mcpField
W
windows-hello

windows-hello

github.com/vinayaklattheセキュリティ17882 回インストール19 週間前に更新
リポジトリ

windows-hello について

Windows Hello for Business を導入する Windows 管理者向けのガイドです。信頼モデルの選択、前提条件の確認、段階的な展開を支援し、フィッシング耐性のあるサインインと資格情報の復旧も扱います。

主な機能

  1. 014つの信頼モデルの比較
  2. 02デバイスとユーザーの前提条件確認
  3. 03Intune による段階的な展開計画
  4. 04PIN と生体認証ポリシーの設定
  5. 05PIN 復旧と共有デバイスのロック解除計画

活用シーン

  1. 01ハイブリッド環境の信頼モデル選択
  2. 02Intune によるパイロット展開の開始
  3. 03機密アプリへのフィッシング耐性 MFA の要求
  4. 04共有ラボ端末の多要素ロック解除の計画

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill windows-hello

インストール後、Claude Code で/windows-helloを入力して読み込まれたか確認します。

詳細

Windows Hello for Business

Windows Hello for Business（WHfB）は、Windows のパスワードを、フィッシング耐性のある 2 要素認証資格情報に置き換えます。PIN または生体認証（知識要素／生体要素）で、デバイスごとの 非対称鍵（所持要素、TPM に紐付け）を解除します。資格情報がデバイスの外に出ることはなく、 リプレイ攻撃にも使えません。

使用する場面

Windows エンドポイントでのパスワードによるサインインをなくし、Windows ユーザーに対する フィッシング耐性のある MFA 要件を満たす場合に使用します。このスキルを使って、信頼モデルを選択し、 前提条件を満たし、プロビジョニングを展開します。

このスキルは使用しないでください。共有デバイスでの FIDO2 キー（entra-id）、CA ポリシー （conditional-access-mfa）、またはデバイスコンプライアンス（intune-device-mgmt）には使用しません。

信頼モデルを選択する

WHfB には 3 つの信頼モデルがあります。選択は、オンプレミス AD の SSO が必要かどうかと、 AD 環境の状態によって異なります。

シナリオ信頼モデル理由
クラウドのみ（Entra 参加、オンプレミス AD なし）クラウドのみ（既定）オンプレミスの信頼は不要です
ハイブリッド（Entra 参加／ハイブリッド参加、AD SSO が必要）クラウド Kerberos 信頼（推奨）最もシンプルなハイブリッドモデルです。Entra Kerberos サーバーオブジェクトが必要です
ハイブリッド、Entra Kerberos を展開できないキー信頼レガシーです。Windows Server 2016 以降の DC と、各 DC 上の証明書が必要です
厳格な証明書ベースの環境のハイブリッド証明書信頼AD CS、NDES、Intune 証明書コネクタが必要です。最も複雑です

経験則： 特別な阻害要因（Entra Connect Sync がない、または規制環境で新しい認証モデルが禁止されているなど）がない限り、2026 年のハイブリッド環境ではクラウド Kerberos 信頼が既定です。新しいテナントではキー信頼や証明書信頼を展開しないでください。どちらもレガシーです。

アプローチ

  1. 前提条件を確認する — デバイス：Windows 10 1903 以降／Windows 11、TPM 2.0（限られたケースでは TPM 1.2）。ユーザー：Entra 参加またはハイブリッド参加、MFA 登録済み、サポート対象のライセンス。クラウド Kerberos 信頼の場合：AD に Entra Kerberos サーバーオブジェクトを展開します（Set-AzureADKerberosServer）。 確認方法：dsregcmd /status に AzureAdJoined = YES と表示され、Get-AzureADKerberosServer が AD フォレストごとに 1 つのオブジェクトを返すこと。

  2. Intune でプロビジョニングする — Intune の アカウント保護ポリシー（推奨）またはレガシーの WHfB Identity Protection プロファイルを使用します。テナント全体では WHfB をオフにし、パイロットリングの Intune プロファイルを使って対象をオンにします。初日からテナント全体で WHfB を有効にしないでください。 確認方法：パイロットデバイスで初回サインイン時に WHfB のプロビジョニング画面が表示され、PIN の複雑さがポリシーに一致すること。

  3. PIN の複雑さと生体認証ポリシー — 最小 6 桁（通常は 6～8 桁）とし、対応ハードウェアでは生体認証（Windows Hello の顔認証／指紋認証）を許可します。PIN に特殊文字を必須にしないでください。PIN はパスワードではなく、ローカルでのロック解除に使うものです。

