Microsoft Entra ID siirtyy profiilipohjaisiin passkeyihin

Microsoft muuttaa yritysten todennuksen hallintamallia siirtymällä Microsoft Entra ID:n kohdalla profiilipohjaiseen passkey-järjestelmään. Muutos tuo mukanaan synkronoidut passkeyt ja uuden passkeyType-määrityksen. Päivitys lupaa entistä tarkemman hallinnan ja sujuvamman siirtymän perinteisistä salasanoista kohti salasanatonta todennusta.

Mitä muuttuu: uusi profiilimalli ja passkeyType

Maailmalla käyttöön otettava muutos käynnistyy maaliskuussa 2026, jolloin Microsoft Entra ID siirtyy uuteen skeemaan, joka tukee natiivisti passkey-profiileja. Päivitys lisää erillisen passkeyType-ominaisuuden, jonka avulla järjestelmänvalvojat voivat nimenomaisesti sallia laitteeseen sidotut passkeyt, synkronoidut passkeyt tai molemmat vaihtoehdot. Tämä antaa identiteetin hallinnasta vastaaville mahdollisuuden asettaa todennuskäytännöt tarkemmin organisaatioryhmien ja käyttötapausten mukaan.

Nykyiset FIDO2-määritykset eivät katoa automaattisesti vaan ne siirretään uuteen oletusprofiiliin, jotta palveluiden ja kirjautumisten jatkuvuus säilyy. Migrointi pyrkii säilyttämään olemassa olevat rajoitukset ja käyttöpolitiikat, mikä vähentää katkoksia käyttäjäkokemuksessa ja minimoi hallinnon työtä.

Miksi tämä on tärkeää ylläpitäjille

Profiilipohjainen lähestymistapa korvaa vanhat vuokralaiskohtaiset FIDO2-asetukset joustavammalla ja ryhmäkohtaisesti kohdistettavalla hallinnalla. Organisaatiot, jotka tällä hetkellä vaativat attestaatiota, joutuvat oletusarvoisesti käyttämään laitteeseen sidottuja passkeyjä, kun taas vuokralaiset ilman attestaatiopakkoa voivat sallia sekä laitteeseen sidotut että synkronoidut passkeyt. Tämä erottaa organisaatioiden vaatimukset turvallisuuden ja käyttömukavuuden välillä.

Migroinnin aikana nykyiset avainrajoitukset ja käyttäjäkohtaiset politiikat pyritään säilyttämään ennallaan. Käytännössä tämä tarkoittaa sitä, että valmiiksi määritellyt hyväksytyt laitteet, avaintyypit ja vaatimustasot siirtyvät uudelle profiilimallille ilman, että järjestelmänvalvojien tarvitsee toteuttaa laajoja manuaalisia muutoksia. Tällainen siirto vähentää riskiä, että jokin liiketoimintakriittinen palvelu menettää todennuksen toiminnallisuuden siirron yhteydessä.

Teknisesti kyse on identiteetin hallinnan arkkitehtuurin päivittämisestä, jossa entistä hienojakoisemmat asetukset mahdollistavat erilaisia käyttötapauksia. Esimerkiksi julkiseen pilveen liitetyissä työntekijätiloissa voidaan suosia synkronoitua passkey-mallia, kun taas korkeamman turvallisuuden järjestelmissä voidaan määrätä laitteeseen sidotut avaimet, jotka eivät poistu laitteen ulkopuolelle.

Rekisteröintikampanjat ja yksinkertaistetut kehotteet

Microsoftin hallinnoimat rekisteröintikampanjat muuttavat painopistettä siten, että Microsoft Authenticatorin suosimisen sijasta korostetaan passkeyjen käyttöönottoa erityisesti niissä vuokralaisissa, joissa synkronoidut passkeyt ovat käytössä. Kampanjoiden oletuskohderyhmä laajenee koskemaan kaikkia käyttäjiä, jotka pystyvät käyttämään monivaiheista todennusta, mikä kasvattaa ottamisastetta organisaation laajuisesti.

Tämä muutos vaikuttaa myös viestintään ja koulutukseen: organisaatioiden kannattaa päivittää sisäiset ohjeistukset, tukiartikkelit ja käyttöönotto-oppaat niin, että käyttäjille tarjotaan selkeät ohjeet passkeyn luomisesta, synkronoinnista ja hallinnasta eri laitteilla. Tavoitteena on vähentää tukipyyntöjen määrää ja nopeuttaa passkeyn käyttöönottoa laajemmassa organisaatiossa.

Järjestelmänvalvojille rekisteröintikehotteiden hallinta myös yksinkertaistuu. Microsoft poistaa vaihtoehdot kuten rajoitettu määrä torkkuja ja torkkujen sallittu kesto päivinä, ja siirtyy yksinkertaiseen malliin, joka sallii rajattoman määrän torkkuja yhdellä päivän muistutusjaksolla. Tämä muutos auttaa vähentämään hallinnollista monimutkaisuutta, mutta säilyttää muistutusten toistuvuuden, jotta käyttäjät eivät unohda uusia todennustapoja.

Samalla on hyvä pohtia käyttäjälähtöisiä viestintästrategioita, jotka yhdistävät teknisen viestinnän ymmärrettäväksi hyödyn korostukseksi. Selkeät viestit siitä, miten passkey parantaa käyttövarmuutta ja suojaa käyttäjiä kalasteluhyökkäyksiltä (phishingiltä), edistävät hyväksyntää ja vähentävät vastustusta muutokselle.

