Win10 Windows Hello (FPR) nicht mit Domain Accounts

[Spielverderber]

Hallo alle zusammen,

ich habe ein neues Yoga 370 (mein erstes Gerät nach der T/Xx30-Gen) und habe mich schon u. A. auf die Nutzung des Fingerprint-Readers gefreut. Mit meinem privaten Account auf dem Notebook funktioniert dieser auch super. Habe einige Finger hinterlegt und die Anmeldung klappt. Nun wollte ich dies auch mit meinem Domainaccount machen. Aber hier ist in der Systemsteuerung Windows Hello komplett grau. Zu Beginn der Seite steht: "Einige Einstellungen werden von Ihrer Organisation verwaltet." Nun bin ich selbst der Domain Admin und weiß, dass es keine GPOs gibt welche mit Windows Hello zu tun haben. Es sind ja die ersten Geräte im Netzwerk, welche Windows Hello bieten/Nutzen können. Vielleicht hat jemand eine Idee und kann mich in die richtige Richtung schieben.
Habe schon 1/2 Tag mit Google verballert. Habe unter Anderem in den Computerrichtlinien --> Windows-Komponenten --> Biometrie/Passport for Work aktiviert.

Für alle Ideen bin ich sehr dankbar.
Viele Grüße
Spielverderber

 

[Mornsgrans]

Vielleicht hilft dies weiter:
https://www.windowspro.de/wolfgang-sommergut/windows-10-anmeldung-pin-aktivieren-gpo-konfigurieren

 

[think_pad]

Zu Beginn der Seite steht: "Einige Einstellungen werden von Ihrer Organisation verwaltet." Nun bin ich selbst der Domain Admin und weiß, dass es keine GPOs gibt welche mit Windows Hello zu tun haben.

Doch, die müssen wohl auf dem Server ausdrücklich erlaubt werden, deswegen steht da auch: "Einige Einstellungen werden von Ihrer Organisation verwaltet."

Auf dem Windows Server 2008 R2 ist das in den Gruppenrichtlinien die Group Policy Object (GPO) --> Default Domain Policy --> rechts "Edit"

Dort Policies --> Administrative Templates --> Policy definitions --> Windows Components ---> Biometrics

• Allow the use of biometrics (Enabled)
• Allow users to log on using biometrics (Enabled)
• Allow domain users to log on using biometrics (Enabled)
• Timeout for fast user switching events (10 bis 60 Sekunden Zeit zum "Wischen")

Erst, wenn die globalen Richtlinien die lokalen überschrieben haben, ist Biometrie auf der Domain für User erlaubt.
Auch UAC für Admin läuft so.

Bei der ersten Finger-Anmeldung reagiert der Server nicht, sondern will wortlos auch noch das Passwort.
Nachdem er Passwort und "Finger" zusammen kontrolliert hat, geht es beim nächsten Mal auch nur mit Finger.

 

[Spielverderber]

So für die Vollständigkeit die Antwort zu meiner Frage:
- Windows Hello For Business muss "nicht konfiguriert" sein. Sollte dies aktiviert werden müssen Zertifikate verwendet werden.
- Die GPOs unter "Biometrie" müssen aktiv sein.
- Unter "Administrative Vorlagen --> System --> Anmelden" muss komfortable PIN-Anmeldung aktiviert sein.
- Systeme, welche nach Windows 10 1607 migriert wurden können weiterhin ohne diese Schritte mit Pin oder FPR verwendet werden.
Weiter Infos auch hier und hier.

Viele Grüße
Spielverderber