关于如何在加域机器上开启windowshello中生物识别功能

关于域中开启Windows Hello相关功能参考下述信息：

开启Windows Hello生物识别的前提条件是要为用户设置PIN, 如果我们没有PIN，也就无法设置指纹等其他生物识别功能。而对于加域客户端，域用户是无法创建PIN码的，该功能默认对非Azure-AD joined 设置是关闭的，如果对domain joined的设备开启该功能，需要额外开启“Turn on convenience PIN sign-in” 这个策略。

Can't configure a PIN when Convenience PIN and Hello for Business policies are enabled in Windows 10

https://support.microsoft.com/en-us/help/3201940/can-t-configure-a-pin-when-convenience-pin-and-hello-for-business-poli

 基于以上原因，请按照以下步骤，针对客户端配置如下组策略。

1. 登录到域控，打开组策略管理，在计算机OU下新建GPO，并命名为“生物识别组策略”。

2. 右击此GPO，选择编辑，然后导航到计算机配置>策略>管理模板>Windows组件>生物特征。

启用“允许使用生物特征”，“允许用户使用生物特征登陆”，“允许用户使用生物特征登陆”

 3. 然后导航到计算机配置>策略>管理模板>系统>登录。启用“启用便捷性PIN登录”。

4. 最后到OU下的计算机上，重启计算机后，登录方式中可以使用面部识别，指纹识别和PIN。

如果我们希望设置PIN码复杂度，可以配置如下的策略：

从Windows 10，version 1709后，PIN complexity的路径位于：计算机配置>策略>管理模板>系统>PIN复杂性。

 我们可以在如下的路径找到PIN复杂性的配置：

需要注意的一点是，Windows Hello(Convenience PIN)和Windows Hello for Business的设置是互斥的，因此如果计算机上有任何Windows Hello for Business的配置，Windows Hello都无法配置成功。

配置好后，在DC上运行gpupdate /force，等待一段时间让组策略复制到其他所有DC，然后在客户端上运行gpupdate /force或重启客户端应用组策略后看该选项是否能够正常使用。

 如果要使用Convenience PIN，请不要配置PIN 复杂性以外的设置。

Windows Hello 支持的生物识别登录：指纹或面部识别。设置Windows Hello 时，系统会要求你先创建PIN。此PIN 使你能够在由于受伤或传感器不可用或无法正常工作而无法使用首选生物识别技术时使用PIN 登录。

Windows Hello生物识别开启的相关前提条件，可参考以下文档：

Windows Hello biometric requirements | Microsoft Docs