Windows Hello for Business での PIN ロックアウト の動作

# はじめに
Windows Helli for Business で PIN 入力を複数回誤った場合に、どのような動作になるのかが、以下の公開情報に記載されています。

今回は、実際に どのような動きになるのかを検証してみました。

**公開情報**
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/faq?wt.mc_id=mvp_407731#--------------windows-hello-for-business--------------------------

:::note info
（上記の公開情報より、抜粋）
**承認されていないユーザーが Windows Hello for Business に登録されているデバイスを所有するとどうなりますか?**
承認されていないユーザーは生体認証オプションを利用できず、PIN を入力する唯一のオプションがあります。

ユーザーがランダム PIN を入力してデバイスのロックを解除しようとすると、3 回失敗した後、資格情報プロバイダーに次のメッセージが表示されます。

間違った PIN を複数回入力しました。もう一度やり直すには、下の「A1B2C3」と入力します。
チャレンジ フレーズ A1B2C3 を入力すると、ユーザーには PIN を入力する機会がもう 1 つ付与されます。
失敗した場合、プロバイダーは無効になり、ユーザーはデバイスを再起動するための唯一のオプションを残します。 再起動後、前述のパターンが繰り返されます。

試行が失敗した場合、デバイスはロックアウト状態になり、最初の再起動後 1 分、4 回目の再起動後 2 分、5 回目の再起動から 10 分後に続きます。
各ロックアウトの期間は、それに応じて増加します。 
この動作は、TPM 2.0 のハンマリング防止機能の結果です。 TPM のハンマリング防止機能の詳細については、「 TPM 2.0 のハンマリング防止」を参照してください。
:::

---

# 前提となる環境
- **TPM が利用できる Windows クライアント**
物理 PC（ハードウェア TPM 2.0 搭載）
または、以下の記事の手順を使って、Hyper-V 上に TPM 2.0 が有効な Windows VM を手配（今回は、VM を使って検証しました）

https://qiita.com/carol0226/items/eeced2b88e6d8a9914e7

- **Windows Hello for Business を構成**
以下の記事の手順を使って、上記で手配した OS へ Windows Hello for Business を構成

https://qiita.com/carol0226/items/441659a20bc256bbe639

---

# 検証実施前のステータス
検証を開始する前に、tpm.msc と、Get-Tpm 等のコマンドの実行結果を確認します。

## コンピューターのトラステッドプラットフォームモジュール (TPM) の管理
OS インストール直後の **tpm.msc** の画面

**公開情報：TPM のトラブルシューティング**
https://learn.microsoft.com/ja-jp/windows/security/hardware-security/tpm/initialize-and-configure-ownership-of-the-tpm?wt.mc_id=mvp_407731

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/748e5cb9-22ed-1176-2771-74558fbaece8.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b116aad3-9eeb-79b4-c7ca-bcc8b8bcad03.png)

---

## TPM コマンド
OS インストール直後の コマンド実行結果
このリファレンスでは、すべての TPM コマンドレットの説明と構文を示します。コマンドレットの先頭の動詞に基づいて、アルファベット順にコマンドレットを一覧表示します。

**公開情報**

https://learn.microsoft.com/ja-jp/powershell/module/trustedplatformmodule/?view=windowsserver2025-ps&wt.mc_id=mvp_407731

