การใช้การรับรองความถูกต้องด้วยไบโอเมตริกซ์กับ Active Directory

เทคโนโลยีไบโอเมตริกซ์ซึ่งใช้คุณสมบัติทางชีวภาพในการตรวจสอบผู้ใช้ กำลังได้รับความนิยมและกลายเป็นส่วนสำคัญของเทคโนโลยีความปลอดภัย วิธีการต่างๆ เช่น การจดจำใบหน้าและการจดจำลายนิ้วมือ ถูกนำมาใช้กันอย่างแพร่หลายในอุตสาหกรรมต่างๆ รวมถึงการดูแลสุขภาพ การธนาคาร และการบริการ เพื่อรักษาความปลอดภัยของธุรกรรมดิจิทัล และมอบประสบการณ์ผู้ใช้ที่ราบรื่น ตลาดไบโอเมตริกซ์ทั่วโลกคาดว่าจะสูงถึง 136.18 พันล้านดอลลาร์ภายในปี 2574 โดยเอเชียและอเมริกาเหนือมีอัตราการนำไปใช้สูงสุด การใช้ไบโอเมตริกซ์ที่เพิ่มขึ้นอาจเนื่องมาจากปัจจัยต่างๆ เช่น ความนิยมในการจดจำใบหน้า ความสะดวกของไบโอเมตริกซ์ด้วยเสียง ความก้าวหน้าในด้านปัญญาประดิษฐ์ ความจำเป็นในการรับรองความถูกต้องแบบหลายปัจจัยเนื่องจากการก่อการร้ายและอาชญากรรมในโลกไซเบอร์ และความต้องการวิธีการตรวจสอบสิทธิ์แบบไร้สัมผัส ในช่วงการแพร่ระบาดของไวรัสโควิด-19 ในขณะที่เทคโนโลยีก้าวหน้าอย่างต่อเนื่อง อุปสรรคในการนำไปใช้จะลดลง ซึ่งนำไปสู่การเติบโตและการใช้งานไบโอเมตริกซ์ต่อไป

วิธีการใช้การรับรองความถูกต้องด้วยไบโอเมตริกซ์ใน Active Directory

ด้านล่างนี้คือวิธีที่ง่ายที่สุดบางส่วนในการเริ่มต้นใช้งานการรับรองความถูกต้องด้วยชีวมาตรใน Active Directory และ Azure AD

ใช้ Windows Hello

การใช้ Windows Hello เป็นวิธีที่แนะนำอย่างกว้างขวางที่สุดในการนำการรับรองความถูกต้องด้วยไบโอเมตริกซ์ไปใช้ใน Active Directory ช่วยให้สามารถตรวจสอบลายนิ้วมือในอุปกรณ์ Windows และลดความจำเป็นที่ผู้ใช้จะต้องจำพินหรือรหัสผ่าน การกำหนดให้ผู้ใช้เข้าสู่ระบบด้วยการจดจำใบหน้าหรือเครื่องสแกนลายนิ้วมือ จะช่วยลดความเสี่ยงในการเข้าถึงโดยไม่ได้รับอนุญาต Windows Hello ลงทะเบียนข้อมูลรับรองผู้ใช้ใน Microsoft Passport ซึ่งช่วยให้สามารถตรวจสอบสิทธิ์ในบัญชี Microsoft, Active Directory และบริการอื่น ๆ ที่รองรับมาตรฐาน Fast ID Online (FIDO) ระบบนี้สามารถใช้กล้องของอุปกรณ์เคลื่อนที่และเครื่องอ่านลายนิ้วมือ รวมถึงแล็ปท็อปที่มีเครื่องอ่านลายนิ้วมือ

ใช้โครงสร้างพื้นฐานคีย์สาธารณะ

โครงสร้างพื้นฐานคีย์สาธารณะ (PKI) ทำหน้าที่เป็นรากฐานสำหรับปัจจัยการรับรองความถูกต้องที่เข้มงวดทั้งหมด รวมถึงการรับรองความถูกต้องด้วยไบโอเมตริกซ์ ขณะนี้ผู้ใช้ Azure AD สามารถเข้าถึงบัญชีของตนได้โดยไม่ต้องใช้รหัสผ่านโดยใช้คีย์ความปลอดภัย FIDO2 ซึ่งสามารถสร้างได้โดยแอป Microsoft Authenticator หรือ Windows Hello คีย์เหล่านี้ช่วยตรวจสอบผู้ใช้และอุปกรณ์กับบริการภายในสภาพแวดล้อม Active Directory ของคุณ นอกจากนี้ พอร์ทัลการลงทะเบียนแบบรวมใน Microsoft Entra ยังได้รับการอัปเดตเพื่อให้ผู้ใช้สามารถสร้างและจัดการคีย์ความปลอดภัย FIDO2 ได้ คีย์ความปลอดภัย FIDO2 ยังสามารถใช้เพื่อรับรองความถูกต้องในอุปกรณ์ Windows 10 ที่เข้าร่วม Azure AD บนเบราว์เซอร์ Edge และ Firefox เวอร์ชันล่าสุด

