Passkeys uitrollen met een registration campaign in Entra ID

Je hebt passkeys aangezet in Microsoft Entra ID, maar gebruikers moeten er nog wel zelf een registreren. Iedereen persoonlijk vragen dat te doen kost veel tijd.

In mei 2026 maakte Microsoft passkeys (FIDO2) algemeen beschikbaar als doel van de registration campaign in Entra ID. Microsoft schrijft daarbij dat deze eerste uitrol is geoptimaliseerd voor gebruikers in een passkey profile zonder beperkingen. In deze blogpost lees je hoe je een registration campaign voor passkeys opzet, wat de statussen doen en wat je gebruikers te zien krijgen.

Wat is een registration campaign?

Een registration campaign vraagt gebruikers om een sterkere authenticatiemethode in te stellen, nadat ze een interactieve aanmelding met multifactorauthenticatie (MFA) hebben afgerond. Je bepaalt zelf welke gebruikers en groepen meedoen.

De campagne kent twee doelmethoden: Passkey (FIDO2) en Microsoft Authenticator. Een tenant kan maar één methode tegelijk als doel hebben.

Conditional Access-beleid voor het registreren van beveiligingsgegevens geldt ook hier: mag een gebruiker dat alleen op het interne netwerk, dan krijgt hij de vraag ook alleen daar.

Wat heb je nodig?

• Een account met minimaal de rol Authentication Policy Administrator.
• De methode Passkey (FIDO2) ingeschakeld in het Authentication methods policy, met de gebruikers van de campagne in scope.
• Allow self-service set up op Yes in de configuratie van Passkey (FIDO2).
• Gebruikers die Microsoft Entra MFA gebruiken. Met een andere MFA-oplossing werkt de campagne niet.

Passkeys (FIDO2) zitten in alle edities van Microsoft Entra ID, ook in Free, zonder extra licentie.

Kies de status van de campagne

De status bepaalt wie de instellingen kiest.

Met Disabled staat de campagne uit.

In de status Microsoft managed kiest Microsoft voor passkeys als de gebruikers in de campagne zijn ingeschakeld voor passkeys, en anders voor Authenticator, mits ze daarvoor zijn ingeschakeld. Een Authenticator-campagne onder Microsoft managed vraagt bovendien alleen gebruikers die MFA met sms of een spraakoproep doen. Bij passkeys krijgt een gebruiker de vraag alleen als hij in minimaal één passkey profile zit dat Microsoft geschikt vindt: zonder beperkingen, alleen synced passkeys, alleen device-bound passkeys, een AAGUID-allowlist met minimaal één AAGUID van iCloud Keychain, Google Password Manager, de passkey in Microsoft Authenticator of de Microsoft Entra passkey op Windows, of device-bound met afgedwongen attestation. De lijsten Exclude en Block tellen hierbij niet mee.

De pagina Protecting authentication methods in Microsoft Entra ID beschrijft nog een smallere regel: de doelmethode gaat alleen naar passkeys als gebruikers in een profiel zitten dat zowel synced als device-bound passkeys toestaat, en bij een beperking tot specifieke AAGUIDs blijft de doelmethode Authenticator. De pagina’s spreken elkaar tegen; deze blogpost volgt de pagina over de registration campaign, die recenter is bijgewerkt.

💡 Let op: staat je campagne op Microsoft managed, heb je passkeys ingeschakeld en zitten de gebruikers in een passkey profile dat daarvoor in aanmerking komt, dan past Microsoft de instellingen volgens de pagina Protecting authentication methods stapsgewijs aan: de doelmethode gaat van Authenticator naar passkeys, de snooze-duur van 3 naar 1 dag, het beperkte aantal keer uitstellen gaat uit, en alle gebruikers die MFA kunnen doen krijgen de vraag, niet alleen die met sms of spraakoproep.

Wil je dat niet, of wil je de snooze-instellingen zelf bepalen, kies dan Enabled. Dat is ook de status voor gebruikers in een passkey profile dat onder Microsoft managed niet meetelt: in Enabled kan elke gebruiker die voor passkeys is ingeschakeld de vraag krijgen, ongeacht zijn passkey profile.

