Nuta
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować się zalogować lub zmienić katalog.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Podstawowy token odświeżania (PRT) to kluczowy element uwierzytelniania Entra firmy Microsoft w obsługiwanych wersjach systemów Windows, iOS/macOS, Android i Linux. PrT to bezpieczny artefakt specjalnie wystawiony dla brokerów tokenów firmy Microsoft w celu włączenia logowania jednokrotnego (SSO) w aplikacjach używanych na tych urządzeniach. W tym artykule wyjaśniono, w jaki sposób prT jest wystawiany, używany i chroniony, zwiększając bezpieczeństwo i włączając logowanie jednokrotne w aplikacjach.
W tym artykule założono, że znasz już różne stany urządzeń dostępne w usłudze Microsoft Entra ID i sposób działania logowania jednokrotnego w systemie Windows. Aby uzyskać więcej informacji na temat urządzeń w identyfikatorze Entra firmy Microsoft, zobacz Co to jest zarządzanie urządzeniami w usłudze Microsoft Entra ID?.
Kluczowa terminologia i składniki
Następujące składniki systemu Windows odgrywają kluczową rolę w żądaniu i używaniu podstawowego tokenu odświeżania (PRT):
| Termin | Opis |
|---|---|
| pośrednik | Broker tożsamości to usługa, która działa jako pośrednik między dostawcami tożsamości i dostawcami usług (SPS), upraszczając uwierzytelnianie i autoryzację. Menedżer kont sieci Web to przykład brokera tożsamości. |
| Dostawca uwierzytelniania w chmurze (CloudAP) | CloudAP to nowoczesny dostawca uwierzytelniania dla logowania systemu Windows, który weryfikuje użytkowników logujących się na urządzeniu z systemem Windows 10 lub nowszym. CloudAP udostępnia framework wtyczek, na której dostawcy tożsamości mogą bazować, aby umożliwić uwierzytelnianie w Windows przy użyciu poświadczeń dostawcy. |
| Menedżer kont sieci Web (WAM) | WAM jest domyślnym brokerem tokenów na urządzeniach z systemem Windows 10 lub nowszym. WAM udostępnia również strukturę wtyczek, na której dostawcy tożsamości mogą się opierać i umożliwić logowanie jednokrotne w aplikacjach, które polegają na tym dostawcy tożsamości. |
| Wtyczka Microsoft Entra CloudAP | Wtyczka specyficzna dla firmy Microsoft entra oparta na strukturze CloudAP, która weryfikuje poświadczenia użytkownika za pomocą identyfikatora Entra firmy Microsoft podczas logowania się w systemie Windows. |
| Wtyczka Microsoft Entra WAM | Specyficzna dla Microsoft Entra wtyczka oparta na strukturze WAM, która umożliwia SSO do aplikacji korzystających z identyfikatora Microsoft Entra do uwierzytelniania. |
| Dsreg | Specyficzny składnik Microsoft Entra w systemie Windows 10 lub nowszym, który obsługuje proces rejestracji urządzeń we wszystkich stanach urządzeń. |
| Moduł TPM (Trusted Platform Module) | Moduł TPM to składnik sprzętowy wbudowany w urządzenie, który udostępnia sprzętowe funkcje zabezpieczeń dla tajnych informacji użytkowników i urządzeń. Więcej szczegółów można znaleźć w artykule Trusted Platform Module Technology Overview (Omówienie technologii trusted platform module). |
Do czego służy prT?
- Single Sign-On (SSO) — gdy użytkownik zaloguje się do swojego urządzenia, PRT umożliwia im dostęp do Microsoft 365, Azure i innych aplikacji chmurowych bez potrzeby ponownego wprowadzania poświadczeń. Aplikacje, takie jak Office, Microsoft Edge i Teams, używają prT za pośrednictwem brokera, aby dyskretnie uwierzytelniać użytkowników, ulepszać środowisko użytkownika, zmniejszać potrzebę wielu logowania i zwiększać produktywność.
- Pozyskiwanie tokenu — PRT jest używany do żądania tokenów dostępu i tokenów odświeżania dla różnych usług (np. Outlook, Teams, SharePoint) za pośrednictwem Menadżera kont internetowych systemu Windows (WAM) lub wtyczki brokera na innych platformach.
- Zgodność dostępu warunkowego — zawiera oświadczenia urządzeń i użytkowników, które są oceniane przez Microsoft Entra ID w celu egzekwowania zasad dostępu warunkowego (na przykład wymagających zgodnych urządzeń, uwierzytelniania wieloskładnikowego itp.).
Jakie są typy prT?
Na wysokim poziomie istnieją dwa różne typy artefaktów PRT.
- Zarejestrowane PRT urządzeń są powiązane z urządzeniem, które ma skojarzoną tożsamość Microsoft Entra.
- Niezarejestrowane PRT urządzenia są powiązane z urządzeniem, które nie ma tożsamości Microsoft Entra, skojarzonej z parą kluczy kryptograficznych na urządzeniu, wygenerowaną przez klienta.
