微软提醒管理员将 Entra ID 用户迁移至通行密钥，SMS 首因子登录将于 2027 年 2 月起退役

据 BleepingComputer 报道，微软近日再次提醒管理员，应尽快把 Entra ID 用户迁移到更抗钓鱼的身份验证方式，例如通行密钥（passkeys），以避免在后续登录策略调整中出现访问中断。来源显示，微软计划从 2027 年 2 月开始退役 SMS 作为第一登录因子的使用方式；这意味着仍依赖短信验证码完成首因子登录的组织，需要提前完成用户、策略与设备层面的准备。

这次提醒并不是单纯的产品更新通知，而是围绕企业身份安全的一次明确信号：短信登录正在被逐步排除在更高安全等级的认证体系之外。对使用 Entra ID 管理员工、合作伙伴或远程访问账户的组织来说，认证方式迁移将直接影响日常登录、远程办公、云应用访问以及应急账号管理。

微软为何推动从短信转向通行密钥

短信验证码曾长期被视为比单一密码更安全的补充手段，但它并不具备足够的抗钓鱼能力。攻击者可能通过伪造登录页面、诱导用户输入验证码、SIM 相关攻击或社会工程手段，绕过短信验证。相比之下，通行密钥通常基于设备与加密凭据绑定，在设计上更难被钓鱼页面复制或转移。

从来源信息看，微软强调的是“phishing-resistant authentication methods”，也就是能够抵御凭据窃取与中间人攻击的认证方式。对管理员而言，迁移重点不只是开启某个选项，而是要确认用户是否具备可用设备、是否理解新的登录流程，以及关键业务系统是否已完成兼容性验证。

管理员应关注的迁移准备

距离 2027 年 2 月仍有准备窗口，但企业环境中的身份认证变更往往牵涉面广。若等到退役临近再集中处理，可能会出现用户无法登录、帮助台压力骤增、外包与临时账号遗漏等问题。建议管理员围绕以下方向制定迁移计划：

• 盘点仍使用 SMS 首因子登录的 Entra ID 用户，区分普通员工、管理员、外部协作者与服务相关账号。
• 评估可替代的抗钓鱼认证方式，并优先覆盖高权限账户与远程访问用户。
• 提前开展小范围试点，验证不同设备、浏览器和业务应用下的登录体验。
• 准备用户指引与应急流程，避免认证方式切换期间因误操作造成访问中断。
• 检查条件访问、注册策略与恢复机制，确保迁移后不会留下弱验证入口。

对 VPN 用户与隐私保护的影响

从 VPN 与隐私保护视角看，这一变化同样值得关注。许多组织的远程办公依赖身份平台、云应用和安全访问策略联动；即使用户通过 VPN 连接公司资源，账号登录环节仍可能成为攻击者突破的关键。如果 VPN 入口、云账户和管理后台仍依赖短信验证码，一旦用户遭遇钓鱼，网络加密本身并不能阻止凭据被滥用。

因此，企业不应把 VPN 与强认证视为二选一。更合理的做法是：使用加密连接保护传输路径，同时用抗钓鱼认证保护账户入口。对经常在公共 Wi-Fi、跨境出差或远程办公环境中登录企业系统的用户，安全链路与强身份验证需要同时存在。个人用户如需降低公共网络暴露风险，也可以选择 RedGate VPN 这类工具作为连接保护的一环，但账号侧仍应优先启用更强的登录方式。

解读：短信验证退场是身份安全基线变化

微软此次提醒反映了一个更大的趋势：身份安全的最低标准正在上移。过去“密码 + 短信”可能被视为足够，但在钓鱼攻击、凭据窃取和远程登录风险持续增长的环境下，短信正在失去作为首要认证方式的地位。管理员现在需要做的不是等待退役日期，而是把迁移纳入安全路线图。

对组织来说，越早完成迁移，越能把风险控制在可测试、可培训、可回滚的范围内。对普通用户来说，也应理解通行密钥等新方式并非增加麻烦，而是在减少验证码被诱骗、转发或拦截的可能性。随着 2027 年 2 月节点临近，仍依赖 SMS 首因子登录的 Entra ID 环境，将面临越来越明确的合规与可用性压力。