如何使用 FIDO2 密钥登录我的个人 Windows 10？

Question

我想使用 FIDO2 密钥登录 Windows 10。有各种指南解释了如何将密钥添加到 Microsoft 网络帐户或 Windows 10 登录选项，但当我尝试登录 Windows。

如何配置 Windows 以使用我的 FIDO2 密钥登录？

Answer 1

您无法使用安全密钥登录自己的 Windows 10 非域计算机。

你CAN如果你使用Azure的Active Directory中。通过硬件安全密钥的无密码登录是在线 AAD 控制的功能，没有第三方软件就无法在本地完成。

如果您在非域 Windows 10 实例上登录本地帐户，则不能。

允许您选择安全密钥的“登录选项”设置页面将其描述为“管理可以让您登录应用程序的物理安全密钥”。您的 Windows 10 登录名不是应用程序；您的在线 Microsoft 帐户登录是一个应用程序。

围绕这个主题的混淆已经成熟，因为 Microsoft 使用短语“Windows Hello”而不是“登录”——当有人说“Windows Hello”而不是应用程序登录时，大多数读者会想到 Windows 10 框上的用户登录过程。Edge 将让您使用“Windows Hello”方法（例如指纹或面部识别）登录 Microsoft 在线应用程序。在 Windows Hello 下放置不能用于 Windows 登录的仅限应用程序的登录方法是一个坏主意，导致了所有这些混乱。

参考：https : //answers.microsoft.com/en-us/windows/forum/all/adding-a-security-key-for-pc-login-in-windows-10/ffd27920-5c51-4b04-afb8- 21e1a6810536?page=2

Answer 2

首先，您需要满足某些先决条件才能使用FIDO2功能。

1) FIDO2功能需要使用 Windows 10 October 2018 Update（版本 1809）和 Microsoft Edge 浏览器。（注意：由于某些驱动程序问题（例如英特尔驱动程序），更新可能仍然被阻止 - 我不知道所有问题都已得到解决 - 您必须在这里检查自己。）

2) Microsoft 正在使用WebAuthn和FIDO2 CTAP2规范，要求将私钥和公钥添加到设备中。组织需要在设备上安装可信平台模块 (TPM) 来存储这些密钥。TPMe 可以通过硬件或软件来实现（通常存在于 HP、DELL 等商用笔记本电脑中）。

是什么让密钥与 Microsoft 解决方案兼容？您应该阅读：什么是 Microsoft 兼容的安全密钥？

有关 Microsoft 实现的详细信息，请参阅All about FIDO2, CTAP2 and WebAuthn。

当企业将其版本提升到上述更新并且 MS 为其启用时，将提供对企业版本的支持（AD 和 Azure AD 中的完全支持）。

启用 Microsoft 帐户 (MSA) 以使用FIDO2

1) 如上所述，您已经在使用 Windows 10 1809（10 月更新），您可以设置Windows Hello以使用FIDO2

2) 要启用它，请转到您的Microsoft 帐户页面并从 Windows Edge 输入安全\更多安全（它不适用于 IE、Chrome、Firefox 等）

• 如果您已完成所有设置，您应该会看到以下屏幕：

• 如果出现问题，您将看到以下内容：