Windows Hello for Business ハイブリッド展開（Cloud Kerberos 信頼）を構成する

# はじめに
Windows Hello for Business を展開するためには、いくつかの方法があります。
一番簡単なのは、Intune を使った **クラウド単独展開** です。
とにかく Windows Hello for Business を試してみたい・・・という事だけであれば、クラウド単独展開 の方をお勧めします。

**Windows Hello for Business についての説明** や、**クラウド単独展開** については、まず 以下の記事を参照ください。

https://qiita.com/carol0226/items/0b39b3a659c41bcc0d88

:::note warn
以後は、"**W**indows **H**ello **f**or **B**usiness" だと長いので、本記事では 頭文字をとって **"WHfB"** と表記します。 
:::

本記事では、Microsoft Entra Hybrid Join を構成している環境向けに **"WHfB"** を展開する方法として、**ハイブリッド展開（Cloud Kerberos 信頼）** を説明していきます。

この展開方式をつかうと、**オンプレミスドメイン の アカウント** でサインインを行うユーザー向けに **"WHfB"** を提供できます。

ハイブリッド展開にも、３種類の方法があり、**Cloud Kerberos 信頼** は、新しい方式であり、PKI 基盤（証明書等）や AD FS の構成が**不要**で構築できるため、これから構築する場合には 推奨される方法です。

本記事では、以下の公開情報の内容をもとに、画面キャプチャ付きで 手順を紹介していきます。

**公開情報：ハイブリッド展開 Cloud Kerberos 信頼 デプロイ ガイド**
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/deploy/hybrid-cloud-kerberos-trust?wt.mc_id=mvp_407731&tabs=gpo

---

# 1. 前提条件
前提条件は、色々あります。
- デバイスが Microsoft Entra ハイブリッド参加 されていること
以下の記事に記載された内容が構成されている必要があります。

https://qiita.com/carol0226/items/7c16c4813e2b54a76789

- テナントに Microsoft Entra Kerberos 認証 が構成されていること
以下の記事に記載された内容が構成されている必要があります。

https://qiita.com/carol0226/items/a52a54ff63c19fa957e6

- デバイスへの 初回サインイン時に、以下の条件が揃っていること
　① オンプレミスのドメインコントローラーと 通信が行える状態
　② インターネットへの疎通が可能で、テナント（以下リンク先に記載の URL）と通信が行える状態
　https://learn.microsoft.com/ja-jp/entra/identity/devices/how-to-hybrid-join?wt.mc_id=mvp_407731#network-connectivity-requirements
　
- サインインするユーザーは オンプレミスにアカウントがあり、テナントへ Connect 同期されている **ハイブリッドユーザー** であること
　
- クライアント OS の要件
　Windows 10 21H2 (KB5010415 以降)
　Windows 11 21H2 (KB5010414 以降)
　
- Server OS の要件
　Windows Server 2016 (KB3534307 以降)
　Windows Server 2019 (KB4534321 以降)
　Windows Server 2022


**公開情報**
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/deploy/hybrid-cloud-kerberos-trust?wt.mc_id=mvp_407731&tabs=gpo#requirements

---

# 2. 構築手順
構築というよりも、前提条件を満たす作業の方がボリュームあります。
（Microsoft Entra Hybrid Join や Microsoft Entra Kerberos 認証 など）

前提条件が満たされていれば、あとは 本作業で GPO を配布するだけです。

本章の操作は、**ドメインコントローラー** 上で行ってください。
手順としては、2-1 章 ～ 2-3 章 まで順に説明していますが、必須の設定は 2-3 章 の GPO 設定のみです。

2-1 章 と 2-2 章 は、あらかじめ OU を作成して、**"WHfB"** を適用したい コンピューターオブジェクトを OU 内に配置させる操作となっていますので、既に 管理上の OU がある場合は、それを利用いただき、GPO を適用していただければ問題ありません。