Klienci zawsze próbują używać "zarejestrowanych PRT-ów urządzeń", jeśli jest to możliwe. Tylko PRT spełniają zasady rejestracji urządzeń, jeśli są wystawiane dla zarejestrowanych urządzeń. Niezarejestrowane urządzenie PRT są używane w scenariuszach, w których urządzenie nie ma tożsamości Microsoft Entra, na przykład gdy użytkownik loguje się do przeglądarki na urządzeniu osobistym lub gdy użytkownik loguje się do aplikacji, która nie obsługuje rejestracji urządzenia.
Czy mogę zobaczyć, co znajduje się w PRT?
pl-PL: PRT to nieprzezroczysty pakiet danych wysyłany przez Microsoft Entra, którego zawartość nie jest znana żadnym składnikom klienta. Nie można zobaczyć, co znajduje się wewnątrz PRT.
W jaki sposób wydawane jest PRT?
W przypadku zarejestrowanych PRT dla urządzeń, PRT jest wydawany użytkownikom na zarejestrowanych urządzeniach. Aby uzyskać szczegółowe informacje na temat rejestracji urządzeń, zobacz artykuł Windows Hello dla firm i rejestracja urządzenia. Podczas rejestracji urządzenia składnik dsreg generuje dwa zestawy par kluczy kryptograficznych:
- Klucz urządzenia (dkpub/dkpriv)
- Klucz transportu (tkpub/tkpriv)
PRT może być wystawiany tylko wtedy, gdy jest obecny broker Microsoft Entra ID. Broker jest składnikiem dystrybuowanym z następującymi aplikacjami: Portal firmy na macOS i Linux, Authenticator na iOS, Authenticator, Link to Windows oraz Portal firmy na Androidzie. Na komputerze Mac zarządzanie urządzeniami przenośnymi (MDM) jest wymagane do aktywowania brokera wraz z profilem rozszerzenia jednokrotnego logowania: Wtyczka SSO Apple
Jeśli urządzenie ma prawidłowy i działający moduł TPM/bezpieczny magazyn sprzętowy, klucze prywatne są powiązane z bezpiecznym magazynem urządzenia na obsługiwanych platformach. Klucze publiczne są wysyłane do Microsoft Entra ID podczas procesu rejestracji urządzenia, aby zweryfikować stan urządzenia podczas żądań PRT.
PRT jest wydawany podczas uwierzytelniania tożsamości użytkownika na urządzeniu z systemem Windows 10 lub nowszym w dwóch scenariuszach:
- Dołączenie do Microsoft Entra lub Hybrydowe dołączenie do Microsoft Entra: PRT jest wydawany podczas logowania do systemu Windows, gdy użytkownik loguje się przy użyciu poświadczeń organizacji. Token PRT jest wydawany wraz ze wszystkimi obsługiwanymi poświadczeniami systemu Windows 10 lub nowszymi, na przykład hasłem i Windows Hello dla Firm. W tym scenariuszu wtyczka Microsoft Entra CloudAP jest głównym autorytetem PRT
-
Zarejestrowane urządzenie Microsoft Entra: PRT jest wydawane, gdy użytkownik dodaje dodatkowe konto służbowe do swojego urządzenia z systemem Windows 10 lub nowszym. Użytkownicy mogą dodać konto do systemu Windows 10 lub nowszego na dwa różne sposoby:
- Dodawanie konta za pośrednictwem monitu Zezwalaj mojej organizacji na zarządzanie moim urządzeniem po zalogowaniu się do aplikacji (na przykład Outlook)
- Dodawanie konta z Ustawienia>Konta>Dostęp do pracy lub szkoły>Połącz
W scenariuszach zarejestrowanych urządzeń Microsoft Entra, wtyczka Microsoft Entra WAM jest głównym autorytetem dla PRT, ponieważ logowanie do systemu Windows nie odbywa się za pomocą tego konta Microsoft Entra.
Zachowanie przeglądarki
Przeglądarki uzyskują dostęp do prT na wiele sposobów, w zależności od systemu operacyjnego:
Windows — pobierze PRT z brokera do przeglądarki w następujących przeglądarkach:
Microsoft Edge
Firefox
Chrom
Lista obsługiwanych przeglądarek jest dostępna tutaj: Obsługiwane przeglądarki
Uwaga
Klienci, którzy włączają federację Entra z dostawcami tożsamości innych niż Microsoft, muszą skonfigurować tych dostawców tożsamości do obsługi protokołu WS-Trust w celu włączenia wystawiania PRT na urządzeniach z systemem Windows 10 lub nowszym. Bez WS-Trust dla przypadków federacji, PRT nie może być wydany użytkownikom na urządzeniach hybrydowo połączonych z Microsoft Entra ani na urządzeniach połączonych z Microsoft Entra.
Uwaga
W przypadku usług AD FS usernamemixed punkty końcowe są wymagane. Jeśli Smartcard/certificate jest używany podczas logowania do systemu Windows, certificatemixed punkty końcowe należy skonfigurować w ADFS.
windowstransport powinny być aktywowane tylko jako punkty końcowe dostępne w intranecie oraz nie mogą być udostępnione jako punkty końcowe podłączone do ekstranetu za pomocą serwera proxy aplikacji internetowej.
