Autenticazione preferita dal sistema

L'autenticazione preferita dal sistema richiede agli utenti di accedere usando il metodo di autenticazione registrato più sicuro. Per i passkey, considera anche il dispositivo e il browser da cui l'utente sta effettuando l'accesso per assegnare la priorità a una passkey che può usare in locale. È un importante miglioramento della sicurezza per gli utenti che eseguono l'autenticazione usando metodi meno sicuri, ad esempio password o SMS.

Ad esempio, quando l'autenticazione preferita dal sistema si applica all'accesso a primo fattore, viene richiesto a un utente con una password e una passkey disponibili nel dispositivo corrente di usare la passkey anziché la password. La registrazione di una passkey in un dispositivo non significa che all'utente venga richiesto di usarla in ogni dispositivo. L'utente può comunque scegliere un altro metodo di accesso consentito.

L'autenticazione preferita dal sistema è un'impostazione gestita da Microsoft; si tratta di un criterio a tre stati (abilitato, disabilitato o gestito da Microsoft). Se non si vuole abilitare l'autenticazione preferita dal sistema, modificare lo stato da Gestito da Microsoft a Disabilitato oppure escludere utenti e gruppi dal criterio.

Dopo l'abilitazione dell'autenticazione preferita dal sistema, gli utenti non devono impostare un metodo di autenticazione predefinito. Il sistema seleziona il metodo preferito per il passaggio di autenticazione applicabile. Per i passkey, l'esperienza iniziale può variare tra dispositivi e browser.

Modalità di applicazione dell'autenticazione preferita dal sistema all'accesso

L'autenticazione preferita dal sistema prevede tre modalità:

• Disabilitato : nessuna modifica alla logica di accesso.
• Abilitato : l'autenticazione preferita dal sistema si applica solo a un secondo fattore. Il comportamento di accesso esistente continua a essere applicato per l'autenticazione a primo fattore.
• Gestito da Microsoft - l'autenticazione preferita dal sistema si applica sia all'autenticazione di primo fattore sia a quella di secondo fattore. Il sistema valuta le credenziali registrate per l'utente e seleziona il metodo più alto per ogni passaggio di autenticazione.

Entrambe le modalità abilitate e gestite da Microsoft consentono agli amministratori di includere o escludere utenti o gruppi specifici.

Limitazioni note

• Quando si modificano i criteri per un gruppo di destinazione, la modifica potrebbe non avere effetto sull'accesso successivo dell'utente. Si applica a tutti gli accessi successivi.
• I criteri di accesso condizionale vengono convalidati solo per l'autenticazione a due fattori e non si applicano all'autenticazione a primo fattore. L'autenticazione avviene per prima e quindi l'accesso condizionale valuta l'autorizzazione. L'autenticazione preferita dal sistema non sostituisce i criteri di accesso condizionale o i requisiti di attendibilità dell'autenticazione.

Modalità di selezione dei passkey per il dispositivo corrente

Quando una passkey è il metodo di autenticazione preferito, l'autenticazione preferita dal sistema assegna una priorità a una passkey locale quando ne è disponibile una. Una passkey locale è una passkey a cui l'utente può accedere tramite l'autenticatore integrato del dispositivo corrente o un provider di passkey disponibile su quel dispositivo o in tale browser. L'utente non deve passare a un altro dispositivo per usarlo.

Ad esempio, se un utente dispone di una passkey disponibile sul proprio PC Windows e un'altra passkey sul telefono, l'esperienza passkey locale è prioritaria rispetto alla richiesta di usare il telefono.

Local non implica avere lo stesso provider su ogni dispositivo o browser. In Chrome, una passkey salvata in Google Password Manager può essere l'opzione locale. In Windows, Windows Hello for Business può essere l'opzione locale. Il browser e il sistema operativo determinano quale provider locale disponibile viene visualizzato, quindi a un utente con più passkey locali non viene necessariamente richiesto prima Windows Hello.

