• Cloud, Guide, Microsoft 365, Sicurezza
• 18 Agosto 2026

Le chiavi di sicurezza FIDO2 permettono di accedere a Microsoft Entra ID e Microsoft 365 senza utilizzare la password e offrono un metodo di autenticazione resistente al phishing. Normalmente è l’utente a registrare la propria chiave dalla pagina Informazioni di sicurezza, seguendo la procedura guidata e completando le operazioni richieste dal browser.

Microsoft ha introdotto la possibilità per un amministratore di configurare una chiave FIDO2 per conto dell’utente. Questa funzionalità è attualmente disponibile in preview ed è descritta nella documentazione ufficiale alla pagina Provision FIDO2 security keys using Microsoft Graph API (preview). Il processo utilizza Microsoft Graph per ottenere le informazioni necessarie alla creazione della credenziale e per associare successivamente la chiave all’account corretto in Microsoft Entra ID.

La configurazione da parte dell’amministratore semplifica la distribuzione delle chiavi agli utenti meno esperti, riduce gli errori durante la registrazione e limita le richieste di assistenza. Permette inoltre di adottare una procedura uniforme e di verificare preventivamente il corretto funzionamento della chiave. Al momento della consegna, l’utente riceve quindi una chiave già pronta: deve soltanto inserirla, digitare il PIN ed effettuare l’accesso.

Poiché si tratta di una funzionalità ancora in anteprima, è consigliabile provarla inizialmente con un gruppo ristretto di utenti e verificarne attentamente il comportamento prima di utilizzarla su larga scala.

Prerequisiti

Prima di procedere è necessario verificare che il metodo di autenticazione Passkey (FIDO2) sia abilitato in Microsoft Entra ID e che l’utente scelto per la prova rientri nell’ambito di applicazione del criterio. Nella configurazione deve essere consentita la registrazione self-service e, se sono state configurate restrizioni sulle chiavi, l’AAGUID del modello utilizzato non deve essere bloccato.

L’operazione deve essere eseguita da un computer Windows, perché il modulo utilizzato richiama le API WebAuthn del sistema operativo per comunicare con la chiave di sicurezza. È inoltre necessario avere PowerShell e installare i moduli Microsoft Graph PowerShell e DSInternals.Passkeys.

L’amministratore deve disporre almeno del ruolo Authentication Administrator e autorizzare il permesso Microsoft Graph UserAuthenticationMethod.ReadWrite.All. Per configurare una chiave destinata a un account amministrativo è invece necessario utilizzare il ruolo Privileged Authentication Administrator.

È ovviamente necessaria una chiave di sicurezza compatibile con FIDO2, collegata al computer durante la procedura. Se la chiave non è mai stata utilizzata, Windows potrebbe richiedere la creazione di un PIN prima di generare la nuova credenziale.

Abilitare le passkey FIDO2 in Microsoft Entra ID

Accedete al Microsoft Entra admin center e selezionate Entra ID > Authentication methods > Policies. Aprite il criterio Passkey (FIDO2) e verificate che sia abilitato per tutti gli utenti oppure per il gruppo che contiene l’utente scelto per la prova.

Figura 1: Abilitazione del metodo di autenticazione Passkey (FIDO2) in Microsoft Entra ID

Nella scheda Configure assicuratevi che l’opzione Allow self-service set up sia impostata su Yes. Questa impostazione è necessaria anche quando la registrazione viene effettuata dall’amministratore tramite Microsoft Graph.

Controllate inoltre il profilo passkey assegnato all’utente. Il profilo deve consentire le passkey di tipo Device-bound, utilizzate dalle chiavi di sicurezza fisiche. Se avete abilitato le restrizioni, verificate che l’AAGUID del modello che intendete utilizzare sia presente nell’elenco delle chiavi consentite.

Figura 2: Configurazione del profilo Passkey e verifica delle restrizioni applicate alle chiavi FIDO2

Applicate quindi il criterio al gruppo pilota individuato in precedenza, così da verificare l’intera procedura senza modificare subito la configurazione di tutti gli utenti.

Installazione dei moduli PowerShell

La comunicazione con Microsoft Entra ID viene gestita tramite Microsoft Graph PowerShell, mentre la creazione della credenziale sulla chiave fisica viene eseguita dal modulo DSInternals.Passkeys, disponibile nella PowerShell Gallery.

Aprite PowerShell e installate i moduli necessari:

Se i moduli sono già presenti, potete aggiornarli utilizzando il cmdlet Update-Module.

Configurazione della chiave FIDO2

Ricordate che, come indicato nei prerequisiti, per eseguire l’operazione è necessario il ruolo Authentication Administrator, oppure Privileged Authentication Administrator se l’utente destinatario possiede un ruolo amministrativo.

Durante la connessione a Microsoft Graph verrà richiesto il consenso per l’autorizzazione delegata UserAuthenticationMethod.ReadWrite.All, necessaria per leggere e modificare i metodi di autenticazione degli utenti.

Lo script richiede l’UPN dell’utente direttamente dalla console, avvia la procedura guidata di Windows per creare la credenziale sulla chiave fisica e la registra nell’account selezionato. In Microsoft Entra ID la chiave verrà visualizzata con il nome Chiave FIDO2, che potete modificare liberamente per indicare, ad esempio, il modello della chiave o il relativo numero di inventario.