Uwaga
Zasady dostępu warunkowego w Microsoft Entra nie są brane pod uwagę podczas wydawania PRT.
Uwaga
Nie obsługujemy dostawców poświadczeń innych niż Microsoft w celu wystawiania i odnawiania Microsoft Entra PRT.
W jaki sposób jest używany prT?
PrT jest używany przez dwa kluczowe składniki w systemie Windows:
- Wtyczka Microsoft Entra CloudAP: Podczas logowania systemu Windows wtyczka Microsoft Entra CloudAP żąda PRT od Microsoft Entra ID przy użyciu poświadczeń dostarczonych przez użytkownika. Buforuje również PRT, aby umożliwić logowanie bez dostępu do internetu, gdy użytkownik nie ma połączenia z siecią.
-
Wtyczka Microsoft Entra WAM: Wtyczka Microsoft Entra WAM używa PRT do włączenia logowania jednokrotnego (SSO) w systemie Windows 10 lub nowszym, gdy użytkownicy próbują uzyskać dostęp do aplikacji. Wtyczka Microsoft Entra WAM używa PRT do żądania tokenów odświeżania i dostępu dla aplikacji korzystających z WAM. Umożliwia również SSO w przeglądarkach przez umieszczenie PRT w żądaniach przeglądarki. Logowanie jednokrotne przeglądarki w systemie Windows 10 lub nowszym jest obsługiwane w przeglądarce Microsoft Edge (natywnie), Chrome (za pośrednictwem rozszerzenia Konta systemu Windows 10 ) i Mozilla Firefox v91+ ( ustawienia logowania jednokrotnego systemu Windows w systemie Firefox).
Uwaga
W przypadkach, gdy użytkownik ma dwa konta z tej samej dzierżawy Microsoft Entra zalogowane do aplikacji przeglądarkowej, uwierzytelnianie urządzenia zapewnione przez PRT konta podstawowego jest automatycznie stosowane również do drugiego konta. W rezultacie także drugie konto spełnia wszystkie zasady warunkowego dostępu oparte na urządzeniach w dzierżawie.
Jaki jest okres istnienia prT?
Po wydaniu, PRT (Podstawowy Token Odnowienia) jest ważny przez 90 dni i jest stale odnawiany, o ile użytkownik regularnie korzysta z urządzenia. Organizacje mogą wymagać ponownego uwierzytelnienia użytkowników przy użyciu kontrolki częstotliwości sesji logowania, aby uzyskać dostęp do zasobów.
Jak odnawia się PRT?
Platforma systemu Windows
Odnowienie PRT odbywa się na dwa różne sposoby:
- Wtyczka Microsoft Entra CloudAP co 4 godziny: Wtyczka CloudAP odnawia PRT co 4 godziny podczas logowania do systemu Windows. Jeśli użytkownik nie ma w tym czasie połączenia z Internetem, wtyczka CloudAP odnowi żądanie PRT po nawiązaniu połączenia z Internetem urządzenia i zostanie wykonane nowe logowanie systemu Windows.
-
Wtyczka Microsoft Entra WAM podczas żądań tokenu aplikacji: Wtyczka WAM umożliwia logowanie jednokrotne na urządzeniach z systemem Windows 10 lub nowszym, umożliwiając ciche żądania tokenów dla aplikacji. Wtyczka WAM może odnowić token PRT podczas żądań tokenu na dwa różne sposoby:
- Aplikacja żąda tokenu WAM na uzyskanie dostępu bez wyświetlania okna dialogowego, ale nie ma dostępnego tokenu odświeżania dla tej aplikacji. W tym przypadku WAM używa PRT do zażądania tokenu dla aplikacji i otrzymuje nowe PRT w odpowiedzi.
- Aplikacja żąda od WAM tokenu dostępu, ale PRT jest nieprawidłowy lub usługa Microsoft Entra ID wymaga dodatkowej autoryzacji (na przykład uwierzytelniania wieloskładnikowego firmy Microsoft). W tym scenariuszu WAM inicjuje logowanie interakcyjne wymagające ponownego uwierzytelnienia użytkownika lub zapewnienie dodatkowej weryfikacji, a nowy prT jest wystawiany po pomyślnym uwierzytelnieniu.
W środowisku usług ADFS bezpośrednia łączność z kontrolerem domeny nie jest wymagana do odnowienia PRT. Odnawianie PRT wymaga jedynie włączenia punktów końcowych /adfs/services/trust/2005/usernamemixed i /adfs/services/trust/13/usernamemixed na serwerze proxy przy użyciu protokołu WS-Trust.
Punkty końcowe transportu systemu Windows są wymagane do uwierzytelniania haseł tylko wtedy, gdy hasło zostanie zmienione, a nie w przypadku odnawiania prT.
