14、Windows Server 2016：安全、身份验证与系统管理新特性

Windows Server 2016：安全、身份验证与系统管理新特性

1. 用户账户与访问权限

用户可以添加个人 Microsoft 账户，在不影响企业数据的前提下访问个人照片和文件，同时漫游设置仍可与工作账户配合使用。Microsoft 账户实现了单点登录（SSO），且不再驱动设置的漫游。此外，用户还能在 winlogon 上进行自助密码重置（SSPR），这是 Azure AD 高级功能，可帮助用户重置遗忘的密码。用户还能访问企业 Windows 应用商店，在个人设备上获取和使用企业业务应用。

2. Microsoft Passport 认证

如今，认证方法的发展速度远超以往。传统上由应用开发者构建专用身份认证提供商的模式正在转变，现在更多使用如公共 Microsoft 账户、Facebook、Google 等“知名”服务进行认证。

Microsoft Passport 是一种基于密钥的新型认证方法，可超越传统密码认证，降低传统认证攻击风险。用户注册 Microsoft Passport 时，需确保所使用的认证提供商支持快速在线身份验证（FIDO）。通过两步流程，用户在设备上设置 Microsoft Passport 并设置手势或 PIN，之后可通过该方式进行身份验证。

在设置过程中，设备会存储一个非对称密钥对证书。私钥存储在设备的 TPM 芯片内，在认证过程中不会离开设备；公钥则注册在 Azure Active Directory 和 Windows Server Active Directory 中。用户账户通过公钥和私钥的映射来验证身份，还可通过一次性密码、Phonefactor 等方式实施额外控制。如需了解更多部署 Micr