无法启用Windows Hello-某些设置由您的组织管理

最新推荐文章于 2024-12-12 15:18:22 发布

z荒野求生

最新推荐文章于 2024-12-12 15:18:22 发布

阅读量8.3k

点赞数 2

分类专栏：系统维护（Windows & Linux）配置笔记

原文链接：https://qastack.cn/superuser/1113638/cant-enable-windows-hello-some-settings-are-managed-by-your-organization

版权

配置笔记同时被 2 个专栏收录

420 篇文章

订阅专栏

系统维护（Windows & Linux）

159 篇文章

订阅专栏

无法启用Windows Hello-某些设置由您的组织管理

https://qastack.cn/superuser/1113638/cant-enable-windows-hello-some-settings-are-managed-by-your-organization

我做了Windows 10周年纪念版的全新安装。现在，我无法以加入AD的域身份加入Surface Pro 4来启用Windows Hello。但是，当我使用Msft帐户登录时，可以打开Windows Hello。

我不在域上时尝试“某些设置由您的组织管理”？（通过“设置”应用程序增加遥测），此外：通过gp重置遥测。

这表明此问题不同于此处的其他问题。实际上，这也是域加入，而不像这里的其他大多数问题。

设置如下所示：

在旧版本的Windows 10中，当域与域用户加入时，同一台设备可以启用Windows Hello。这就是为什么我排除GPO作为问题的根源。GPO甚至明确允许域用户使用生物识别技术。我能做什么？

Windows 10专业版，Cortana已启用。没有内幕版。我具有对该域的管理访问权限。

windows-10 windows-hello

— 扎克索本
 source

您找到解决方案了吗？我有同样的问题:(

— MojoDK '16

是的，我做到了！我现在将写答案@MojoDK :)

— zuckerthoben

Answers:

我找到了解决方案。原因是从周年纪念更新开始，在加入域的计算机上对Windows Hello的管理方式有所不同。要使其正常工作，您必须遵循以下步骤：

1）设置组策略中央存储（您应该已经拥有了）

2）获取Windows 10周年更新组策略模板。您可以通过将文件从PolicyDefinitions（在Win10周年更新计算机上的windir中）复制到中央存储的PolicyDefinitions中来实现。您可能会首先将这些文件复制到文件共享中，因为普通用户不应该在中央存储上具有这些权限。

3）设置新的GPO或将以下设置添加到现有的设置中以启用Windows Hello：

计算机配置/策略/管理模板

... / Windows组件/ Windows Hello企业版/ 使用生物识别 =>启用

... / Windows组件/ Windows Hello企业版/ 使用硬件安全设备 =>启用（如果要使用TPM代替Windows Hello的基于密钥或证书的激活）。请注意，一般而言，所有商用计算机都应具有TPM

... / System / Logon / 打开便利性PIN登录 =>启用（这是关键。这将启用PIN登录，这将依次启用Hello和其他设置。）

... / Windows组件/生物特征/ 允许域用户使用生物特征登录 =>启用（我认为默认情况下已启用此功能，但显式设置使GP管理更加容易。）

您将在“系统/登录”和“ Windows组件/生物识别”以及“ Windows组件/ Windows Hello for Business”中找到更多可选配置。

和这里

https://technet.microsoft.com/zh-cn/itpro/windows/keep-secure/implement-microsoft-passport-in-your-organization

最重要的摘录：

从版本1607开始，默认情况下，所有加入域的计算机都禁用Windows Hello作为便捷PIN。要为Windows 10版本1607启用便捷PIN，请启用组策略设置打开便捷PIN登录。使用Windows Hello for Business策略设置来管理Windows Hello for Business的PIN。

如果要使用基于密钥或证书的Windows Hello，可以按照链接中的指南进行操作。不过不要感到困惑。对于正常的Windows Hello，您仍然可以使用常规TPM。

— 扎克索本
 source

请务必注意，根据您引用的链接，使用Windows Hello不需要“打开便捷PIN登录”。便捷PIN是旧式PIN，其安全性不如Windows Hello PIN。（“如果您打算部署Windows Hello for Business……那么这可能是转移到更安全的凭据的最佳时机，而不是……方便的PIN登录。”）实际上配置Windows Hello for Business涉及的不仅仅是只是GPO -见docs.microsoft.com/en-us/azure/active-directory/...