Najważniejsze zagadnienia
- W urządzeniach dołączonych do usługi Microsoft Entra oraz w hybrydowych urządzeniach dołączonych do Microsoft Entra, wtyczka CloudAP jest głównym organem dla PRT. Jeśli żądanie PRT jest odnawiane podczas żądania tokenu opartego na WAM, żądanie PRT jest wysyłane z powrotem do wtyczki CloudAP, która weryfikuje ważność prT za pomocą identyfikatora Entra firmy Microsoft przed zaakceptowaniem go.
Uwaga
Zasady dostępu warunkowego Microsoft Entra nie są oceniane podczas odnawiania PRT.
Jak chroniony jest PRT?
PRT jest chroniony przez powiązanie go z urządzeniem, na które zalogował się użytkownik, gdzie będzie korzystać z powiązania z użyciem sprzętu, gdy jest ono dostępne i obsługiwane.
Microsoft Entra ID i Windows 10 lub nowsze umożliwiają ochronę PRT za pomocą następujących metod:
- Podczas pierwszego logowania: podczas pierwszego logowania PRT jest wystawiany poprzez podpisywanie żądań przy użyciu klucza urządzenia, który został kryptograficznie wygenerowany podczas rejestracji urządzenia. Na urządzeniu z prawidłowym i działającym modułem TPM klucz urządzenia jest zabezpieczony przez moduł TPM uniemożliwiający złośliwy dostęp. Token odświeżania nie jest wydawany, jeśli nie można zweryfikować odpowiedniego podpisu klucza urządzenia.
- Podczas żądań tokenu i odnowienia: gdy wydawane jest PRT, Microsoft Entra ID także wydaje zaszyfrowany klucz sesji do urządzenia. Jest ona szyfrowana przy użyciu klucza transportu publicznego (tkpub) wygenerowanego i wysłanego do identyfikatora Entra firmy Microsoft w ramach rejestracji urządzenia. Ten klucz sesji można odszyfrować tylko za pomocą prywatnego klucza transportowego (tkpriv), zabezpieczonego przez moduł zabezpieczeń TPM. Klucz sesji to klucz dowodu posiadania (POP) dla wszystkich żądań wysyłanych do Microsoft Entra ID. Klucz sesji jest również chroniony przez moduł TPM i żaden inny składnik systemu operacyjnego nie może uzyskać do niego dostępu. Żądania tokenu lub żądania odnowienia PRT są bezpiecznie podpisane przez ten klucz sesji za pośrednictwem modułu TPM, dlatego nie można ich manipulować. Firma Microsoft Entra unieważnia wszystkie żądania z urządzenia, które nie są podpisane przez odpowiedni klucz sesji.
Zabezpieczając te klucze za pomocą modułu TPM, zwiększamy bezpieczeństwo prT ze strony złośliwych podmiotów próbujących ukraść klucze lub odtworzyć prT. W związku z tym użycie modułu TPM znacznie zwiększa bezpieczeństwo urządzeń połączonych, połączonych hybrydowo i zarejestrowanych w Microsoft Entra przed kradzieżą poświadczeń. W przypadku wydajności i niezawodności moduł TPM 2.0 jest zalecaną wersją dla wszystkich scenariuszy rejestracji urządzeń firmy Microsoft Entra w systemie Windows 10 lub nowszym. Po aktualizacji systemu Windows 10, 1903 identyfikator Entra firmy Microsoft nie używa modułu TPM 1.2 dla żadnego z powyższych kluczy z powodu problemów z niezawodnością.
Jak są chronione tokeny aplikacji?
Aby zapoznać się z ogólnym omówieniem sposobu ochrony tokenów, zobacz Ochrona tokenów w identyfikatorze Entra firmy Microsoft
- Gdy aplikacja żąda tokenu za pośrednictwem WAM, identyfikator Entra firmy Microsoft wystawia token dostępu i, w niektórych typach żądań, token odświeżania. Jednak WAM zwraca tylko token dostępu do aplikacji i zabezpiecza token odświeżania:
- Jeśli jest to token odświeżania dla użytkownika SSO, ten token odświeżania jest powiązany z urządzeniem przy użyciu klucza sesji (takiego samego jak PRT) lub klucza urządzenia.
- Jeśli jest to token odświeżania dla użytkownika bez SSO (logowania jednokrotnego), to ten token odświeżania nie jest powiązany z urządzeniem.
- Wszystkie tokeny odświeżania są szyfrowane przez interfejs DPAPI.
Jak są chronione pliki cookie przeglądarki
Kiedy PRT uzyskuje żądanie uwierzytelniania wieloskładnikowego?
