Windows 11 密码管理的基础概念
在数字化时代，密码是保护个人信息和账户安全的核心工具。Windows 11 作为微软最新的操作系统，提供了多种内置功能来帮助用户安全地保存和管理密码。这些功能不仅包括传统的 Credential Manager（凭据管理器），还引入了现代的 Passkeys（通行密钥）支持，以及深度整合的 Microsoft Edge 浏览器密码管理。理解这些工具的工作原理和操作方法，是确保数字资产安全的第一步。无论你是家庭用户还是企业员工，掌握 Windows 11 的密码管理都能显著提升日常使用的便捷性与安全性。
Windows 11 的密码管理并非单一功能，而是一套多层次、多工具的体系。它包括系统层面的凭据存储、网络浏览器的自动填充、以及基于生物识别的无密码登录方案。这种设计既兼容了旧有的应用和网络服务，又为未来的无密码世界做好了准备。在接下来的内容中，我们将逐一解析这些功能，并提供具体的操作步骤和最佳实践。
使用设置管理 Passkeys（通行密钥）
Passkeys 是微软力推的新一代无密码登录技术。它使用基于标准 WebAuthn 的加密凭证，允许用户通过 Windows Hello（面部识别、指纹或 PIN）来登录支持的网站和应用，而不需要输入传统的密码。在 Windows 11 中，管理 Passkeys 的入口非常直观。你可以通过点击开始菜单，选择设置，然后进入账户菜单，再找到并点击访问密钥（Chaves de acesso / Passkeys）选项。在这个页面中，系统会列出所有已保存的 Passkeys，包括它们对应的应用或网站名称。
你不仅可以在此处查看所有 Passkeys，还可以通过搜索框快速查找特定的密钥。如果某个 Passkeys 不再使用，例如你已卸载某个应用或不再访问某个网站，可以将其选中并删除。这一功能大大减少了遗忘密码带来的困扰，也降低了重复使用密码的安全风险。需要注意的是，Passkeys 的存储和同步依赖于你的微软账户和设备。如果你在多台设备上登录同一个微软账户，Passkeys 可能会通过端到端加密进行同步。对于需要跨平台使用 Passkeys 的用户，微软还提供了手机和电脑之间的协同支持，例如在 Android 手机上生成的 Passkeys 可以通过二维码绑定到 Windows 11 设备上作为备用。
微软官方详细说明了这一功能的操作方式，你可以参考其支持文档进一步了解。请访问 Microsoft Support: Windows 11 inclui gerenciador de Passkeys 查看完整指南。
凭据管理器：传统密码的仓库
对于那些仍然依赖传统密码的应用、共享文件夹、远程桌面连接或网络驱动器，Windows 11 提供了 Credential Manager（凭据管理器）。这是一个集中存储用户登录凭据的控制台应用，最早出现在 Windows 7 中，至今仍是系统的重要组成部分。你可以在控制面板中找到它，路径为控制面板 > 用户账户 > 凭据管理器。此外，更快捷的方法是使用运行命令：按下 Win + R，输入以下命令并回车：
rundll32.exe keymgr.dll,KRShowKeyMgr
凭据管理器主要分为两个主要选项卡：Windows 凭据和 Web 凭据。Windows 凭据用于存储登录到 Windows 网络共享、远程桌面连接、以及某些需要网络凭据的传统桌面应用时的用户名和密码。Web 凭据则存储你通过 Internet Explorer 或 Edge 浏览器保存的网站密码（注意：Chromium 版 Edge 有自己的密码管理器，但如果启用了旧版模式，部分凭据仍会出现在此处）。你可以在此处添加、编辑、备份和还原凭据。编辑功能特别有用：当你更改了网络服务的密码，但 Windows 提示凭据过期时，你可以直接在此修改已保存的密码，而不必重新连接网络位置。
一个关键的安全设计是，当你试图查看已保存的密码明文时，系统会要求进行身份验证。这通常需要你输入当前的 Windows 登录密码，或者通过 Windows Hello 进行生物识别验证。这确保了即使你的电脑暂时无人看管，他人也无法轻易窥探你的密码。对于企业环境，IT 管理员还可以通过组策略来管理凭据存储的行为，例如禁止保存某些类型的凭据，或者强制配置远程访问时的身份验证方式。
更多关于凭据管理器的细节，可以参考官方文档：Microsoft: Como abrir o Gerenciador de Credenciais no Windows 11。
