條件式存取：驗證傳輸 （預覽版）

認證傳輸是一種認證流程，簡化了 Microsoft 應用程式從 PC 到行動裝置的跨裝置登入流程。 使用者可以在電腦上的 Microsoft 應用程式中使用 QR 碼，在行動裝置上登入同一應用程式，而無需重新輸入憑證。 身份驗證傳輸通過連接多個平台上的用戶來提高用戶參與度。

Note

認證轉移目前處於預覽階段。 如需預覽的詳細資訊，請參閱 在線服務的通用授權條款。

截圖顯示一個使用驗證傳輸並搭配封鎖控制的條件存取政策範例。

先決條件

  • 每位受條件存取政策管理認證傳輸的使用者都必須持有 Microsoft Entra ID P1 授權。 欲了解更多授權資訊，請參閱 「規劃條件存取部署」。
  • 若要建立或修改管理認證傳輸的條件存取政策，請至少以 條件存取管理員身份登入。
  • 所有使用者預設都會啟用驗證傳輸。 使用者使用此功能無需初始設定。

認證傳輸的運作方式

認證傳輸允許您將認證權利從一台裝置轉移到另一台裝置，例如從桌上型電腦轉移到行動裝置。 以下步驟描述了這個流動：

  1. 使用者在電腦上登入支援的 Microsoft 應用程式，並完成所有必要的驗證，包括多重驗證（MFA）。
  2. 該應用程式會顯示一個 QR 碼，使用者可以用行動裝置掃描。
  3. 使用者可透過支援的 Microsoft 應用程式在行動裝置上掃描 QR 碼。
  4. Microsoft Entra ID 會評估目標行動應用程式所有適用的條件存取政策。
  5. 若政策符合，認證權利會轉移至行動裝置，使用者自動登入。
  6. 若政策未被滿足，傳輸失敗，使用者將被要求手動在行動裝置上登入。

認證傳輸僅傳輸認證主張。 與裝置相關的聲明，例如裝置合規狀態，不會轉移到目標裝置。 行動裝置必須獨立滿足任何基於裝置的條件存取需求。

當使用者執行認證傳輸時，該會話被視為協定追蹤。 協定追蹤意味著會話狀態在後續的令牌更新中持續存在。 同一會話內後續的登入嘗試可能會受到認證流程政策的強制執行，即使它們不使用認證傳輸。

支援的應用程式

支援跨裝置 QR 碼流程的 Microsoft 應用程式可進行認證傳輸。 例如，使用者可能會在桌面版 Outlook 中看到一個 QR 碼，當它在行動裝置上掃描時，會將他們的認證狀態轉移到行動版的 Outlook。 支援依應用程式和版本而異。 請查閱相關的 Microsoft 應用程式文件，確認它是否支援認證轉移。

Important

非 Microsoft 應用程式不支援認證傳輸。

終端使用者體驗

認證傳輸體驗旨在減少跨多裝置使用者的摩擦。

在桌面（來源裝置）上：

  • 使用者在電腦上登入支援的 Microsoft 應用程式。
  • 應用程式內會出現一個 QR 碼，提供將會話轉移到行動裝置的選項。

在行動裝置（目標裝置）上：

  • 使用者開啟支援的 Microsoft 應用程式並掃描 QR 碼。
  • 若所有條件存取政策皆符合，使用者將自動登入，無需重新輸入憑證或重複完成多重認證。
  • 若行動裝置未符合任何條件存取政策，系統會提示使用者手動登入。 使用者可能需要完成多重身份驗證（MFA）或在行動裝置上符合其他要求。

驗證傳輸和條件式存取

在認證傳輸過程中，所有 Microsoft Entra 條件存取政策都會被評估。 了解政策如何與認證轉移互動，有助於你在維持使用者生產力的同時，保護組織安全。

認證宣告可以轉移，裝置宣告則不能轉移：

  • 認證傳輸僅傳輸認證聲明。 它不會轉移裝置相關的理賠，例如合規狀態或管理狀態。
  • 若條件存取政策要求裝置合規或受管理裝置，行動裝置必須獨立滿足這些要求。

如果已經完成，則不再需要再申請MFA：

  • 如果使用者在電腦上完成多重認證，他們在驗證傳輸時就不需要在行動裝置上再次執行多重認證。

條件存取政策在轉移前會進行評估：

  • 條件存取政策會在認證傳輸完成前進行評估。 如果行動裝置的原則不符合，則會提示使用者手動登入。

非微軟 MDM 繞過：

  • 將驗證傳輸至行動裝置時，驗證傳輸會略過非 Microsoft 行動裝置管理 （MDM） 解決方案。 這種繞過意味著依賴非 Microsoft MDM 解決方案來執行存取控制的組織，在認證傳輸過程中可能會存在安全漏洞。 如果您的組織使用非 Microsoft 的 MDM 解決方案，請考慮封鎖受影響使用者或應用程式 的認證傳輸 。