## 2-1. OU の作成
あらかじめ GPO を割り当てるための OU を作成しておきます。
1. サーバーマネージャーの **ツール** から **Active Directory ユーザーとコンピューター** のツールを開きます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4755ee24-6df6-10fa-a6c6-c5a2f432ee4f.png)
　<br>
1. ドメイン名を右クリックして、**新規作成** から **組織単位 (OU)** を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/cf117ed9-5d09-516f-cd94-b6608375d431.png)
　<br>
1. 以下のウィンドウ内に **任意の OU 名** を入力して、**OK** を押します。<br>なお、**間違って削除されないようコンテナーを保護する** にチェックが入っていると、簡単に削除できません。ちょっと検証して削除する予定がある場合は、チェックを外しておきましょう。<br>※本運用の時には、チェックを入れた状態で OU を作ります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1979e9aa-bee8-9c50-9b9a-40b72c51c3fb.png)

## 2-2. OU へ移動
先ほど作成した OU に 物理 PC のコンピューターオブジェクトを移動させます。
なお、以下で紹介する手順以外にも、オブジェクトを ドラッグ＆ドロップで移動させることもできます。
1. コンピューターオブジェクトの既定の場所である **Computers** コンテナーを開き、対象となる コンピューターオブジェクトを右クリックして **移動** を選びます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6224d631-bcfd-bdfc-ca91-9f7a7d296b43.png)
　<br>
1. 前章で作成済みの **移動先の OU** を選び **OK** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7071537b-553e-92f9-acde-29f28064ea21.png)
　<br>
1. 下図は、移動された後の状態です。この状態で 次章で **Client-PC** の OU に対して GPO を適用することで、この OU に配置したコンピューターに対して、**"WHfB"** を有効化させることができます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/da1207a2-bf6c-27f0-cc1f-23badd931658.png)

## 2-3. GPO の作成
本章では、以下の公開情報の手順を 画面キャプチャ付きで 説明していきます。

**公開情報：Windows Hello for Business のポリシー設定の構成**
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/deploy/hybrid-cloud-kerberos-trust?wt.mc_id=mvp_407731&tabs=gpo#configure-windows-hello-for-business-policy-settings

1. サーバーマネージャーの **ツール** から **グループポリシーの管理** のツールを開きます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d1375d3d-6c50-5cb1-90cc-0f8bb6f720ea.png)
　<br>
1. 前章で作成済みの **OU** を右クリックして **このドメインに GPO を作成し、子のコンテナーにリンクする** を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d6873fd8-47a3-844e-0908-7c8ca6ac1345.png)
　<br>
1. 以下のウィンドウが開くため、任意の **GPO 名** を入力し **OK** を押します。<br>※ **"WHfB"** であることが判る名称が良いと思います。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/df8bb89d-771e-402f-15f1-1e6d911667d0.png)
　<br>
1. 以下の画面が表示されたら **OK** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3cb11f62-fc05-cd74-2e5e-5678b1463021.png)
　<br>
1. 直前に作成した **GPO 名** を右クリックして **編集** を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b84d0a01-4b86-bdd1-1da9-15b03fba2f2d.png)
　<br>
1. **グループポリシー管理エディター** が開くため、左ペインから 赤枠の箇所を開いていきます。<br>[コンピューターの構成] - [ポリシー] - [管理用テンプレート] - [Windows コンポーネント]
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0e2fb9c8-7949-af5d-bb77-ed20f266b485.png)
　<br>
1. **Windows Hello for Business** を開き、下図の赤枠で示したポリシーを **有効化** していきます。<br>・ハードウェアのセキュリティデバイスを使用する<br>・Windows Hello for Business の使用<br>・オンプレミス認証にクラウドトラストを使用する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/435b4703-360f-85cd-d1bc-7ee26652b6eb.png)

**ハードウェアのセキュリティデバイスを使用する** の画面
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e0fc9f7d-9cbb-32f0-e0c1-41874463e406.png)

