A Vállalati Windows Hello konfigurálása az Intune-nal való regisztrációkor

Cikk
07/23/2024

A Microsoft Intune-nal létrehozhat egy bérlőszintű szabályzatot, amely konfigurálja a Vállalati Windows Hello használatát Windows 10- vagy Windows 11-eszközökön, amikor az eszközök regisztrálnak az Intune-ban. Ez a szabályzat a teljes szervezetet célozza, és támogatja a Windows Autopilot kezdőélményt (OOBE).

Windows 10/11 rendszerű eszközök esetén a Vállalati Windows Hello használata a jelszavak használatát erős kétfaktoros hitelesítésre cseréli az eszközökön. Ez a hitelesítés olyan felhasználói hitelesítő adatokból áll, amelyek egy eszközhöz kapcsolódnak, és biometrikus vagy PIN-kódot használnak.

Az eszközregisztrációt követően, vagy ha úgy dönt, hogy nem használja a bérlői szintű regisztrációs szabályzatot, az Intune a következő módszereket támogatja a Windows Hello különálló eszközcsoportokon való kezelésére:

Végpontbiztonsági fiókvédelmi szabályzat: Ha az Intune-ban való regisztráció után szeretné kezelni a Windows Hello-t az eszközökön, használja az Intune fiókvédelmi profilját, amely a végpontbiztonsági fiókvédelmi szabályzat része.
Biztonsági alapkonfigurációk: A Windows Hello egyes beállításait olyan biztonsági alapkonfigurációk kezelhetik, mint a Végponthoz készült Microsoft Defender biztonsági alapkonfigurációi vagy a Windows 10 és újabb rendszerek biztonsági alapkonfigurációi.
Beállításkatalógus: A végpontbiztonsági fiókvédelmi profilok beállításai az Intune beállításkatalógusában érhetők el.

Fontos

Az évfordulós frissítés (Windows 1607-es verzió) előtt két különböző PIN-kódot állíthat be az erőforrások hitelesítéséhez:

Az eszköz PIN-kódjának használatával feloldható az eszköz zárolása, és csatlakozhat a felhőbeli erőforrásokhoz.
A munkahelyi PIN-kód a Microsoft Entra-erőforrások elérésére szolgál a felhasználó személyes eszközén (BYOD).

Az évfordulós frissítésben ezt a két PIN-kódot egyetlen eszköz PIN-kódjába egyesítették. Az eszköz PIN-kódjának vezérléséhez beállított Intune-konfigurációs szabályzatok, valamint az Ön által konfigurált Vállalati Windows Hello-házirendek mostantól mind ezt az új PIN-kódot állítják be. Ha mindkét házirendtípust beállította a PIN-kód szabályozására, a Vállalati Windows Hello szabályzat lesz alkalmazva. A szabályzatütközések feloldásának és a PIN-kód-szabályzat megfelelő alkalmazásának biztosításához frissítse a Vállalati Windows Hello házirendet a konfigurációs szabályzat beállításainak megfelelően, és kérje meg a felhasználókat, hogy szinkronizálják az eszközeiket a Vállalati portál alkalmazásban.

Szerepköralapú hozzáférés-vezérlés

Vállalati Windows Hello-házirend létrehozásához vagy szerkesztéséhez Intune-szolgáltatásadminisztrátornak kell lennie a Windows-regisztrációban. Minden más Intune-szerepkör csak olvasási hozzáféréssel rendelkezik. A szerepköralapú hozzáférés-vezérléssel (RBAC) kapcsolatos további információkért lásd: RBAC a Microsoft Intune-nal.

Vállalati Windows Hello-szabályzat létrehozása az eszközregisztrációhoz

Jelentkezzen be a Microsoft Intune felügyeleti központba.
Lépjen az Eszközök>regisztrálása területre.
A Windows lap Regisztrációs beállítások területén válassza a Vállalati Windows Hello lehetőséget. Várjon, amíg megnyílik a Vállalati Windows Hello panel.
A Vállalati Windows Hello konfigurálásához válasszon az alábbi lehetőségek közül:
- Engedélyezve. Válassza ezt a beállítást, ha a Vállalati Windows Hello beállításait szeretné konfigurálni. Ha az Engedélyezve lehetőséget választja, a Windows Hello egyéb beállításai is láthatók lesznek, és konfigurálhatók az eszközökhöz.
- Letiltva. Ha nem szeretné engedélyezni a Vállalati Windows Hello szolgáltatást az eszközregisztráció során, válassza ezt a lehetőséget. Ha le van tiltva, a felhasználók nem építhetik ki a Vállalati Windows Hello szolgáltatást. Ha a Letiltva értékre van állítva, akkor is konfigurálhatja a Vállalati Windows Hello további beállításait, annak ellenére, hogy ez a házirend nem engedélyezi a Vállalati Windows Hello szolgáltatást.
- Nincs konfigurálva. Válassza ezt a beállítást, ha nem szeretné az Intune-t használni a Vállalati Windows Hello beállításainak szabályozásához. A Windows 10/11 rendszerű eszközökön meglévő Vállalati Windows Hello-beállítások nem változnak. A panelen lévő összes többi beállítás nem érhető el.
Ha az előző lépésben az Engedélyezve lehetőséget választotta, konfigurálja az összes regisztrált Windows 10/11-eszközre vonatkozó szükséges beállításokat. Miután konfigurálta ezeket a beállításokat, válassza a Mentés lehetőséget.
- Platformmegbízhatósági modul (TPM) használata:
  
