Configurar e inscrever-se no Windows Hello para Empresas num modelo de fidedignidade de chave híbrida

• Aplica-se a:

  ✅ Windows 11, ✅ Windows 10

Este artigo descreve Windows Hello para Empresas funcionalidades ou cenários que se aplicam a:

• Tipo de implementação:híbrido
• Tipo de fidedignidade da chave de controladores de domínio
• Tipo de associação: Microsoft Entra aderir a , Microsoft Entra associação híbrida

---

Assim que os pré-requisitos forem cumpridos e a configuração PKI for validada, a implementação Windows Hello para Empresas consiste nos seguintes passos:

• Definir as configurações de política do Windows Hello para Empresas
• Inscrever-se no Windows Hello para Empresas

Definir as configurações de política do Windows Hello para Empresas

Existe uma definição de política necessária para ativar Windows Hello para Empresas num modelo de fidedignidade chave:

• Usar o Windows Hello para Empresas

Outra definição de política opcional, mas recomendada, é:

• Usar um dispositivo de segurança de hardware

As instruções seguintes descrevem como configurar os seus dispositivos com Microsoft Intune ou a política de grupo (GPO).

Intune/CSP

Observação

Reveja o artigo Configurar Windows Hello para Empresas com Microsoft Intune para saber mais sobre as diferentes opções oferecidas pelo Microsoft Intune para configurar Windows Hello para Empresas.

Se a política Intune ao nível do inquilino estiver ativada e configurada de acordo com as suas necessidades, pode avançar para Inscrever no Windows Hello para Empresas.

Para configurar dispositivos com Microsoft Intune, crie uma política de catálogo de Definições e utilize as seguintes definições:

Categoria	Nome da configuração	Valor
Windows Hello para Empresas	Utilizar o Windows Hello Para Empresas	true
Windows Hello para Empresas	Exigir Dispositivo de Segurança	true

Atribua a política a um grupo que contém como membros os dispositivos ou utilizadores que pretende configurar.

Em alternativa, pode configurar dispositivos com uma política personalizada com o PassportForWork CSP.

Configuração
- OMA-URI:./Device/Vendor/MSFT/PassportForWork/{TenantId}/Policies/UsePassportForWork - Tipo de dados:bool - Valor:True
- OMA-URI:./Device/Vendor/MSFT/PassportForWork/{TenantId}/Policies/RequireSecurityDevice - Tipo de dados:bool - Valor:True

GPO

Pode configurar a definição de política Utilizar Windows Hello para Empresas no computador ou nó de utilizador de um GPO:

• Implementar a definição de política de nó de computador resulta em todos os utilizadores que iniciam sessão nos dispositivos visados para tentar uma inscrição Windows Hello para Empresas
• Implementar a definição de política do nó de utilizador resulta apenas nos utilizadores visados para tentar uma inscrição Windows Hello para Empresas

Se as configurações de política de computador e do usuário são implantadas, a configuração de política de usuário tem precedência.

Para configurar um dispositivo com a política de grupo, utilize o Política de Grupo Editor Local. Para configurar vários dispositivos associados ao Active Directory, crie ou edite um objeto de política de grupo (GPO) e utilize as seguintes definições:

Caminho da política de grupo	Definição de política de grupo	Valor
Configuração do Computador\Modelos Administrativos\Componentes do Windows\Windows Hello para Empresas or Configuração do Utilizador\Modelos Administrativos\Componentes do Windows\Windows Hello para Empresas	Usar o Windows Hello para Empresas	Habilitada
Configuração do Computador\Modelos Administrativos\Componentes do Windows\Windows Hello para Empresas	Usar um dispositivo de segurança de hardware	Habilitada

As políticas de grupo podem ser ligadas a domínios ou unidades organizacionais, filtradas através de grupos de segurança ou filtradas através de filtros WMI.

Dica

A melhor forma de implementar a Windows Hello para Empresas GPO é utilizar a filtragem de grupos de segurança. Apenas os membros do grupo de segurança de destino aprovisionarão Windows Hello para Empresas, ativando uma implementação faseada. Esta solução permite ligar o GPO ao domínio, garantindo que o GPO está no âmbito de todos os principais de segurança. A filtragem do grupo de segurança garante que apenas os membros do grupo global recebem e aplicam o GPO, o que resulta no aprovisionamento de Windows Hello para Empresas.

