--- title: Passkey profily v Entra ID: migrace, která u vás už tiše proběhla description: V květnu a červnu 2026 Microsoft automaticky převedl tenanty na schéma passkey profilů. Mohl vám zapnout synchronizované passkeys a změnit cílení registrační kampaně. Co si zkontrolovat a co přichází dál. url: https://www.malachis.eu/cs-CZ/news/passkey-profiles-migration published: 2026-08-01 modified: 2026-08-14 --- # Passkey profily v Entra ID: migrace, která u vás už tiše proběhla **Ve zkratce:** V květnu a červnu 2026 Microsoft automaticky převedl tenanty se zapnutými Passkeys (FIDO2) na nové schéma passkey profilů. Pokud jste neměli vynucenou attestation, migrace vám mohla **zapnout synchronizované passkeys**. Pokud jste měli registrační kampaň ve stavu Microsoft-managed, mohla změnit i to, komu a jak často se zobrazuje výzva k registraci. Nic z toho nevyžadovalo vaše schválení. Níže tři věci ke kontrole a dvě, které se chystají. > **Zdroje:** Message center MC1221452 · [Enable passkeys for your organization](https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-passkeys-fido2) · [fido2AuthenticationMethodConfiguration resource type](https://learn.microsoft.com/graph/api/resources/fido2authenticationmethodconfiguration?view=graph-rest-1.0) --- ## Co se stalo Passkey profily a synchronizované passkeys jsou obecně dostupné od března 2026. Změna není kosmetická: konfigurace passkeys přestala být jedno nastavení pro celý tenant a stala se sadou pojmenovaných profilů cílených na skupiny uživatelů. Profil může vynucovat attestation, omezovat konkrétní modely autentikátorů podle AAGUID a nově určovat typ passkey přes vlastnost `passkeyType`. Tenanty, které se do nového modelu nepřihlásily samy, Microsoft převedl automaticky. Pro veřejný cloud proběhla migrace **od začátku května do konce června 2026** — takže pro většinu organizací v ČR a SR už je hotová. Migrace přitom: - přesunula existující konfiguraci do profilu **Default passkey profile**, - automaticky vyplnila `passkeyType` podle vašeho tehdejšího nastavení attestation, - ponechala existující omezení klíčů a cílení uživatelů, - **nezapnula** žádnou novou metodu ověřování. Poslední bod je formálně pravdivý a přesto zavádějící. Klíčové je pravidlo, podle kterého se `passkeyType` doplnil: - attestation **vynucená** → povoleny pouze device-bound passkeys, - attestation **nevynucená** → povoleny device-bound **i synchronizované** passkeys. Pokud jste tedy attestation neměli vynucenou — což je běžný stav u tenantů, které FIDO2 zapnuly a dál to neladily — máte dnes v produkci povolené synchronizované passkeys. Tedy credentials, které se šifrovaně synchronizují do cloudu poskytovatele typu iCloud Keychain, Google Password Manager nebo osobního správce hesel zaměstnance. To je legitimní a pro řadu scénářů správná volba. Problém je, že to nebylo rozhodnutí, které někdo udělal a zdůvodnil. Takže pokud jste NIS2, ISO/IEC 27001, tak šup šup. Pro regulovaného zákazníka je to zjištění do auditu, ne technická drobnost. --- ## Tři věci ke kontrole dnes **1. Default passkey profile a hodnota `passkeyType`.** Podívejte se, co vám migrace nastavila, a porovnejte to s tím, co jste chtěli mít. Pokud synchronizované passkeys pro část uživatelů nechcete, není řešením je globálně vypnout — je jím rozdělit uživatele do profilů. Privilegované účty do profilu s vynucenou attestation a allow-listem AAGUID, běžné uživatele podle typu zařízení. **2. Stav registrační kampaně.