Passkeys inrichten in Microsoft Entra ID, stap voor stap

Wie in een kleine Microsoft 365-tenant nog mensen heeft die hun MFA-code per sms krijgen, heeft een deadline. Microsoft stopt op 1 februari 2027 met het zelf versturen van sms- en spraakcodes voor Entra ID. Voor Global Administrators en externe gebruikers is dat 1 juli 2027. Wie daarna alleen sms of spraak heeft en geen eigen telefonieprovider heeft geregeld, moet bij het inloggen eerst een passkey registreren en kan die stap niet overslaan. Passkeys inrichten in Microsoft Entra ID is dus geen project meer voor later. Het kost geen extra licentie: passkeys werken in alle edities, ook in Entra ID Free.

In dit artikel lees je eerst waarom een passkey niet te phishen is en wat er precies met sms en spraak gebeurt. Daarna volgen de stappen in het Entra-beheercentrum: passkey-profielen aanzetten, profielen per groep maken, gebruikers laten registreren en controleren wie er nog op sms zit. Alle stappen komen uit Microsoft Learn, per onderdeel gelinkt.

Waarom een passkey niet te phishen is

Een sms-code typ je over. Doe je dat op een nagemaakte inlogpagina, dan stuurt de aanvaller hem direct door naar de echte. Een passkey werkt met een sleutelpaar. De privésleutel blijft op je apparaat of in je wachtwoordbeheerder, Entra ID bewaart alleen de publieke sleutel. Bij het inloggen stuurt Entra een willekeurige uitdaging, ontgrendel je de privésleutel met je gezicht, vingerafdruk of pincode, en ondertekent je apparaat die uitdaging. Entra controleert de handtekening met de publieke sleutel.

Het verschil met een code zit in de koppeling aan de site. Volgens Microsofts uitleg over passkeys werkt een passkey alleen op de site of app waarvoor hij is aangemaakt. Een phishingpagina op een ander domein krijgt dus niets bruikbaars, ook niet als de gebruiker erin trapt.

Wat er met sms en spraak gebeurt

De tijdlijn staat op de Learn-pagina Passkeys by default and retirement of Microsoft-provided SMS and voice authentication:

Datum	Wat er gebeurt
1 september 2026	Gebruikers die voor sms of spraak aan staan, krijgen automatisch passkeys aan en een registratievraag na MFA
1 februari 2027	Microsoft-sms en -spraak stoppen voor iedereen behalve Global Administrators en externe gebruikers
1 juli 2027	Ook voor Global Administrators en externe gebruikers gestopt

Na de stopdatum krijgt wie alleen sms of spraak heeft een blokkerende vraag om een passkey te registreren. Daar is geen opt-out voor. Er bestaat wel een tijdelijke opt-out voor de automatische inschakeling van september, via de Graph-eigenschap passkeyDynamicMigration, maar die loopt op 1 februari 2027 af. Wil je sms echt houden, dan moet je vanaf 30 oktober 2026 zelf een telefonieprovider via Microsoft Security Store afnemen, tegen kosten. De FAQ zegt er nog iets bij dat makkelijk over het hoofd wordt gezien: de stopzetting geldt ook voor self-service password reset.

Synced of device-bound: eerst kiezen

Entra ID kent twee soorten passkeys. Een device-bound passkey staat op één apparaat en verlaat dat niet, zoals in Microsoft Authenticator of op een FIDO2-beveiligingssleutel. Een synced passkey staat in een wachtwoordbeheerder als iCloud-sleutelhanger of Google Wachtwoordmanager en gaat mee naar je andere apparaten.

Die keuze hangt samen met attestation. Met attestation controleert Entra bij het registreren merk en model van de authenticator. Synced passkeys ondersteunen dat niet: zet je Enforce attestation aan, dan blijven alleen device-bound passkeys over. Microsoft adviseert in de conceptpagina beveiligingssleutels of Authenticator voor beheerders en synced passkeys voor de meeste andere gebruikers. Voor een kleine tenant zijn twee profielen meestal genoeg: één voor beheerders met alleen device-bound en attestation aan, en één voor de rest waarin beide soorten mogen.

Stap 1: passkeys inrichten met passkey-profielen

De stappen komen uit How to enable passkeys (FIDO2) in Microsoft Entra ID:

1. Log in op het Microsoft Entra-beheercentrum met minstens de rol Authentication Policy Administrator.
2. Ga naar Entra ID > Security > Authentication methods > Policies. Andere Learn-pagina's laten Security weg; het gaat om hetzelfde scherm.
3. Kies Passkey (FIDO2) en klik op de link in de banner om passkey-profielen aan te zetten. Dit kun je niet terugdraaien.
4. Zet op het tabblad Configure de optie Allow self-service set up op Yes. Staat die op No, dan kunnen gebruikers zelf geen passkey toevoegen.
5. Open het Default passkey profile, kies bij Passkey types welke soorten zijn toegestaan en klik op Save.