Se implementar Windows Hello para Empresas configuração com Política de Grupo e Intune, Política de Grupo definições têm precedência e Intune definições são ignoradas. Para obter mais informações sobre conflitos de políticas, veja Conflitos de políticas de várias origens de políticas

Outras definições de política podem ser configuradas para controlar o comportamento de Windows Hello para Empresas. Para obter mais informações, veja Windows Hello para Empresas definições de política.

Inscrever-se no Windows Hello para Empresas

O processo de aprovisionamento Windows Hello para Empresas começa imediatamente após o carregamento do perfil de utilizador e antes de o utilizador receber o respetivo ambiente de trabalho. Para que o processo de aprovisionamento seja iniciado, todas as verificações de pré-requisitos têm de ser aprovadas.

Pode determinar a status das verificações de pré-requisitos ao ver o registo de administrador do Registo de Dispositivos do Utilizador em Registos de Aplicações e Serviços > do Microsoft > Windows.
Estas informações também estão disponíveis através do dsregcmd.exe /status comando de uma consola. Para obter mais informações, veja dsregcmd.

Experiência do usuário

Depois de um utilizador iniciar sessão, o processo de inscrição Windows Hello para Empresas começa:

1. Se o dispositivo suportar a autenticação biométrica, é pedido ao utilizador que configure um gesto biométrico. Este gesto pode ser utilizado para desbloquear o dispositivo e autenticar-se em recursos que requerem Windows Hello para Empresas. O utilizador pode ignorar este passo se não quiser configurar um gesto biométrico
2. É pedido ao utilizador que utilize Windows Hello com a conta da organização. O utilizador seleciona OK
3. O fluxo de aprovisionamento avança para a parte da autenticação multifator da inscrição. O aprovisionamento informa o utilizador de que está a tentar contactar ativamente o utilizador através da forma configurada de MFA. O processo de aprovisionamento não continua até que a autenticação seja bem-sucedida, falhe ou exceda o tempo limite. Uma MFA com falha ou tempo limite resulta num erro e pede ao utilizador para tentar novamente
4. Após um MFA bem-sucedido, o fluxo de provisionamento pede ao usuário para criar e validar um PIN. Este PIN tem de observar quaisquer políticas de complexidade de PIN configuradas no dispositivo
5. O restante do provisionamento inclui o Windows Hello para Empresas, que solicita um par de chaves assimétricas para o usuário, preferencialmente do TPM (ou obrigatório se definido explicitamente por meio da política). Assim que o par de chaves for adquirido, o Windows comunica com o IdP para registar a chave pública. Quando o registo da chave estiver concluído, Windows Hello para Empresas aprovisionamento informa o utilizador de que pode utilizar o PIN para iniciar sessão. O utilizador pode fechar a aplicação de aprovisionamento e aceder ao respetivo ambiente de trabalho

Após a inscrição, o Microsoft Entra Connect sincroniza a chave do utilizador de Microsoft Entra ID para o Active Directory.

Importante

O tempo mínimo necessário para sincronizar a chave pública do utilizador de Microsoft Entra ID para o Active Directory local é de 30 minutos. O agendador do Microsoft Entra Connect controla o intervalo de sincronização. Esta latência de sincronização atrasa a capacidade do utilizador de autenticar e utilizar recursos no local até que a chave pública do utilizador seja sincronizada com o Active Directory. Depois de sincronizado, o utilizador pode autenticar e aceder a recursos no local. Leia Microsoft Entra Connect Sync: Scheduler para ver e ajustar o ciclo de sincronização da sua organização.

Diagramas de sequência

Para compreender melhor os fluxos de aprovisionamento, reveja os seguintes diagramas de sequência com base no tipo de associação e autenticação do dispositivo:

• Aprovisionamento de dispositivos associados Microsoft Entra com autenticação gerida
• Aprovisionamento de dispositivos associados Microsoft Entra com autenticação federada
• Aprovisionamento num modelo de implementação de fidedignidade de chave híbrida com autenticação gerida

Para compreender melhor os fluxos de autenticação, reveja o seguinte diagrama de sequência:

• Microsoft Entra autenticação de associação híbrida com uma chave
• Microsoft Entra associar a autenticação ao Active Directory com uma chave