เตรียมอุปกรณ์ให้เหมาะสม

ในระหว่างขั้นตอนการตั้งค่าสำหรับอุปกรณ์ Windows 10 ใหม่ ระบบจะถามผู้ใช้ว่าอุปกรณ์นั้นเป็นขององค์กรหรือเป็นอุปกรณ์ส่วนตัว หากเป็นขององค์กร ผู้ใช้จะได้รับแจ้งให้เลือกวิธีที่ต้องการในการเชื่อมต่อกับทรัพยากรขององค์กร พวกเขาสามารถเลือกระหว่างการเข้าร่วมโดยใช้ Azure Active Directory หรือการตั้งค่าบัญชีท้องถิ่นและเข้าร่วมโดเมนด้วยตนเองในภายหลัง เมื่อผู้ใช้ทำการเลือกสำเร็จแล้ว พวกเขาจะถูกขอให้ยืนยันตัวตนของตน ซึ่งสามารถทำได้โดยรับสายโทรศัพท์หรือข้อความและป้อนรหัส บางครั้งมีการใช้แอปตรวจสอบสิทธิ์เพื่อจุดประสงค์นี้ด้วย ในบางกรณี องค์กรอาจเปิดใช้งานการตั้งค่านโยบายกลุ่มที่อนุญาตการรับรองความถูกต้องทางชีวภาพ เช่น ลายนิ้วมือ ม่านตา หรือการจดจำใบหน้าผ่าน Windows Hello อย่างไรก็ตาม การรับรองความถูกต้องด้วยไบโอเมตริกซ์สามารถใช้ได้เฉพาะในกรณีที่อุปกรณ์มีฮาร์ดแวร์ที่จำเป็นเท่านั้น

เปิดใช้งาน Microsoft Passport

Microsoft ทำให้การนำ Microsoft Passport ไปใช้ในสถานที่ทำงานเป็นเรื่องง่ายโดยใช้นโยบายกลุ่ม การรวม Microsoft Passport ขึ้นอยู่กับประเภทของอุปกรณ์ที่ใช้งาน ไม่ว่าจะเป็นอุปกรณ์ที่เข้าร่วมโดเมนหรือเป็นของผู้ใช้ การตั้งค่า 'ใช้ข้อมูลไบโอเมตริก' ในตัวแก้ไขวัตถุนโยบายกลุ่มอนุญาตให้ใช้อุปกรณ์ไบโอเมตริกซ์ เช่น เครื่องสแกนเรตินาและเครื่องอ่านลายนิ้วมือ แทน PIN การใช้อุปกรณ์ไบโอเมตริกซ์จะเปิดใช้งานตามค่าเริ่มต้น แต่สามารถปิดใช้งานได้เพื่อยอมรับเฉพาะ PIN เท่านั้น หากองค์กรเลือกที่จะอนุญาตการตรวจสอบสิทธิ์ไบโอเมตริกซ์ จะมีการตั้งค่านโยบายกลุ่มเพิ่มเติมที่เกี่ยวข้องกับไบโอเมตริกซ์ที่อยู่ใน:

การกำหนดค่าคอมพิวเตอร์ > นโยบาย > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > ไบโอเมตริกซ์

ใช้การตั้งค่าการหมดอายุ

การตั้งค่า 'หมดอายุ' ใน Windows Server จะกำหนดว่า PIN ของผู้ใช้จะหมดอายุหรือไม่ หากปิดใช้งานหรือไม่ได้กำหนดค่า PIN จะไม่มีวันหมดอายุ การเปิดใช้งานการตั้งค่านี้จะทำให้ผู้ดูแลระบบสามารถระบุจำนวนวันที่ PIN จะหมดอายุได้ โดยมีค่าต่ำสุดเป็นศูนย์และสูงสุด 730 วัน การตั้งค่า "ประวัติ" จะกำหนดจำนวน PIN ก่อนหน้านี้ที่ถูกจัดเก็บและห้ามไม่ให้นำมาใช้ซ้ำ ตามค่าเริ่มต้น Windows จะไม่เก็บประวัติ PIN การเปิดใช้งานการตั้งค่านี้จะทำให้ผู้ดูแลระบบสามารถระบุจำนวน PIN ที่จะจัดเก็บ รวมถึง PIN ปัจจุบันเป็นหนึ่งในรายการประวัติ การตั้งค่า "ต้องมีอักขระพิเศษ" จะกำหนดว่าสามารถใช้อักขระพิเศษใน PIN ของผู้ใช้ได้หรือไม่ ตามค่าเริ่มต้น Windows ไม่อนุญาตให้ใช้อักขระพิเศษ การเปิดใช้การตั้งค่านี้กำหนดให้ผู้ใช้ใส่อักขระพิเศษอย่างน้อยหนึ่งตัวใน PIN