Настройка и регистрация в Windows Hello для бизнеса в гибридной модели доверия ключей

• Применяется к:

  ✅ Windows 11, ✅ Windows 10

В этой статье описаны функциональные возможности и сценарии Windows Hello для бизнеса, которые применяются к:

• Тип развертывания:
• Тип доверия..
• Тип соединения.присоединение к Microsoft Entra , к Microsoft Entra.

---

После выполнения предварительных требований и проверки конфигурации PKI развертывание Windows Hello для бизнеса состоит из следующих шагов.

• Настройка параметров политик Windows Hello для бизнеса
• Регистрация в Windows Hello для бизнеса

Настройка параметров политик Windows Hello для бизнеса

Для включения Windows Hello для бизнеса в модели доверия ключей требуется один параметр политики:

• Использовать Windows Hello для бизнеса

Другой необязательный, но рекомендуемый параметр политики:

• Использование устройства аппаратной защиты

В следующих инструкциях описывается настройка устройств с помощью Microsoft Intune или групповой политики (GPO).

Intune/CSP

Примечание.

Ознакомьтесь со статьей Настройка Windows Hello для бизнеса с помощью Microsoft Intune , чтобы узнать о различных параметрах, предлагаемых Microsoft Intune для настройки Windows Hello для бизнеса.

Если политика на уровне клиента Intune включена и настроена в соответствии с вашими потребностями, можно перейти к разделу Регистрация в Windows Hello для бизнеса.

Чтобы настроить устройства с помощью Microsoft Intune, создайте политику каталога параметров и используйте следующие параметры:

Категория	Имя параметра	Значение
Windows Hello для бизнеса	Использование Passport для работы	true
Windows Hello для бизнеса	Требовать устройство безопасности	true

Назначьте политику группе, содержащей в качестве участников устройства или пользователей, которые вы хотите настроить.

Кроме того, можно настроить устройства с помощью настраиваемой политики с помощью поставщика CSP PassportForWork.

Параметр
- OMA-URI:./Device/Vendor/MSFT/PassportForWork/{TenantId}/Policies/UsePassportForWork - Тип данных:bool - Ценность:True
- OMA-URI:./Device/Vendor/MSFT/PassportForWork/{TenantId}/Policies/RequireSecurityDevice - Тип данных:bool - Ценность:True

Объект групповой политики

Параметр политики Использовать Windows Hello для бизнеса можно настроить на компьютере или в пользовательском узле объекта групповой политики:

• Развертывание параметра политики узла компьютера приводит к тому, что все пользователи, которые входят на целевые устройства, чтобы попытаться зарегистрироваться в Windows Hello для бизнеса
• Развертывание параметра политики узла пользователя приводит к тому, что только целевые пользователи попытаются зарегистрироваться в Windows Hello для бизнеса.

Если развернуты параметры политики и для пользователей, и для компьютеров, параметр политики для пользователей имеет приоритет.

Чтобы настроить устройство с помощью групповой политики, используйте редактор локальной групповой политики. Чтобы настроить несколько устройств, присоединенных к Active Directory, создайте или измените объект групповой политики и используйте следующие параметры:

Путь к групповой политике	Параметр групповой политики	Значение
Конфигурация компьютера\Административные шаблоны\Компоненты Windows\Windows Hello для бизнеса или Конфигурация пользователя\Административные шаблоны\Компоненты Windows\Windows Hello для бизнеса	Использовать Windows Hello для бизнеса	Enabled
Конфигурация компьютера\Административные шаблоны\Компоненты Windows\Windows Hello для бизнеса	Использование устройства аппаратной защиты	Enabled

Групповые политики можно связать с доменами или подразделениями, отфильтровать с помощью групп безопасности или отфильтровать с помощью фильтров WMI.

Совет

Лучший способ развернуть объект групповой политики Windows Hello для бизнеса — использовать фильтрацию групп безопасности. Только члены целевой группы безопасности будут подготавливать Windows Hello для бизнеса, что позволяет поэтапное развертывание. Это решение позволяет связать объект групповой политики с доменом, гарантируя, что объект групповой политики ограничен всеми субъектами безопасности. Фильтрация групп безопасности гарантирует, что только члены глобальной группы получают и применяют объект групповой политики, что приводит к подготовке Windows Hello для бизнеса.

