告别密码：Entra Passkeys 深度指南
A Beginner's Deep Dive Guide to Entra Passkeys
密码时代正在终结，Passkeys 凭借抗钓鱼特性和便捷体验成为无密码认证的未来。本文深入解析 Microsoft Entra 如何全面支持 Passkeys，涵盖 Device Bound 与 Synced 两种模式的核心差异。从 WebAuthn 协议的工作原理，到在 Entra 中配置 Passkey 配置文件、创建同步策略及设计 Conditional Access 策略，手把手教你完成落地。此外，还探讨了 FIDO2 在 Entra Kerberos 中的应用及 Windows Hello 集成新特性，助你在 2026 年从容应对身份安全变革。
攻击者再也无法诱骗用户在假冒网站上进行身份验证，因为 Passkeys 是绑定到合法服务提供者的域名的。
HN 评论区
28- rf15
凭我的经验，对于大多数基础服务来说，Passkeys 绝对是杀鸡用牛刀：你能够相对轻松地找回账户，这一点通常胜过将密钥显式绑定到物理硬件上（更糟糕的是，绑定到你随身携带的手机）。此外，像 Microsoft 这样的公司经常利用 Passkeys 来推销它们的应用程序，因为当然你需要特定的应用才能使用它。
这让我觉得 Passkeys 在很大程度上只是厂商锁定和窃取个人信息的便捷安全借口。OTP 生成器似乎更通用，且不那么依赖手机或特定公司。
- throw7
"你拥有的东西"/"设备绑定"并不是我想要的，如果我不掌控它的话。就 Passkeys 而言，我无法访问私钥，所以我认为这不在我的控制范围内。
如果我能够提取并导入私钥（我现在对 TOTP 就是这么做的），我很乐意被纠正，但据我了解，Passkeys 的设计者明确不希望用户访问自己的私钥，以便将它们绑定到物理对象上。我理解这一点，但我不要这样。
所以 Passkeys 永远不是我愿意使用、觉得有用或方便的东西。
- VCFundedGenYer
Passkeys 在理论上是个好主意——但在实践中却是一团令人困惑的乱麻。普通用户对此感到极度困惑。我的建议仍然是：使用非常强的密码加上基于应用的多因素认证（MFA）。