Po přidání zařízení do microsoft intunene je nefunkční PIN a Windows hello

Rameš Michael 100 Reputační body
2026-03-26T07:33:44.2433333+00:00

Dobrý den,

Do teď jsme používali na hlídaní a správu uživatelů jen AD, po koupení firemních licencí Microsoft 365 premium, chceme využívat INTUNE + AD, pro test jsem připojil svůj a kolegy počítač po přidání nefunguje PIN - píše pin nelze ověřit, a to samé u Windows HELLO.

Předtím a ještě aktuálně nahráváme Klíč přes registry aby pin kód šel, vše fungovalo dokud jsem nepřidal do Intune, je možnost že se nějak tyto klíče hádají ?

Zkoušel jsem varianty smazat všechny klíče s Windows Hello udělat plný reset ale bez reakce.

přes kod:

Stop-Service NgcCtnrSvc -Force -ErrorAction SilentlyContinue

$path = "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc"

takeown /F $path /R /D Y

icacls $path /grant administrators:F /T

Remove-Item $path -Recurse -Force

PIN nastavit šel ale nešel ověřit a poté ani odebrat, takže vše řešíme momentálně heslem.

Zkoušel v admin centru všechno povolit pin apod... vše je povolené zkoušeli jsme i přidat politiku přímo v admin centrum INTUNE ale bez reakce.

Proto se obracím na vás prosím o radu.

Děkuji.

Michael Rameš

Windows pro firmy | Klient Windows pro IT profesionály | Uživatelské prostředí | Usnadnění
Počet komentářů: 0
Odpověď přijatá autorem otázky
VPHAN 45,745 Reputační body Nezávislý poradce
2026-03-26T11:59:15.0566667+00:00

Rameš Michael

Úspěšně jste dokončili nejsložitější části nasazení. Vidět objekt počítače AzureADKerberos ve vašem lokálním Active Directory potvrzuje, že vaše on-premises infrastruktura je správně vybavena pro zpracování Kerberos směrování s Microsoft Entra ID. Váš nový konfigurační profil v Intune také správně obsahuje požadované nastavení Cloud Trust. Pokud však jen počkáte, politika se nikdy nesynchronizuje s vašimi testovacími počítači kvůli chybě přiřazení viditelné na prvním screenshotu.

Pokud se podíváte pozorně na vlastnosti svého nově vytvořeného Intune profilu, sekce zahrnutých skupin je zcela prázdná, zatímco je aktivně aplikována výjimka. Protože není určena žádná cílová skupina, služba Intune nemá žádné instrukce, která zařízení nebo uživatelé by měli tuto konfiguraci Cloud Trust skutečně obdržet. Musíte upravit vlastnosti přiřazení tohoto profilu a přidat konkrétní bezpečnostní skupinu obsahující vaše testovací uživatele nebo testovací zařízení do zahrnuté sekce.

Jakmile je přiřazení skupiny uloženo, nemusíte čekat hodiny na automatickou synchronizaci na pozadí. Proces můžete urychlit tím, že se přihlásíte do testovacího počítače, otevřete aplikaci Nastavení Windows a otevřete Účty, poté přistupíte do práce nebo školy. Klikněte na svůj účet připojené domény, vyberte Informace a spusť ruční synchronizaci stisknutím tlačítka Synchronizace. Po dokončení synchronizace a restartu počítače operační systém aplikuje staženou směrovací politiku Cloud Trust, která vám umožní nastavit a ověřit PIN bez chyb.

VP

Byla tato odpověď užitečná?

Počet osob, které tuto odpověď považovaly za užitečnou: 1.
Počet komentářů: 0
Odpověď přijatá autorem otázky
VPHAN 45,745 Reputační body Nezávislý poradce
2026-03-26T08:43:09.9666667+00:00

Rameš Michael

Nový screenshot ukazuje standardní konfigurační profil Intune, který vynucuje základní pravidla biometrie a délky PIN. Tento profil však postrádá kritickou konfiguraci směrování Cloud Trust a představuje riziko překryvu politik. Protože už máte aktivní celonájemní Windows Hello enrollment policy z předchozího screenshotu, nasazení tohoto dodatečného konfiguračního profilu na stejné uživatele může způsobit konflikty správy, často zaznamenané jako Event ID 358 ve Windows Event Viewer. Nejlepší praxí je zvolit pouze jednu metodu pro definování základních složitostí PIN, abyste těmto kolizím zabránili.

Důležitější je, že tento profil stále postrádá specifickou směrnici potřebnou pro hybridní autentizaci. Abyste to vyřešili, musíte upravit přesně tento konfigurační profil, otevřít katalog nastavení a vyhledat nastavení s názvem Use Cloud Trust For On Prem Authentication. Musíte toto nastavení přidat a povolit. Tato konkrétní položka je spouštěč, který říká operačnímu systému Windows, aby požádal o Kerberos ticket pro vaši lokální doménu místo spoléhání se pouze na Microsoft Entra ID.

Pamatujte, že odeslání tohoto aktualizovaného konfiguračního profilu přes Intune je jen druhá polovina řešení. Politika Intune stále nezvládne ověření PINu, pokud místní infrastruktura není připravena přijmout požadavek. Stále musíte na svém lokálním serveru spustit PowerShell příkaz Set-AzureADKerberosServer, abyste vytvořili objekt Azure AD Kerberos Server ve svém lokálním Active Directory. Jakmile existuje on-premises trust objekt a tento aktualizovaný Intune profil je synchronizován s koncovými body, proces ověřování PIN bude úspěšný.