L'esperienza esatta dipende anche dal supporto del browser e del sistema operativo. Se il dispositivo o il browser non possono essere identificati in modo affidabile, il browser o il sistema operativo presenta l'esperienza passkey predefinita.

Passkey nonportabile associata al dispositivo

L'autenticazione preferita dal sistema include la logica per le credenziali della piattaforma associate al dispositivo, nonportabili: Windows Hello for Business, Microsoft Entra passkey in Windows e macOS Platform SSO. Queste credenziali rimangono nel dispositivo in cui vengono create. Non vengono sincronizzati con altri dispositivi e non possono essere usati da un altro dispositivo tramite l'accesso con codice QR tra dispositivi.

L'autenticazione preferita dal sistema usa il sistema operativo per decidere se offrire una di queste esperienze della piattaforma. L'uso della credenziale richiede comunque la chiave privata sul dispositivo originale:

Queste credenziali non sono disponibili su piattaforme incompatibili:

• Windows Hello for Business e Microsoft Entra passkey su Windows non sono disponibili in dispositivi non Windows, tra cui un dispositivo Mac, iPhone, iPad, Android o Linux.
• MacOS Platform SSO non è disponibile nei dispositivi non macOS.

Se non viene registrata alcuna altra passkey applicabile, l'autenticazione preferita dal sistema continua con il successivo metodo di autenticazione registrato applicabile.

Questi tipi di credenziali differiscono anche in base alla posizione in cui si applicano durante l'autenticazione:

• Windows Hello for Business e macOS Platform SSO: solo primo fattore. Nello stato gestito Microsoft, le esperienze della piattaforma possono essere offerte prima della password in un sistema operativo compatibile. Il completamento dell'accesso richiede la credenziale nel dispositivo corrente.
• Microsoft Entra passkey in Windows: Un tipo di passkey FIDO2 separato che non è soggetto a questa limitazione al solo primo fattore.

Esempi di selezione passkey

La tabella risponde a una domanda: quale esperienza passkey locale è prioritaria per questo dispositivo e browser? Ogni esempio di primo fattore presuppone:

• L'autenticazione preferita dal sistema è gestita da Microsoft.
• L'utente ha solo i passkey elencati in tale riga.
• La passkey locale è accessibile e consentita dai criteri di autenticazione dell'utente.

Altri provider passkey registrati possono modificare l'esperienza locale visualizzata per prima. Questi esempi non modificano l'ordine complessivo dei metodi di autenticazione.

Altre esperienze con passkey

Quando i tipi di passkey registrati e la piattaforma corrente non portano a un'esperienza di passkey locale, all'utente non viene necessariamente richiesta una password. Altre esperienze possibili includono:

• Una passkey su un telefono che supporta l'accesso su più dispositivi: L'utente potrebbe visualizzare un codice QR da scansionare con quel telefono.
• Una chiave di sicurezza FIDO2 come unica passkey: All'utente viene richiesto di inserire o toccare la chiave in un dispositivo e un browser supportati.
• Solo passkey non portabili per un sistema operativo diverso: Ad esempio, l'utente ha Windows Hello for Business o Microsoft Entra passkey su Windows ma accede da un iPhone, un dispositivo Android o un Mac. Queste credenziali Windows non sono disponibili. All'utente viene richiesto invece il metodo di autenticazione registrato successivo applicabile.

Si tratta di casi separati, non di una sequenza di fallback. Se l'utente ha sia una passkey per il telefono che una chiave di sicurezza, l'esperienza offerta per prima dipende dal dispositivo, dal browser e dai tipi di passkey.

Esempio: Accedere a Windows con una passkey Authenticator su un iPhone

In questo esempio l'autenticazione preferita dal sistema è gestita da Microsoft e passkey è il metodo preferito. L'unica passkey dell'utente è in Microsoft Authenticator sul proprio iPhone. Sia il PC Windows che l'iPhone hanno bisogno di Bluetooth e una connessione Internet.