Ajoitus ja käyttöönoton tiedot

• Yleinen saatavuus (maailmanlaajuinen käyttöönotto) alkaa maaliskuun alussa 2026.
• Automaattinen päälle kytkentä vuokralaisille, jotka eivät erikseen ota muutosta käyttöön, on aikataulutettu alkavaksi huhtikuussa 2026.
• Hallinnon pilviympäristöt (GCC, GCC High, DoD) etenevät viivästetyn aikataulun mukaisesti, ja automaattinen migrointi on suunniteltu kesäkuuksi 2026.

Ylläpitäjät löytävät lisätiedot Microsoft Admin Centeristä viestin MC1221452 perusteella. Suositeltavaa on tutustua näihin viesteihin ajoissa ja laatii testisuunnitelma, jolla varmistetaan, että siirtymä toimii odotetusti organisaation eri osissa ja että erityistapaukset kuten järjestelmätilit ja palvelutilit käsitellään oikein.

Suunnitteluvaiheessa kannattaa myös kartoittaa poikkeustilanteet ja varmistaa, että palautussuunnitelma on olemassa. Esimerkiksi entisen FIDO2-konfiguraation säilyttäminen oletusprofiilissa antaa mahdollisuuden palata tarvittaessa aiempaan asetukseen ilman kattavaa palvelukatkoa. Lisäksi testiympäristöissä voidaan simuloida käyttäjäpolkuja, laitteistoympäristöjä ja mahdollisia virhetilanteita, kuten laitevaurioita ja avainriippuvuuksia.

Tekninen dokumentaatio ja audit-logit kannattaa säilyttää helppolukuisessa muodossa, jotta vaatimustenmukaisuuden todentaminen esimerkiksi tietoturvatarkastuksissa on sujuvaa. Migrointi tarjoaa myös hyvän hetken päivittää identiteetti- ja pääsynhallinnan (IAM) prosesseja, roolituksia sekä vastuukuvauksia. Tämä vähentää hallinnollista riskialttiutta ja selkeyttää, kuka vastaa passkeyjen hallinnasta, valvonnasta ja palautuksesta.

Mihin tämä sijoittuu laajemmassa turvallisuustrendissä

Tämä siirtymä on osa laajempaa teollisuuden trendiä kohti salasanoista luopumista ja passkeyjen hyödyntämistä. Passkeyt ovat phishing-kestäviä tunnisteita, joita ei voida uudelleenkäyttää eri palveluissa samalla tavalla kuin perinteisiä salasanoja. Ne perustuvat avoimiin standardeihin kuten FIDO2:een ja WebAuthn:iin, ja korostavat julkisen avaimen kryptografiaa sekä lokaalisti hallittuja avainpareja. Tämä tekee niistä erityisen sopivia sekä kuluttaja- että yritysympäristöihin, joissa halutaan parantaa turvallisuutta ilman merkittävää heikennystä käyttökokemuksessa.

On tärkeää ymmärtää, että passkeyt eivät ole täydellinen korvaaja kaikille nykyisille todennusmenetelmille yhdellä kertaa. Sen sijaan ne tarjoavat vahvemman vaihtoehdon, jota voidaan ottaa käyttöön vaiheittain, testaamalla ja kohdentamalla eri käyttäjäryhmille ja riskiarvioiden perusteella. Microsoftin profiilipohjainen arkkitehtuuri pyrkii tekemään passkeyjen käyttöönotosta skaalautuvampaa ja joustavampaa organisaatioissa, joilla on monimutkaisia vaatimuksia ja erilaisia turvallisuustasoja.

Tämän muutoksen tekninen ja organisatorinen arvo ilmenee erityisesti seuraavissa osa-alueissa: riskienhallinta, käyttöliittymän yksinkertaistaminen, hallittavuus suuremmille käyttäjämäärille, sekä parempi tuki monilaitteisille käyttäjille. Lisäksi synkronoidut passkeyt tuovat käyttäjille joustavuutta käyttää samaa tunnistetta useilla laitteilla ilman, että avainta tarvitsee kopioida manuaalisesti tai luottaa heikkoihin siirtomenetelmiin.

Käytännön näkökulmasta organisaatioiden kannattaa valmistautua päivittämällä turvallisuusarkkitehtuurinsa, kouluttamalla IT-tukea ja loppukäyttäjiä, sekä suunnittelemalla asteittainen käyttöönotto, joka sisältää pilottiryhmät, mittarit ja palauteprosessit. Näin voidaan mitata ottamisen vaikutusta, tunnistaa pullonkaulat ja tehdä tarvittavat hienosäädöt ennen laajempaa käyttöönottoa.

Microsoftin päätös siirtyä profiilipohjaisiin passkey-malleihin heijastaa alan laajempaa muutosta kohti identiteettikeskeistä tietoturvaa ja salasanattomia ratkaisuita. Organisaatiot, jotka investoivat tähän ajoissa, saavat etulyöntiaseman turvallisuuden ja käyttökokemuksen yhdistämisessä.

Lisäksi on hyvä huomioida yhteensopivuusvaatimukset ja kolmannen osapuolen integraatiot. Monet yritykset käyttävät useita identiteetin tarjoajia ja kirjautumispalveluita sekä integroituvat SaaS-ratkaisuihin. Passkey-arkkitehtuurin suunnittelu tulisikin tehdä niin, että integraatiot toimivat saumattomasti ja että mahdolliset varmistetut palvelut tunnistavat passkeyt luotettavana todennustapana.

Kuvittele tilanne, jossa moderni, phishing-kestävä todennus otetaan käyttöön säilyttäen nykyiset politiikat ja käyttäjäryhmät ennallaan. Tämä on lupaus, jonka Entra ID:n siirtymä passkey-profiileihin pyrkii lunastamaan. Sellainen ratkaisu mahdollistaa turvallisuuden parantamisen vähittäisin, hallituin askelin ja sovittaa uusia teknologioita organisaation olemassa olevaan hallintakäytäntöön.