Dopo aver inserito l’UPN dell’utente, il cmdlet Register-EntraPasskey richiede a Microsoft Entra ID le informazioni necessarie per creare la credenziale. Windows avvia quindi la procedura guidata e richiede il PIN della chiave di sicurezza. Il PIN appartiene alla chiave fisica e non corrisponde alla password o al PIN di accesso dell’utente.

Figura 3: Inserimento dell’UPN dell’utente e richiesta del PIN della chiave di sicurezza FIDO2

Dopo aver verificato il PIN, Windows richiede di toccare la chiave. Questa operazione conferma la presenza fisica dell’amministratore e autorizza la creazione della nuova credenziale FIDO2 sul dispositivo.

Figura 4: Conferma della presenza fisica tramite il sensore della chiave di sicurezza FIDO2

Completata la procedura, il cmdlet registra la credenziale nell’account dell’utente e restituisce le informazioni relative alla chiave. Nell’output sono visibili l’identificativo della credenziale, l’AAGUID del dispositivo e il livello di attestazione. Il valore attested conferma che Microsoft Entra ID ha verificato l’attestazione fornita dalla chiave.

Figura 5: Registrazione della chiave FIDO2 completata correttamente in Microsoft Entra ID

Per verificare il risultato, accedete al Microsoft Entra admin center, aprite il profilo dell’utente e selezionate Authentication methods. La nuova credenziale compare tra i metodi utilizzabili con il tipo Passkey e con il nome Chiave FIDO2, definito nello script tramite il parametro DisplayName.

Nella stessa pagina è possibile verificare che FIDO2 venga riconosciuto anche come metodo preferito dal sistema per l’autenticazione a più fattori. La presenza della passkey conferma che la chiave fisica è stata associata correttamente all’account dell’utente.

Figura 6: Verifica della chiave FIDO2 registrata tra i metodi di autenticazione dell’utente in Microsoft Entra ID

Verifica dell’accesso con la chiave FIDO2

Per verificare il funzionamento della chiave, aprite una nuova finestra del browser e avviate l’accesso con l’account dell’utente. Selezionate l’opzione per utilizzare il riconoscimento biometrico, il PIN o una chiave di sicurezza. Windows riconosce la credenziale presente sulla chiave FIDO2 e richiede l’inserimento del relativo PIN.

Figura 7: Accesso all’account Microsoft Entra ID tramite il PIN della chiave di sicurezza FIDO2

Dopo aver verificato il PIN, Windows può richiedere di toccare il sensore della chiave: questo passaggio dimostra la presenza fisica dell’utente e autorizza l’utilizzo della credenziale FIDO2 per completare l’autenticazione.

Figura 8: Conferma dell’accesso tramite il tocco della chiave di sicurezza FIDO2

Completata la verifica, l’utente accede al portale senza inserire la propria password. La visualizzazione della pagina My Account conferma che la chiave configurata dall’amministratore è stata riconosciuta correttamente e può essere utilizzata per l’autenticazione passwordless.

Figura 9: Accesso all’account completato correttamente utilizzando la chiave FIDO2

Accesso a Windows con la chiave FIDO2

La chiave FIDO2 configurata per l’utente non può essere utilizzata soltanto per accedere ai portali web di Microsoft Entra ID e Microsoft 365. Se il computer Windows è aggiunto al dominio e l’ambiente Active Directory ibrido è stato opportunamente configurato, la stessa chiave può essere utilizzata anche per effettuare l’accesso al sistema operativo.

La configurazione necessaria per utilizzare Windows Hello for Business e le chiavi FIDO2 in un ambiente Active Directory ibrido è descritta nella guida Utilizzare Windows Hello for Business e le chiavi FIDO2 per gestire la MFA on-premises in un ambiente Active Directory ibrido.

Dalla schermata di accesso di Windows è sufficiente selezionare l’icona della chiave di sicurezza e inserire il relativo PIN.

Figura 10: Inserimento del PIN della chiave di sicurezza FIDO2 nella schermata di accesso di Windows

Dopo la verifica del PIN, Windows richiede di toccare il sensore della chiave per confermare la presenza fisica dell’utente.

Figura 11: Conferma dell’accesso a Windows tramite il tocco della chiave di sicurezza FIDO2

Completata la verifica, Windows identifica l’utente associato alla credenziale e consente l’accesso senza richiedere la password.

Figura 12: Accesso a Windows completato correttamente tramite la chiave di sicurezza FIDO2

Conclusioni

La possibilità di configurare una chiave FIDO2 per conto di un utente semplifica la distribuzione dell’autenticazione passwordless, soprattutto quando gli utenti non hanno familiarità con la registrazione dei metodi di sicurezza. Grazie a Microsoft Graph PowerShell e al modulo DSInternals.Passkeys, l’amministratore può preparare la chiave e consegnarla già associata all’account corretto. Poiché la funzionalità è ancora in preview, è consigliabile provarla inizialmente con un gruppo ristretto di utenti prima di adottarla su larga scala.