Configurar e inscrever-se no Windows Hello para Empresas num modelo de fidedignidade de chave híbrida

Este artigo descreve as funcionalidades ou cenários do Windows Hello para Empresas que se aplicam a:

• Tipo de implementação:híbrido
• Tipo de fidedignidade da chave de controladores de domínio
• Tipo de associação:associados híbridos ao Microsoft Entra

Definir as configurações de política do Windows Hello para Empresas

Existe uma definição de política necessária para ativar o Windows Hello para Empresas num modelo de fidedignidade chave:

• Usar o Windows Hello para Empresas

Outra definição de política opcional, mas recomendada, é:

• Usar um dispositivo de segurança de hardware

As instruções seguintes descrevem como configurar os seus dispositivos com o Microsoft Intune ou a política de grupo (GPO).

Se implementar a configuração do Windows Hello para Empresas com a Política de Grupo e o Intune, as definições da Política de Grupo têm precedência e as definições do Intune são ignoradas. Para obter mais informações sobre conflitos de políticas, veja Conflitos de políticas de várias origens de políticas

Outras definições de política podem ser configuradas para controlar o comportamento do Windows Hello para Empresas. Para obter mais informações, consulte Definições de política do Windows Hello para Empresas.

Inscrever-se no Windows Hello para Empresas

O processo de aprovisionamento do Windows Hello para Empresas começa imediatamente após o carregamento do perfil de utilizador e antes de o utilizador receber o respetivo ambiente de trabalho. Para que o processo de aprovisionamento seja iniciado, todas as verificações de pré-requisitos têm de ser aprovadas.

Pode determinar o estado das verificações de pré-requisitos ao visualizar o registo de administrador do Registo de Dispositivos do Utilizador em Aplicações e Registos de Serviços > do Microsoft > Windows.
Estas informações também estão disponíveis através do dsregcmd.exe /status comando de uma consola. Para obter mais informações, veja dsregcmd.

Experiência do usuário

Depois de um utilizador iniciar sessão, o processo de inscrição do Windows Hello para Empresas começa:

1. Se o dispositivo suportar a autenticação biométrica, é pedido ao utilizador que configure um gesto biométrico. Este gesto pode ser utilizado para desbloquear o dispositivo e autenticar-se em recursos que requerem o Windows Hello para Empresas. O utilizador pode ignorar este passo se não quiser configurar um gesto biométrico
2. É pedido ao utilizador que utilize o Windows Hello com a conta da organização. O utilizador seleciona OK
3. O fluxo de aprovisionamento avança para a parte da autenticação multifator da inscrição. O aprovisionamento informa o utilizador de que está a tentar contactar ativamente o utilizador através da forma configurada de MFA. O processo de aprovisionamento não continua até que a autenticação seja bem-sucedida, falhe ou exceda o tempo limite. Uma MFA com falha ou tempo limite resulta num erro e pede ao utilizador para tentar novamente
4. Após um MFA bem-sucedido, o fluxo de provisionamento pede ao usuário para criar e validar um PIN. Este PIN tem de observar quaisquer políticas de complexidade de PIN configuradas no dispositivo
5. O restante do provisionamento inclui o Windows Hello para Empresas, que solicita um par de chaves assimétricas para o usuário, preferencialmente do TPM (ou obrigatório se definido explicitamente por meio da política). Assim que o par de chaves for adquirido, o Windows comunica com o IdP para registar a chave pública. Quando o registo de chaves estiver concluído, o aprovisionamento do Windows Hello para Empresas informa o utilizador de que pode utilizar o PIN para iniciar sessão. O utilizador pode fechar a aplicação de aprovisionamento e aceder ao respetivo ambiente de trabalho

Após a inscrição, o Microsoft Entra Connect sincroniza a chave do utilizador do ID do Microsoft Entra para o Active Directory.

Diagramas de sequência

Para compreender melhor os fluxos de aprovisionamento, reveja os seguintes diagramas de sequência com base no tipo de associação e autenticação do dispositivo:

• Aprovisionamento de dispositivos associados ao Microsoft Entra com autenticação gerida
• Aprovisionamento de dispositivos associados ao Microsoft Entra com autenticação federada
• Aprovisionamento num modelo de implementação de fidedignidade de chave híbrida com autenticação gerida

Para compreender melhor os fluxos de autenticação, reveja o seguinte diagrama de sequência:

• Autenticação de associação híbrida do Microsoft Entra com uma chave
• Microsoft Entra associa autenticação ao Active Directory com uma chave