ドメイン環境のwindows11 23H2 のパソコンでPIN(WindowsHello)の削除を行いたいが、 [削除]ボタンがグレーアウトしていて押すことができないです。 PINを削除する方法を教えてください。ログインしているアカウントはADユーザーです。「外部のカメラまたは指紋リーダーでサインインする」はオフ解決方法があれば教えていただきたいです。よろしくお願いいたします。＊＊モデレーター注＊＊この質問は Windows / Windows 11 / アカウント、プロフィール、ログインのカテゴリに投稿されましたが、内容から判断してこちらのカテゴリに移動いたしました。適切なカテゴリに投稿すると、返信や回答が得られやすくなり同じ質問を持つ他のユーザーの参考にもなります。

チャブーンです。 > 削除する理由は、Helloを会社の方から利用してほしくないと言われたためです。なるほど。事情はひとまず理解しました。PINを削除したい、ということにこだわっておられるようですが、結論からいうとログオンでPINを使わない、ということはできますが、今の状況ではPINを削除することは必要ないということになります。 PINはなぜ必要なのか PINが必要なのは、パスワードに代わる資格情報(秘密キー)がTPMと呼ばれるPCハードウェアに保管され、その情報へのアクセスに必要なのです。Windows Helloをやめるということは、この秘密キーを使わなくする、が技術的なゴールです。秘密キーはPCごとにちがうものになります。ですのでPINもPCごとに別のものになります。 PINはどこにあるのかオンプレミス併用のWIndows Helloであれば、どこにも保存されていない、がおそらく答えです。うえの情報通り、TPMに保存された資格情報の呼び出しに必要で、必要時には必ず入力が必要です。どこにも保存してないので、入力が要るのです。別の投稿にある「セキュリティを高めるためにクラウドIDだけを使う」設定であれば変わるのかもしれませんが、オンプレミス併用(以前の仕様)ではPINをクラウド上に記録することは一切ありません。端末ごとにPINが違う前提なので、どこかで記録・合一する必要がないのです。 PINを使わなくなった場合の問題 Windows Helloを使うのであれば、生体認証が使えないので問題です。Window Helloを使わないのであれば、使えなくなることに問題はありません。ただし、ログオンUIでのセキュリティオプションで「パスワードによるログオン」が不可になっていれば、これは大問題です。そのようなことがないよう、標準のログオンUI画面になっている(できる)ことを、システム管理者に確認してください。うえの理由でPINを削除する必要はなく(情報はないのだから)、しいていうならその元ネタであるTPMに保管された「パスワードに代わる資格情報」がそれにあたります。が、基本的に削除の必要はありません。TPMはハードウェアの仕様で内部の秘密キーを取り出すことは絶対にできません。MIcrosoft自身もそうですし、システム管理者ももちろんそうです。ですので、放置しておいて、セキュリティ上のリスクはほぼないといっていいでしょう。もしどうしても削除したいなら、したにあるような方法で、TPMのリセットを行ってください。ただし、BitLockerなど他の暗号サービスを使っている場合、リセットすると致命的な問題を起こしますので、TPMのリセットはお奨めしません。 How to Clear TPM in Windows 10/11 and why to do it. - WinTips.org うえの考え方から、最終結論としてログオンUIからPINログオンを取り除く(Windows Helloをやめる)、で問題がない、と言って大丈夫かと思います。基本的にレジストリ値かグループポリシーを操作します。[便利な PIN を使用したサインインをオンにする]ポリシーを無効に設定してもらってください。ドメインユーザーの PIN / Hello を有効にする (vwnet.jp) 追記:実際にTPMをリセットした記事があったので、追記しておきます。こちらでは強制的にPIN情報(TPMの資格情報)がなくなった(のでリセットされた)ということのようです。ここでは触れられていませんが、BitLocker等の注意点等、どうしても行いたいなら厳重に確認、対応したうえで作業してください。【Windows 11便利テク】実験！Windows 11でTPMをクリアしたらサインインできなくなるのか？ - PC Watch (impress.co.jp)