Zet passkeys klaar

Zonder Allow self-service set up kunnen gebruikers geen passkey toevoegen via Security info, ook als passkeys zijn ingeschakeld. Controleer die instelling eerst.

1. Meld je aan bij het Microsoft Entra admin center als minimaal Authentication Policy Administrator.
2. Navigeer naar Entra ID > Security > Authentication methods. Er opent een eigen venster; kies daarin Policies.

3. Selecteer Passkey (FIDO2). Gebruik je nog geen passkey profiles, selecteer dan eerst de link in de banner om ze aan te zetten. Je bestaande instellingen gaan naar een Default passkey profile; daarna kun je passkey profiles niet meer uitzetten.
4. Zet op het tabblad Configure de optie Allow self-service set up op Yes.
5. Controleer onder Enable and Target of de gebruikers of groepen van je campagne als doel zijn toegevoegd.
6. Klik op Save.

Meer over passkey profiles, synced en device-bound passkeys lees je in How to enable passkeys (FIDO2) in Microsoft Entra ID.

Configureer de registration campaign

1. Navigeer in het Microsoft Entra admin center naar Entra ID > Security > Authentication methods en kies in het venster dat opent Registration campaign. Klik zo nodig op Edit.
2. Zet State op Enabled. Kies je Microsoft managed, dan kiest Microsoft de doelmethode en de snooze-instellingen; ga verder met stap 6.
3. Alleen bij Enabled: kies bij Authentication method voor Passkey.
4. Alleen bij Enabled: stel Days allowed to snooze in: het aantal dagen voordat een gebruiker die overslaat opnieuw de vraag krijgt.
5. Alleen bij Enabled: bepaal met Limited number of snoozes of gebruikers na drie keer overslaan moeten registreren (Enabled) of onbeperkt mogen uitstellen (Disabled).
6. Kies welke gebruikers en groepen je opneemt en uitsluit, en klik op Save.

💡 De snooze-duur geldt voor de hele tenant, niet per groep. Wil je dat gebruikers niet blijven uitstellen, zet Days allowed to snooze dan op 0 en Limited number of snoozes op Enabled. Ze krijgen de vraag dan bij elke MFA-aanmelding en moeten na de derde keer overslaan registreren.

Een campagne blijft actief tot je hem zelf uitzet. Instellen kan ook via het Authentication methods policy in Microsoft Graph, met fido2 als doelmethode.

Gebruikerservaring

Na de MFA-aanmelding krijgt de gebruiker de vraag om een passkey in te stellen, als er voor zijn huidige platform nog geen geschikte passkey is. Hij klikt op Next, waarna het apparaat of de browser laat zien waar de passkey wordt opgeslagen. Hij bevestigt met gezicht, vingerafdruk of pincode, geeft de passkey een naam op het scherm Let’s name your passkey en rondt af met Done op het scherm Passkey created.

Met Skip for now stelt de gebruiker de vraag uit. Gaat er iets mis bij het registreren, dan verschijnt een foutscherm met Skip. Dat telt niet mee voor het maximale aantal keer uitstellen.

Punten voor je helpdesk:

• Bij profielen zonder beperkingen, of met alleen synced of device-bound passkeys, kijkt de campagne per combinatie van besturingssysteem en browser: een gebruiker met een profiel zonder beperkingen en alleen Windows Hello for Business krijgt op Windows geen vraag meer, maar op macOS wel.
• Linux-gebruikers krijgen geen vraag van een passkey-campagne.
• Gastgebruikers krijgen geen vraag, omdat passkeys voor gasten niet worden ondersteund.
• Op mobiele apparaten werkt de campagne in de browser en in native iOS-apps. Native Android-apps worden nog niet ondersteund.
• Er verschijnt geen vraag bij terms of use tijdens de aanmelding, bij een omleiding door Conditional Access custom controls, of als een Conditional Access-beleid de pagina Register security information blokkeert.

Tot slot

Met een registration campaign voor passkeys vraagt Entra ID gebruikers die daarvoor in aanmerking komen na hun MFA-aanmelding om een passkey. Controleer vooraf de status van je campagne, want met Microsoft managed kan de doelmethode zonder jouw actie naar passkeys gaan.

📚 Alle details per passkey profile en platform staan in Run a registration campaign to set up a passkey or Microsoft Authenticator.