---

### Get-Tpm
Get -Tpmコマンドレットは、TpmObject を取得します。
このオブジェクトには、現在のコンピューター上の Trusted Platform Module (TPM) に関する情報が含まれています。

|項目|値| |
|:-:|:-:|:-:|
|TpmPresent |True|現在のコンピュータにTPMがあるかどうか |
|TpmReady|True|TPM が Windows Server 2012 標準に準拠しているかどうか。|
|TpmEnabled |True| |
|TpmActivated |True| |
|TpmOwned |True| |
|RestartPending |False| |
|ManagedAuthLevel |Full |オペレーティング システムが所有者の承認を管理するレベル。<br>可能な値は、Legacy、Balanced、および Full です。 |
|OwnerAuth | |Trusted Platform Module (TPM) の現在の所有者認証値 |
|OwnerClearDisabled |Flase |TPM をリセットできるかどうか。<br>この値が True の場合、所有者認証値を使用してオペレーティング システムから TPM をリセットすることはできません。<br>この値が False の場合、オペレーティング システムから TPM をリセットできます。 |
|AutoProvisioning |Enabled |コンピューターが自動プロビジョニングを使用できるかどうか。<br>可能な値は、NotDefined、Enabled、Disabled、および DisabledForNextBoot です。 |
|LockedOut|False|TPM がロックアウトされているかどうか |
|LockoutHealTime|10 min|TPM のロックを解除できるようになるまでに経過する必要がある時間。 |
|LockoutCount|0|失敗した試行回数 |
|LockoutMax|31|失敗試行の制限 |
|SelfTest|{}|TPM が実行するテストによって返される情報。|

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4da45dd2-5521-ea42-1545-4c5397da8fe2.png)

**公開情報：Get-Tpm**
https://learn.microsoft.com/ja-jp/powershell/module/trustedplatformmodule/get-tpm

---

### Get-TpmEndorsementKeyInfo
Get -TpmEndorsementKeyInfoコマンドレットは、Trusted Platform Module (TPM) の承認公開キーと証明書に関する情報を取得します。

|項目|値| |
|:-:|:-:|:-:|
|IsPresent|True|承認公開キーがオペレーティング システムに認識されているかどうかを表すブール値|
|PublicKey|System.Security.Cryptography.AsnEncodedData|承認キーの asn.1 エンコードされた公開部分を含むAsnEncodedDataオブジェクト。コマンドレットがハッシュ アルゴリズムを使用した場合の公開キーのハッシュ (文字列)。|
|PublicKeyHash||ハッシュ値|
|ManufacturerCertificates|{}|製造元の承認キー証明書を含むX509Certificate2Collectionオブジェクト。このオブジェクトには、製造元の証明書とプラットフォーム証明書を含めることができます。エンタープライズ証明書など、オペレーティング システムに登録されている追加の承認キー証明書のコレクションを含むX509Certificate2Collectionオブジェクト。|
|AdditionalCertificates|{}||

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e81a6bdf-e655-4813-07f6-7cf0af70969b.png)

**公開情報:Get-TpmEndorsementKeyInfo**
https://learn.microsoft.com/ja-jp/powershell/module/trustedplatformmodule/get-tpmendorsementkeyinfo?wt.mc_id=mvp_407731

---

### Get-TpmSupportedFeature
Get -TpmSupportedFeatureコマンドレットは、Trusted Platform Module (TPM) が指定された TPM 機能をサポートしているかどうかを確認します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/73ec2fa8-84eb-bb4a-f587-a55939e111bc.png)

**公開情報：Get-TpmSupportedFeature**
https://learn.microsoft.com/ja-jp/powershell/module/trustedplatformmodule/get-tpmsupportedfeature?wt.mc_id=mvp_407731

---

# 検証結果
結果として、公開情報に書かれている説明と、かなりの差異が見受けられました。

|  |公開情報|検証結果|
|:-:|:-:|:-:|
|チャレンジフレーズ<br>を求められるまでの回数|3   |4   |
|チャレンジフレーズ<br>に回答して、そのあとに試行できる回数|1   | 1  |
|チャレンジフレーズ<br>のあと PIN をミスした際に<br>ロックアウトが発生するか？|する|しない|
|ロックアウト発生までの失敗回数|4|31|

ロックアウト発生し、再起動後に PIN 入力できるようになるまでの時間
|  |公開情報|検証結果|
|:-:|:-:|:-:|
|1 回目|1分|10分|
|2 回目|未記載|10分|
|4 回目|2分||
|5 回目|10分||

:::note info
検証した結果を、そのままの流れのままを 次章に示します。
:::

---

## 1回～4回目の PIN 入力ミス
誤った PIN 入力を実施したあと、以下のメッセージが表示された。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/533b5135-a895-8aac-30c0-3f8171b55221.png)

上記の画面で OK を押したあと、以下の画面となった。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a08fc9d2-4c7f-f744-f87d-5e0005aa9b65.png)

