Reimpostazione del PIN

Questo articolo descrive come il servizio di reimpostazione del PIN Microsoft consente agli utenti di ripristinare un PIN di Windows Hello for Business dimenticato e come configurarlo.

Panoramica

Windows Hello for Business offre agli utenti la possibilità di reimpostare i PIN dimenticati. Esistono due forme di reimpostazione del PIN:

• Reimpostazione distruttiva del PIN: il PIN esistente dell'utente e le credenziali sottostanti, incluse le chiavi o i certificati aggiunti al contenitore Windows Hello, vengono eliminati dal client e viene effettuato il provisioning di una nuova chiave di accesso e di un nuovo PIN. La reimpostazione distruttiva del PIN è l'opzione predefinita e non richiede la configurazione
• Reimpostazione non distruttiva del PIN: il contenitore e le chiavi di Windows Hello for Business dell'utente vengono conservati, ma il PIN dell'utente usato per autorizzare l'utilizzo della chiave viene modificato. Per la reimpostazione non distruttiva del PIN, è necessario distribuire il servizio di reimpostazione del PIN Microsoft e configurare i criteri dei client per abilitare la funzionalità di ripristino del PIN

Funzionamento della reimpostazione non distruttiva del PIN

Fabbisogno:

• Distribuzioni di Windows Hello for Business ibride o solo cloud
• Edizioni Windows Enterprise, Education e Pro. Non è previsto alcun requisito di licenza per questa funzionalità

Quando la reimpostazione non distruttiva del PIN è abilitata in un client, viene generata una chiave AES a 256 bit in locale. La chiave viene aggiunta al contenitore Windows Hello for Business di un utente e alle chiavi come protezione per la reimpostazione del PIN. Questa protezione per la reimpostazione del PIN viene crittografata usando una chiave pubblica recuperata dal servizio di reimpostazione del PIN Microsoft e quindi archiviata nel client per un uso successivo durante la reimpostazione del PIN. Dopo che un utente avvia una reimpostazione del PIN, completa l'autenticazione e l'autenticazione a più fattori a Microsoft Entra ID, la protezione per la reimpostazione del PIN crittografata viene inviata al servizio di reimpostazione del PIN Microsoft, decrittografata e restituita al client. La protezione per la reimpostazione del PIN decrittografata viene usata per modificare il PIN usato per autorizzare le chiavi di Windows Hello for Business e viene quindi cancellata dalla memoria.

Usando Criteri di gruppo, Microsoft Intune o una soluzione MDM compatibile, è possibile configurare i dispositivi Windows per usare in modo sicuro il servizio di reimpostazione del PIN Microsoft, che consente agli utenti di reimpostare il PIN dimenticato senza dover ripetere la registrazione.

Nella tabella seguente viene confrontata la reimpostazione distruttiva e non distruttiva del PIN:

Abilitare il servizio Di reimpostazione PIN Microsoft nel tenant di Microsoft Entra

Prima di poter usare la reimpostazione non distruttiva del PIN, è necessario registrare due applicazioni nel tenant di Microsoft Entra:

• Microsoft Pin Reset Service Production
• Microsoft Pin Reset Client Production

Per registrare le applicazioni, seguire questa procedura:

Verificare che le due entità servizio di reimpostazione PIN siano registrate nel tenant

1. Accedere all'interfaccia di amministrazione di Microsoft Entra Manager
2. Selezionare applicazioni Microsoft Entra ID > Applications > Enterprise
3. Cercare in base al nome dell'applicazione "PIN Microsoft" e verificare che sia Microsoft Pin Reset Service Production che Microsoft Pin Reset Client Production siano presenti nella

Abilitare il ripristino del PIN nei client

Per abilitare il ripristino del PIN nei client, è possibile usare:

• Microsoft Intune/MDM
• Criteri di gruppo

Le istruzioni seguenti forniscono informazioni dettagliate su come configurare i dispositivi. Selezionare l'opzione più adatta alle proprie esigenze.

GET https://graph.microsoft.com/v1.0/organization?$select=id

Verificare che i criteri di ripristino pin siano applicati ai dispositivi

La configurazione della reimpostazione del PIN può essere visualizzata eseguendo dsregcmd /status dalla riga di comando. Questo stato è disponibile nella sezione relativa allo stato utente nell'output come elemento della riga CanReset . Se CanReset segnala come DestructiveOnly, è abilitata solo la reimpostazione distruttiva del PIN. Se CanReset segnala DestructiveAndNonDestructive, la reimpostazione non distruttiva del PIN è abilitata.

