仅限云的部署指南

本文介绍适用于以下应用的 Windows Hello 企业版功能或方案：

• 部署类型：
• 联接类型：Microsoft Entra 加入

要求

在开始部署之前，请查看 规划 Windows Hello 企业版部署一 文中所述的要求。

在开始之前，请确保满足以下要求：

部署步骤

配置 Windows Hello 企业版策略设置

当你Microsoft Entra 加入设备时，系统会尝试在 Windows Hello 企业版中自动注册你。 如果要在具有默认设置的仅限云环境中使用 Windows Hello 企业版，则无需进行额外的配置。

仅限云的部署在 Windows Hello 企业版注册期间使用 Microsoft Entra 多重身份验证 (MFA) ，无需进行其他 MFA 配置。 如果你尚未在 MFA 中注册，则会在 Windows Hello 企业版注册过程中指导你完成 MFA 注册。

可以通过配置服务提供商 (CSP) 或组策略 (GPO) ，将策略设置配置为控制 Windows Hello 企业版的行为。 在仅限云的部署中，设备通常通过 MDM 解决方案（如 Microsoft Intune）使用 PassportForWork CSP 进行配置。

如果 Intune 租户范围策略配置为 禁用 Windows Hello 企业版，或者如果设备部署时禁用了 Windows Hello，则必须配置一个策略设置来启用 Windows Hello 企业版：

• 使用 Windows Hello 企业版

另一个可选但建议的策略设置是：

• 使用硬件安全设备

按照以下说明使用 Microsoft Intune 或组策略 (GPO) 配置设备。

可以将更多策略设置配置为控制 Windows Hello 企业版的行为。 有关详细信息，请参阅 Windows Hello 企业版策略设置。

注册 Windows Hello 企业版

如果通过了某些先决条件检查，Windows Hello 企业版预配过程会在用户登录后立即开始。

用户体验

用户登录后，Windows Hello 企业版注册过程将开始：

1. 如果设备支持生物识别身份验证，系统会提示用户设置生物识别手势。 此手势可用于解锁设备，并向需要 Windows Hello 企业版的资源进行身份验证。 如果用户不想设置生物识别手势，则可以跳过此步骤
2. 系统会提示用户使用组织帐户的 Windows Hello。 用户选择 “确定”
3. 预配流将转到注册的多重身份验证部分。 预配会通知用户，它正积极尝试通过配置的 MFA 形式与用户联系。 在身份验证成功、失败或超时之前，预配过程不会继续。MFA 失败或超时会导致错误，并要求用户重试
4. MFA 成功之后, 预配流程将要求用户创建并验证 PIN。 此 PIN 必须观察设备上配置的任何 PIN 复杂性策略
5. 预配的其余部分包括为用户请求非对称密钥对的 Windows Hello 企业版，最好通过 TPM（或在通过策略显式设置时需要）。 获取密钥对后，Windows 将与 IdP 通信以注册公钥。 密钥注册完成后，Windows Hello 企业版预配会通知用户他们可以使用其 PIN 进行登录。 用户可以关闭预配应用程序并访问其桌面

序列图

若要更好地了解预配流，请根据身份验证类型查看以下序列图：

• 使用托管身份验证为已加入 Entra 的 Microsoft设备预配
• 使用联合身份验证为已加入 entra 的 Microsoft设备预配

若要更好地了解身份验证流，请查看以下序列图：

• Microsoft Entra 将身份验证加入到 Microsoft Entra ID

禁用自动注册

如果要禁用自动 Windows Hello 企业版注册，可以使用策略设置或注册表项配置设备。 有关详细信息，请参阅 禁用 Windows Hello 企业版注册。