Не удается включить Windows Hello. Некоторые параметры управляются вашей организацией.
Я сделал чистую установку Windows 10 Anniversary Edition. Теперь я не могу включить Windows Hello с моим доменом, подключенным к Surface Pro 4, вошедшим в систему как пользователь AD. Когда я вхожу в свою учетную запись Msft, я могу включить Windows Hello.
Я пытался "Некоторые параметры управляются вашей организацией", а не на домене? (увеличение телеметрии через приложение настроек), а также это: сброс телеметрии через gp.
Это показывает, что эта проблема отличается от других здесь. На самом деле это также присоединение к домену, а не большинство других вопросов здесь.
Вот как выглядят настройки; 
В старой версии Windows 10 на том же устройстве можно было включить Windows Hello, когда домен присоединился к пользователю домена. Вот почему я исключаю GPO как источник проблемы. GPO даже явно разрешает Биометрию для пользователей домена. Что я могу сделать?
Windows 10 Professional, Cortana включена. Нет инсайдеров издание. У меня есть административный доступ к домену.
7 ответов
Я нашел решение. Причина в том, что Windows Hello управляется по-разному на компьютерах, присоединяющихся к домену, начиная с ежегодного обновления. Чтобы заставить его работать, вы должны выполнить следующие действия:
1) Настройте центральное хранилище групповой политики (оно должно быть уже у вас)
2) Получите шаблоны групповой политики Windows 10 Anniversary Update. Вы можете сделать это, скопировав свои файлы из PolicyDefinitions (в windir на компьютере с юбилейным обновлением Win10) в PolicyDefinitions центрального хранилища. Вы можете сначала скопировать эти файлы в общую папку, так как у вашего обычного пользователя нет прав доступа к центральному хранилищу.
3) Настройте новый объект групповой политики или добавьте к существующим следующие параметры, чтобы включить Windows Hello:
- Конфигурация компьютера / Политики / Административные шаблоны
... / Компоненты Windows /Windows Hello For Business/ Использовать биометрию => Включено
... / Компоненты Windows / Windows Hello для бизнеса / Использовать аппаратное защитное устройство => Включено (если вы хотите использовать TPM вместо ключа или активации на основе сертификатов для Windows Hello). Обратите внимание, что в целом все бизнес-компьютеры должны иметь TPM
... / Система / Вход в систему / Включить удобный вход с помощью PIN-кода => Включено (это ключ. Это позволяет выполнить вход с помощью PIN-кода, что, в свою очередь, включит Hello вместе с другими настройками.)
... / Компоненты Windows / Биометрия / Разрешить пользователям домена входить в систему с помощью биометрии => Включено (я думаю, что это включено по умолчанию, но явное использование делает управление GP намного проще.)
Дополнительные параметры конфигурации вы найдете в разделе "Система" / "Вход в систему" и "Компоненты Windows" / "Биометрия и Компоненты Windows" / "Windows Hello для бизнеса".
Более подробную информацию вы найдете здесь: https://blogs.technet.microsoft.com/ash/2016/08/13/changes-to-convenience-pin-and-thus-windows-hello-behaviour-in-windows-10-version-1607/
и здесь
Самый важный отрывок:
Начиная с версии 1607, ПИН-код Windows Hello для удобства отключен по умолчанию на всех компьютерах, подключенных к домену. Чтобы включить удобный ПИН-код для Windows 10 версии 1607, включите параметр групповой политики. Включите вход с помощью удобного ПИН-кода. Используйте параметры политики Windows Hello для бизнеса для управления ПИН-кодами для Windows Hello для бизнеса.
Если вы хотите использовать Windows Hello на основе ключей или сертификатов, вы можете следовать инструкциям в ссылках. Не смущайтесь, хотя. Вы все еще можете использовать обычный TPM для обычного Windows Hello.
Я боролся с этим долгое время. Я попробовал все эти параметры групповой политики: включить удобный вход с помощью PIN-кода, включить Windows Hello для бизнеса, включить биометрию и т. Д. И т. Д. И т. Д. И т. Д. Я наконец нашел решение.
ПК в моей компании - Windows 10 build 1809. В основном Lenovo X1 Yogas и P330s и некоторые Surface Pros. Они присоединены к домену 2012 R2 и подписаны на Office 365 для электронной почты и Office Pro Plus. У нас есть лицензия E3 в Office 365. Когда пользователь регистрирует приложения Office, используя собственную лицензию O365, он подключает Windows к своей рабочей учетной записи. Отключение, что позволило мне настроить PIN-код и отпечаток пальца. Вот как это сделать:
Перейдите в Настройки Windows -> Учетные записи -> Доступ к работе или школе. Ключевой настройкой является "Рабочий или школьный аккаунт" с красочным логотипом Windows. Отключи это. Не трогайте параметр "Подключен к какому-либо домену".