  A TPM-lapka az adatbiztonság egy másik rétegét biztosítja. Válasszon az alábbi értékek közül:
  - Kötelező (alapértelmezett). Csak az akadálymentes TPM-et használó eszközök építhetik ki a Vállalati Windows Hello szolgáltatást.
  - Előnyben részesített. Az eszközök először TPM-et próbálnak használni. Ha ez a lehetőség nem érhető el, használhatnak szoftveres titkosítást.
- PIN-kód minimális hossza és PIN-kód maximális hossza:
  
  Úgy konfigurálja az eszközöket, hogy a megadott minimális és maximális PIN-kódhosszt használják a biztonságos bejelentkezés biztosítása érdekében. A PIN-kód alapértelmezett hossza hat karakter, de legalább négy karaktert kényszeríthet ki. A PIN-kód maximális hossza 127 karakter.
- Kisbetűk a PIN-kódban, nagybetűk a PIN-kódban és Speciális karakterek a PIN-kódban.
  
  Erősebb PIN-kódot is kényszeríthet, ha a PIN-kódban nagybetűket, kisbetűket és speciális karaktereket kell használnia. Mindegyikhez válasszon az alábbiak közül:
  - Engedélyezett: A felhasználók használhatják a karaktertípust a PIN-kódjukban, de ez nem kötelező.
  - Kötelező: A felhasználóknak tartalmazniuk kell legalább egy karaktertípust a PIN-kódjukban. Gyakori gyakorlat például, hogy legalább egy nagybetűt és egy speciális karaktert kell megadni.
  - Nem engedélyezett (alapértelmezett): A felhasználók nem használhatják ezeket a karaktertípusokat a PIN-kódjukban. (Ez a viselkedés akkor is így van, ha a beállítás nincs konfigurálva.)
    
    Speciális karakterek: ! " # $ % & ' ( ) * + , - . / : ; < = > ? @ [ \ ] ^ _ ' { | } ~
- PIN-kód lejárata (nap)::
  
  Érdemes megadni a PIN-kód lejárati idejét, amely után a felhasználóknak módosítaniuk kell azt. Az alapértelmezett érték 41 nap.
- Pin-előzmények megjegyzése:
  
  Korlátozza a korábban használt PIN-kód újbóli használatát. Alapértelmezés szerint az utolsó 5 PIN-szám nem használható fel újra.
- Biometrikus hitelesítés engedélyezése:
  
  Lehetővé teszi a biometrikus hitelesítést, például az arcfelismerést vagy az ujjlenyomatot a Vállalati Windows Hello PIN-kódjának alternatívaként. A felhasználóknak továbbra is konfigurálnia kell egy munkahelyi PIN-kódot arra az esetre, ha a biometrikus hitelesítés meghiúsul. Válasszon a következő lehetőségek közül:
  - Igen. A Vállalati Windows Hello lehetővé teszi a biometrikus hitelesítést.
  - Nem. A Vállalati Windows Hello megakadályozza a biometrikus hitelesítést (minden fióktípus esetében).
- Ha elérhető, használjon továbbfejlesztett hamisítás elleni hamisítást:
  
  Konfigurálja, hogy a Windows Hello hamisítás elleni funkcióit használják-e az azt támogató eszközökön. Például egy arcról készült fénykép észlelése valódi arc helyett.
  
  Ha az Igen értékre van állítva, a Windows megköveteli, hogy minden felhasználó hamisítás elleni hamisítást használjon az arcfelismeréshez, ha az támogatott.
- Telefonos bejelentkezés engedélyezése:
  
  Ha ez a beállítás Igen értékre van állítva, a felhasználók távoli útlevelet használhatnak hordozható társeszközként az asztali számítógép hitelesítéséhez. Az asztali számítógépnek csatlakoznia kell a Microsoft Entra-hoz, a társeszközt pedig a Vállalati Windows Hello PIN-kódjával kell konfigurálni.
- Fokozott bejelentkezési biztonság engedélyezése:
  
  Konfigurálja a Windows Hello fokozott bejelentkezési biztonságát a kompatibilis hardverrel rendelkező eszközökön. Az Ön lehetőségei:
  - A fokozott bejelentkezési biztonság engedélyezve lesz a kompatibilis hardverrel rendelkező rendszereken (alapértelmezés): Az eszköz felhasználói nem használhatnak külső perifériákat az eszközre való bejelentkezéshez a Windows Hello használatával.
  - A fokozott bejelentkezési biztonság minden rendszeren le lesz tiltva: Az eszköz felhasználói a Windows Hello szolgáltatással kompatibilis külső perifériákkal jelentkezhetnek be az eszközükre.
- A bejelentkezéshez használjon biztonsági kulcsokat:
  
  Ha engedélyezve van, ez a beállítás lehetővé teszi a Windows Hello biztonsági kulcsok távoli bekapcsolását és kikapcsolását az ügyfél szervezetének összes számítógépe számára.

A Windows Holographic for Business támogatása

A Windows Holographic for Business a következő beállításokat támogatja a Vállalati Windows Hello esetében:

Platformmegbízhatósági modul (TPM) használata
PIN-kód minimális hossza
PIN-kód maximális hossza
Kisbetűk a PIN-kódban
Nagybetűk a PIN-kódban
Speciális karakterek a PIN-kódban
PIN-kód lejárata (nap)
PIN-előzmények megjegyzése

Következő lépések

A Windows Hello szolgáltatásról a Windows dokumentációjának következő témaköreiben talál további információt:

Megosztás a következőn keresztül: