顺序才是关键
安全的顺序是先替换，后移除。在动旧通行密钥之前，确保账户已经有另一种你现在就能实际使用的登录方式——你手上设备里的另一个通行密钥，或已经注册的其他登录方式。先移除、后添加，正是让人陷入困境的那一步。
Microsoft 直接说明了同样的原则：
Microsoft 建议在移除仍需使用的通行密钥之前，先添加替代登录信息。来源
这句话就是整份指南的缩影。本页其余部分讲的是如何在不猜测菜单的情况下应用它。
人们称为“通行密钥”的三样东西
你 Microsoft 账户中的通行密钥条目，与存储在手机或笔记本电脑上的凭据并不是同一个对象。把层次分开，可以避免大多数糟糕的决定。
| 层次 | 是什么 | 移除会影响什么 |
|---|---|---|
| 账户注册 | Microsoft 账户安全设置中列出的通行密钥条目 | Microsoft 是否会在登录时提供该通行密钥 |
| 设备绑定存储 | 保存在特定设备上的凭据，例如安全密钥或设备绑定的通行密钥 | 该设备是否仍能完成其注册时对应的登录 |
| 同步凭据管理器 | 通过密码管理器或平台钥匙串跨设备同步的通行密钥 | 登录同一管理器的其他设备是否仍能使用它 |
因此，一个可见的通行密钥可能既有账户侧的记录，也有设备侧的副本。删除其中一个不会自动清除另一个，这就是为什么 Microsoft 对工作或学校账户将其视为两个移除步骤。
对于工作或学校通行密钥，Microsoft 指示要从“安全信息”和存储位置两处移除。来源
对于个人账户，即使具体步骤不同，同样的分离也是一个有用的思维模型。不要假设个人账户和工作或学校账户的行为完全相同；组织策略可能增加本页未涵盖的要求。
更改之前你能看到什么
你不必盲目删除才能知道自己有什么。仪表板的设计就是先供阅读的。
Microsoft 的安全仪表板会列出通行密钥、其保存位置和上次使用时间，并允许重命名或移除它们。来源
保存位置和上次使用字段是实际的决策输入。一个上次使用时间较近、且位置与你仍持有的设备匹配的通行密钥，在确认替代方案之前可能值得保留。与已不再持有的设备绑定的通行密钥，通常是替换的候选对象。
替换优先台账
按顺序逐项处理。每一行是一个检查点，而不是菜单指令——你账户上的确切标签可能不同，本页不声称具体的点击路径。
| 步骤 | 要回答的问题 | 你能指出的证据 | 如果……就停止 |
|---|---|---|---|
| 1. 盘点 | 列出了哪些通行密钥和其他登录方式？ | 安全仪表板中的条目及其保存位置 | 你无法看到完整列表 |
| 2. 确定幸存方式 | 哪种方式你今天就能在手上的设备上使用？ | 你最近用它登录过 | 所有列出的方式都依赖同一台设备 |
| 3. 添加替代方案 | 新的通行密钥或登录方式是否已注册并确认？ | 它出现在列表中，且你已用它完成一次登录 | 新条目尚未实际使用过 |
| 4. 移除旧条目 | 旧通行密钥是否已不再需要？ | 你有步骤 3 中可用的替代方式 | 移除后将只剩未经验证的方式 |
| 5. 清除设备副本 | 旧设备或管理器中是否仍存有副本？ | Microsoft 对工作或学校通行密钥的两处移除指示 | 你不确定哪台设备存有它 |
步骤 3 是大部分价值所在。仅作为待处理提示存在的替代方案还不是替代方案；在移除任何东西之前，先实际使用它一次。
失败路径及其含义
你移除了通行密钥，现在登录失败。 停止添加更改。使用账户仍有的其他方式，并把缺失的通行密钥视为替换问题，而不是新注册问题。如果没有任何方式保留，恢复取决于账户类型和已存档的恢复详情；本页无法承诺具体的恢复途径。
旧设备已不在，但条目仍在。 这是普通的替换情况。先添加新方式，确认它，然后移除陈旧条目。不要先移除，并假设之后可以从同一设备重新添加。
通行密钥是工作或学校用的。 预期会有额外步骤。Microsoft 要求从“安全信息”和存储位置两处移除，这意味着仅账户侧移除可能无法完成工作，组织策略还可能增加自己的条件。
你不确定哪个凭据管理器持有同步副本。 在步骤 5 暂停。移除账户条目在某种意义上可逆，因为你可以重新注册，但找不到的同步副本是你继续之前确认剩余方式的一个理由。
仪表板显示了一个你不认识的通行密钥。 不要把它作为第一步删除。最近一次不熟悉的登录与通行密钥卫生是分开的问题，在决定该条目是否属于你之前，值得先查看登录活动。
这与其他检查的关系
通行密钥清理是一项狭窄的任务。如果你打开仪表板的原因是不熟悉的位置或意外的登录，仅凭通行密钥列表无法回答那个问题。先查看最近的登录活动，可以为你判断不熟悉的通行密钥条目是忘记的设备还是值得仔细检查的东西提供背景；关于那个单独任务，请参阅在归咎于不熟悉的位置之前查看 Microsoft 登录活动。
如果你的担忧更广泛——例如，某个旧用户名是否仍与其他地方的公开个人资料关联——那是另一种检查。TraceSeek 是一款用户名查询应用，覆盖 3,000+ 个平台，根据产品说明，首次扫描免费，耗时 20–30 秒。公开用户名匹配是一条线索，而不是证明同一个人拥有该账户，因此请将结果视为供你自己验证的指针，而非确认。
一份可保留的简短清单
- 我已阅读账户上通行密钥和其他登录方式的完整列表。
- 我已记录每个通行密钥的保存位置和上次使用时间。
- 我至少有一种现在就能在手上设备上使用的方式。
- 我已添加替代方案并用它完成了一次登录。
- 我只在上述步骤之后移除了旧的账户侧条目。
- 对于工作或学校通行密钥，我也已从存储位置清除它。
- 我没有假设个人策略和组织策略相同。
本页没有告诉你什么
这里的编辑建议是顺序和检查点。产品事实——仪表板列出什么、Microsoft 建议在移除前做什么，以及工作或学校通行密钥的两处规则——来自 Microsoft 自己的指南。本页不描述具体的菜单标签，不声称测试过任何账户流程，也不涵盖没有剩余方式的账户的恢复程序。如果你的账户由组织管理，请遵循其与本清单不同的指示。