  4. 簡易 PIN を無効にする — 一部のレガシー環境では「簡易 PIN」（WHfB ではなく、パスワード入力用の PIN）が有効になっています。明示的に無効にしてください。そうしないと、ユーザーが誤った種類の資格情報を使うことになり、WHfB を使っていると思い込むおそれがあります。

  5. 条件付きアクセス - 認証強度 — 機密性の高いアプリに対して、フィッシング耐性 MFA の認証強度を要求する CA ポリシーを作成します。WHfB は要件を満たしますが、パスワードと SMS の組み合わせでは満たしません。Tier 0 では PIM および PAW と組み合わせます。 確認方法：パスワードのみで機密性の高いアプリにサインインする場合、CA の「What If」でブロックされること。

  6. 共有デバイス／キオスクでの多要素ロック解除 — 複数のユーザーがアクセスするデバイス（ラボ、共有キオスク）では、多要素ロック解除（PIN と生体認証、または PIN と信頼済みシグナル）を構成します。

  7. 資格情報の回復（PIN リセット）と共有デバイスのシナリオを計画する — ユーザーがヘルプデスクを介さずに自力で回復できるよう、Microsoft PIN リセット サービスを構成します。代替手段は破壊的リセット（WHfB 資格情報を最初から再プロビジョニング）です。展開前に計画し、周知してください。 確認方法：パイロットユーザーが PIN リセットを最初から最後までテスト済みであること。

注意事項

  • PINはパスワードではありません。 ローカルでのみ使用され、デバイスに紐づき、TPMによって保護されます。パスワードのような複雑さ（定期的な変更、特殊文字）を強制しないでください。セキュリティを向上させずに、導入を妨げることになります。
  • TPMに紐づいていることがセキュリティ上の特性です。 TPMのないデバイス（またはBIOSでTPMが無効になっているデバイス）ではソフトウェアによる代替手段が使われますが、これははるかに脆弱です。WHfBをフィッシング耐性があるものとして扱う前に、TPMの存在を確認してください。
  • WHfBの資格情報はデバイスごと、ユーザーごとに発行されます。 デバイスを3台持つユーザーには、WHfBの資格情報が3つあります。デバイスを紛失した場合は、その資格情報を失効させます。他の資格情報には影響しません。
  • 新しいテナントには証明書信頼を導入しないでください。 運用の複雑さは、クラウド Kerberos 信頼を大幅に上回ります。明確な理由がある場合に限り、証明書信頼を選択してください。
  • CAの認証強度が重要な手段です。 「フィッシング耐性のある MFA を要求する」CAポリシーがなければ、ユーザーは引き続き、機密性の高いアプリでパスワードとSMSを使えます。WHfBを展開するだけでは、脆弱な認証をブロックできません。
  • 展開前にPINのリセット方法を計画してください。 展開2日目にPINを忘れたユーザーがいて、復旧手段がない場合、問い合わせが殺到し、ロールバックが必要になります。

よくあるアンチパターン

  • 「WHfBをテナント全体で有効にして、展開を進める」 - 強制的に有効化すると、共有デバイス、TPM非搭載デバイス、特殊なケースで問題が発生します。Intuneの対象リングを使用してください。
  • 「14文字の複雑なPINを要求する」 - ユーザーに嫌がられ、書き留められ、導入も遅れます。推奨される長さは6桁です。
  • 「新しいテナントにキー信頼を導入する」 - これはレガシーな方式です。制約がない限り、クラウド Kerberos 信頼を使用してください。
  • 「WHfBを展開したので、MFAはもう不要」 - WHfBはWindowsへのサインインに最適ですが、アプリにもフィッシング耐性を適用するには、引き続きCAポリシーが必要です。
  • 「トラブルシューティングを簡単にするため、TPMを無効にする」 - セキュリティ上の特性が失われ、WHfBがソフトウェアのみになります。再度有効にしてください。
  • 「利便性 PIN は WHfB と同じ」 - 資格情報の種類が異なり、セキュリティも弱くなります。利便性 PIN は明示的に無効にしてください。

プロンプトの例

  • ハイブリッド展開にクラウド Kerberos 信頼とキー信頼のどちらを選ぶべきか比較してください。
  • Intune を使って、50台のデバイスからなるパイロットリングに Windows Hello for Business を展開してください。
  • SharePoint 管理者向けに、Conditional Access でフィッシング耐性のある MFA 認証強度を構成してください。
  • ユーザーが自分で復旧できるよう、PINリセットサービスを設定してください。
  • WHfBの登録後も、ハイブリッドユーザーにパスワードを求められるのはなぜですか？
  • 共有ラボデバイスで、多要素ロック解除を計画してください。

Microsoft Learn

コメント

Markdown 対応