:::note info
上記の画面で、パスフレーズを誤ると、以下のメッセージになる。正しいものを入れるしかありません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9aa61f4d-0e40-8b99-0773-4e20ff0e0a69.png)
:::

正しいパスフレーズを入力すると、PIN の入力画面になります。
ここで、誤った PIN を入力すると、以下の画面になります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/533b5135-a895-8aac-30c0-3f8171b55221.png)

上記の画面で OK を押すと、以下のようになり、再起動するしかなくなります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/750ac1ef-5c77-0f9d-fd97-c1fa04f49891.png)

同じデバイスへ、別の管理者アカウントで RDP を実施。Get-Tpm を実行した結果は、以下の通り。
以後、Get-Tpm の値は、同様の方法で取得しています。
この時は、LockOutCount 5 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/58e72175-58b9-c18f-0e5e-de630cccba50.png)

この時、PIN 入力はできないが、パスワード なら入力できる状態。PIN がどのような状態であっても、パスワードに切り替えることでサインインが可能。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/91f67588-c93d-4311-770f-19f663f14486.png)

再起動を実施
再起動後に、Get-Tpm を確認すると、Count は 5 のまま

---

## 6回～9回目の PIN 入力ミス
誤った PIN 入力を 実施したあと、以下のメッセージが表示された。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4ad08cd4-db60-cdec-0390-90f869daa51d.png)

9回目のミスのあと、以下の画面になった（30秒無効）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d2955b37-d67d-af9d-409f-af354550dcb6.png)

この時は、LockOutCount 9 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/587d6943-5c19-d705-bfb5-7f90a666c7c3.png)

30秒経過後、チャレンジフレーズ の入力が可能となるため、正しいフレーズを入力
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8d8c569f-f9af-4fcd-f027-f07448d2f806.png)

10回目の PIN 入力ミス
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/37d6a11b-bfbc-15a9-41ad-09d1ff9098a7.png)

この時は、LockOutCount 10 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/111dee3a-bcda-89ff-aef9-df25317d7ab9.png)

再起動
再起動後も LockOutCount は 10回 のままだった。

---

## 11回～14回目の PIN 入力ミス
11回～14回誤った
誤った PIN 入力を実施したあと、以下のメッセージが表示された。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4ad08cd4-db60-cdec-0390-90f869daa51d.png)

14回目のミスのあと、以下の画面になった（1分無効）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/84e04a01-7385-ef74-0e02-9ca7668d482f.png)

この時は、LockOutCount 14 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3e26f40e-cd35-097e-52b0-6bb661dfbfd4.png)

1分経過後、チャレンジフレーズ の入力が可能となるため、正しいフレーズを入力
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9a33dba2-2c3c-47fe-5034-1bc65197c6cd.png)

15回目の PIN 入力ミス
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6ae6001b-15d4-8d50-5b8c-df08c100a89c.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/20983222-412e-2c64-f285-66d378838bf2.png)

この時は、LockOutCount 15 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ef2da0ad-0c95-03dd-c3f0-e0aa9f4f7733.png)

再起動
再起動後も LockOutCount は 15回のまま

---

## 16回～19回目の PIN 入力ミス
誤った PIN 入力を実施したあと、以下のメッセージが表示された。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4ad08cd4-db60-cdec-0390-90f869daa51d.png)

19回目のミスのあと、以下の画面になった（2分無効）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/40614206-0e0c-0ec0-f855-91a1cb086836.png)

この時は、LockOutCount 19 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/bdb385d8-2865-9010-095b-f35469862698.png)

2分経過後、チャレンジフレーズ の入力が可能となるため、正しいフレーズを入力
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0df7a329-2b6d-5d00-d21b-365a0b1ed00f.png)

20回目の PIN 入力ミス
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6ae6001b-15d4-8d50-5b8c-df08c100a89c.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e7d7a3eb-d5d7-e7f8-e843-473252fd1534.png)

この時は、LockOutCount 20 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/cf856a97-1172-6a3c-e0a8-3a0927290033.png)