PRT może otrzymać roszczenie uwierzytelniania wieloskładnikowego w określonych scenariuszach. Gdy PRT bazujący na MFA jest używany do żądania tokenów dla aplikacji, oświadczenie MFA jest przenoszone do tych tokenów aplikacji. Ta funkcja zapewnia użytkownikom bezproblemowe środowisko, zapobiegając konieczności użycia uwierzytelniania wieloskładnikowego dla każdej aplikacji, która tego wymaga. PRT może uzyskać roszczenie MFA w następujący sposób:
-
Zaloguj się przy użyciu Windows Hello dla firm: Windows Hello dla firm zastępuje hasła i używa kluczy kryptograficznych do zapewnienia silnego uwierzytelniania dwuskładnikowego. Windows Hello dla firm wymaga uwierzytelniania wieloskładnikowego do skonfigurowania i jest przypisany do konkretnego użytkownika na urządzeniu. Gdy użytkownik loguje się przy użyciu Windows Hello dla firm, PRT użytkownika otrzymuje potwierdzenie uwierzytelniania wieloskładnikowego. Ten scenariusz dotyczy również użytkowników logujących się za pomocą kart inteligentnych, jeśli uwierzytelnianie kartą inteligentną generuje oświadczenie uwierzytelniania wieloskładnikowego (MFA) z usług ADFS.
- Ponieważ Windows Hello dla Firm jest uznawane za uwierzytelnianie wieloskładnikowe, oświadczenie MFA jest aktualizowane po odświeżeniu samego PRT, więc okres ważności uwierzytelniania będzie się wydłużał przy każdym logowaniu użytkowników za pomocą Windows Hello dla Firm.
-
Uwierzytelnianie wieloskładnikowe podczas interaktywnego logowania WAM: Podczas żądania tokenu za pośrednictwem WAM, jeśli użytkownik musi wykonać uwierzytelnianie wieloskładnikowe, aby uzyskać dostęp do aplikacji, odnawiany podczas tej interakcji PRT zostaje oznaczony oświadczeniem MFA.
- W takim przypadku przypis uwierzytelniania wieloskładnikowego nie jest stale aktualizowany, więc czas trwania uwierzytelniania wieloskładnikowego jest oparty na czasie istnienia ustawionym w katalogu.
- Gdy poprzedni istniejący prT i RT są używane do uzyskiwania dostępu do aplikacji, prT i RT są uważane za pierwszy dowód uwierzytelniania. Nowy protokół RT jest wymagany wraz z drugą weryfikacją i wydrukowanym roszczeniem MFA. Proces ten wydaje również nowe PRT i RT.
- System Windows 10 lub nowszy obsługuje partycjonowaną listę głównych tokenów odświeżania (PRT) dla każdego danego uwierzytelniającego. Istnieje więc PRT dla Windows Hello dla firm, hasła lub karty inteligentnej. Ten podział gwarantuje, że twierdzenia MFA są izolowane na podstawie użytych poświadczeń i nie są mieszane podczas żądań tokenów.
Uwaga
Jeśli używasz hasła do logowania się do systemu Windows 10 lub nowszego urządzenia zarejestrowanego w Microsoft Entra lub urządzenia hybrydowego zarejestrowanego w Microsoft Entra, uwierzytelnianie wieloskładnikowe podczas logowania interakcyjnego WAM może być wymagane po wprowadzeniu klucza sesji skojarzonego z głównym tokenem odświeżania (PRT), w zależności od tego, czy użytkownik przeszedł proces uwierzytelniania dwuskładnikowego (2FA) w danej sesji.
W jaki sposób PRT jest unieważniane?
PRT jest unieważniany w następujących scenariuszach:
- Nieprawidłowy użytkownik: Jeśli użytkownik zostanie usunięty lub wyłączony w Microsoft Entra ID, jego PRT zostanie unieważniony i nie można go użyć do uzyskania tokenów dla aplikacji. Jeśli usunięty lub wyłączony użytkownik wcześniej zalogował się na urządzeniu, nadal będzie mógł się zalogować dzięki pamięci podręcznej, dopóki usługa CloudAP nie rozpozna jego nieprawidłowego stanu. Gdy usługa CloudAP ustali, że użytkownik jest nieprawidłowy, blokuje kolejne logowania. Nieprawidłowy użytkownik jest automatycznie blokowany przed logowaniem się do nowych urządzeń, które nie mają swoich poświadczeń w pamięci podręcznej.
- Nieprawidłowe urządzenie: jeśli urządzenie zostanie usunięte lub wyłączone w Microsoft Entra ID, PRT uzyskane na tym urządzeniu zostanie unieważnione i nie może być używane do uzyskiwania tokenów dla innych aplikacji. Jeśli użytkownik jest już zalogowany na nieprawidłowym urządzeniu, może to zrobić dalej. Jednak wszystkie tokeny na urządzeniu są unieważnione, a użytkownik nie ma możliwości jednokrotnego logowania (SSO) do żadnych zasobów z tego urządzenia.
-
Zmiana hasła: Jeśli użytkownik uzyskał PRT przy użyciu swojego hasła, PRT zostanie unieważniony przez Microsoft Entra ID, gdy użytkownik zmieni swoje hasło. Zmiana hasła powoduje, że użytkownik otrzymuje nowy prT. To unieważnienie może wystąpić na dwa różne sposoby:
- Jeśli użytkownik zaloguje się do systemu Windows przy użyciu nowego hasła, usługa CloudAP odrzuci stary PRT i zażąda od Microsoft Entra ID wystawienia nowego PRT z ich nowym hasłem. Jeśli użytkownik nie ma połączenia z Internetem, nie można zweryfikować nowego hasła, system Windows może wymagać od użytkownika wprowadzenia starego hasła.