— Speedbird186

赶上来了，但是SCCM并不是在加入域的设备上启用Windows Hello的唯一解决方案。必须有另一种安全的方法。

— zuckerthoben

只是想指出，我能够在加入域的笔记本电脑上简单地编辑本地策略（运行> GPedit.msc）以使此工作正常。好信息，谢谢。

— SamAndrew81年

不幸的是，所有这些都对我没有帮助：/我可以使用本地帐户登录，但是Windows Hello仍然是我的AD帐户的灰色。

— 多米尼克

我不理解第一步“ 1）设置组策略中央存储（您应该已经拥有）”。我对加入域的商用计算机具有本地管理员权限，但是没有网络管理员权限。您能否（或其他人）针对第一点以及第二点给出分步的子步骤？其他要点很明确，但是如果没有前两个，我将无法真正尝试此解决方案。

— 奥查多

设置以下注册表项对我有用：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System]
"AllowDomainPINLogon"=dword:00000001

参考：https : //social.technet.microsoft.com/Forums/zh-CN/b975932a-b50b-4759-b43a-c94854c6da83/cant-enable-windows-hello-with-fresh-install-of-anniversity-upgrade-域内帐户？论坛= win10itprosetup

— 泉泉
 source

我的PC已加入域，但是我没有对该域的管理员访问权限。此解决方案为我解决了问题。

— NikolaMalešević17年

这使我（作为最终用户）可以在Surface Book上启用Windows Hello，而无需涉及公司IT。

— 整体开发人员

这对我不起作用

— Ahmed Hamdy

我正在现有域中将Windows Server 2016 Build 1607作为成员服务器运行，并且此注册表项已经设置，但是我无法使用Windows Hello。

— 戴

我要做的就是：

Windows KEY+ R打开运行
输入：
```
gpedit.msc
```
[本地计算机策略]> [计算机配置]> [管理模板]> [系统]> [登录]> [ 打开便捷PIN登录 ]：已启用

这会在带有Windows 10 Pro的Surface Pro 4上启用Windows Hello。

— 聚富
 source

是的，这几乎等同于我的答案，但是对于单个本地用户。域方法更适合企业用例。

— zuckerthoben

我不知道什么是“组策略中央存储”，您也不说在哪里应用该策略。在中央AD服务器上或在本地PC上...

— juFo

从上下文中，您可以放心地假设我正在AD上创建组策略。解释如何设置组策略中央存储远远超出了我的回答范围。指南和说明可以在网上找到。

— zuckerthoben

我有10位专业人士，但我看不到这些选项

— Crash893年

说明中存在问题。对于4位数的PIN，您需要将“最小ping长度”设置为Enabled（启用），并将其值设为4

— sofsntp

我一直在为此奋斗了很长时间。我已经尝试了所有这些组策略设置：启用便捷PIN登录，为业务启用Windows Hello，启用生物识别技术等。等等。终于找到了解决方案。

我公司的PC是Windows 10 build1809。主要是Lenovo X1 Yoga和P330和某些Surface Pro。它们已加入2012 R2域的域，并且已订阅Office 365的电子邮件和Office Pro Plus。我们在Office 365中拥有E3许可证。当用户使用自己的O365许可证注册Office应用时，它将Windows连接到他们的工作帐户。断开连接后，我可以设置PIN和指纹。方法如下：

转到Windows设置->帐户->访问公司或学校。关键设置是带有彩色Windows徽标的“工作或学校帐户”。断开连接。不要触摸“已连接到任何域”设置。
然后单击“登录选项”。指纹和PIN码不再显示为灰色。如果仍然显示为灰色，请确保已启用“便捷PIN登录”。
添加PIN码，然后添加指纹。
返回“设置”->“帐户”中的“访问公司或学校”。
单击连接，然后输入用户的电子邮件地址和密码。

当前唯一有效的组策略是“策略”，“管理模板”，“系统”，“登录”下的“打开便捷PIN登录”设置。请注意，这不是Windows Hello for Business。这仍然只是密码填充。有一天，便捷PIN登录将被取消，我们必须以安全的方式进行。

— 派克
 source

除非您具有有效的证书（这在服务器2016上），否则您不能配置一件事。

确保将“计算机conf / policies / Admin temp / Windows comp / Windows Hello商业版/使用Windows Hello商业版”设置为“未配置”。

这是我（从另一个博客中）设置的一件事，它阻止了Windows hello工作，甚至无法启动Windows hello。但是，只要未配置，就可以。

— 用户名
 source

阅读“为什么我需要50个信誉才能发表评论”，以确保您了解如何开始发表评论。

— Pimp Juice IT

设置以下注册表

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System]
"AllowDomainPINLogon"=dword:00000001

然后启用UAC并重新启动PC。

— 用户名
 source

-2

我在加入Dell 7280的域中。在下面添加注册表项以及重新引导后，我可以添加6位数字的PIN码。

[HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ System]“ AllowDomainPINLogon” = dword：00000001