再起動
再起動後も LockOutCount は 20回のまま

---

# 21回～24回目の PIN 入力ミス
誤った PIN 入力を実施したあと、以下のメッセージが表示された。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4ad08cd4-db60-cdec-0390-90f869daa51d.png)

24回目のミスのあと、以下の画面になった（5分無効）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7f50eea4-a855-fb18-e9f4-9210089cd10b.png)

この時は、LockOutCount 24 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/345efac1-7150-4a4d-bc43-2a5c56e6c16b.png)

25回目のミス
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6ae6001b-15d4-8d50-5b8c-df08c100a89c.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/52c2abaf-124d-10b8-903c-9076867fcc9f.png)

この時は、LockOutCount 25 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f75b2000-b364-8cb4-ae80-4f78ad191cdd.png)

再起動
再起動後も LockOutCount は 25回のまま

---

# 26回～29回目の PIN 入力ミス
誤った PIN 入力を実施したあと、以下のメッセージが表示された。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4ad08cd4-db60-cdec-0390-90f869daa51d.png)

29回目のミスのあと、以下の画面になった（10分無効）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/326a60a0-1e1e-5128-282d-eaa4e42ff8c9.png)

この時は、LockOutCount 29 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0c5f3472-a0aa-5741-c5b2-c6dca0bd6aba.png)

10分経過後、チャレンジフレーズ の入力が可能となるため、正しいフレーズを入力
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0df7a329-2b6d-5d00-d21b-365a0b1ed00f.png)

29回目の入力ミス
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2b877d93-233b-3b1f-3fbb-90febfaad7f7.png)

この時は、LockOutCount 29 になっているが、Lockedout は、False のままになっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/7c615084-f281-9178-a7f9-97af58dbc80c.png)

再起動
再起動後も LockOutCount は 29回のまま

---

# 30回～31回目の PIN 入力ミス
誤った PIN 入力を実施したあと、以下のメッセージが表示された。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4ad08cd4-db60-cdec-0390-90f869daa51d.png)

31回目のミスの後、ついに、ロックアウト発生
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/80d81530-b3b8-ba55-3ddd-d3819807d8c8.png)

LockedOut が True になり、 LockOutCount も 31 になっている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3bbd433b-4121-5211-2d02-624e2541cf39.png)

このとき、tpm.msc の表示は、以下のようになっている
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/34f8049f-f429-2c28-267f-156eb128a3a5.png)

# ロックアウト後の動作
10分まつと、以下のように Lockedout が False に変更され、LockOutCount も 30 に減算されている。（なお、このときは待っただけで 再起動はしていません）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/088e4956-7df0-47ca-9b1d-8d02732f44cd.png)

ここで、正しい PIN を入力すると、サインインできました。
サインイン後の Get-Tpm の結果は、直前と変わらない。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/aa1ebf60-5b69-d860-8bca-b32e1be98953.png)

このあと、再起動して Get-Tpm を実行するも カウントの値は変わらないが、時間がたつと カウントが 1 ずつ減っている様子。そして、また PIN を誤るとカウントアップしていき、31 に到達すると ロックが発生する。

ここで観察できた内容は、以下の公開情報の説明に近い状態です。
検証では 31 回でロックですが、以下の情報では 32 回になっている点が気になる点ですが・・・

https://learn.microsoft.com/ja-jp/windows/security/hardware-security/tpm/tpm-fundamentals?wt.mc_id=mvp_407731#tpm-20-anti-hammering

---

# 連続４回失敗後、チャレンジフレーズ表示前の待ち時間
Get-TPM の結果では確認ができないのですが、ユーザーごとに ロックアウトされた回数がカウントされているような気がします。

これが増えるにしたがって、PIN を 4 回 連続でミスした際に、チャレンジフレーズが表示されるまで 待たされる時間は、どんどん延長されていくようです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2bb89887-8f0c-f64c-a3a1-43bb4b154e2f.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/70672c8d-372a-7afa-a25e-d449df28de4c.png)