- Jeśli użytkownik zalogował się, używając starego hasła lub zmienił swoje hasło po zalogowaniu się do systemu Windows, stary PRT jest używany do wszystkich żądań tokenów opartych na WAM. W tym scenariuszu użytkownik jest monitowany o ponowne uwierzytelnienie podczas żądania tokenu WAM i zostaje wystawiony nowy prT.
- Problemy z TPM: Czasami TPM urządzenia może napotykać problemy lub ulegać awarii, co prowadzi do niedostępności kluczy zabezpieczonych przez TPM. W tym przypadku urządzenie nie jest w stanie uzyskać PRT ani zażądać tokenów przy użyciu istniejącego PRT, ponieważ nie może udowodnić posiadania kluczy kryptograficznych. W wyniku wszystkie istniejące tokeny PRT są unieważniane przez Microsoft Entra ID. Gdy system Windows 10 wykryje błąd, inicjuje przepływ odzyskiwania w celu ponownego zarejestrowania urządzenia przy użyciu nowych kluczy kryptograficznych. W przypadku dołączenia hybrydowego Microsoft Entra, podobnie jak przy początkowej rejestracji, proces odzyskiwania odbywa się dyskretnie, bez angażowania użytkownika. W przypadku urządzeń dołączonych do firmy Microsoft Entra lub zarejestrowanych w usłudze Microsoft Entra odzyskiwanie musi zostać wykonane przez użytkownika, który ma uprawnienia administratora na urządzeniu. W tym scenariuszu przepływ odzyskiwania jest inicjowany przez monit systemu Windows, który prowadzi użytkownika do pomyślnego odzyskania urządzenia.
Szczegółowe przepływy
Na poniższych diagramach przedstawiono szczegółowe informacje dotyczące wystawiania, odnawiania i używania PRT do żądania tokenu dostępu dla aplikacji. Ponadto te kroki opisują również sposób stosowania wcześniej wymienionych mechanizmów zabezpieczeń podczas tych interakcji.
Poniżej przedstawiono szczegółowe przepływy specyficzne dla systemu operacyjnego Windows.
Wystawianie PRT podczas pierwszego logowania (Windows)
Uwaga
Na urządzeniach połączonych z Microsoft Entra, wystawianie Microsoft Entra PRT (kroki A-F) odbywa się synchronicznie, zanim użytkownik będzie mógł zalogować się do systemu Windows. W przypadku urządzeń hybrydowo dołączonych do Microsoft Entra, lokalna usługa Active Directory jest głównym autorytetem. Dlatego użytkownik może zalogować się do hybrydowego systemu Windows firmy Microsoft Entra po uzyskaniu biletu TGT do logowania, podczas gdy wystawianie PRT odbywa się asynchronicznie. Ten scenariusz nie ma zastosowania do urządzeń zarejestrowanych w usłudze Microsoft Entra, ponieważ logowanie nie korzysta z poświadczeń firmy Microsoft Entra.
Uwaga
W hybrydowym środowisku Windows dołączonym do Microsoft Entra, wystawianie PRT odbywa się asynchronicznie. Wystawienie PRT może zakończyć się niepowodzeniem z powodu problemów z dostawcą federacyjnym. Ten błąd może spowodować problemy z logowaniem, gdy użytkownicy próbują uzyskać dostęp do zasobów w chmurze. Ważne jest, aby rozwiązać ten problem z dostawcą federacyjnym.
