AzureAD Windows Hello PIN Zwang deaktivieren?

[h00bi]

Hallo zusammen,

wir suchen eine Möglichkeit, beim hinzufügen eines Geräts in AzureAD (direkt nach dem Auspacken per Firmenemail anmelden) den PIN Zwang durch Windows Hello for Business zu deaktivieren.
Generell würden wir Windows Hello for Business gerne weiter zur Verfügung stellen für Gesichtserkennung und Fingerabdruck, falls der User das bevorzugt.
Aber die Anmeldung per PIN macht bei uns massive Probleme mit anderer Software, die dann die Standard-Windows Authentifizierung nicht akzeptiert.
Sofern sich nicht nur der PIN Zwang abschalten lässt, muss Windows Hello for Business halt komplett weg.

Intune haben wir nicht im Einsatz. In den Gruppenrichtlinien auf dem lokalen AD ist Windows Hello deaktiviert.

 

[Brudertuck]

Soweit ich weiß geht das nicht. Der Pin ist immer nötig und wird auch automatisch zur Eingabe aufgefordert wenn die anderen Windows Hello Methoden wie Gesichtserkennung oder Fingerprint fehlschlagen. Auch ist er nötig um z.B. einen Finger hinzuzufügen usw... Ohne Pin kann man die ganzen anderen Authentifizierungsoptionen erst gar nicht einrichten.

Evtl. bedarf es bei der andern Software eines Updates. Habe hier beruflich auch eine solche Integration und hier geht das alles wunderbar. SSO, AD login... usw...

 

[Lawnmower]

Meiner Erfahrung nach mit Windows Hello ist es so dass die Gesichtserkennung oder der Fingerabdruck nicht immer funktioniert und dann ist man auf den Pin angewiesen und der ist drum zurecht Pflicht. Das Passwort sollte ja dann eher komplex sein und so gut wie nicht mehr eingegeben werden müssen von den Usern.

Was für eine Software sollte das denn sein? Normalerweise sollte der die Windows Login Methode total egal sein und das Windows überlassen.

 

[kartoffelpü]

Hmm, ohne Intune/Endpoint Manager wird das vermutlich nichts...
Mit einem entsprechenden Configuration Profile dort kann man es unterbinden.

 

[arktom]

Wo kann denn den Zwang zum PIN (geht ja auch alphanumerisch und mit einigen Sonderzeichen) unterbinden, @kartoffelpü?
Ich finde im Endpoint manager nichts dazu.
Abgesehen davon würde ich auch dringend davon abraten.

 

[kartoffelpü]

Oh, geht wohl nur im Device Enrollment und nicht in den Profilen. Hatte ich falsch in Erinnerung: https://deviceadvice.io/2020/09/17/...on-requires-windows-hello-prompt-during-oobe/

 

[crashbandicot]

Aber die Anmeldung per PIN macht bei uns massive Probleme mit anderer Software, die dann die Standard-Windows Authentifizierung nicht akzeptiert.

Aber die Anmeldung via Faceunlock oder Fingerprint funktioniert? Afaik nutzt WHfB PIN/Face/Finger ausschließlich um das initial eingegebene Windows Passwort verschlüsselt abzulegen und nutzt dann die Freigabe via PIN/Face/Finger um das verschlüsselte Passwort herauszuholen und für die Authentifizierung zu nutzen.

https://learn.microsoft.com/en-us/w...-protection/hello-for-business/hello-overview

 

[h00bi]

Im Prinzip reicht es schön wenn man auf einen lokalen Netzwerk Share zugreifen will.
Melde ich mich beim Clientlogin per PIN (oder face oder Finger) an, fordert der Explorer eine neue Anmeldung an.
Melde ich mich per Kennwort an, geht alles.
Bei anderen nicht verzichtbaren Applikationen ist das ebenso. Dem MS Fileserver kann man das sicher irgendwie beibringen. Bei anderen Applikationen müsste man abwarten.

Wir haben schon nach nur 9 Tagen erste Nutzer, die ihr Passwort nicht mehr kennen, welches sie zuvor monatelang jeden Tag eingegeben haben.

Ich tu mich auch echt schwer damit zu verstehen was der PIN Zwang soll. Bei ca. 2 Drittel der User, auf deren Geräte ich schon in den Fingern hatte, war die PIN das Geburtsdatum. Der Mist bringt doch keine zusätzliche Sicherheit.

 

[crashbandicot]

Melde ich mich beim Clientlogin per PIN (oder face oder Finger) an, fordert der Explorer eine neue Anmeldung an.
Melde ich mich per Kennwort an, geht alles.

Das klingt danach, als wäre die Kerberos-Implementation nicht ganz geglückt.

 

[Lawnmower]

Jep stimmt dem zu, da stimmt was nicht, müsste so gehen - ich logge mich momentan auch nur mit Pin ein nach der erfolgreicher Anmeldung per Kamera. Geht alles, Netzlaufwerke, etc - auch Logins per Web und Azure funktionieren anstandslos.
Bei den Applikation kann das gut sein, da müsste man prüfen wie das gelöst ist.