Der Administrator Account den wir für die passwortlose Anmeldung nutzen hat mittlerweile seinen initialen Login durchgeführt und einen FIDO2 Security Key für die permante Anmeldung registriert. Diese initiale Anmeldung musste aufgrund von Einschränkungen beim Windows 10 Enrollment an einem schon eingerichteten Gerät durchgeführt werden. Leider ist die Nutzung des Temporary Access Pass bei der initialen Einrichtung von Windows mittels der Out-of-Box-Experience oder Autopilot nicht möglich.

Artikelübersicht

1. Passwordless - Aber warum?
2. Initiale Konfiguration
3. Temporary Access Pass
4. FIDO2 Security keys
5. Windows 10 Device Onboarding und Windows Hello for Business
6. Administrieren mit PowerShell und ohne Passwort
7. Microsoft Authenticator app
8. FIDO2 Schlüssel einschränken & Fazit

Wiederholung

In der letzten Woche habe ich die initiale Einrichtung eines Admin Accounts mittels Temporary Access Pass erläutert. Heute will ich mit FIDO2 eine Anmeldemethode vorstellen, die für regelmäßige Anmeldungen gedacht ist.

Was ist FIDO2?

FIDO steht für Fast Identity Online und FIDO2 ist ein Industriestandard der FIDO Alliance zur Authentifizierung im Web (WebAuthn). Dabei bietet dieser Standard eine nicht phishbare Möglichkeit sich an Webservices ohne Passwort anzumelden. Darin besteht auch der größte Unterschied zu ersten Version FIDO U2F, welches als zweiter Faktor bei der Anmeldung genutzt werden konnte.

Artikelübersicht

1. Passwordless - Aber warum?
2. Initiale Konfiguration
3. Temporary Access Pass
4. FIDO2 Security keys
5. Windows 10 Device Onboarding und Windows Hello for Business
6. Administrieren mit PowerShell und ohne Passwort
7. Microsoft Authenticator app
8. FIDO2 Schlüssel einschränken & Fazit

Wiederholung

In den ersten zwei Blogs der Serie habe ich das Konzept und die Vorzüge von Passwordless beleuchtet und die notwendigen Konfigurationsschritte im Entra ID (Azure AD) Tenant vorgenommen. Jetzt wenden wir uns dem ersten Puzzlestück zu einer echten passwortlosen Anmeldung zu.

Artikelübersicht

1. Passwordless - Aber warum?
2. Initiale Konfiguration
3. Temporary Access Pass
4. FIDO2 Security keys
5. Windows 10 Device Onboarding und Windows Hello for Business
6. Administrieren mit PowerShell und ohne Passwort
7. Microsoft Authenticator app
8. FIDO2 Schlüssel einschränken & Fazit

Initiale Konfiguration

Bevor es losgehen kann und der erste Admin ohne Passwort unterwegs ist, müssen ein paar Funktionen im Entra ID (Azure AD) aktiviert werden. Optional werden Anmeldungen im Browser durch eine Conditional Access Policy zusätzlich abgesichert.

Einleitung

Über das Thema passwordless Authentication wird im Microsoft Kosmos aktuell viel gesprochen und geschrieben.

Doch was bedeutet es im Alltag den eigenen Account ohne Passwort zu nutzen?
Welche Vorraussetzungen müssen erfüllt sein und welche Einschränkungen bringt dies mit sich?

In dieser Blogserie möchte ich euch einen Überblick über den aktuellen Stand der vorhandenen Technologien geben und diese Schritt für Schritt erschließen.

Artikelübersicht

1. Passwordless - Aber warum?
2. Initiale Konfiguration
3. Temporary Access Pass
4. FIDO2 Security keys
5. Windows 10 Device Onboarding und Windows Hello for Business
6. Administrieren mit PowerShell und ohne Passwort
7. Microsoft Authenticator app
8. FIDO2 Schlüssel einschränken & Fazit

Warum ohne Passwort?

Die erste Frage die sich aufdrängt: Warum sollte ich auf das Passwort verzichten?

Die neue Webseite für die kombinierten Registrierung von Sicherheitsinformationen, wie Microsoft sie offiziell bezeichnet, ermöglicht es den Benutzern MFA einzurichten und die notwendigen Informationen für den Selfservice Password Reset (SSPR).

Sie ist auch Voraussetzung für die Einrichtung von FIDO2 Security Schlüsseln, dem Einsatz von “User actions” in Conditional Access Policies und wird sicher auch für neue Zweifaktor-Methoden erforderlich sein.

Diese Änderungen sind aber auf den ersten Blick keine Vorteile für den einzelnen Anwender.