| Krok | opis |
|---|---|
| A | Użytkownik wprowadza swoje hasło w interfejsie użytkownika logowania. LogonUI przekazuje poświadczenia w buforze uwierzytelniania do usługi LSA, która z kolei przekazuje je dalej do usługi CloudAP. Usługa CloudAP przekazuje to żądanie do wtyczki CloudAP. |
| B | Wtyczka CloudAP inicjuje żądanie identyfikacji obszaru w celu zidentyfikowania dostawcy tożsamości użytkownika. Jeśli dzierżawa użytkownika ma konfigurację dostawcy federacji, Microsoft Entra ID zwraca punkt końcowy wymiany metadanych (MEX) dostawcy federacji. Jeśli nie, Microsoft Entra ID zwraca informację, że użytkownik jest zarządzany, co oznacza, że może się uwierzytelnić za pomocą Microsoft Entra ID. |
| C | Jeśli użytkownik jest zarządzany, aplikacja CloudAP pobiera inną wartość od identyfikatora Entra firmy Microsoft. Jeśli użytkownik jest federacyjny, wtyczka CloudAP żąda tokenu Security Assertion Markup Language (SAML) od dostawcy federacji przy użyciu poświadczeń użytkownika. Przed wysłaniem tokenu SAML do Microsoft Entra ID wymagane jest nonce. |
| D | Wtyczka CloudAP tworzy żądanie uwierzytelniania przy użyciu poświadczeń użytkownika, liczby jednorazowej i zakresu brokera, podpisuje żądanie za pomocą klucza urządzenia (dkpriv) i wysyła je do Microsoft Entra ID. W środowisku federacyjnym wtyczka CloudAP używa tokenu SAML zwróconego przez dostawcę federacyjnego zamiast poświadczeń użytkownika. |
| E | Microsoft Entra ID weryfikuje poświadczenia użytkownika, losową liczbę i podpis urządzenia, sprawdza, czy urządzenie jest prawidłowe w dzierżawie, i wystawia zaszyfrowany token PRT. Wraz z PRT, Microsoft Entra ID również wystawia symetryczny klucz, zwany Kluczem sesji, zaszyfrowany przy użyciu klucza transportu (tkpub). Ponadto klucz sesji jest również osadzony w PRT (Primary Refresh Token). Ten klucz sesji działa jako klucz dowodu posiadania (PoP) dla kolejnych żądań z PRT. |
| F | Wtyczka CloudAP przekazuje zaszyfrowany klucz PRT i klucz sesji do usługi CloudAP. Usługa CloudAP prosi moduł TPM o odszyfrowanie klucza sesji za pomocą klucza transportowego (tkpriv) i ponowne zaszyfrowanie go z użyciem własnego klucza TPM. Usługa CloudAP przechowuje zaszyfrowany klucz sesji w pamięci podręcznej wraz z tokenem PRT. |
Odnawianie PRT w kolejnych logowaniach (Windows)
| Krok | opis |
|---|---|
| A | Użytkownik wprowadza swoje hasło w interfejsie użytkownika logowania. LogonUI przekazuje poświadczenia w buforze uwierzytelniania do usługi LSA, która z kolei przekazuje je dalej do usługi CloudAP. Usługa CloudAP przekazuje to żądanie do wtyczki CloudAP. |
| B | Jeśli użytkownik wcześniej zalogował się do sesji, system Windows inicjuje logowanie w pamięci podręcznej i weryfikuje poświadczenia w celu zalogowania użytkownika. Co 4 godziny wtyczka CloudAP inicjuje asynchronicznie odnawianie PRT. |
| C | Wtyczka CloudAP inicjuje żądanie identyfikacji obszaru w celu zidentyfikowania dostawcy tożsamości użytkownika. Jeśli dzierżawa użytkownika ma konfigurację dostawcy federacji, Microsoft Entra ID zwraca punkt końcowy wymiany metadanych (MEX) dostawcy federacji. Jeśli nie, Microsoft Entra ID zwraca informację, że użytkownik jest zarządzany, co oznacza, że może się uwierzytelnić za pomocą Microsoft Entra ID. |
| D | Jeśli użytkownik jest federacyjny, wtyczka CloudAP żąda tokenu SAML od dostawcy federacji przy użyciu poświadczeń użytkownika. Przed wysłaniem tokenu SAML do Microsoft Entra ID wymagane jest nonce. Jeśli użytkownik jest zarządzany, usługa CloudAP bezpośrednio uzyska wartość nonce z Microsoft Entra ID. |
| E | Wtyczka CloudAP tworzy żądanie uwierzytelniania przy użyciu poświadczeń użytkownika, nonce i istniejącego PRT, podpisuje żądanie za pomocą klucza sesji i wysyła je do Microsoft Entra ID. W środowisku federacyjnym wtyczka CloudAP używa tokenu SAML zwróconego przez dostawcę federacyjnego zamiast poświadczeń użytkownika. |
| F | Microsoft Entra ID weryfikuje podpis klucza sesji, porównując go z kluczem sesji osadzonym w PRT, weryfikuje także nonce i sprawdza, czy urządzenie jest prawidłowo uwierzytelnione w dzierżawie, po czym wystawia nowy PRT. Jak pokazano wcześniej, PRT jest ponownie dołączony do Klucza Sesji zaszyfrowanego za pomocą klucza Transportu (tkpub). |
| G | Wtyczka CloudAP przekazuje zaszyfrowany klucz PRT i klucz sesji do usługi CloudAP. Usługa CloudAP prosi TPM o odszyfrowanie klucza sesji przy użyciu klucza transportowego (tkpriv) i ponowne zaszyfrowanie go za pomocą własnego klucza TPM. Usługa CloudAP przechowuje zaszyfrowany klucz sesji w pamięci podręcznej wraz z tokenem PRT. |
Uwaga
PRT może zostać odnowiony zewnętrznie bez konieczności połączenia VPN, gdy zewnętrzne punkty końcowe są włączone.
