SSO) é necessário para habilitar o Portal da Empresa como um agente de autenticação. Os dispositivos que executam o macOS devem atender aos requisitos do plug-in SSO, incluindo o registro no gerenciamento de dispositivos móveis. Para autenticação FIDO2, certifique-se de executar a versão mais recente de aplicativos nativos.

2 O suporte de aplicativos nativos para FIDO2 no Android está em desenvolvimento.

Se um usuário instalou um agente de autenticação, ele pode optar por entrar com uma chave de segurança quando acessar um aplicativo como o Outlook. Eles são redirecionados para entrar com FIDO2 e redirecionados de volta para o Outlook como um usuário conectado após a autenticação bem-sucedida.

Suporte a aplicativos da Microsoft sem agente de autenticação

No momento, não há suporte para entrar em aplicativos nativos da Microsoft com autenticação FIDO2 quando o usuário não tem um agente de autenticação no iOS, macOS e Android.

Suporte a aplicativos de terceiros sem agente de autenticação

Se o usuário ainda não tiver instalado um agente de autenticação, ele ainda poderá entrar com uma chave de segurança quando acessar aplicativos habilitados para MSAL. Para obter mais informações sobre os requisitos para aplicativos habilitados para MSAL, consulte Suporte à autenticação sem senha com chaves FIDO2 em aplicativos que você desenvolve.

Suporte a navegadores da Web

Esta tabela mostra o suporte do navegador para autenticar o Microsoft Entra ID e contas da Microsoft usando FIDO2. Os consumidores criam contas Microsoft para serviços como Xbox, Skype ou Outlook.com.

SO	Chrome	Edge	Firefox	Safari
Windows	✅	✅	✅	N/A
macOS	✅	✅	✅	✅
SO ChromeOS	✅	N/A	N/D	N/A
Linux	✅	❌	❌	N/A
iOS	✅	✅	✅	✅
Android	✅	✅	❌	N/A

Nota

As chaves de acesso no Authenticator não funcionam com navegadores como o Google Chrome ou o Microsoft Edge em dispositivos Android. O suporte para criar e entrar usando chaves de acesso do Authenticator a partir de navegadores depende de atualizações de API a serem disponibilizadas pela plataforma Android.

Suporte a navegadores da Web para cada plataforma

As tabelas a seguir mostram quais transportes são suportados para cada plataforma. Os tipos de dispositivos suportados incluem USB, comunicação de campo próximo (NFC) e bluetooth de baixa energia (BLE).

Windows

Browser	USB	NFC	BLE
Edge	✅	✅	✅
Chrome	✅	✅	✅
Firefox	✅	✅	✅

Versão mínima do navegador

A seguir estão os requisitos mínimos de versão do navegador no Windows.

Browser	Versão Mínima
Chrome	76
Edge	Windows 10 versão 1903¹
Firefox	66

1 Todas as versões do novo Microsoft Edge baseado em Chromium suportam FIDO2. O suporte ao legado do Microsoft Edge foi adicionado em 1903.

macOS

Browser	USB	^{NFC 1}	BLE¹
Edge	✅	N/A	N/A
Chrome	✅	N/A	N/A
Firefox²	✅	N/A	N/A
Safári²	✅	N/A	N/A

1 As chaves de segurança NFC e BLE não são suportadas no macOS pela Apple.

2 O novo registo de chave de segurança não funciona nestes navegadores macOS porque não solicitam a configuração de biometria ou PIN.

SO ChromeOS

Navegador¹	USB	NFC	BLE
Chrome	✅	❌	❌

1 O registo da chave de segurança não é suportado no ChromeOS ou no navegador Chrome.

Linux

Browser	USB	NFC	BLE
Edge	❌	❌	❌
Chrome	✅	❌	❌
Firefox	❌	❌	❌

iOS

Navegador¹	Lightning	NFC	BLE²
Edge	✅	✅	N/A
Chrome	✅	✅	N/A
Firefox	✅	✅	N/A
Safari	✅	✅	N/A

1 O novo registro de chave de segurança não funciona em navegadores iOS porque eles não solicitam a configuração de biometria ou PIN.

2 As chaves de segurança BLE não são suportadas no iOS pela Apple.

Android

Navegador¹	USB	NFC	BLE²
Edge	✅	❌	❌
Chrome	✅	❌	❌
Firefox	❌	❌	❌

1 O registo da chave de segurança com o Microsoft Entra ID ainda não é suportado no Android.

2 As chaves de segurança BLE não são suportadas no Android pela Google.

Problemas conhecidos

Suporte do PowerShell

O Microsoft Graph PowerShell suporta FIDO2. Alguns módulos do PowerShell que usam o Internet Explorer em vez do Edge não são capazes de executar a autenticação FIDO2. Por exemplo, os módulos do PowerShell para SharePoint Online ou Teams, ou quaisquer scripts do PowerShell que exijam credenciais de administrador, não solicitam FIDO2.

Como solução alternativa, a maioria dos fornecedores pode colocar certificados nas chaves de segurança FIDO2. A autenticação baseada em certificado (CBA) funciona em todos os navegadores. Se você puder habilitar o CBA para essas contas de administrador, poderá exigir o CBA em vez de FIDO2 nesse ínterim.

Próximos passos

Ativar o início de sessão com chave de segurança sem palavra-passe

Share via