--- title: Passkey profily v Entra ID: migrácia, ktorá u vás už potichu prebehla description: V máji a júni 2026 Microsoft automaticky previedol tenanty na schému passkey profilov. Mohol vám zapnúť synchronizované passkeys a zmeniť cielenie registračnej kampane. Čo si skontrolovať a čo prichádza ďalej. url: https://www.malachis.eu/sk-SK/news/passkey-profiles-migration published: 2026-08-01 modified: 2026-08-14 --- # Passkey profily v Entra ID: migrácia, ktorá u vás už potichu prebehla **V skratke:** V máji a júni 2026 Microsoft automaticky previedol tenanty so zapnutými Passkeys (FIDO2) na novú schému passkey profilov. Ak ste nemali vynútenú attestation, migrácia vám mohla **zapnúť synchronizované passkeys**. Ak ste mali registračnú kampaň v stave Microsoft-managed, mohla zmeniť aj to, komu a ako často sa zobrazuje výzva na registráciu. Nič z toho nevyžadovalo vaše schválenie. Nižšie tri veci na kontrolu a jedna, ktorá sa chystá. > **Zdroje:** Message center MC1221452 · [Enable passkeys for your organization](https://learn.microsoft.com/entra/identity/authentication/how-to-authentication-passkeys-fido2) · [fido2AuthenticationMethodConfiguration resource type](https://learn.microsoft.com/graph/api/resources/fido2authenticationmethodconfiguration?view=graph-rest-1.0) --- ## Čo sa stalo Passkey profily a synchronizované passkeys sú všeobecne dostupné od marca 2026. Zmena nie je kozmetická: konfigurácia passkeys prestala byť jedno nastavenie pre celý tenant a stala sa sadou pomenovaných profilov cielených na skupiny užívateľov. Profil môže vynucovať attestation, obmedzovať konkrétne modely autentikátorov podľa AAGUID a novo určovať typ passkey cez vlastnosť `passkeyType`. Tenanty, ktoré sa do nového modelu neprihlásili samy, Microsoft previedol automaticky. Pre verejný cloud prebehla migrácia **od začiatku mája do konca júna 2026** — teda pre väčšinu organizácií na Slovensku a v ČR je už hotová. Migrácia pritom: - presunula existujúcu konfiguráciu do profilu **Default passkey profile**, - automaticky vyplnila `passkeyType` podľa vášho vtedajšieho nastavenia attestation, - ponechala existujúce obmedzenia kľúčov a cielenie užívateľov, - **nezapnula** žiadnu novú metódu overovania. Posledný bod je formálne pravdivý a napriek tomu zavádzajúci. Kľúčové je pravidlo, podľa ktorého sa `passkeyType` doplnil: - attestation **vynútená** → povolené iba device-bound passkeys, - attestation **nevynútená** → povolené device-bound **aj synchronizované** passkeys. Ak ste teda attestation nemali vynútenú — čo je bežný stav u tenantov, ktoré FIDO2 zapnuli a ďalej to neladili — máte dnes v produkcii povolené synchronizované passkeys. Teda credentials, ktoré sa šifrovane synchronizujú do cloudu poskytovateľa typu iCloud Keychain, Google Password Manager alebo osobného správcu hesiel zamestnanca. Je to legitímne a pre viaceré scenáre správna voľba. Problém je, že to nebolo rozhodnutie, ktoré niekto urobil a zdôvodnil. Ak spadáte pod NIS2 alebo mierite na ISO/IEC 27001, riešte to hneď. Pre regulovaného zákazníka je to zistenie do auditu, nie technická drobnosť. --- ## Tri veci na kontrolu dnes **1. Default passkey profile a hodnota `passkeyType`.** Pozrite sa, čo vám migrácia nastavila, a porovnajte to s tým, čo ste chceli mať. Ak synchronizované passkeys pre časť užívateľov nechcete, riešením nie je globálne ich vypnúť — riešením je rozdeliť užívateľov do profilov. Privilegované účty do profilu s vynútenou attestation a allow-listom AAGUID, bežných užívateľov podľa typu zariadenia. **2. Stav registračnej kampane.