主要刷新令牌（PRT）重新認證：

  • 使用者必須在電腦上重新認證才能啟動認證傳輸，即使他們擁有像 Primary Refresh Token 這類受保護的會話令牌。 在電腦重新認證後，使用者不需要在行動應用程式上重新認證。

已知的限制

在您啟用或管理組織中的認證轉移前，請先檢視以下限制事項：

  • 裝置理賠不會轉移。 只有認證聲明會轉移至行動裝置。 裝置合規性、管理狀態及其他裝置相關要求必須在行動裝置上獨立滿足。
  • 非 Microsoft 的 MDM 規避。 認證傳輸可繞過非 Microsoft 的 MDM 解決方案。 依賴非 Microsoft MDM 進行行動存取控制的組織，應評估其安全影響。 欲了解更多資訊，請參閱 零信任（Zero Trust）關於阻擋認證傳輸的指引。
  • 只支援 Microsoft 應用程式。 認證轉移僅適用於 Microsoft 應用程式。 非 Microsoft 的應用程式不支援這種流程。
  • 協議追蹤。 使用者完成認證傳輸後，會話會被 追蹤。 同一會話內的其他登入嘗試可能受驗證流程政策約束，即使它們使用不同的認證流程。
  • 需要重新驗證PRT。 使用者必須在電腦上重新認證才能開始認證傳輸，即使已有主刷新令牌會話。

安全性考慮

Microsoft 建議組織評估使用者是否需要驗證傳輸。 Zero Trust 保護身份的指引 建議阻止驗證轉移作為安全最佳實務。

阻擋認證傳輸有助於防止憑證被盜用及重播攻擊，防止使用裝置憑證在其他裝置上進行無聲認證。 當啟用認證傳輸時，威脅行為者若取得單一裝置的存取權，可能會存取未經核准的裝置資源，繞過標準的認證與裝置合規檢查。

請考量下列建議事項：

  • 除非你有文件證明需要跨裝置登入，否則封鎖認證傳輸。 使用條件存取政策 來阻擋認證傳輸。
  • 先使用僅報告模式，了解貴組織中身份驗證傳輸的使用方式，再決定是否強制封鎖。
  • 將緊急存取帳號排除 於任何阻擋身份驗證傳輸的政策之外。

登入記錄中的身份驗證資料傳輸

管理員可以查看 Microsoft Entra 登入日誌 ，看看使用者是否使用認證轉移登入。 認證轉移事件會連續出現，第一個事件會顯示 QR 碼作為認證方式。

要檢查登入的協定追蹤狀態，請選擇登入事件，並在活動詳情：登入窗格的基本資訊部分找到原始傳輸方法屬性。 對於執行認證傳輸的會話， 原始傳輸方式 會被設定為 認證傳輸。

管理特定使用者和應用程式的驗證傳輸

所有使用者預設都會啟用驗證傳輸。 管理員透過條件存取政策及 認證流程 條件來管理認證傳輸。 此條件限制認證傳輸至特定使用者、應用程式，或完全停用此功能。

將使用者登入行動應用程式之前，驗證傳輸會檢查所有適用的條件式存取原則。 如果不符合必要條件，系統會提示使用者在行動應用程式上登入。

若要建立使用驗證傳輸條件的原則，請參閱 使用條件式存取原則封鎖驗證傳輸。

Troubleshooting

請使用以下步驟來排查認證傳輸時的問題。

使用者的認證傳輸失敗：

  1. 請查看登入日誌中的驗證傳輸事件。 請尋找 QR 碼驗證方法項目。
  2. 選擇登入事件，並導向 條件存取 標籤，找出被評估的政策，以及是否有哪個阻擋了傳輸。
  3. 確認目標行動裝置符合所有條件存取要求，包括裝置合規性及位置政策。

使用認證傳輸後出現的意外封鎖：

  1. 檢查登入是否被先前認證傳輸或裝置程式碼流程會話的 協定追蹤 狀態阻擋。
  2. 在登入日誌中，選擇被封鎖的登入，並在基本資訊區塊勾選原始傳輸方式屬性。 如果顯示 是認證傳輸 或 裝置程式碼流程，代表該會話已被協定追蹤。
  3. 如果你的認證流程政策適用於所有應用程式，你可能會看到錯誤代碼 AADSTS530036。 此錯誤表示刷新權杖因條件存取（Conditional Access）的認證流程檢查而無效。

使用者無法啟動認證傳輸：

  • 如果條件存取政策負責管理使用者的認證傳輸，請確認該使用者是否被指派了 Microsoft Entra ID P1 授權。
  • 確認沒有條件存取政策阻擋使用者群組或目標應用程式的認證傳輸。
  • 確認使用者在來源裝置與目標裝置上均使用支援的 Microsoft 應用程式。

欲了解更多關於認證流程故障排除的資訊，請參見 「故障排除意外封鎖」。

相關內容

  • 上次更新時間：