windows-hello

Windows Hello for Business

Windows Hello for Business（WHfB）在 Windows 上取代密码，改用抗网络钓鱼的双因素凭据：PIN 或生物识别（你知道的／你本身具有的），用于解锁每台设备专属的非对称密钥（你持有的，与 TPM 绑定）。凭据不会离开设备，也无法被重放。

适用场景

在 Windows 终端上消除密码登录，并满足 Windows 用户的抗网络钓鱼 MFA 要求。使用此技能选择信任模型、满足先决条件并推出配置。

不要将此技能用于共享设备上的 FIDO2 密钥（entra-id）、CA 策略（conditional-access-mfa）或设备合规性（intune-device-mgmt）。

选择信任模型

WHfB 有三种信任模型。选择哪种取决于是否需要本地 AD SSO，以及 AD 环境的状况。

场景	信任模型	原因
纯云（已加入 Entra，未加入本地 AD）	仅云（默认）	无需本地信任
混合（已加入 Entra／混合加入，需要 AD SSO）	云 Kerberos 信任（推荐）	最简单的混合模型；需要 Entra Kerberos 服务器对象
混合，无法部署 Entra Kerberos	密钥信任	旧版模型；需要 Windows Server 2016+ DC，以及每台 DC 上的证书
混合，采用严格的证书环境	证书信任	需要 AD CS、NDES 和 Intune 证书连接器；最复杂

**经验法则：**云 Kerberos 信任是 2026 年混合环境的默认选择，除非存在具体阻碍（没有 Entra Connect Sync，或受监管环境禁止采用新的身份验证模型）。不要在新租户中部署密钥信任或证书信任——两者都是旧版模型。

实施方法

1. 验证先决条件——设备：Windows 10 1903+ / Windows 11；TPM 2.0（少数情况下可使用 TPM 1.2）。用户：已加入 Entra 或混合加入；已注册 MFA；拥有受支持的许可证。 对于云 Kerberos 信任：在 AD 中部署 Entra Kerberos 服务器对象（Set-AzureADKerberosServer）。 验证：dsregcmd /status 显示 AzureAdJoined = YES；Get-AzureADKerberosServer 为每个 AD 林返回一个对象。

2. 通过 Intune 配置——使用 Intune Account Protection 策略（首选）或旧版 WHfB Identity Protection 配置文件。将租户范围的 WHfB 设为关闭，然后通过 Intune 配置文件为试点环启用；不要在第一天就为整个租户启用 WHfB。 验证：试点设备在首次登录时显示 WHfB 配置体验；PIN 复杂度符合策略。

3. PIN 复杂度和生物识别策略——至少 6 位数字（通常为 6-8 位）；在受支持的硬件上允许使用生物识别（Windows Hello 面部识别／指纹识别）。不要要求 PIN 包含特殊字符——它不是密码，而是本地解锁凭据。

4. 禁用便捷 PIN——某些旧版环境启用了“便捷 PIN”（用于填充密码的 PIN，并非 WHfB）。请明确禁用；否则用户可能会使用错误的凭据类型，并误以为自己正在使用 WHfB。

5. 条件访问 - 身份验证强度——创建一条 CA 策略，要求敏感应用采用 抗网络钓鱼 MFA 身份验证强度。WHfB 满足此要求；密码+SMS 则不满足。与 PIM 和 PAW 结合用于 Tier 0。 验证：对敏感应用进行 CA What If 测试，使用仅密码登录时应被阻止。

6. 共享／信息亭的多因素解锁——对于多人使用的设备（实验室、共享信息亭），配置多因素解锁（PIN + 生物识别，或 PIN + 可信信号）。

7. 规划凭据恢复（PIN 重置）和共享设备场景——配置 Microsoft PIN 重置服务，让用户无需联系帮助台即可自行恢复；另一种方式是破坏性重置（从头重新配置 WHfB 凭据）。请在推出前做好规划并与用户沟通。 验证：由试点用户端到端测试 PIN 重置。

防护要点

• **PIN 不是密码。**它仅限本地使用，与设备绑定，并由 TPM 提供支持。不要强制实施密码式复杂度要求（定期轮换、特殊字符），这只会降低采用率，却无法提升安全性。
• **与 TPM 绑定才是安全保障。**没有 TPM（或 TPM 在 BIOS 中被禁用）的设备会改用软件回退机制，安全性要弱得多。将 WHfB 视为抗钓鱼凭据之前，请先确认 TPM 是否存在。
• **WHfB 凭据按设备、按用户分别配置。**拥有 3 台设备的用户有 3 个 WHfB 凭据。设备丢失后，只需撤销该凭据，其他凭据不受影响。
• **不要在新租户上部署证书信任。**其运维复杂度远高于云 Kerberos 信任。只有在有明确理由时才选择证书信任。
• **CA 身份验证强度是关键手段。**如果 CA 策略没有“要求抗钓鱼 MFA”，用户仍可使用密码 + SMS 访问敏感应用；仅推出 WHfB 并不能阻止弱身份验证。
• **推出前规划好 PIN 重置。**推出第 2 天用户忘记 PIN，却没有恢复方式，会引发大量支持工单并导致回滚。

常见反模式

• “在整个租户中启用 WHfB，然后全面推广”——强制启用会影响共享设备、非 TPM 设备和边缘情况。应使用 Intune 分批部署。
• “要求设置 14 位复杂 PIN”——用户会反感、会把 PIN 写下来，采用速度也会变慢。建议使用 6 位数字。
• “为新租户部署密钥信任”——这是旧方案。除非受阻，否则应使用云 Kerberos 信任。
• “推出 WHfB 后，就不再需要 MFA 了”——WHfB 非常适合用于 Windows 登录；要将抗钓鱼属性扩展到应用，仍需配置 CA 策略。
• “禁用 TPM，让故障排查更方便”——这会削弱安全保障；WHfB 将变成纯软件方案。请重新启用 TPM。
• “便捷 PIN 和 WHfB 是一回事”——它们是不同的凭据类型，便捷 PIN 的安全性较弱。请明确禁用便捷 PIN。

示例提示词

• 为我们的混合部署选择云 Kerberos 信任还是密钥信任。
• 通过 Intune 在一个包含 50 台设备的试点组中推出 Windows Hello for Business。
• 为 SharePoint 管理员配置 Conditional Access 中的抗钓鱼 MFA 身份验证强度。
• 设置 PIN 重置服务，让用户可以自行恢复。
• 为什么我的混合用户注册 WHfB 后仍会收到密码提示？
• 规划共享实验室设备上的多重身份验证解锁。

Microsoft Learn

• WHfB 概述：https://learn.microsoft.com/windows/security/identity-protection/hello-for-business/
• 规划部署：https://learn.microsoft.com/windows/security/identity-protection/hello-for-business/deploy/
• 云 Kerberos 信任：https://learn.microsoft.com/windows/security/identity-protection/hello-for-business/deploy/hybrid-cloud-kerberos-trust
• 先决条件：https://learn.microsoft.com/windows/security/identity-protection/hello-for-business/deploy/requirements
• Intune 帐户保护策略：https://learn.microsoft.com/mem/intune/protect/endpoint-security-account-protection-policy
• CA 中的身份验证强度：https://learn.microsoft.com/entra/identity/authentication/concept-authentication-strengths
• PIN 重置：https://learn.microsoft.com/windows/security/identity-protection/hello-for-business/hello-feature-pin-reset
• 多重身份验证解锁：https://learn.microsoft.com/windows/security/identity-protection/hello-for-business/feature-multifactor-unlock