Przegląd weryfikacji tożsamości w systemie Verified ID

Zweryfikowany identyfikator jest funkcją weryfikacji tożsamości w Microsoft Entra ID — zapewnia kryptograficzny dowód zweryfikowanej tożsamości użytkownika, ale nie może być używany do spełnienia wymagań uwierzytelniania, takich jak logowanie, uwierzytelnianie wieloskładnikowe lub samoobsługowe resetowanie hasła. Zamiast tego zweryfikowany identyfikator służy jako warstwa sprawdzania tożsamości w scenariuszach, w których tożsamość użytkownika musi zostać ponownie ustanowiona — na przykład odzyskiwanie konta po utracie wszystkich metod uwierzytelniania.

Profile weryfikacji tożsamości to warstwa zasad, która kontroluje, którzy użytkownicy mogą uczestniczyć w przepływach zweryfikowanego identyfikatora, który dostawca przeprowadza weryfikację i jak są weryfikowane oświadczenia tożsamości. Obecnie profile zweryfikowanych ID są używane do odzyskiwania konta — umożliwiają użytkownikom, którzy utracili wszystkie metody uwierzytelniania, odzyskanie dostępu za pośrednictwem weryfikacji rządowym dowodem tożsamości. Struktura profilu jest przeznaczona do obsługi dodatkowych scenariuszy weryfikacji tożsamości w przyszłości.

Profile weryfikacji tożsamości

Profil weryfikacji tożsamości to obiekt konfiguracji, który definiuje zachowanie weryfikacji tożsamości dla grupy użytkowników. Profile określają:

  • Nazwa i opis — nazwa wyświetlana i opis identyfikujący cel profilu.
  • Stan — czy profil jest włączony, czy wyłączony.
  • Zakres grupy użytkowników — do których ma zastosowanie profil, zdefiniowany za pomocą przypisania opartego na grupach.
  • Dostawca weryfikacji tożsamości — dostawca innej firmy, który przeprowadza weryfikację tożsamości, zidentyfikowany przez weryfikatora DID (zdecentralizowany identyfikator) — unikatowy identyfikator kryptograficzny dla weryfikatora w wymianie poświadczeń.
  • Konfiguracja sprawdzania twarzy — ustawienia zachowania funkcji sprawdzania twarzy w Zweryfikowany identyfikator Microsoft Entra podczas weryfikacji.
  • Konfiguracja profilu — akceptowany wystawca poświadczeń, jak oświadczenia tożsamości są przypisywane do właściwości użytkownika i typ poświadczeń dla procesu wymiany.
  • Konfiguracje użycia — scenariusze , do których ma zastosowanie profil, na przykład recovery. Dodatkowe scenariusze mogą być obsługiwane w przyszłości.
  • Priorytet — kolejność przetwarzania, gdy użytkownik pasuje do wielu profilów.

Automatyczne tworzenie poprzez odzyskiwanie konta

Profile weryfikacji tożsamości są tworzone i konfigurowane automatycznie, gdy administrator Authentication konfiguruje odzyskiwanie konta za pośrednictwem centrum administracyjne Microsoft Entra (Entra ID>Konta odzyskiwania). Kreator ustawień odzyskiwania konta obsługuje tworzenie profilu, konfigurację dostawcy usług, określanie zakresu grup użytkowników oraz reguły walidacji konta.

Important

Profile utworzone za pomocą odzyskiwania konta nie wymagają oddzielnego zarządzania w ustawieniach zasad metody uwierzytelniania. Zalecamy zarządzanie przypisaniem zweryfikowanego identyfikatora do celów odzyskiwania za pomocą kreatora konfiguracji odzyskiwania konta, który zapewnia środowisko z przewodnikiem służące do tworzenia i konfigurowania profilów.

Zarządzanie profilami w zasadach metody uwierzytelniania

Zasady metody uwierzytelniania zweryfikowanego identyfikatora zapewniają wgląd w profile i przypisania użytkowników.

Zrzut ekranu przedstawiający stronę zasad metody uwierzytelniania Zweryfikowanego Identyfikatora z przełącznikiem Włączania, kartami Dołącz i Wyklucz, tabelą przypisania grupy i listą rozwijaną profilu.

Z poziomu ustawień zasad administratorzy mogą wykonywać następujące czynności:

  • Wyświetlanie szczegółów profilu — zobacz konfigurację, dostawcę, stan i priorytet każdego profilu weryfikacji tożsamości, w tym mapowanie oświadczeń weryfikacji konta i niestandardowe ustawienia rozszerzenia uwierzytelniania.

    Zrzut ekranu przedstawiający panel szczegółów profilu weryfikacji tożsamości z trybem profilu, szczegółami profilu, grupą użytkowników, dostawcą weryfikacji tożsamości, tabelą oświadczeń weryfikacji konta i niestandardowym rozszerzeniem uwierzytelniania.