Microsoft Edge 中的密码管理功能
作为 Windows 11 的默认浏览器，Microsoft Edge 内置了一个功能完善的密码管理器。它可以自动检测你在新网站上填入的用户名和密码，并提示你保存。之后，当你再次访问该网站时，Edge 会自动填充已保存的凭据，整个过程流畅且安全。要管理和查看这些密码，请打开 Edge 浏览器，点击右上角的三个点菜单，选择设置，然后点击个人资料中的密码。在这里，你可以查看一个按网站名称排序的密码列表。
对于每个已保存的密码，Edge 都提供了查看、编辑和删除的选项。和系统级凭据管理器类似，当你点击眼睛图标查看密码明文时，Edge 会要求你进行身份验证（通常是 Windows 账户的 PIN 或密码）。此外，Edge 还有一个内置的密码监视器功能。如果你的某个已保存密码在已知的数据泄露中被曝光，密码监视器会发出警告，并建议你立即更改该密码。要使用此功能，你需要在 Edge 设置中启用“显示警告，当发现密码泄露时”。Edge 还支持密码生成器：当你注册新网站时，Edge 可以建议一个复杂且唯一的密码，并将其自动保存，免去你绞尽脑汁想密码的麻烦。
Edge 密码管理器的一个亮点是其跨设备同步能力。如果你在多个设备上使用同一个微软账户登录 Edge，那么密码可以在这些设备之间自动同步（前提是你启用了同步功能）。这使得你在手机或另一台电脑上也能无缝访问保存的密码。当然，你也可以选择不同步敏感数据，所有密码仅保存在本地设备上。Edge 官方帮助页面提供了更细致的操作说明，你可以访问 Microsoft Edge: Gerenciar senhas 了解更多。
如何备份和导入导出密码
虽然 Windows 11 的密码管理工具在很多场景下都表现稳定，但为用户提供密码的备份和迁移能力仍然很重要。对于凭据管理器，你可以手动备份所有 Windows 凭据。在凭据管理器的控制面板界面中，点击备份凭据，然后按照向导选择一个安全的位置（例如加密的 U 盘或受 BitLocker 保护的驱动器）保存一个 .crd 文件。恢复过程同样简单：点击还原凭据，选择之前备份的文件即可。
对于 Edge 浏览器中的密码，导出功能比较直接但需要谨慎使用。在 Edge 设置 > 密码页面中，有一个导出密码的按钮。点击后，系统会再次进行身份验证，然后生成一个 CSV 文件，包含网站地址、用户名和密码的明文。由于 CSV 文件是完全未加密的，导出后应立即将其转移到安全位置，并在使用后彻底删除。导入密码到 Edge 的功能相对有限，通常支持从 CSV 文件或从其他浏览器（如 Chrome）直接导入。如果你是从 Chrome 切换过来，Edge 中内置了 Chrome 数据导入向导，可以一次性迁移包括密码在内的所有浏览器数据。
备份和导出功能应该被视为应急工具，而非日常操作。如果可能，更重要的是确保你的密码在主存储位置的安全。例如，启用 BitLocker 驱动器加密可以防止电脑丢失后密码数据被物理读取。
Windows 11 密码管理的安全考量
密码管理工具的便利性必须以强大的安全防护为前提。Windows 11 在设计密码管理功能时，遵循了多个关键的安全原则。首先，所有保存在操作系统凭据管理器中的密码都经过加密，密钥与用户的登录凭据绑定。这意味着即使攻击者能够物理访问你的硬盘，也无法轻易解密这些密码。其次，无论是查看密码、导出密码还是修改关键设置，Windows 都会强制进行身份验证。这个身份验证通常是你登录系统的 PIN、密码或生物特征，因此保护你的 Windows 登录凭证是保护所有密码的基础。
作为一种更现代的无密码方案，Passkeys 在安全方面具有天然优势。每个 Passkeys 都与一个特定的网站或应用绑定，并且在加密上与你的设备硬件相关联。即使服务器端发生数据泄露，攻击者也无法用泄露的 Passkeys 冒充你，因为缺少你本地的生物识别或 PIN 验证。因此，微软建议用户尽可能使用 Passkeys 替代传统密码。
在日常使用中，有几个建议可以进一步提升安全性：
- 设置一个强密码或 PIN 用于 Windows 登录，并启用 Windows Hello 面部或指纹识别。
- 定期审查凭据管理器和浏览器中保存的密码，删除不再使用的条目。
- 启用 Windows Defender 防病毒和防火墙，防止恶意软件窃取内存中的凭证。
