管理通行密钥（Passkey）
通行密钥（Passkey）是一种基于FIDO2标准的无密码认证方式。云SSO支持将通行密钥作为多因素认证（MFA）的二次验证设备，使用设备自带的指纹、面部识别、锁屏PIN码，或者外接的安全密钥（Security Key）完成二次验证，无需再输入动态验证码。本文先介绍通行密钥的类型、使用限制和支持的设备，再按照操作旅程分别介绍管理员如何配置允许使用的认证设备、查看和删除用户已绑定的通行密钥，以及云SSO用户如何自行绑定、使用和删除通行密钥。
什么是通行密钥（Passkey）
通行密钥基于公钥加密技术。当云SSO用户绑定通行密钥时，设备会生成一对密钥：
私钥：仅保存在用户的本地设备或安全密钥中，不会上传，也不会离开设备。
公钥：保存在阿里云，仅用于校验。
验证时，阿里云使用公钥向用户设备发起挑战，只有本地私钥配合设备的生物识别或PIN码才能完成响应。用户的生物特征信息始终不离开设备。
相比虚拟MFA（TOTP），通行密钥具备以下优势：
防钓鱼：通行密钥与特定网站域名绑定，仿冒站点无法使用。
无需输入验证码：借助生物识别一步完成验证。
不依赖时间同步：不存在TOTP动态码时间偏移导致的验证失败。
云SSO中的通行密钥仅用于MFA二次认证，不能作为登录方式单独使用。云SSO用户仍需先通过用户名和密码完成第一次认证。
通行密钥的类型
云SSO将通行密钥区分为两种类型，管理员可以分别控制是否允许使用。
类型 | 控制台名称 | 说明 | 典型设备 |
平台认证器 | 平台内置通行密钥 | 内置通行密钥是用户使用平台自有的通行密钥管理能力，集成在设备操作系统内部、不可移除的认证模块，通常与指纹传感器、TPM或Secure Enclave等硬件绑定。 | 使用笔记本电脑时通过icloud钥匙串、Chrome的密钥管理能力来保存和认证通行密钥。 |
跨平台认证器 | 跨平台通行密钥 | 可在多台设备之间移动使用的独立认证设备，通过USB、NFC、蓝牙或手机扫码方式连接。对应的API取值为CrossPlatformPasskey。 | YubiKey、飞天密钥等符合FIDO2规范的安全密钥、手机操作系统自带的支持通行密钥认证的密码保管箱等。 |
使用限制
一个云SSO用户最多可以绑定5个通行密钥，两种通行密钥类型共用该配额。
同一个云SSO用户下的通行密钥名称必须唯一。
通行密钥仅支持云SSO用户在云SSO用户门户自行绑定，不支持管理员代为绑定，也不提供绑定类OpenAPI。管理员可以删除用户已绑定的通行密钥。
通行密钥仅作为MFA二次认证设备使用，不支持作为登录方式。
用户可绑定和验证的设备类型受全局允许使用的认证设备配置约束。
支持的设备和浏览器
请确保云SSO用户的设备和软件满足以下版本要求。
浏览器版本
Google Chrome：108及以上版本。
Microsoft Edge：108及以上版本。
Safari：16.1及以上版本。
Firefox：122及以上版本。
操作系统
操作系统 | 最低版本 | 支持能力 |
Windows | Windows 10、Windows 11 | 平台内置通行密钥（Windows Hello）、安全密钥 |
macOS | Ventura 13及以上版本 | 平台内置通行密钥（Touch ID）、iCloud钥匙串同步 |
iOS/iPadOS | 14.5及以上版本 | 平台内置通行密钥（Face ID/Touch ID）、iCloud钥匙串同步 |
Android | 原生Android系统支持 | 平台内置通行密钥（指纹/面部识别）、跨设备认证 |
部分厂商深度定制的Android系统普遍不支持通行密钥，建议这类设备使用Google Chrome浏览器保存通行密钥。
其他设备
支持符合FIDO2规范的安全密钥（Security Key），这些设备可通过USB、蓝牙或NFC连接到您的设备。
管理员操作
管理员的操作旅程：配置允许使用的认证设备，查看用户已绑定的通行密钥，并在必要时删除用户的通行密钥。
配置允许使用的认证设备
云SSO管理员可以在全局范围内独立控制TOTP、平台内置通行密钥、跨平台通行密钥三种设备是否允许使用，三项默认全部允许。该配置为目录级全局配置，不支持按用户组分别配置。
登录云SSO控制台。
在左侧导航栏，单击设置。
在登录配置区域，单击多因素认证 MFA右侧的编辑。
在编辑多因素认证 MFA对话框，配置登录时是否进行 MFA 认证。
登录时必须验证：为所有云SSO用户启用MFA验证。
依赖用户独立配置：遵从每个云SSO用户自身的MFA配置。
仅异常登录时验证：仅在登录地址变更、登录设备变更等登录环境不可信的情况下强制启用MFA验证。
不验证：为所有用户禁用MFA验证。
当您在上一步选择了依赖用户独立配置或仅异常登录时验证时，配置异常登录时是否强制验证 MFA。
可跳过，不强制绑定：异常登录时提示用户进行MFA验证，但允许用户跳过。
强制绑定验证：异常登录时强制用户绑定并完成MFA验证。
在允许使用的认证设备，勾选允许云SSO用户使用的设备类型。
可选项为TOTP、平台内置通行密钥、跨平台通行密钥，三项默认全部勾选，且各项独立生效。