  • Zakres grup użytkowników — przypisz grupę użytkowników do określonego profilu Zweryfikowanego ID, kontrolując, którzy użytkownicy mogą uczestniczyć w zweryfikowanym przepływie poświadczeń.

  • Tworzenie nowych przypisań — dodaj nowe przypisania grup do profilu dla użytkowników, którzy potrzebują dostępu do określonego profilu weryfikacji tożsamości.

  • Globalne wykluczenie — wyklucza określone grupy ze wszystkich profilów weryfikacji tożsamości. Wykluczeni użytkownicy nie mogą uczestniczyć w żadnym przepływie opartym na zweryfikowanym identyfikatorze, niezależnie od tego, które profile są skonfigurowane.

Wskazówka

Widok polityki metody uwierzytelniania jest przydatny w przypadku audytu przypisań profilów w całej organizacji. Do tworzenia i konfigurowania profilów należy użyć kreatora ustawień odzyskiwania konta.

Wiele profilów

Organizacje mogą tworzyć wiele profilów weryfikacji tożsamości w celu obsługi różnych populacji użytkowników. Przykład:

  • Profil dla pracowników firmowych korzystających z jednego dostawcy weryfikacji tożsamości z dokładnym dopasowaniem nazw
  • Profil dla pracowników pierwszej linii korzystających z innego dostawcy z luźnym dopasowaniem
  • Profil dla grupy pilotażowej testującej nowego dostawcę przed szerokim wdrożeniem

Gdy użytkownik należy do grup, które pasują do wielu profilów, system ocenia profile w kolejności priorytetów i stosuje pierwszy pasujący profil.

Scenariusze użycia

Każdy profil weryfikacji tożsamości zawiera co najmniej jedną konfigurację użycia definiującą scenariusze, do których ma zastosowanie profil.

Odzyskiwanie konta

Obecnie odzyskiwanie konta jest podstawowym scenariuszem użycia dla profili Zaufanego Identyfikatora. Gdy użytkownik utraci wszystkie zarejestrowane metody uwierzytelniania — na przykład w przypadku utraty, kradzieży lub naruszenia zabezpieczeń urządzenia — odzyskiwanie konta używa profilu zweryfikowanego identyfikatora w celu określenia:

  • Który dostawca weryfikacji tożsamości weryfikuje tożsamość użytkownika
  • Jak oświadczenia tożsamości od dostawcy są dopasowywane do profilu Microsoft Entra ID użytkownika
  • Czy profil działa w trybie oceny (testowanie) lub w trybie produkcyjnym (pełne odzyskiwanie)

Aby uzyskać więcej informacji na temat konfigurowania odzyskiwania konta, zobacz Enable i skonfiguruj odzyskiwanie konta w Microsoft Entra ID.

Note

Dostawcy weryfikacji tożsamości to usługi zewnętrzne dostępne za pośrednictwem rozwiązania zabezpieczające firmy Microsoft Store. Przed wdrożeniem profilu dla użytkowników produkcyjnych przejrzyj zasady prywatności, przechowywania danych i zgodności dostawcy.

Właściwości profilu

Następujące właściwości definiują profil zweryfikowanego identyfikatora:

Majątek Description
name Nazwa wyświetlana profilu
opis Opis przeznaczenia profilu
Państwa Czy profil jest enabled, czy disabled
priorytet Przetwarzanie kolejności, gdy wiele profilów jest zgodnych z użytkownikiem
verifierDid Identyfikator zdecentralizowany (DID) reprezentujący weryfikatora w wymianie poświadczeń
faceCheckConfiguration Ustawienia zachowania sprawdzania twarzy dla Entra Zweryfikowany Identyfikator
verifiedIdProfileConfiguration Zaakceptowany wystawca, wiążące oświadczenia oraz rodzaj poświadczenia
konfiguracje użycia zweryfikowanego identyfikatora Scenariusze, których dotyczy profil (na przykład recovery)
lastModifiedDateTime Kiedy profil został ostatnio zmodyfikowany

Aby uzyskać pełną dokumentację interfejsu API, zobacz verifiedIdProfile resource type (beta).

Sprawdzanie twarzy

Zweryfikowane profile identyfikatorów obejmują konfigurację sprawdzania twarzy w celu zweryfikowania obecności podczas weryfikacji tożsamości. Funkcja Face Check porównuje zdjęcie na identyfikatorze wystawionym przez rząd użytkownika do sprawdzania biometrycznego w czasie rzeczywistym, potwierdzając, że osoba przedstawiająca poświadczenia jest fizycznie obecna.

Funkcja Face Check wymaga licencji Face Check dostępnej za pośrednictwem Pakiet Entra lub jako licencji autonomicznej.

Treści powiązane

  • Ostatnia aktualizacja o