Output dello stato utente di esempio per la reimpostazione distruttiva del PIN

+----------------------------------------------------------------------+
| User State                                                           |
+----------------------------------------------------------------------+

                    NgcSet : YES
                  NgcKeyId : {FA0DB076-A5D7-4844-82D8-50A2FB42EC7B}
                  CanReset : DestructiveOnly
           WorkplaceJoined : NO
             WamDefaultSet : YES
       WamDefaultAuthority : organizations
              WamDefaultId : https://login.microsoft.com
            WamDefaultGUID : { B16898C6-A148-4967-9171-64D755DA8520 } (AzureAd)

+----------------------------------------------------------------------+

Output dello stato utente di esempio per la reimpostazione non distruttiva del PIN

+----------------------------------------------------------------------+
| User State                                                           |
+----------------------------------------------------------------------+

                    NgcSet : YES
                  NgcKeyId : {FA0DB076-A5D7-4844-82D8-50A2FB42EC7B}
                  CanReset : DestructiveAndNonDestructive
           WorkplaceJoined : NO
             WamDefaultSet : YES
       WamDefaultAuthority : organizations
              WamDefaultId : https://login.microsoft.com
            WamDefaultGUID : { B16898C6-A148-4967-9171-64D755DA8520 } (AzureAd)

+----------------------------------------------------------------------+

Configurare gli URL consentiti per i provider di identità federati nei dispositivi aggiunti a Microsoft Entra

Si applica a: Dispositivi aggiunti a Microsoft Entra

La reimpostazione del PIN nei dispositivi aggiunti a Microsoft Entra usa un flusso denominato accesso Web per autenticare gli utenti nella schermata di blocco. L'accesso Web consente solo lo spostamento in domini specifici. Se l'accesso Web tenta di passare a un dominio non consentito, viene visualizzata una pagina con il messaggio di errore: Non è possibile aprire la pagina in questo momento.
Se si dispone di un ambiente federato e l'autenticazione viene gestita tramite AD FS o un provider di identità non Microsoft, è necessario configurare i dispositivi con un criterio per consentire un elenco di domini che è possibile raggiungere durante i flussi di reimpostazione del PIN. Se impostato, garantisce che le pagine di autenticazione di tale provider di identità possano essere usate durante la reimpostazione del PIN aggiunto a Microsoft Entra.

Per configurare i dispositivi con Microsoft Intune, creare un criterio del catalogo impostazioni e usare le impostazioni seguenti:

Assegnare i criteri a un gruppo che contiene come membri i dispositivi o gli utenti che si desidera configurare.

In alternativa, è possibile configurare i dispositivi usando criteri personalizzati con il provider di servizi di configurazione criteri.

Esperienza utente

Gli scenari di reimpostazione del PIN distruttivi e non distruttivi usano gli stessi passaggi per avviare una reimpostazione del PIN. Se gli utenti hanno dimenticato i PIN, ma hanno un metodo di accesso alternativo, possono passare alle opzioni di accesso in Impostazioni e avviare una reimpostazione del PIN dalle opzioni PIN. Se gli utenti non hanno un modo alternativo per accedere ai propri dispositivi, è anche possibile avviare la reimpostazione del PIN dalla schermata di blocco di Windows con il provider di credenziali PIN. Gli utenti devono autenticare e completare l'autenticazione a più fattori per reimpostare il PIN. Al termine della reimpostazione del PIN, gli utenti possono accedere usando il nuovo PIN.

Reimpostare il PIN dalle impostazioni

1. Accedere a Windows 10 usando credenziali alternative
2. Aprire le opzioni di accesso degli account > delle impostazioni >
3. Selezionare PIN (Windows Hello) > Ho dimenticato il PIN e seguire le istruzioni

Reimpostare il PIN dalla schermata di blocco

Per i dispositivi aggiunti a Microsoft Entra:

1. Se il provider di credenziali PIN non è selezionato, espandere il collegamento Opzioni di accesso e selezionare l'icona del riquadro PIN
2. Selezionare Ho dimenticato il PIN dal provider di credenziali PIN
3. Selezionare un'opzione di autenticazione nell'elenco delle opzioni presentate. Questo elenco si basa sui diversi metodi di autenticazione abilitati nel tenant (ad esempio Password, PIN, Chiave di sicurezza)
4. Segui le istruzioni fornite dal processo di provisioning.
5. Al termine, sbloccare il desktop usando il PIN appena creato

Per i dispositivi aggiunti ibridi a Microsoft Entra:

1. Se il provider di credenziali PIN non è selezionato, espandere il collegamento Opzioni di accesso e selezionare l'icona del riquadro PIN
2. Selezionare Ho dimenticato il PIN dal provider di credenziali PIN
3. Immettere la password e premere INVIO
4. Segui le istruzioni fornite dal processo di provisioning.
5. Al termine, sbloccare il desktop usando il PIN appena creato

È possibile che la reimpostazione del PIN da Impostazioni funzioni solo dopo l'accesso. Inoltre, la funzione di reimpostazione pin della schermata di blocco non funziona se si dispone di una limitazione corrispondente della reimpostazione della password self-service dalla schermata di blocco. Per altre informazioni, vedere Abilitare la reimpostazione della password self-service di Microsoft Entra nella schermata di accesso di Windows.