重點整理
通行金鑰（Passkey）是用指紋、臉部辨識或 PIN 碼取代密碼的登入方式，無法被釣魚網站騙走。Microsoft Entra ID 從 2026 年 9 月 1 日起自動啟用通行金鑰，2027 年 2 月 1 日停用內建的簡訊與語音驗證。用 Microsoft 365 的公司，現在就要決定員工的通行金鑰存在哪裡，以及離職時怎麼收回。
過去企業的多因素驗證，多半是「密碼＋簡訊驗證碼」。這個組合正在被淘汰：簡訊會被 SIM 卡挾持攔截，驗證碼也會被假登入頁面騙走。Microsoft 已經公告時程，把通行金鑰設為預設，並停掉自己提供的簡訊與語音驗證。
這篇整理 Microsoft 的時程、通行金鑰的 3 種存放方式，以及企業導入的 5 個步驟。
通行金鑰是什麼：用裝置解鎖取代密碼
通行金鑰由一對金鑰組成：公開金鑰存在網站端，私密金鑰存在使用者的手機、電腦或密碼管理器裡。登入時，使用者用指紋、臉部辨識或 PIN 碼解鎖裝置，裝置用私密金鑰完成驗證。
這個設計帶來兩個好處：
- 防釣魚：通行金鑰綁定網站的網域，假冒的登入頁面拿不到可用的憑證。
- 不怕網站外洩：網站只存公開金鑰，被駭也無法拿來登入。
| 登入方式 | 防釣魚 | 防 SIM 卡挾持 | 網站外洩後 | 員工操作 |
|---|---|---|---|---|
| 只有密碼 | ✕ | — | 密碼可能被破解、撞庫 | 要記密碼 |
| 密碼＋簡訊驗證碼 | ✕ 驗證碼會被騙走 | ✕ | 仍需第二道驗證 | 等簡訊、輸入 6 碼 |
| 密碼＋驗證器 App 推播 | △ 有數字比對較安全 | ○ | 仍需第二道驗證 | 開 App 確認 |
| 通行金鑰 | ○ | ○ | 網站只有公開金鑰，無法冒用 | 指紋或臉部辨識 |
Microsoft 的時程：4 個日期
| 日期 | 變動 | 對企業的影響 |
|---|---|---|
| 2026 年 3 月 | Entra ID 通行金鑰設定檔（passkey profile）與同步通行金鑰正式上線 | 可以依群組設定允許哪些類型的通行金鑰，iCloud、Google、1Password 等提供者都能用 |
| 2026 年 9 月 1 日 | 自動為符合資格的使用者啟用通行金鑰，註冊活動改由 Microsoft 管理 | 員工在多因素驗證時會看到註冊通行金鑰的提示，目前可以略過 |
| 2027 年 2 月 1 日 | 停用 Microsoft 內建的簡訊與語音驗證 | 只剩簡訊或語音驗證的員工，必須先註冊通行金鑰才能登入 |
| 2027 年 7 月 1 日 | 全域管理員與外部使用者適用同一規定 | 管理員帳號與合作夥伴帳號也要完成轉換 |
還想繼續用簡訊的企業，要改向 Microsoft Security Store 上的電信服務商採購，等於多一筆費用，安全性也沒有提升。
通行金鑰存在哪裡：3 種方式比較
導入通行金鑰時，企業最需要先決定的是「存放位置」。這會影響員工換手機、跨平台使用，以及離職時公司收不收得回來。
| 存放方式 | 例子 | 換手機／跨平台 | 公司能不能管理與收回 | 適合 |
|---|---|---|---|---|
| 綁定單一裝置 | Microsoft Authenticator、YubiKey 等硬體安全金鑰 | 換裝置要重新註冊；硬體金鑰遺失要補發 | ○ 裝置或金鑰由公司配發時可收回 | 管理員、財務等 高權限帳號 |
| 個人平台同步 | iCloud 鑰匙圈、Google 密碼管理工具 | 同一陣營內自動同步，iPhone 與 Windows 混用較不方便 | ✕ 存在員工個人帳號，公司看不到也收不回 | 個人帳號 |
| 企業密碼管理器 | 1Password | Mac、Windows、iOS、Android、Linux 都能用 | ○ 存在公司保管庫，停用成員即無法使用 | 一般員工的公司帳號 |
最常見的漏洞：公司帳號的通行金鑰存進員工個人 iCloud
員工在 iPhone 上看到註冊提示，直接點「繼續」，通行金鑰就存進了個人 iCloud 鑰匙圈。之後員工離職，這把金鑰還在他的手機和家裡的 Mac 上。公司只能靠管理員記得到 Entra ID 刪除這位員工註冊過的驗證方法，漏掉一步，前員工就還能登入。
9 月 1 日之後員工會陸續看到註冊提示，所以存放政策要在大家註冊之前就設好。
1Password：把公司的密碼與通行金鑰存在同一個地方
員工的通行金鑰存在公司保管庫，Mac、Windows、iPhone、Android 都能用。員工離職時停用帳號，存在保管庫裡的密碼與通行金鑰就無法再使用。
了解產品與方案 →企業導入通行金鑰的 5 個步驟