** Ak ste spĺňali všetky podmienky in-scope — Passkeys (FIDO2) povolené, registračná kampaň v Microsoft-managed, povolené self-service setup, žiadne obmedzenie AAGUID a aspoň jeden užívateľ s povolenými oboma typmi passkeys — Microsoft vám po migrácii zmenil nastavenie kampane takto: | Nastavenie | Pred | Po | | --- | --- | --- | | Cielená metóda | Microsoft Authenticator | passkeys (FIDO2) | | Počet dní na odklad | 3 dni | **1 deň**, ďalej nekonfigurovateľné | | Obmedzený počet odkladov | Enabled | **Disabled**, ďalej nekonfigurovateľné | | Predvolené cielenie užívateľov | užívatelia s SMS alebo hlasovým hovorom | **všetci užívatelia schopní MFA** | Posledný riadok je ten, ktorého si všimne helpdesk. Výzva na registráciu passkey prestala mieriť na rizikovú skupinu telefónnych užívateľov a začala mieriť na celú firmu. Ak ste v máji alebo júni zaznamenali nevysvetlený nárast otázok typu „čo odo mňa systém chce", tu je odpoveď. Kampaň sa dá samozrejme prevziať späť: prepnúť ju zo stavu Microsoft-managed do Enabled a naďalej cieliť na Authenticator, alebo ju vypnúť. Berte to však ako nástroj na riadenie termínu, nie na vyhnutie sa zmene — **do 1. februára 2027 musia vaši užívatelia passkey alebo inú phishing-resistant metódu registrovanú mať**. **3. Runbooky a návody pre helpdesk.** Ak sa zmenilo, čo užívatelia vidia pri prihlásení, musí sa zmeniť aj to, čo im helpdesk odpovedá. Toto je najlacnejšia položka na zozname a najčastejšie opomenutá. --- ## Čo prichádza: zmena hesla bez znalosti hesla **Koniec októbra 2026.** Do My Sign-Ins prichádza možnosť zmeniť si heslo pomocou existujúcej silnej credential — passkey, FIDO2 kľúča alebo Windows Hello for Business — **bez znalosti súčasného hesla** a bez použitia SSPR alebo helpdesku. Praktický dopad je väčší, než sa zdá. Väčšina organizácií ide do passwordless režimu, ale hesla si drží kvôli legacy aplikáciám a službám. Tým vzniká absurdný stav, keď užívateľ roky nezadá heslo, teda ho ani nepozná, a vo chvíli, keď ho jedna stará aplikácia vyžiada, končí na helpdesku. Táto funkcia ten scenár rieši. Dve obmedzenia, s ktorými treba počítať: - Funkcia je **vypnutá by default** a vyžaduje explicitné zapnutie administrátorom. - Nastavenie je **tenant-wide**. Žiadne cielenie na užívateľov ani na skupiny — buď pre všetkých, alebo pre nikoho. Pilotné nasadenie na testovacej skupine teda nie je možné, čo pri tenantoch s tisícmi užívateľov mení spôsob, akým sa to zavádza. Súvislosť s predchádzajúcim článkom: passkey sa nedá použiť na samoobslužný reset hesla a táto novinka to nemení. Zmena hesla silnou credential nie je to isté ako reset hesla pre užívateľa, ktorý sa nemôže prihlásiť. Diera v SSPR zostáva a treba ju kryť inou metódou. --- ## Ponúkame: nasadenie FIDO2 a passkeys v Entra ID **Hardvérové kľúče nepredávame.** Navrhneme konkrétne modely a počty, vy si ich kúpite u svojho distribútora alebo cez štandardný IT nákup. Nemáme z hardvéru províziu, takže odporúčanie modelu vychádza z vášho prostredia, nie z marže. Zároveň máme už niekoľko mesiacov skúseností z prevádzky a vieme poradiť. Čo pre vás urobíme: - **Audit súčasného stavu** — čo vám nastavila automatická migrácia, aký je `passkeyType`, attestation, obmedzenia AAGUID a stav registračnej kampane - **Návrh passkey profilov** podľa segmentov užívateľov: privilegované účty, kancelárski užívatelia s firemným zariadením, BYOD a externisti, zdieľané a prevádzkové zariadenia - **Špecifikácia hardvérových kľúčov** — form factor (USB-A, USB-C, NFC), biometria, úroveň FIDO2 certifikácie, podpora attestation a AAGUID, limit počtu resident credentials na kľúč, správanie pri zablokovaní PINu, cesta k aktualizácii firmwaru. Vrátane počtov, záložných kľúčov a rozpočtu. - **Konfigurácia** passkey profilov, allow-listu AAGUID a Conditional Access authentication strength - **Break-glass účty** — hardvérové kľúče do trezora, dokumentovaný a prakticky otestovaný havarijný postup - **Enrollment** — pilot, hromadná registrácia, riadenie registračnej kampane podľa vášho harmonogramu - **Prevádzkové procesy** — strata kľúča, odchod zamestnanca, výmena, evidencia - **Predanie** — dokumentácia, runbook pre helpdesk a užívateľské návody v slovenčine, češtine a angličtine Všetko prebieha vo vašom Microsoft 365 tenante a dáta z neho neopúšťajú. **Máte otázku alebo chcete nasadenie prebrať?** Napíšte nám na [support@malachis.eu](mailto:support@malachis.eu) alebo použite kontaktný formulár. Radi odpovieme aj na jednotlivú otázku k vášmu prostrediu — napríklad len na to, čo vám migrácia v máji nastavila. --- *Vychádza z oznámení Microsoftu v Message centeri a nadväzujúcej dokumentácie na Microsoft Learn, stav k 1. 8. 2026. Termíny a technické detaily môže Microsoft upraviť.*