** Pokud jste splňovali všechny podmínky in-scope — Passkeys (FIDO2) povolené, registrační kampaň v Microsoft-managed, povolené self-service setup, žádné omezení AAGUID a alespoň jeden uživatel s povolenými oběma typy passkeys — Microsoft vám po migraci změnil nastavení kampaně takto: | Nastavení | Před | Po | | --- | --- | --- | | Cílená metoda | Microsoft Authenticator | passkeys (FIDO2) | | Počet dní pro odklad | 3 dny | **1 den**, dále nekonfigurovatelné | | Omezený počet odkladů | Enabled | **Disabled**, dále nekonfigurovatelné | | Výchozí cílení uživatelů | uživatelé s SMS nebo hlasovým hovorem | **všichni uživatelé schopní MFA** | Poslední řádek je ten, kterého si všimne helpdesk. Výzva k registraci passkey přestala mířit na rizikovou skupinu telefonních uživatelů a začala mířit na celou firmu. Pokud jste v květnu nebo červnu zaznamenali nevysvětlený nárůst dotazů typu "co po mně systém chce", tady je odpověď. Kampaň lze samozřejmě vzít zpět: přepnout ji ze stavu Microsoft-managed do Enabled a nadále cílit na Authenticator, nebo ji vypnout. Berte to ale jako nástroj na řízení termínu, ne na vyhnutí se změně — **do 1. února 2027 musí vaši uživatelé passkey nebo jinou phishing-resistant metodu registrovanou mít**. **3. Runbooky a návody pro helpdesk.** Pokud se změnilo, co uživatelé vidí při přihlášení, musí se změnit i to, co jim helpdesk odpovídá. Toto je nejlevnější položka na seznamu a nejčastěji opomenutá. --- ## Co přichází: změna hesla bez znalosti hesla **Konec října 2026.** Do My Sign-Ins přichází možnost změnit si heslo pomocí existující silné credential — passkey, FIDO2 klíče nebo Windows Hello for Business — **bez znalosti současného hesla** a bez použití SSPR nebo helpdesku. Praktický dopad je větší, než se zdá. Většina organizací jde do passwordless režimu, ale hesla si drží kvůli legacy aplikacím a službám. Tím vzniká absurdní stav, kdy uživatel roky nezadá heslo, tedy ho ani nezná, a ve chvíli, kdy ho jedna stará aplikace vyžádá, končí na helpdesku. Tato funkce ten scénář řeší. Dvě omezení, se kterými je nutné počítat: - Funkce je **vypnutá by default** a vyžaduje explicitní zapnutí administrátorem. - Nastavení je **tenant-wide**. Žádné cílení na uživatele ani na skupiny — buď pro všechny, nebo pro nikoho. Pilotní nasazení na testovací skupině tedy není možné, což u tenantů s tisíci uživateli mění způsob, jakým se to zavádí. Passkey nelze použít pro samoobslužný reset hesla a tato novinka to nemění. Změna hesla silnou credential není totéž jako reset hesla pro uživatele, který se nemůže přihlásit. Mezera v SSPR zůstává a je nutné ji krýt jinou metodou. --- ## Nabízíme: nasazení FIDO2 a passkeys v Entra ID **Hardwarové klíče neprodáváme.** Navrhneme konkrétní modely a počty, vy si je koupíte u svého distributora nebo přes standardní IT nákup. Nemáme z hardwaru provizi, takže doporučení modelu vychází z vašeho prostředí, ne z marže. Současně máme už pár měsíců zkušensotí z provozu a umíme poradit. Co pro vás uděláme: - **Audit současného stavu** — co vám nastavila automatická migrace, jaký je `passkeyType`, attestation, omezení AAGUID a stav registrační kampaně - **Návrh passkey profilů** podle segmentů uživatelů: privilegované účty, kancelářští uživatelé s firemním zařízením, BYOD a externisté, sdílená a provozní zařízení - **Specifikace hardwarových klíčů** — form factor (USB-A, USB-C, NFC), biometrie, úroveň FIDO2 certifikace, podpora attestation a AAGUID, limit počtu resident credentials na klíč, chování při zablokování PINu, cesta k aktualizaci firmwaru. Včetně počtů, záložních klíčů a rozpočtu. - **Konfigurace** passkey profilů, allow-listu AAGUID a Conditional Access authentication strength - **Break-glass účty** — hardwarové klíče do trezoru, dokumentovaný a prakticky otestovaný havarijní postup - **Enrollment** — pilot, hromadná registrace, řízení registrační kampaně podle vašeho harmonogramu - **Provozní procesy** — ztráta klíče, odchod zaměstnance, výměna, evidence - **Předání** — dokumentace, runbook pro helpdesk a uživatelské návody v češtině, slovenštině a angličtině Vše probíhá ve vašem Microsoft 365 tenantu a data z něj neopouštějí. **Máte dotaz nebo chcete nasazení probrat?** Napište nám na [support@malachis.eu] nebo použijte kontaktní formulář. Rádi zodpovíme i jednotlivý dotaz k vašemu prostředí — třeba jen to, co vám migrace v květnu nastavila. --- *Vychází z oznámení Microsoftu v Message centeru a navazující dokumentace na Microsoft Learn, stav k 1. 8. 2026. Termíny a technické detaily může Microsoft upravit.*