- 为不同的网站和服务使用不同的密码，避免一个泄露导致多个账户受影响。
- 对于重要账户，启用双重验证（2FA）作为额外的保护层。
下表总结了几种不同密码管理方式的典型使用场景和安全性特征，帮助你根据自己的需求做出选择：
| 管理方式 | 典型场景 | 安全性级别 | 是否需要网络 |
|---|---|---|---|
| 凭据管理器（Windows 凭据） | 远程桌面、网络共享、企业应用 | 高（加密绑定用户账户） | 部分功能需本地网络 |
| 凭据管理器（Web 凭据） | 旧版 IE 浏览器网站登录 | 中（受系统保护） | 需要网络 |
| Edge 密码管理器 | 日常网站登录、密码生成、泄露检测 | 高（支持加密同步和泄露警告） | 同步功能需要网络 |
| Passkeys 管理 | 新标准下的无密码登录（支付、社交等） | 极高（设备绑定+生物识别） | 首次注册需要网络 |
常见问题与故障排除
在实际使用中，一些用户可能会遇到凭据存储失败、自动填充不工作、或者密码同步冲突等问题。例如，当你尝试保存一个新的网络共享凭据时，如果收到了“保存凭据失败”的提示，通常是由于系统服务未运行或账户权限不足。解决办法是打开服务管理工具（services.msc），找到并重启 Credential Manager 服务，并确保其启动类型设置为自动。
另一个常见问题是 Edge 浏览器不提示保存密码。这可能是由于浏览器设置中禁用了密码保存功能。请检查 Edge 设置 > 个人资料 > 密码，确保“提供保存密码”开关处于开启状态。如果该开关已开启但问题依旧，可以尝试清除浏览器缓存或重置 Edge 设置。此外，某些网站可能声明了禁止自动填充的属性，导致 Edge 无法识别密码字段。
对于使用 Passkeys 的用户，如果发现无法创建或登录密钥，请确保你的 Windows 11 已更新到最新版本（特别是一些早期版本缺少完整的 Passkeys 支持）。还需要检查是否已经为 Windows Hello 设置了有效的生物识别或 PIN。如果多台设备之间 Passkeys 无法同步，确认每台设备都登录了同一个微软账户，并且在高级选项中启用了 Passkeys 同步。
企业环境中的密码管理策略
在企业网络中，IT 管理员通常希望统一管理终端用户的密码存储行为，以满足合规和安全政策。Windows 11 提供组策略设置，可以禁用或限制凭据管理器的某些功能。例如，可以禁止保存网络凭据，或者强制要求使用智能卡进行身份验证。对于使用 Entra ID（原 Azure AD）加入域的现代工作场景，还可以通过条件访问策略集成 Passkeys，实现零信任安全模型。
管理员也应当注意，凭据管理器在某些应用场景下可能成为攻击目标，比如 Mimikatz 等工具可以尝试从内存中提取明文凭据。因此，建议部署 Credential Guard 功能，它通过虚拟化安全方式将凭据隔离在受保护的环境中，显著提升抵御横向移动攻击的能力。启用了 Credential Guard 的系统中，凭据管理器中的部分密码将无法被常规工具提取。
对于终端用户，企业 IT 部门应提供培训，指导他们正确使用 Windows 11 的密码管理功能，同时强调不要将工作密码保存在不安全的共享电脑上。如果员工使用个人设备通过远程桌面接入公司网络，凭据管理器能够安全地记住复杂的域密码，减少重复登录带来的摩擦。
参考文献
Microsoft Support. Windows 11 包含通行密钥管理器. 微软官方支持文档. 可访问：https://support.microsoft.com/pt-br/windows/10141
Microsoft. 如何在 Windows 11 中打开凭据管理器. 微软官方支持文档. 可访问：https://support.microsoft.com/pt-br/windows/credential-manager-in-windows-11/10141
Microsoft Edge. 管理密码. 微软官方 Edge 帮助页面. 可访问：https://support.microsoft.com/pt-br/edge/manage-passwords
Microsoft TechNet. Credential Manager 命令行打开方法. 微软技术文档. 可访问：https://learn.microsoft.com/pt-br/windows/credential-manager
