你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

多重身份验证 (MFA) 等功能是保护组织的一种好方法，但用户通常对必须记住密码之外的其他安全保护感到沮丧。 无密码身份验证方法更为方便，因为密码会被删除并替换为你指定的内容，以及你自己的或你已知的内容。

当涉及身份验证时，每个组织都有不同的需求。 Microsoft 全球 Azure 和 Azure 政府提供了下面 3 个与 Azure Active Directory (Azure AD) 集成的无密码身份验证选项：

Windows Hello 企业版非常适合拥有自己的指定 Windows 电脑的信息工作者。 生物识别和 PIN 凭据直接绑定到用户的电脑，可阻止除所有者之外的任何人访问。 利用公钥基础结构 (PKI) 集成和内置单一登录 (SSO) 支持，Windows Hello 企业版提供了一种方便的方法，可无缝访问本地和云中的公司资源。

以下步骤演示了使用 Azure AD 进行登录的过程：

Windows Hello 企业版规划指南可用于帮助你决定 Windows Hello 企业版部署的类型以及需要考虑的选项。

你还可以使用员工的手机作为无密码身份验证方法。 除密码外，你可能已使用 Authenticator 应用作为便利的多重身份验证选项。 你还可以使用 Authenticator 应用作为无密码选项。

Authenticator 应用可将任何 iOS 或 Android 手机变成强、无密码凭据。 用户可以通过以下方式登录到任何平台或浏览器：向其手机发送通知，将屏幕上显示的数字与其手机上的相应数字匹配，然后使用其生物识别（触摸或人脸）或 PIN 进行确认。 有关安装的详细信息，请参阅下载并安装 Microsoft Authenticator。

使用 Authenticator 应用的无密码身份验证遵循与 Windows Hello 企业版相同的基本模式。 这会稍微复杂一些，因为需要识别用户，以便 Azure AD 可以找到正在使用的 Authenticator 应用版本：

若要开始使用无密码登录，请完成以下操作方法：

使用 Authenticator 应用启用无密码签名

FIDO（线上快速身份验证）联盟可帮助推广开放式身份验证标准，并减少将密码作为用户身份验证方式的情况。 FIDO2 是采用了 Web 身份验证 (WebAuthn) 标准的最新标准。

FIDO2 安全密钥是无法钓鱼的基于标准的无密码身份验证方法，可采用任何外形规格。 线上快速身份验证 (FIDO) 是无密码身份验证的开放式标准。 通过 FIDO，用户和组织可以利用该标准使用外部安全密钥或内置于设备的平台密钥登录到其资源，而无需使用用户名或密码。

用户可以进行注册，然后在登录界面选择 FIDO2 安全密钥作为主要的身份验证方式。 这些 FIDO2 安全密钥通常是 USB 设备，但也可以使用蓝牙或 NFC。 使用处理身份验证的硬件设备，由于不使用可能被公开或猜到的密码，帐户的安全性会提高。

FIDO2 安全密钥可用于登录到其 Azure AD 或已建立混合 Azure AD 联接的 Windows 10 设备，并可单一登录到其云和本地资源。 用户还可以登录到受支持的浏览器。 对于安全敏感的企业而言，或者如果企业有些员工不愿意或有些场景无法使用其手机作为第二种验证方法，FIDO2 安全密钥是一个不错的选择。

我们提供了一个参考文档，其中浏览器支持使用 Azure AD 进行 FIDO2 身份验证，还提供了最佳做法，适用于希望在其开发的应用程序中支持 FIDO2 身份验证的开发人员采用。

用户使用 FIDO2 安全密钥登录时，将使用以下过程：

以下提供商提供了 FIDO2 安全密钥，它们具有已知兼容无密码体验的不同外形规格。 建议你通过联系供应商以及 FIDO 联盟来评估这些密钥的安全属性。

注意

如果你购买并计划使用基于 NFC 的安全密钥，则需要为安全密钥提供支持的 NFC 读卡器。 Azure 未要求或限制使用 NFC 读卡器。 有关支持的 NFC 读卡器的列表，请与供应商联系以获取基于 NFC 的安全密钥。

如果你是供应商，并且希望你的设备列入此受支持设备列表，请查看有关如何成为与 Microsoft 兼容的 FIDO2 安全密钥供应商的指导。

若要开始使用 FIDO2 安全密钥，请完成以下操作方法：

使用 FIDO2 安全密钥启用无密码签名

请注意以下事项：

管理员可以为其租户启用无密码身份验证方法。

对于每种方法，管理员可面向所有用户或选择其租户中的用户/安全组。

用户可以在其帐户门户中注册和管理这些无密码身份验证方法。

用户可以通过以下无密码身份验证方法登录：

用户可以使用无密码凭据访问他们在其中为来宾身份的租户中的资源，但仍可能需要在该资源租户中执行 MFA。 有关详细信息，请参阅可能需要进行两次多重身份验证。

用户不得在他们为来宾身份的租户中注册无密码凭据，正如他们不能在该租户中管理密码一样。

这三个无密码选项之间的选择取决于公司的安全要求、平台要求和应用要求。

下面是在选择 Microsoft 无密码技术时要考虑的一些因素：

使用下表选择支持你的需求和用户的方法。

若要开始使用 Azure AD 中的无密码，请完成以下操作方法之一：