**Windows Hello for Business の使用** の画面
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9066f1ed-8585-1483-b41b-5cbdcc8fa52b.png)

**オンプレミス認証にクラウドトラストを使用する** の画面
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8b57a52a-8bd8-426a-9a61-8c31543381a3.png)
※ OS のバージョンによっては、**"オンプレミス認証にクラウド Kerberos 信頼を使用する"** という項目名になっているかもしれません。

8．３か所を有効化した結果、以下のようになっていれば、**OK** です。<br>グループポリシー管理エディター を閉じてしまって構いません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/266815e0-4a88-5504-13c7-39d2aabea5cb.png)

9．GPO の設定結果を反映させるため、コマンドプロンプトを開いて、以下のコマンドを実行してください。
**gpupdate /force**

---

# 3. ユーザー操作 と WHfB の初回登録
ポリシーが適用されていても、PC へ最初のユーザーがサインインした場合には、**"WHfB"** 初回登録のアクションは発生しません。
これは 初回ログオン時には、まだ デバイスが Hybrid Join 状態になっておらず、**"WHfB"** の要件を満たしていない状態だからだと考えられます。

２回目のサインイン時や、２人目以降の場合は、**"WHfB"** 初回登録のアクションが発生します。

**公開情報**
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/deploy/prepare-users?wt.mc_id=mvp_407731

## 3-1. 手順（MFA 認証まで）
1. オンプレミスドメインのアカウント（ハイブリッドユーザー）で、初回サインインを行います。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d36617eb-1aab-bc53-51ad-bf28c229820f.png)
　<br>
1. **"WHfB"** の登録が発動すれば 構成は正常です。<br>Windows Hello 対応のカメラ搭載機の場合は、ここで 顔認証 の設定が求められます。**セットアップ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/bfaac6c9-3a13-4a9c-6c59-326be6058a6c.png)
　<br>
1. 顔はマスキングしてます（ここで、顔を登録します）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/079dcbc1-0d3c-4250-3811-579904130081.png)
　<br>
1. PIN 設定の説明が表示されています。**次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5324613b-b793-6689-6f40-0b8b8d2acb5f.png)

1. MFA が発動するため、認証します。
**MFA 発動時**
認証が済めば **3-2. 手順（PIN 設定以降）** へ進んでください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4142b59a-9572-8319-4d75-352f09a03a4d.png)

:::note info
**MFA 未登録時**
テナントで MFA の登録が済んでいないユーザーは、MFA の登録を求められるため、Microsoft Authenticator や SMS を使って登録を済ませてください。

1. モバイルデバイスの登録を求められます。**次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/92851fd2-d3d1-a62d-bf79-da51e1f4359e.png)
　<br>
1. モバイルデバイスに Microsoft Authenticator の導入が求められるため、準備が終わったら **次へ** を押します。**別の方法を設定します** を選べば、電話番号を登録して、SMS を使った認証を構成することもできます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b89f08bb-b6e3-36b6-0a98-b781ecc3f167.png)
　<br>
1. **次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d936d7d5-9086-c970-b8c1-bc4c6134c736.png)
　<br>
1. モバイルデバイスにインストールした Microsoft Authenticator を使って、QR コードを読み取ってから **次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/77b94b7a-d8fe-062a-f754-20db5c9f38a6.png)
　<br>
1.  Microsoft Authenticator の画面に コードの入力を求める画面が表示されているため、そこに PC の画面上に表示されている数字（下図の場合は **"31"**）を入力します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/cf79df74-a578-9454-ad68-a4f532a7a69d.png)
　<br>
1. うまく登録が完了すると、以下の画面になるため、**次へ** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/aa1cb561-c9b9-83c2-4bee-60334f40e8fc.png)
　<br>
1. **完了** を押すと、PIN の登録画面に遷移します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8bd2653e-2862-a5aa-816a-d2422138868a.png)
:::