そもそも論で言えば、Active Directory に参加している Windows PC では、既定では Windows Hello（PIN・生体認証）は無効です。ドメインに参加しているのに PIN の設定が行えているということは便利な PIN を使用したサインインをオンにするドメインユーザーの PIN / Hello を有効にするというようにグループポリシーで管理者が有効にしているということなので、「Helloを会社の方から利用してほしくないと言われた」という話と矛盾しています。この状況については会社の管理者とよく相談されることをお勧めします。 PIN の削除が行えない現象ですが、PIN の変更もエラーなどで行えないようであれば、M_Marl さんが紹介されているように PINの削除を行いたいのですが、削除ボタンはグレーアウト、「セキュリティ向上のため、このデバイスではMicrosoftアカウント用にWind - Microsoft コミュニティと同様、C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc 配下の削除で改善する可能性はあります。ただ会社支給の PC であれば、PC ごと交換の方が早いかもしれません。

AD環境のWindows11でPIN(WindowsHello)の削除方法を教えてください。

質問作成者が受け入れた回答

Anonymous

チャブーンです。

> 削除する理由は、Helloを会社の方から利用してほしくないと言われたためです。

なるほど。事情はひとまず理解しました。PINを削除したい、ということにこだわっておられるようですが、結論からいうとログオンでPINを使わない、ということはできますが、今の状況ではPINを削除することは必要ないということになります。

PINはなぜ必要なのか
PINが必要なのは、パスワードに代わる資格情報(秘密キー)がTPMと呼ばれるPCハードウェアに保管され、その情報へのアクセスに必要なのです。Windows Helloをやめるということは、この秘密キーを使わなくする、が技術的なゴールです。秘密キーはPCごとにちがうものになります。ですのでPINもPCごとに別のものになります。
PINはどこにあるのか
オンプレミス併用のWIndows Helloであれば、どこにも保存されていない、がおそらく答えです。うえの情報通り、TPMに保存された資格情報の呼び出しに必要で、必要時には必ず入力が必要です。どこにも保存してないので、入力が要るのです。別の投稿にある「セキュリティを高めるためにクラウドIDだけを使う」設定であれば変わるのかもしれませんが、オンプレミス併用(以前の仕様)ではPINをクラウド上に記録することは一切ありません。端末ごとにPINが違う前提なので、どこかで記録・合一する必要がないのです。
PINを使わなくなった場合の問題
Windows Helloを使うのであれば、生体認証が使えないので問題です。Window Helloを使わないのであれば、使えなくなることに問題はありません。ただし、ログオンUIでのセキュリティオプションで「パスワードによるログオン」が不可になっていれば、これは大問題です。そのようなことがないよう、標準のログオンUI画面になっている(できる)ことを、システム管理者に確認してください。

うえの理由でPINを削除する必要はなく(情報はないのだから)、しいていうならその元ネタであるTPMに保管された「パスワードに代わる資格情報」がそれにあたります。が、基本的に削除の必要はありません。TPMはハードウェアの仕様で内部の秘密キーを取り出すことは絶対にできません。MIcrosoft自身もそうですし、システム管理者ももちろんそうです。ですので、放置しておいて、セキュリティ上のリスクはほぼないといっていいでしょう。もしどうしても削除したいなら、したにあるような方法で、TPMのリセットを行ってください。ただし、BitLockerなど他の暗号サービスを使っている場合、リセットすると致命的な問題を起こしますので、TPMのリセットはお奨めしません。

How to Clear TPM in Windows 10/11 and why to do it. - WinTips.org

うえの考え方から、最終結論としてログオンUIからPINログオンを取り除く(Windows Helloをやめる)、で問題がない、と言って大丈夫かと思います。基本的にレジストリ値かグループポリシーを操作します。[便利な PIN を使用したサインインをオンにする]ポリシーを無効に設定してもらってください。

ドメインユーザーの PIN / Hello を有効にする (vwnet.jp)

追記:実際にTPMをリセットした記事があったので、追記しておきます。こちらでは強制的にPIN情報(TPMの資格情報)がなくなった(のでリセットされた)ということのようです。ここでは触れられていませんが、BitLocker等の注意点等、どうしても行いたいなら厳重に確認、対応したうえで作業してください。

【Windows 11便利テク】実験！Windows 11でTPMをクリアしたらサインインできなくなるのか？ - PC Watch (impress.co.jp)

0 件のコメント

AD環境のWindows11でPIN(WindowsHello)の削除方法を教えてください。

5 件の追加の回答