@Be0さん、ありがとうございます。
現在のほとんどの実装では、パスキーはまだこのように展開されていません。2FAとは別に扱われています。このYouTubeのアプローチに関するレポートをご覧ください。業界も徐々に適応していくと思います。
期待どおりに機能させるには、2つの変更が必要です。
ステップ1：パスキーを2FAとして使用できるようにする（現在、指摘されているように、セキュリティキーは個別に登録する必要があります）。
ステップ2：ユーザーがパスキーを追加した場合に、パスワードログインで2FAを強制する。
ステップ1は、破壊的ではないため、理にかなっています。ステップ2も理にかなっていますが、ユーザーがブラウザからパスキーを削除した場合（または特定のデバイスにパスキーがない場合）、アクセスがブロックされるため、少し破壊的です。
しかし、これを検討する価値はあると思います。