Problem migrating from AD-joined to Hybrid Azure AD-joined

Hola ADRIAN,

Lo que estás viendo es el comportamiento esperado y un requisito fundamental de seguridad, no un error de migración. En un entorno estándar de Active Directory, la biometría local depende de un PIN de conveniencia heredado, pero la transición a un estado híbrido con Azure AD traslada tu marco de autenticación a Windows Hello for Business. Este estándar moderno genera un par de claves asimétricas altamente seguras y vinculadas al hardware dentro del Módulo de Plataforma Confiable del dispositivo. Como este nuevo par de claves debe estar registrado criptográficamente con el ID de Entra para emitir el Token de Actualización Primario necesario para un acceso fluido a Office 365, el contenedor biométrico antiguo queda inmediatamente invalidado. Técnicamente es imposible migrar silenciosamente un PIN o plantilla biométrica existente del estado del dominio heredado al nuevo estado de la nube debido a los estrictos límites de seguridad de hardware del TPM. Puedes rastrear este cambio de fondo en el Visor de Eventos bajo los registros de Registro de Dispositivos de Usuario buscando el ID de Evento 300, que señala el inicio del proceso de aprovisionamiento requerido de Windows Hello for Business.

Tu estrategia de despliegue debería pasar de intentar eliminar este prompt a agilizar agresivamente la transición usando Cloud Kerberos Trust. Este estándar moderno elimina los pesados requisitos de infraestructura de los modelos antiguos de Certificate Trust y permite a los usuarios autenticarse en recursos heredados on-premises usando sus nuevas credenciales generadas en la nube. Puedes hacer cumplir esto configurando la ruta específica del Objeto de Política de Grupo en Configuración de Ordenadores, Plantillas Administrativas, Componentes de Windows, Windows Hello for Business y habilitando la política para usar confianza en la nube para la autenticación local. Para entornos que dependen de configuraciones de registro, esto se traduce en establecer el DWORD UseCloudTrustForOnPremAuth a 1 bajo la clave de registro HKLM\SOFTWARE\Policies\Microsoft\PassportForWork. Es fundamental asegurarse de que todos los usuarios hayan registrado con éxito sus métodos de autenticación multifactor Entra ID antes de la migración, ya que el nuevo proceso de aprovisionamiento fallará inmediatamente si un usuario no puede satisfacer la reclamación inicial de MFA necesaria para acuñar las nuevas claves de hardware.

Espero que esta respuesta te haya aportado información útil. Si es así, por favor pulsa "aceptar respuesta". ¡Gracias:)

Domic V.

Hola ADRIAN,

¿Ya se ha resuelto tu problema? Si es así, por favor considera aceptar la respuesta, ya que también ayuda a otros que comparten el mismo problema. ¡Gracias:)

Domic V.