VP

Byla tato odpověď užitečná?

Počet osob, které tuto odpověď považovaly za užitečnou: 1.
Odpověď přijatá autorem otázky
VPHAN 45,745 Reputační body Nezávislý poradce
2026-03-26T08:33:32.3033333+00:00

Rameš Michael

Screenshot, který jste poskytl, zobrazuje celonájemní politiku zápisu Windows Hello for Business. Tato konfigurace správně umožňuje funkci na zařízení během provisioningu a nastavuje požadavky na složitost PIN, ale nestanovuje základní směrování autentizace Cloud Trust. Cloud Trust není jediný přepínač v tomto úvodním menu pro zápis; spíše jde o širší nasazení infrastruktury, které vyžaduje konfiguraci jak ve vašem lokálním prostředí, tak v samostatné sekci Intune.

Pro konfiguraci Cloud Trust musíte nejprve nastavit směrování identit na úrovni Active Directory pomocí PowerShellu. To zahrnuje instalaci modulu AzureADHybridAuthenticationManagement na on-premises domain controller nebo administrativní stroj. Poté spustíte příkaz Set-AzureADKerberosServer, který vytvoří objekt Azure AD Kerberos Server ve vašem lokálním Active Directory. Tento klíčový krok překlenuje mezeru a umožňuje Microsoft Entra ID bezpečně vydávat tickety na udělování tiketů pro Kerberos vašim hybridním uživatelům.

Jakmile je on-premises infrastrukturní důvěra úspěšně nasazena, musíte svým zařízením spravovaným Intune nařídit, aby jej využívala. Místo obrazovky Registrace ve Windows přejděte do Zařízení, vyberte Konfigurační profily a vytvořte nový profil pomocí Katalogu nastavení. Vyhledejte kategorii Windows Hello for Business a povolte konkrétní nastavení nazvané Use Cloud Trust For On Prem Authentication. Toho můžete také dosáhnout vytvořením politiky ochrany účtu v rámci Endpoint Security blade. Přiřazením tohoto profilu vašim uživatelům se nastavení definitivně uzavře, což umožní jejich zařízením bezproblémově autentizovat PIN vůči vaší doméně.

Doufám, že to pomůže :)

VP

Byla tato odpověď užitečná?

Počet osob, které tuto odpověď považovaly za užitečnou: 1.
Počet komentářů: 0

1 další odpověď

Seřadit podle: Nejužitečnější
Nejužitečnější Nejnovější Nejstarší
  1. VPHAN 45,745 Reputační body Nezávislý poradce
    2026-03-26T08:07:57.99+00:00

    Ahoj Rameš Michaeli,

    To, co zažíváte, je standardní systémová odezva při přechodu z lokálního Active Directory na prostředí s ko-spravovaným Intune. Když se tato zařízení zaregistrujete, aktualizují se z běžného spotřebitelského Windows Hello na Windows Hello for Business. Tato podniková verze spoléhá na hardwarově podporované přihlašovací údaje spojené s Microsoft Entra ID, nikoli na lokální bezpečnostní autority. Záznamy v registru, které jste dříve používali k vynucení vytvoření PINu, konkrétně klíče umístěné v HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System jako AllowDomainPINLogon, nyní aktivně narušují pravidla správy Intune. Tento konflikt brání operačnímu systému ověřit nově generovaný PIN vůči vaší doménové infrastruktuře.

    Vymazání kryptografických klíčů z lokální složky C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc dočasně odstraní poškozený stav přihlašovacích údajů a umožní zobrazení rozhraní pro nastavení PIN. Základní selhání autentizace však přetrvává proto, že vašemu prostředí chybí požadovaná infrastruktura hybridní důvěry pro podnikovou verzi. Musíte zcela opustit manuální systém registru a odstranit všechny starší PassportForWork nebo vymáhací klíče PIN z místního registru. Jakmile jsou lokální konflikty odstraněny, měli byste Windows Hello for Business nastavit centrálně přes administrátorské centrum Intune s použitím jednoho profilu ochrany identity, abyste se vyhnuli překryvům politik.

    Protože pracujete v hybridním prostředí s existujícím Active Directory, musíte vytvořit specifický model důvěry, který autentizuje PIN nastavený v Intune vůči vašim místním doménovým řadičům. Konfigurace Windows Hello for Business Cloud Trust je doporučený a nejmodernější přístup od Microsoftu. Toto nastavení umožňuje Microsoft Entra ID vydávat tikety pro udělování tiketů Kerberos přímo do vašeho místního Active Directory. Jakmile bude Cloud Trust implementován a konfliktní klíče z legacy registru odstraněny, uživatelé budou moci své PIN správně nastavit a ověřit.

    Doufám, že vám tato odpověď přinesla užitečné informace. Pokud ano, klikněte prosím na "přijmout odpověď". Pokud budete mít jakékoli otázky, neváhejte zanechat komentář.

    VP

    Byla tato odpověď užitečná?

Vaše odpověď

Odpovědi můžou být autorem otázky označeny jako „Přijaté“ a moderátory jako „Doporučené“, což uživatelům pomůže zjistit, že odpověď vyřešila problém autora.