При развертывании конфигурации Windows Hello для бизнеса с помощью групповой политики и Intune приоритет имеют параметры групповой политики, а параметры Intune игнорируются. Дополнительные сведения о конфликтах политик см. в разделе Конфликты политик из нескольких источников политик.

Другие параметры политики можно настроить для управления поведением Windows Hello для бизнеса. Дополнительные сведения см. в разделе Параметры политики Windows Hello для бизнеса.

Регистрация в Windows Hello для бизнеса

Процесс подготовки Windows Hello для бизнеса начинается сразу после загрузки профиля пользователя и до того, как пользователь получит рабочий стол. Чтобы начать процесс подготовки, все проверки готовности должны пройти.

Состояние проверок предварительных требований можно определить, просмотрев журнал администратора регистрации устройств пользователей в разделе Журналы > приложений и служб Microsoft > Windows.
Эти сведения также доступны с помощью dsregcmd.exe /status команды из консоли. Дополнительные сведения см. в разделе dsregcmd.

Взаимодействие с пользователем

После входа пользователя начинается процесс регистрации Windows Hello для бизнеса:

1. Если устройство поддерживает биометрическую проверку подлинности, пользователю будет предложено настроить биометрический жест. Этот жест можно использовать для разблокировки устройства и проверки подлинности для ресурсов, которым требуется Windows Hello для бизнеса. Пользователь может пропустить этот шаг, если не хочет настраивать биометрический жест
2. Пользователю будет предложено использовать Windows Hello с учетной записью организации. Пользователь нажимает кнопку ОК.
3. Поток подготовки переходит к части регистрации с многофакторной проверкой подлинности. Подготовка информирует пользователя о том, что он активно пытается связаться с пользователем через настроенную форму MFA. Процесс подготовки не продолжается до тех пор, пока проверка подлинности не будет выполнена успешно, не произойдет сбой или не истекает время ожидания. Сбой или истечение времени ожидания MFA приводит к ошибке и просит пользователя повторить попытку.
4. После успешной многофакторной идентификации в рамках процесса подготовки пользователь получает запрос на создание и проверку PIN-кода. Этот ПИН-код должен соблюдать все политики сложности ПИН-кода, настроенные на устройстве.
5. На завершающем этапе подготовки служба Windows Hello для бизнеса запрашивает пару асимметричных ключей для пользователя, предпочтительно (или обязательно, если этого явно требует политика) от доверенного платформенного модуля. После получения пары ключей Windows взаимодействует с поставщиком удостоверений для регистрации открытого ключа. После завершения регистрации ключа подготовка Windows Hello для бизнеса информирует пользователя о том, что он может использовать свой ПИН-код для входа. Пользователь может закрыть приложение подготовки и получить доступ к рабочему столу.

После регистрации Microsoft Entra Connect синхронизирует ключ пользователя из Идентификатора Microsoft Entra в Active Directory.

Важно.

Минимальное время, необходимое для синхронизации открытого ключа пользователя из Microsoft Entra ID в локальную службу Active Directory, составляет 30 минут. Планировщик Microsoft Entra Connect управляет интервалом синхронизации. Эта задержка синхронизации задерживает возможность пользователя проверять подлинность и использовать локальные ресурсы до тех пор, пока открытый ключ пользователя не будет синхронизирован с Active Directory. После синхронизации пользователь может пройти проверку подлинности и получить доступ к локальным ресурсам. Прочитайте статью Microsoft Entra Connect Sync: Планировщик , чтобы просмотреть и настроить цикл синхронизации для вашей организации.

Схемы последовательностей

Чтобы лучше понять потоки подготовки, ознакомьтесь со следующими схемами последовательностей на основе присоединения устройства и типа проверки подлинности:

• Подготовка для устройств, присоединенных к Microsoft Entra, с управляемой проверкой подлинности
• Подготовка для устройств, присоединенных к Microsoft Entra, с федеративной проверкой подлинности
• Подготовка в гибридной модели развертывания доверия к ключу с управляемой проверкой подлинности

Чтобы лучше понять потоки проверки подлинности, просмотрите следующую схему последовательностей:

• Проверка подлинности гибридного присоединения Microsoft Entra с помощью ключа
• Проверка подлинности присоединения Microsoft Entra к Active Directory с помощью ключа