在 Entra 系統管理中心的「驗證方法 → 使用者註冊詳細資料」，篩選出只註冊簡訊或語音的使用者。這批人是 2027 年 2 月 1 日會被擋下來的對象，要優先處理。
用通行金鑰設定檔（passkey profile）依群組設定：高權限帳號只允許硬體金鑰或 Microsoft Authenticator 這類綁定裝置的通行金鑰；一般員工允許同步通行金鑰，但用提供者清單（AAGUID）限定只能存進公司指定的密碼管理器，避免存進個人 iCloud 或 Google 帳號。
從 IT 人員和主管開始，確認 Windows、Mac、手機和常用瀏覽器都能順利註冊和登入，把遇到的問題整理成 FAQ。
分部門推行，每個部門設定完成期限。操作說明只要講 3 件事：在哪裡註冊、存到哪裡、換手機時怎麼辦。
沒有公司手機的現場人員、多人共用的帳號、外部合作夥伴，要個別決定做法。離職流程加上兩項：在 Entra ID 刪除該員工註冊的驗證方法，以及停用密碼管理器帳號。完整的離職檢查項目可以參考員工離職帳號收回 SOP。
告訴我們公司使用的系統，幫您整理通行金鑰的導入順序
提供員工人數、使用 Microsoft 365 或 Google Workspace，以及主要的雲端服務，映藍會回覆哪些系統可以先改用通行金鑰、存放方式建議，以及 1Password 的方案與報價（20 授權、1 年約起）。
Google Workspace 和其他雲端服務
Google 帳號已經把通行金鑰設為預設登入選項，Google Workspace 管理員可以在管理控制台允許使用者用通行金鑰登入。GitHub、Amazon、LINE 等常見服務也都支援通行金鑰。
不過，多數企業的系統短期內還是密碼和通行金鑰並存，尤其是供應商後台、政府系統、內部舊系統。所以實務上需要一個同時管理密碼與通行金鑰的地方，而不是兩套工具各管各的。
常見問題
Q：通行金鑰是什麼？
取代密碼的登入方式。用手機或電腦的指紋、臉部辨識或 PIN 碼解鎖，裝置用私密金鑰向網站證明身分。私密金鑰不會傳到網站，所以無法被釣魚網站騙走。
Q：Microsoft 什麼時候停用簡訊驗證？
2027 年 2 月 1 日停用 Microsoft 內建的簡訊與語音驗證，全域管理員與外部使用者是 2027 年 7 月 1 日。2026 年 9 月 1 日起，員工在多因素驗證時就會看到註冊通行金鑰的提示。
Q：員工把公司帳號的通行金鑰存在個人 iCloud，離職時怎麼辦？
公司無法收回存在個人帳號的通行金鑰，只能由管理員在 Entra ID 刪除該使用者的驗證方法。建議事先用通行金鑰設定檔限定存放的提供者。
Q：1Password 可以存 Microsoft 365 的通行金鑰嗎？
可以。Entra ID 的同步通行金鑰自 2026 年 3 月正式支援，1Password 是可用的提供者之一，管理員可以設定只允許 1Password。
Q：還想繼續用簡訊驗證可以嗎？
可以，但要另外向 Microsoft Security Store 上的電信服務商採購。簡訊驗證容易被攔截，建議趁這次改用通行金鑰。
結語
通行金鑰本身比密碼加簡訊安全得多，導入的難點在管理：存在哪裡、換手機怎麼辦、離職怎麼收回。Microsoft 的提示 9 月已經開始跳出，在員工各自存進個人帳號之前先定好政策，後續就省掉很多清查的工夫。導入密碼管理器的完整流程，可以參考 1Password 企業版導入 7 步；跟 Entra ID 的整合設定，見 1Password SSO 設定教學。
資料來源
Microsoft 訊息中心：MC1426371 Passkeys by default and retirement of Microsoft-provided SMS and voice authentication
Microsoft 訊息中心：MC1221452 Passkey profiles and synced passkeys
Help Net Security（2026/01）：Microsoft Entra ID will auto-enable passkey profiles, synced passkeys
Forrester：Microsoft Makes Passkeys Default
Topedia：Entra ID now supports multi-device passkeys for password managers like 1Password
在 2027 年 2 月之前，把通行金鑰的存放政策定好
映藍國際為 1Password 台灣授權經銷商，提供 20 授權以上的台幣報價、統一發票，以及導入規劃協助。
聯絡映藍國際，取得 1Password 報價 →