Затем нажмите "Параметры входа". Отпечаток пальца и PIN-код больше не отображаются серым цветом. Если он по-прежнему неактивен, убедитесь, что включен "удобный вход с помощью PIN-кода".
Добавьте ПИН-код, затем Отпечаток пальца.
Вернитесь к "Доступ к работе или школе" в меню "Настройки" -> "Учетные записи".
Нажмите "Подключиться" и введите адрес электронной почты и пароль пользователя.
Единственная действующая в настоящее время групповая политика - это параметр "Включить вход с помощью удобного PIN-кода" в разделе "Политики", "Административные шаблоны", "Система", "Вход в систему". Обратите внимание, что это НЕ Windows Hello для бизнеса. Это все еще просто ввод пароля. Когда-нибудь удобная регистрация ПИН-кода будет устаревшей, и мы должны будем сделать это безопасным способом.
Все, что мне нужно было сделать, это:
- Windows KEY + R, чтобы открыть Run
- Войти:
gpedit.msc
- [Политика локального компьютера]> [Конфигурация компьютера]> [Административные шаблоны]> [Система]> [Вход в систему]> [Включить удобный вход с помощью PIN-кода]: ВКЛЮЧЕНО
Это позволило Windows Hello на Surface Pro 4 с Windows 10 Pro.
У меня работает установка следующего ключа реестра:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System]
"AllowDomainPINLogon"=dword:00000001
Есть одна вещь, которую вы не должны настраивать, если у вас нет действительных сертификатов (это на сервере 2016).
Убедитесь, что для параметра "Конфигурация компьютера / политики / Temp администратора / Windows Comp / Windows Hello для бизнеса / Использовать Windows Hello для бизнеса" задано значение "НЕ НАСТРОЕНО".
Это была единственная вещь, которую я установил (из другого блога), и она препятствовала работе windows hello, windows hello даже не запускалась. Но пока он не настроен, все должно быть в порядке.
Это сработало для меня:
Переходим по пути в редакторе реестра
"Компьютер \HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System"
Добавьте новый реестр, если он не существует
Тип: DWORD(32 бит)
Имя: AllowDomainPINLogon
Значение: 1
А затем перезагрузите компьютер.
Настройка следующего реестра
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System]
"AllowDomainPINLogon"=dword:00000001
затем включите UAC и перезагрузите компьютер.
Попробовав так много вещей (включая все остальные ответы здесь на сегодняшний день), я наконец решил проблему для себя с помощью обходного пути. Обратите внимание, что это обходной путь, а не реальное решение:
Напомним, проблема в том, что что-то в учетной записи домена моей организации отключило возможность ввода отпечатков пальцев. В моем случае даже моя ИТ-группа в моем местном офисе не могла понять, что это блокирует.
В итоге я создал новую учетную запись локального пользователя на своем рабочем компьютере с полными правами локального администратора. Для этой новой учетной записи я использовал свою личную учетную запись Microsoft для подключения (хотя, вероятно, я мог бы использовать локальную учетную запись). Когда я вошел в новую учетную запись, проблем с отпечатками пальцев не было, и я мог легко настроить их.
Возможные недостатки этого обходного пути:
- Поскольку это новая учетная запись пользователя, может потребоваться переустановка и перенастройка многих компьютерных программ и настроек. По сути, это похоже на установку нового компьютера с Windows. В моем случае я сделал это, когда получил новый рабочий компьютер, поэтому мне все равно пришлось перенастроить его.
- В некоторых организационных настройках учетные записи, не относящиеся к домену, могут не иметь надлежащего доступа к некоторым ресурсам организации. В моем случае это не было проблемой. Если это проблема у вас, возможно, вы могли бы подключиться к корпоративной VPN для доступа к этим специальным ресурсам, возможно, даже навсегда в этой учетной записи обходного пути.
Эти обходные пути могут не стоить того, чтобы вы просто входили в систему по отпечатку пальца, но они отлично работают в моем организационном контексте.
Я нахожусь в домене, к которому присоединился Dell 7280. Добавление ключа реестра ниже вместе с перезагрузкой позволило мне добавить 6-значный пин-код.
[HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ System] "AllowDomainPINLogon" = dword: 00000001