1. L'utente avvia l'accesso in Microsoft Edge sul PC Windows.
2. Poiché la passkey è sul telefono, il PC offre un'esperienza passkey tra dispositivi con un codice QR.
3. L'utente scansiona il codice QR con l'app Fotocamera dell'iPhone.
4. L'utente si autentica con Face ID, Touch ID o il PIN del dispositivo sull'iPhone.
5. L'accesso viene completato sul PC Windows.

Si tratta dell'autenticazione passkey, non di una notifica push authenticator.

Se lo stesso utente accede direttamente sull'iPhone, può usare la passkey Authenticator sull'iPhone senza analizzare un codice QR da un altro dispositivo, come illustrato nella tabella. Per i passaggi dettagliati, vedere Accedere con passkey in Authenticator.

Scegliere un altro metodo passkey o di accesso

Gli utenti possono scegliere una passkey diversa anche quando è disponibile quella suggerita. Non devono annullare l'accesso o provare prima la passkey suggerita. Tramite le opzioni passkey del browser o del sistema operativo, è possibile scegliere:

• Un'altra passkey locale: Usare un provider passkey diverso disponibile nel dispositivo corrente.
• Una chiave di sicurezza: Connettersi o toccare una chiave supportata contenente la passkey registrata dell'utente.
• Una passkey su un altro dispositivo: Usare un'esperienza tra dispositivi supportata, ad esempio la scansione di un codice QR con un telefono.

I nomi delle opzioni e le scelte disponibili variano in base al browser e al sistema operativo. La scelta di un'altra passkey non rende utilizzabile una credenziale non portabile al di fuori del suo dispositivo originale.

Se l'utente annulla il prompt passkey o il tentativo non riesce, viene restituito alla selezione del metodo di accesso. Possono selezionare di nuovo l'accesso passkey per riaprire le opzioni passkey oppure selezionare Accedi in un altro modo quando viene mostrata questa opzione per scegliere un altro metodo registrato consentito.

Tutte le scelte rimangono soggette ai criteri di autenticazione dell'organizzazione e ai requisiti di accesso condizionale.

Abilitare l'autenticazione preferita dal sistema nell'interfaccia di amministrazione di Microsoft Entra

Per impostazione predefinita, l'autenticazione preferita dal sistema è gestita da Microsoft per tutti gli utenti.

1. Accedi al centro di amministrazione di Microsoft Entra almeno come Amministratore dei Criteri di Autenticazione.
2. Eseguire la navigazione verso Microsoft Entra ID>Metodi di autenticazione>Impostazioni.
3. Per Autenticazione preferita del sistema, scegliere Gestito da Microsoft, Abilitato o Disabilitato e includere o escludere eventuali utenti. I gruppi esclusi hanno la precedenza sui gruppi inclusi.
4. Dopo aver apportato le modifiche, selezionare Salva.

Abilitare l'autenticazione preferita dal sistema usando le API Graph

Per abilitare in anticipo l'autenticazione preferita dal sistema, scegliere un singolo gruppo di destinazione per la configurazione dello schema, come illustrato nell'esempio richiesta .

Proprietà di configurazione delle funzionalità del metodo di autenticazione

Per impostazione predefinita, l'autenticazione preferita dal sistema è gestita da Microsoft.

Proprietà obiettivo della funzionalità

L'autenticazione preferita dal sistema può essere abilitata solo per un singolo gruppo, che può essere un gruppo dinamico o annidato.

Usare l'endpoint API seguente per abilitare systemCredentialPreferences e includere o escludere gruppi:

https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy

Richiesta

L'esempio seguente esclude un gruppo di destinazione di esempio e include tutti gli utenti. Per ulteriori informazioni, vedere Aggiorna authenticationMethodsPolicy.