:::note warn
このタイミングで、MFA の登録は 必ず要求されてしまいます。
まだ、オンプレミスの運用が中心で、ユーザーに クラウドサービスを展開していない組織の場合は、ここで MFA が要求されてしまうと 困惑してしまうユーザーも居るかもしれず、都合が悪いかもしれません。

MVP の Tamai さんが本件の回避策 (Temporary Access Pass) をわかりやすく紹介してくれています。以下の URL を参照ください。
https://sccm.jp/2023/12/27/post-5728/

**私も Temporary Access Pass を検証済みです**
手順(testnogu4) とは別のユーザー(user01)でテストした時の画面です。一時アクセスパスを入力することで、MFA 登録を行わずに、先へ進めました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/249ce1ba-b2a4-74a8-7c4a-e03af5fbe7cc.png)
この場合でも、一時アクセスパスを 事前に ユーザーに伝えておく必要がありますので、ご注意ください。
:::

**公開情報：一時アクセスパス - Temporary Access Pass (TAP)**

https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-temporary-access-pass?wt.mc_id=mvp_407731

## 3-2. 手順（PIN 設定以降）
1. PIN を設定していきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/fb9bde6a-ba92-2ec7-596c-5eedb3a08315.png)
　<br>
1. すべて完了すると、以下の画面になるので **"OK"** を押すと サインイン されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6352f48c-121b-5987-ecdd-9b3bc408e801.png)
　<br>
1. サインインされて、デスクトップが表示されます。
　<br>
1. これ以降は、再度 サインインする際に、下図のように 顔認証や PIN を使ったサインイン操作となります。
紫枠のアイコンは、通常は 表示されていませんが、**サインイン オプション**（緑下線）を押すと表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0c182bd8-37f7-73d7-bafd-4b8bf936095d.png)

**サインインオプション** の凡例
|鍵マーク|点10個マーク|顔マーク|
|:-:|:-:|:-:|
|パスワード認証|PIN 認証|顔認証|

# 気になる情報
公開情報で説明されている **サポートされていないシナリオ** に 気になる説明がされていました。

:::note alert
DC 接続で以前にサインインせずに、Microsoft Entra ハイブリッド参加済みデバイスでクラウド Kerberos 信頼を使用してサインインする
:::

これは、文字通り、オンプレミスドメインにサインインしたことがないユーザーが、いきなり ハイブリッド参加済み デバイスにサインインすると、WHfB を利用できない・・・という意味だと思われます。

実際に 私の検証環境で、オンプレミスユーザーを作り、テナント側に同期されたことを確認してから、該当のデバイスにサインインしてみたのですが、WHfB の初回登録は発動しませんでした。
同じデバイスで、過去に ドメインログオンしたことがあるユーザーでサインインすると、WHfB の初回登録が発動しましたので、公開情報に書かれた通りの事象は、再現しています。

**公開情報：サポートされていないシナリオ**
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/deploy/hybrid-cloud-kerberos-trust?wt.mc_id=mvp_407731#unsupported-scenarios

# Next Step
以上で、Windows Hello for Business ハイブリッド展開（Cloud Kerberos 信頼）が構成できました。

WHfB の構成があれば、さらに 以下の使い方ガイドに記載されているような機能が利用できます。
ぜひ チャレンジしてみてください。

**公開情報：使い方ガイド**
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/pin-reset?wt.mc_id=mvp_407731

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a84bc255-9fbd-d96a-4fae-1bb69c94351d.png)

**動的ロック** と **多要素ロック解除** について、記事化してあります。
これは、結構 楽に 構成できて お勧めの機能です。

https://qiita.com/carol0226/items/51487eeb06871cb65a7a

**リモートデスクトップ (RDP) サインインを構成する** については、以下の記事を参照してください。
これも、WHfB が動作している環境なら、ひと手間加えるだけで実現できます。

https://qiita.com/carol0226/items/6bfbc94a0625d5755329

# 関連情報

https://jpwinsup.github.io/blog/2021/11/08/ActiveDirectory/WindowsHello/wh-frequently-asked-grouppolicy/