Entra-passkeys invoeren: attestation achteraf blokkeert oude sleutels niet

Configureer Microsoft Entra-passkeys eerst voor een pilotgroep met een eigen profiel, sta zelfregistratie toe en verplicht aanmelding pas na een geslaagde pilot via Conditional Access. Microsofts configuratiehandleiding maakt duidelijk dat later ingeschakelde attestation eerder geregistreerde sleutels niet automatisch bij aanmelding blokkeert en dat gebruikers in de vijf minuten vóór registratie multifactorauthenticatie moeten voltooien.

Leg vooraf vast welke passkeytypen en authenticators je wilt toelaten, wie een verloren middel kan vervangen en hoe beheerders bij een fout beleid toegang houden. Beoordeel bestaande registraties apart wanneer je de eisen aanscherpt. Een instelling die nieuwe registraties controleert, brengt oude registraties niet vanzelf op hetzelfde betrouwbaarheidsniveau.

Regel noodtoegang voordat je beleid wijzigt

Richt twee afzonderlijke noodaccounts met beheerdersrechten in en wijs twee bevoegde beheerders aan die weten hoe ze die gebruiken. Gebruik voor de noodaccounts middelen die losstaan van de gewone aanmeldmiddelen van beheerders en bewaar ze op gescheiden, beveiligde locaties. Daarmee hangt herstel na verlies van een telefoon of beveiligingssleutel niet af van precies het middel dat is weggevallen.

Controleer of beide noodaccounts kunnen aanmelden en een beheertaak kunnen uitvoeren. Neem ze niet op in Conditional Access-regels die hun toegang tijdens een storing kunnen blokkeren. Beperk het gebruik tot noodsituaties en controleer de aanmeldingen, omdat deze accounts ruime rechten hebben. Voer deze controle uit vóór je de pilotgroep of een verplicht aanmeldbeleid uitbreidt.

Kies een profiel en beperk de doelgroep

Open in het Microsoft Entra-beheercentrum Entra ID > Security > Authentication methods > Policies > Passkey (FIDO2). Bij het inschakelen van passkeyprofielen gaan de bestaande algemene instellingen over naar het Default-profiel; die keuze kun je niet terugdraaien. Bekijk daarom eerst welke groepen en regels al actief zijn. Maak vervolgens een profiel voor de pilot en wijs het via Enable and Target alleen aan de gekozen groep toe.

Stel in dat profiel vast of apparaatgebonden passkeys, gesynchroniseerde passkeys of beide mogen worden gebruikt. Microsoft Authenticator-passkeys en fysieke FIDO2-sleutels zijn apparaatgebonden opties; Microsoft Entra-passkeys op Windows vormen nog een afzonderlijke apparaatgebonden mogelijkheid. Kies een authenticator die bij de beoogde eisen past: gesynchroniseerde passkeys leveren geen attestation en kunnen dus niet worden geregistreerd onder een profiel dat attestation vereist.

Controleer ook overlappende groepen. Een gebruiker die meerdere profielen krijgt, mag een passkey gebruiken zodra die volledig aan minstens één toegewezen profiel voldoet. Een uitsluiting in het algemene Passkey (FIDO2)-beleid weegt zwaarder dan opname in een doelgroep en verhindert zowel registratie als aanmelding met die methode. Dit groepsbereik hoort vast te staan voordat gebruikers sleutels gaan toevoegen.

Laat de pilot registreren en test herstel

Zet Allow self-service set up op Yes en schakel Passkey (FIDO2) in voor de pilotgroep. Die toestemming voor zelfregistratie is een algemene instelling: zonder haar kan een gebruiker via Security info geen passkey toevoegen, ook wanneer de methode voor de groep beschikbaar is. Laat deelnemers na recente multifactorauthenticatie zelf een toegestane passkey registreren en daarna opnieuw aanmelden.

Bekijk per registratie welk passkeytype en welke AAGUID zijn vastgelegd. De AAGUID duidt een authenticatormodel of provider aan; vergelijk hem met de modellen die het profiel moet toelaten. Test daarnaast het herstelpad alsof de telefoon of fysieke sleutel ontbreekt. De gebruiker moet met een onafhankelijk middel weer toegang kunnen krijgen en een vervangende passkey kunnen registreren.

Stop vóór brede toewijzing als een bedoelde authenticator buiten de toegestane selectie valt, registratie mislukt of herstel van het verloren apparaat afhankelijk blijkt. Pas het profiel of de herstelprocedure aan en herhaal registratie, aanmelding en herstel binnen de pilot. Daarmee controleer je de combinatie van groepsbereik, apparaatkeuze en herstel voordat andere gebruikers ervan afhankelijk worden.

Behandel attestation en AAGUID-beperkingen afzonderlijk

Attestation kan tijdens registratie bewijs leveren over de herkomst van de authenticator. De uitleg van de FIDO Alliance beschrijft hoe een ondertekende verklaring de AAGUID aan de aangemaakte passkey koppelt; een AAGUID zonder zulk bewijs bevestigt de opgegeven herkomst niet. Wie ook voor bestaande gebruikers die zekerheid wil, moet hun registraties inventariseren en geschikte nieuwe passkeys laten toevoegen. Verwijder de oude methode pas als de vervanger werkt en herstel mogelijk blijft.

AAGUID-beperkingen hebben een ander effect: ze bepalen de bruikbaarheid van modellen of providers bij registratie én aanmelding. Bij een pilot met YubiKeys laat Yubico’s Entra-instructie zien hoe een toelatingslijst specifieke sleutelmodellen selecteert en waarom wijzigingen bestaande aanmeldingen kunnen raken. Vergelijk de AAGUID’s van geregistreerde sleutels met de nieuwe lijst vóór je die opslaat. Een eerder toegelaten model dat eruit verdwijnt, kan ook voor bestaande gebruikers onbruikbaar worden.

Dwing aanmelding pas af na een tweede stopmoment

Het toestaan van passkeys verplicht gebruikers nog niet om ermee aan te melden. Maak voor de beoogde resources een Conditional Access-beleid met een passende authentication strength. De ingebouwde sterkte voor phishingbestendige MFA laat ook andere geschikte methoden toe; kies een aangepaste sterkte als juist passkeys of bepaalde AAGUID’s vereist zijn.

Zet het beleid eerst op Report-only en beoordeel de verwachte uitkomst voor pilotgebruikers en beheerders. Stop vóór verplichte handhaving als iemand zonder beschikbaar apparaat geen herstelroute heeft, een bestaande sleutel door een beperking wordt geweigerd of een noodaccount onder een blokkerende regel valt. Schakel het beleid pas in wanneer registratie, aanmelding en herstel voor de doelgroep werken. Breid daarna groep voor groep uit en neem bij elke uitbreiding ook eerder geregistreerde passkeys mee in de controle.

Lees ook:

• Bewaar herstelcodes offline: één nieuwe Microsoft-code maakt de oude ongeldig
• DMARC veilig invoeren: p=reject mag niet je eerste stap zijn
• Een zzp’er inhuren: een goed contract voorkomt schijnzelfstandigheid niet