Użycie prT podczas żądań tokenów aplikacji (Windows)
| Krok | opis |
|---|---|
| A | Aplikacja, na przykład Microsoft Outlook, inicjuje żądanie tokenu do WAM. WAM z kolei prosi wtyczkę Microsoft Entra WAM o obsługę żądania tokenu. |
| B | Jeśli token odświeżania aplikacji jest już dostępny, wtyczka Microsoft Entra WAM używa go do żądania tokenu dostępu. Aby zapewnić dowód powiązania urządzenia, wtyczka WAM podpisuje żądanie za pomocą klucza sesji. Identyfikator firmy Microsoft Entra weryfikuje klucz sesji i wystawia token dostępu oraz nowy token odświeżania aplikacji zaszyfrowany przez klucz sesji. Wtyczka WAM żąda wtyczki CloudAP, aby odszyfrować tokeny, które z kolei żąda modułu TPM do odszyfrowania przy użyciu klucza sesji, co powoduje pobranie obu tokenów przez wtyczkę WAM. Następnie wtyczka WAM udostępnia aplikacji jedynie token dostępu, podczas gdy token odświeżania jest ponownie szyfrowany za pomocą DPAPI i przechowywany we własnej pamięci podręcznej. |
| C | Jeśli token odświeżania aplikacji nie jest dostępny, wtyczka Microsoft Entra WAM używa prT do żądania tokenu dostępu. Aby zapewnić dowód posiadania, wtyczka WAM podpisuje żądanie zawierające PRT za pomocą klucza sesji. Microsoft Entra ID weryfikuje podpis klucza sesji, porównując go z kluczem sesji osadzonym w prT, sprawdza, czy urządzenie jest prawidłowe i wystawia token dostępu oraz token odświeżania dla aplikacji. Ponadto Microsoft Entra ID może wydać nowy PRT (na podstawie cyklu odświeżania), wszystkie z nich zaszyfrowane kluczem sesji. |
| D | Wtyczka WAM żąda wtyczki CloudAP, aby odszyfrować tokeny, które z kolei żąda modułu TPM do odszyfrowania przy użyciu klucza sesji, co powoduje pobranie obu tokenów przez wtyczkę WAM. Następnie wtyczka WAM udostępnia tylko token dostępu do aplikacji, podczas gdy ponownie szyfruje token odświeżania za pomocą interfejsu DPAPI i przechowuje go we własnej pamięci podręcznej. Wtyczka WAM używa tokenu odświeżania od teraz dla tej aplikacji. Wtyczka WAM udostępnia również nowy PRT do wtyczki CloudAP, która weryfikuje PRT za pomocą Microsoft Entra ID przed jego zaktualizowaniem w swojej pamięci podręcznej. Wtyczka CloudAP korzysta z nowego PRT od teraz. |
| E | WAM udostępnia nowo wystawiony token dostępu do aplikacji wywołującej. |
Logowanie jednokrotne przeglądarki przy użyciu PRT (Windows)
| Krok | opis |
|---|---|
| A | Użytkownik loguje się do systemu Windows przy użyciu poświadczeń w celu uzyskania tokenu PRT. Gdy użytkownik otworzy przeglądarkę, przeglądarka (lub rozszerzenie) ładuje adresy URL z rejestru. |
| B | Gdy użytkownik otworzy adres URL logowania firmy Microsoft Entra, przeglądarka lub rozszerzenie zweryfikuje adres URL przy użyciu tych uzyskanych z rejestru. Jeśli są one zgodne, przeglądarka wywołuje hosta klienta natywnego w celu uzyskania tokenu. |
| C | Host klienta natywnego sprawdza, czy adresy URL należą do dostawców tożsamości firmy Microsoft (konto Microsoft lub Microsoft Entra ID), wyodrębnia nonce wysłane z adresu URL i używa wtyczki CloudAP do pobrania pliku cookie PRT. |
| D | Wtyczka CloudAP tworzy plik cookie PRT, podpisuje go przy użyciu klucza sesji powiązanej z modułem TPM i wysyła go z powrotem do hosta klienta natywnego. |
| E | Host klienta natywnego zwraca ten plik cookie PRT do przeglądarki, który zawiera go jako część nagłówka żądania o nazwie x-ms-RefreshTokenCredential i żąda tokenów z identyfikatora Entra firmy Microsoft. |
| F | Microsoft Entra ID weryfikuje podpis klucza sesji w pliku cookie PRT, sprawdza nonce, weryfikuje, czy urządzenie jest prawidłowe w dzierżawie, i wydaje token identyfikacyjny dla strony internetowej oraz zaszyfrowany plik cookie sesji dla przeglądarki. |
Uwaga
Przepływ logowania jednokrotnego przeglądarki opisany w poprzednich krokach nie dotyczy sesji w trybach prywatnych, takich jak InPrivate w przeglądarce Microsoft Edge, Incognito w przeglądarce Google Chrome (w przypadku korzystania z rozszerzenia Konta Microsoft) lub w trybie prywatnym w Mozilla Firefox v91+
Następne kroki
Aby uzyskać więcej informacji na temat rozwiązywania problemów związanych z PRT, zobacz artykuł Troubleshooting Microsoft Entra hybrid joined Windows 10 lub nowszym i Windows Server 2016 devices (Rozwiązywanie problemów z przyłączonym hybrydowo systemem Windows 10 lub nowszym – Windows Server 2016).