Windows Hello for Business en inloggen met een PIN-code

[systeembeheer03]

hey hey, heb een vraag.

Ik wou voor mijn instellen dat gebruikers PIN kunnen instellen.
Ze moesten verplicht eerste keer met wachtwoord en daarna mogen ze met pin inloggen.
nou is dat een beetje misgegaan...

Wat ik gedaan heb:
- gpmc.msc openen
- Forest: mijndomein.local > Domains > mijndomein.local > (juiste OU met de pc’s)
- Create a GPO in this domain, and Link it here...

- Computer Configuration > Administrative Templates > System > Logon
- Turn on convenience PIN sign-in

- Computer Configuration > Administrative Templates > Windows Components > Windows Hello for Business
(enabled gezet en "Configure Windows Hello for Business" niet aangetikt)

- CMD als ADMIN geopend en gpupdate /force ingevoerd

Nou is het gelukt om PIN aan te zetten, maar begon die het op te eisen voor alle gebruikers na log in...
Ook is het niet gelukt om het instellen verplichte eerste aanmelding wachtwoord ipv pin in te stellen...

Kan iemand mij vertellen waar het mis gegaan is?

[Emiel1984]

Het leest wat lastig.
Bedoel je dat na een wachtwoord login de gebruiker nu ook nog de pin moet invoeren en dat gebeurt elke keer?

Bij ons op het werk moesten we bij de eerste keer aanmelden met wachtwoord ook direct de PIN kiezen.
Wellicht is het vereist dat deze bestaat om deze optie te kunnen geven aan de gebruiker.
Heb geen idee maar wellicht kan je wat met deze informatie.

[ Voor 18% gewijzigd door Emiel1984 op 03-04-2025 10:51 ]

[Yariva]

Ik verplaats je post naar een geschikter forum gezien je hier meer bezig bent met Windows ADDC / GPO's etc. dan met netwerken.

[Blokker_1999]

Natuurlijk, Hello for Business staat aan, je hebt die op Enabled gezet, en die wil gebruikers onboarden van zodra ze aanmelden. En om alles te beveiligen zal WHfB ook een PIN komen vragen om het certificaat te beveiligen. Wil je geen WHfB, maar enkel de PIN, dan moet je WHfB niet aanzetten.

En een gebruiker zal de eerste keer altijd met wachtwoord moeten aanmelden op een computer, maar als je doel is om na een koude start af te dwingen dat een gebruiker moet aanmelden met wachtwoord en enkel maar de PIN mag gebruiken om te ontgrendellen nadat deze is aangemeld, dan zal dat niet lukken, daar is geen policy voor.

Ik zou ook niet begrijpen waarom je dat zou afdwingen. Een goede PIN kan even veilig zijn als een goed wachtwoord, zolang gebruikers die PIN met niemand delen.

[systeembeheer03]

ahhhhh vandaar.. domme fout. bedankt voor de uitleg, zal het gelijk toepassen!

[Question Mark]

systeembeheer03 schreef op donderdag 3 april 2025 @ 12:38:
zal het gelijk toepassen!

Misschien handig om jezelf aan te leren om niet direct wijzigingen in productie door te voeren, maar deze eerst even te testen. (en dat bedoel ik oprecht als tip).

[Jazzy]

Kleine titelaanpassing (was GPO PIN).

[nelizmastr]

Question Mark schreef op donderdag 3 april 2025 @ 13:09:
[...]

Misschien handig om jezelf aan te leren om niet direct wijzigingen in productie door te voeren, maar deze eerst even te testen. (en dat bedoel ik oprecht als tip).

Dit inderdaad. Een Test OU'tje aanmaken is nou weer niet ZO veel werk

[Blokker_1999]

Uitzoeken hoe je die ook alweer moet verwijderen omdat die beschermd is tegen per ongeluk verwijderen duurt langer

Maar inderdaad, testen dpe je best met een test machine, of als je die niet hebt op je eigen machine in een test OU.

[systeembeheer03]

ik zal het de volgende keer eerst testen..

nou heb ik een ander probleem,
de gebruikers blijven bij het inloggen PIN krijgen en moeten switchen naar wachtwoord..

hoe kan ik die optie er helemaal uit halen bij ze?
ik heb de GPO wel verwijderd.

[Aschtra]

GPO verwijderen doet weinig als de instellingen vanuit de GPO al gepushed zijn. GPO verwijderen doet niet de instellingen ongedaan maken die door de GPO zijn toegepast.
Je zal de GPO moeten aanpassen dat de instellingen weggehaald worden of dit op een andere manier ongedaan maken.