PATCH https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy
Content-Type: application/json

{
    "systemCredentialPreferences": {
        "state": "enabled",
        "excludeTargets": [
            {
                "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                "targetType": "group"
            }
        ],
        "includeTargets": [
            {
                "id": "all_users",
                "targetType": "group"
            }
        ]
    }
}

FAQ

In che modo l'autenticazione preferita dal sistema determina il metodo più sicuro?

Quando un utente esegue l'accesso, il processo di autenticazione controlla i metodi registrati. All'utente viene richiesto di accedere con il metodo più sicuro applicabile in base all'ordine seguente. Per i passkey, il sistema considera anche il dispositivo e il browser, come descritto in Come vengono selezionati i passkey per il dispositivo corrente. L'ordine dei metodi è dinamico e viene aggiornato man mano che cambia il panorama della sicurezza. Gli utenti possono sempre annullare e scegliere un metodo di accesso disponibile diverso. Se l'organizzazione dispone di criteri di accesso condizionale che richiedono metodi di autenticazione specifici, tali criteri continuano a assumere la priorità rispetto all'ordine di autenticazione preferito dal sistema.

Quando nello stato Microsoft gestito, il sistema valuta le credenziali disponibili e seleziona il metodo con la classificazione più alta sia per l'autenticazione a primo fattore che per l'autenticazione a due fattori.

¹Comprende chiavi di sicurezza, passkey nell'app Authenticator, passkey sincronizzate, Windows Hello for Business, passkey Microsoft Entra su Windows e macOS Platform SSO. Questa riga classifica i passkey rispetto ad altri metodi di autenticazione; non significa che ogni passkey registrato sia utilizzabile in ogni dispositivo. Per le restrizioni della piattaforma, vedere Passkey associate al dispositivo e non portabili. Windows Hello for Business e macOS Platform SSO si applicano solo all'accesso di primo fattore.

²Include hardware o software TOTP da Microsoft Authenticator, Authenticator Lite o applicazioni di terze parti.

³Include SMS e chiamate vocali.

In che modo l'autenticazione preferita dal sistema influisce sull'estensione NPS?

L'autenticazione preferita dal sistema non influisce sugli utenti che accedono usando l'estensione Server dei criteri di rete (NPS). Questi utenti non visualizzano alcuna modifica all'esperienza di accesso.

Come funziona l'autenticazione preferita dal sistema per gli utenti federati?

Per gli utenti federati, l'accesso con il primo fattore rimane invariato. L'autenticazione preferita dal sistema non si applica al primo fattore, quindi gli utenti federati continuano a essere indirizzati al provider di identità esterno per l'accesso. L'autenticazione preferita dal sistema si applica solo all'autenticazione a due fattori per questi utenti.

In che modo l'autenticazione preferita dal sistema influisce sull'accesso di primo fattore?

Se impostato su Microsoft gestito, il sistema applica la classificazione delle credenziali sia al primo fattore che all'autenticazione a secondo fattore. Ad esempio, se un utente ha sia una password che una passkey disponibile nel dispositivo corrente, viene richiesta la passkey all'accesso di primo fattore anziché la password. Le credenziali della piattaforma nonportabili non sono offerte nei sistemi operativi incompatibili: Windows Hello for Business e Microsoft Entra passkey su Windows non sono disponibili nei dispositivi non Windows e l'accesso SSO della piattaforma macOS non è offerto nei dispositivi non macOS. Per altri esempi, vedere Esempi di selezione passkey. L'utente può comunque selezionare altre opzioni di accesso consentite.

Se è impostata su Abilitato, la classificazione delle credenziali si applica solo all'autenticazione a due fattori. La modalità di accesso con autenticazione a primo fattore rimane invariata.

Gli utenti possono comunque scegliere un metodo di accesso diverso?

Yes. L'autenticazione preferita dal sistema richiede agli utenti le credenziali più elevate, ma gli utenti possono comunque scegliere altri metodi consentiti durante l'accesso.

Contenuti correlati

• Metodi di autenticazione in Microsoft Entra ID
• Come eseguire una campagna di registrazione per configurare Microsoft Authenticator