允许使用的认证设备仅在登录时是否进行 MFA 认证不为不验证时展示。如果该项配置为不验证，则不需要配置允许使用的认证设备。
单击确定。
配置生效规则
配置 | 用户行为 |
仅勾选TOTP | 用户只能绑定虚拟MFA设备，登录时只能使用虚拟MFA验证。 |
仅勾选平台内置通行密钥 | 用户只能绑定平台内置通行密钥，登录时只能使用平台内置通行密钥验证。 |
仅勾选跨平台通行密钥 | 用户只能绑定跨平台通行密钥，登录时只能使用跨平台通行密钥验证。 |
勾选多项 | 用户可绑定任意已勾选的类型，登录时自行选择验证方式。某一种设备验证失败时，可切换其他允许使用的设备。 |
修改配置后：
不会删除用户已绑定的设备数据。
用户登录时只能使用配置允许的设备类型进行验证。
如果用户已绑定的设备类型全部被禁用，则该用户被视为未绑定MFA设备，登录时会重新触发绑定流程，且只能绑定当前允许使用的类型。
查看用户已绑定的通行密钥
登录云SSO控制台。
在左侧导航栏，选择人员管理 > 用户。
单击目标用户名称。
在详情页签的多因素认证（MFA）设置区域，查看通行密钥列表。
列表包含设备名称/设备 ID、认证类型、生效时间、上次使用时间和操作列。虚拟MFA设备显示在同一区域的MFA 设备列表中，两者相互独立。
删除用户的通行密钥
当用户设备丢失、离职或不再需要使用某个通行密钥时，云SSO管理员可以删除该通行密钥。
删除通行密钥后，云SSO用户将不能通过该通行密钥进行二次身份核验。如果该用户没有其他可用的MFA设备，下次登录时将被要求重新绑定。
登录云SSO控制台。
在左侧导航栏，选择人员管理 > 用户。
单击目标用户名称。
在详情页签的通行密钥列表中，单击目标通行密钥操作列的删除。
在确认对话框，单击确定。
用户操作
云SSO用户的操作旅程：在登录时或在个人信息页绑定通行密钥，登录时使用通行密钥完成MFA验证，并在不再需要时删除通行密钥。
在登录时绑定通行密钥
绑定通行密钥前，请确认云SSO管理员已启用MFA验证，且在允许使用的认证设备中勾选了要绑定的通行密钥类型。
当管理员配置了登录时必须验证MFA，而用户尚未绑定任何允许使用的MFA设备时，用户登录云SSO用户门户后会被要求先绑定设备。
使用云SSO用户的用户名和密码登录云SSO用户门户。
用户门户登录地址的格式为https://signin-cn-<地域>.alibabacloudsso.com/<目录名称>/login，可由云SSO管理员在云SSO控制台概览页获取。具体操作，请参见登录云SSO用户门户并访问阿里云资源。
在设备类型选择页面，选择要绑定的通行密钥类型。
可选类型取决于管理员的允许使用的认证设备配置。
输入通行密钥名称，然后开始绑定。
通行密钥名称用于区分多个设备，同一个云SSO用户下的名称必须唯一。
按浏览器弹窗指引完成验证。
绑定平台内置通行密钥时，浏览器会唤起当前设备的指纹或面部识别。
绑定跨平台通行密钥时，浏览器会提示插入USB安全密钥、触碰NFC设备或使用手机扫码。
验证通过后，绑定完成。
在个人信息页绑定通行密钥
已完成登录的云SSO用户可以随时追加绑定通行密钥。建议在常用设备上分别绑定通行密钥，并额外保留一个虚拟MFA设备作为备用，避免更换设备后无法完成验证。
使用云SSO用户的用户名和密码登录云SSO用户门户。
进入个人信息页面。
在通行密钥区域，发起绑定。
输入通行密钥名称，然后开始绑定。
按浏览器弹窗指引，使用指纹、面部识别、PIN码或安全密钥完成验证。
查看绑定结果。
通行密钥列表中会新增一条记录，包含通行密钥名称、设备ID、认证类型、生效时间和上次使用时间。
使用通行密钥完成MFA验证
访问云SSO用户门户登录地址，输入用户名和密码。
系统触发MFA验证后，在可用的验证方式中选择已绑定的通行密钥。
如果绑定了多种类型的设备，可以自行选择。某一种设备验证失败时，可以切换到其他允许使用的设备。
按浏览器弹窗指引，使用指纹、面部识别、PIN码或安全密钥完成验证。
验证成功后完成登录。
如果管理员调整了允许使用的认证设备配置，用户已绑定的设备数据不会被删除，但登录时只能使用配置允许的设备类型进行验证。如果用户已绑定的设备类型全部被禁用，登录时会要求重新绑定当前允许使用的设备类型。
删除通行密钥
当用户更换设备、丢失设备或不再需要使用某个通行密钥时，请及时删除。
删除通行密钥后，用户将不能再通过该通行密钥进行二次身份核验。如果没有其他可用的MFA设备，下次登录时将被要求重新绑定。
使用云SSO用户的用户名和密码登录云SSO用户门户。
进入个人信息页面。
在通行密钥列表中，单击目标通行密钥操作列的删除。
完成风险校验后，确认删除。
删除成功，列表自动刷新。
常见问题
为什么在绑定页面看不到通行密钥选项？
请确认云SSO管理员已在允许使用的认证设备中勾选了对应的通行密钥类型，并确认使用的浏览器和操作系统版本满足要求。
通行密钥可以直接用来登录云SSO用户门户吗？
不可以。云SSO中的通行密钥仅作为MFA二次认证设备，用户仍需先输入用户名和密码。
一个用户最多可以绑定几个通行密钥？
最多5个，两种通行密钥类型共用该配额。