Je bestaande instellingen gaan automatisch naar dat standaardprofiel. Je kunt op dit moment maximaal drie profielen hebben, inclusief het standaardprofiel.

Stap 2: profielen maken en toewijzen

1. Kies op Configure de optie + Add passkey profile, geef een naam en stel Enforce attestation en Passkey types in.
2. Wil je alleen Authenticator toestaan, kies dan bij Passkey types voor Device-bound, selecteer Target specific AAGUIDS met Behavior op Allow en voeg via + Add AAGUID de optie Microsoft Authenticator toe. Volgens de Authenticator-pagina zijn de AAGUID's de1e552d-db1d-4423-a619-566b625cdc84 voor Android en 90a3ccdf-635c-4729-a248-9b709135078f voor iOS. Authenticator vraagt minimaal iOS 17 of Android 14.
3. Ga naar Enable and Target, kies Add target en koppel elk profiel aan All users of aan een groep.

Let op twee dingen. Haal je later een AAGUID uit een toestaan-lijst, dan kan wie daarmee al een passkey had er niet meer mee inloggen. En een gebruiker in een uitgesloten groep wordt helemaal geblokkeerd voor passkeys, ook bij lidmaatschap van een toegestane groep.

Stap 3: gebruikers laten registreren

Gebruikers kunnen zelf naar Security info gaan, op + Add sign-in method klikken en Passkey kiezen. Ze moeten daarvoor in de laatste vijf minuten MFA hebben gedaan. Gastgebruikers kunnen nog geen passkey registreren.

Sneller gaat het met een registratiecampagne, beschreven in Run a registration campaign. Ga naar Entra ID > Authentication methods > Registration campaign, klik op Edit en kies een State. Bij Microsoft managed bepaalt Microsoft de instellingen: voor passkeys mag een gebruiker de vraag steeds een dag uitstellen, onbeperkt vaak. Precies die stand heeft Microsoft op 1 september ingesteld in tenants met sms-gebruikers, tenzij de beheerder de opt-out had gezet. Wil je dat mensen het echt doen, kies dan Enabled. Daar stel je 0 tot 14 dagen uitstel in en kun je Limited number of snoozes aanzetten: na drie keer overslaan is registreren verplicht.

Staat iedereen eenmaal op een passkey, haal de gebruikers dan uit de methoden voor sms en spraakoproepen in het authenticatiemethodenbeleid. Heb je MFA al via Conditional Access geregeld, zoals in mijn eigen tenant-audit, dan kun je later een authentication strength eisen die alleen phishingbestendige methoden toelaat.

Controleren of het werkt

Microsoft publiceert een eigen PowerShell-script dat laat zien welke gebruikers en groepen in je beleid nog voor sms en spraak aan staan. Het heeft Global Reader, Authentication Policy Administrator of Security Reader nodig. Volgens de README:

Install-Module Microsoft.Graph.Authentication -Scope CurrentUser
Install-Module Microsoft.Graph.Identity.SignIns -Scope CurrentUser
Install-Module Microsoft.Graph.Groups -Scope CurrentUser
.\Get-SmsVoicePolicyUsers.ps1 -TenantId "contoso.onmicrosoft.com"

Wie welke methode heeft geregistreerd, zie je onder Entra ID > Authentication methods > Activity, op het tabblad Registration (documentatie). Daarvoor is Entra ID P1 of P2 nodig, en de cijfers kunnen tot 36 uur achterlopen. Dezelfde gegevens haal je met Microsoft Graph PowerShell op via Get-MgReportAuthenticationMethodUserRegistrationDetail. Je hebt daarvoor een rol als Reports Reader, Security Reader of Global Reader nodig. Met het filter uit de Graph-documentatie zie je wie nog een mobiel nummer heeft geregistreerd:

Connect-MgGraph -Scopes "AuditLog.Read.All"
Get-MgReportAuthenticationMethodUserRegistrationDetail -All -Filter "methodsRegistered/any(x:x eq 'mobilePhone')"

Zonder P1 kijk je per gebruiker: open de gebruiker in het beheercentrum en kies Authentication methods. Gebruikers zien hun passkey zelf terug in Security info.

Tot slot

Wat me bij het lezen het meest verraste, is hoe de registratievraag bepaalt of iemand al een passkey heeft. Bij een profiel zonder beperkingen kijkt Entra niet naar het account maar naar de combinatie van besturingssysteem en browser. Wie Windows Hello op de laptop heeft, krijgt op een Mac met Chrome toch weer de vraag. Logisch, want de passkey moet ter plekke bruikbaar zijn, maar reken op helpdeskvragen van mensen die dit naar eigen zeggen al gedaan hebben. Zet dat dus in je bericht aan de gebruikers, samen met de datum van 1 februari.