連続 4 回失敗したあと、チャレンジフレーズ入力前に待たされる時間
→　検証では、ロックアウトの発生とは別に チャレンジフレーズの入力前に待機時間が発生した。公開情報には、このような説明は書かれていない。
|  |検証結果|
|:-:|:-:|
|連続 4 回失敗 1回目| なし |
|連続 4 回失敗 2回目| 30 秒 |
|連続 4 回失敗 3回目| 1 分 |
|連続 4 回失敗 4回目| 2 分 |
|連続 4 回失敗 5回目| 5 分 |
|連続 4 回失敗 6回目<br>ここでロック発生| 10 分 |
|連続 4 回失敗 7回目<br>一旦 ロック回復後に 再度ミス| 30 分 |
|連続 4 回失敗 8回目<br>一旦 ロック回復後に 再度ミス| 1 時間 |
|連続 4 回失敗 9回目<br>一旦 ロック回復後に 再度ミス| 2 時間 |

以下の富士通さんが公開している情報に近い動きになりました。
https://www.fmworld.net/cs/azbyclub/qanavi/jsp/qacontents.jsp?PID=0311-3099

---

# TPM のリセットを実行してみる
tpm.msc の状態は、**TPM は使用する準備ができています。** という表示になっている。
ここで、**TPM をクリア** を実施します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3fd7d2bf-9bf8-12b5-3c2c-c651fec3a34a.png)

以下のメッセージが表示され、再起動が掛かる。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/507a9de3-74b9-24df-bfc6-2cbd610a2fef.png)

再起動後、以下のメッセージが表示されていた。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/45145166-92ae-9269-af9a-899abb915f35.png)

Get-Tpm の結果は、OwnerAuth に値が入っている。LockoutCount が 0 に戻っている。
リセットされたようだ。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/e4e88f80-8521-8853-acb9-835218d6ae90.png)

しかし、リセットしたアカウントの方は、以下のメッセージが出て、PIN の再設定ができない。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3c94d33b-132e-230f-79e9-d43dc1b96b60.png)

パスワードに変更すれば、サインインができる状態。パスワードでサインインします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/509a811b-c7cf-4c2f-0e6d-501fe681bf6a.png)

サインインしたあと、以下のメッセージが出るため、**サインイン** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0a103a8b-db12-eece-1e2d-d492c1ed5086.png)

以下の画面で パスワードを入力します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/be7312f4-7ffa-92fd-0e1f-b06465178446.png)

MFA を求められるので、スマホ側で認証します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/88b57760-2131-6d98-1305-cc82ba148345.png)

以下のメッセージが表示されるので、**完了** を押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f6f4266b-3f68-387a-eaa9-ba1e39f08c05.png)

Get-Tpm の結果を見るも、変化は見られない
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4cb963ce-e29e-3dd4-7048-0f41e2f9404f.png)

サインアウトを実施して、再度 サインインを試みます。
サインイン画面では、PINのエラーは消えていますが、PIN を選べなくなっているので、パスワードでサインインするしかありません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ab2cf051-c988-1b06-0971-3606badf6c24.png)

以下のように Hello for Business の初期設定画面が現れます。初回サインイン時と同様な動きです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/bd449fe7-6025-f83c-74f0-658e4a75e8d3.png)

MFA を認証したあと
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8eeb4a7c-ceea-bd8c-212c-07a7c035547b.png)

PIN の新規設定が可能になりました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c9b2ed7d-aa9b-75f4-99ec-c2458b87504e.png)

PIN を設定しました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6242e334-8caf-67c0-3030-d18fb4132908.png)

Get-Tpm の結果は、OwnerAuth が空欄になりました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/02147fa9-b7be-bc20-933b-01ad9bafa85f.png)

これで、PIN を使って サインインできるようになりました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/3e43b405-36f8-bdc5-944a-e1737db7ff7a.png)

# ポリシーで、しきい値を変更すると、どうなるのか？
以下の公開情報で、ポリシーを使って TPM のロックアウトしきい値 を変更できるような事が書かれています。
しきい値を変更したら、どうなるのか検証してみました。

:::note alert
**注意**
なお、先に結論を書きますが、この検証結果は　意図しない結果となり、原因不明です。
:::

**公開情報**
https://learn.microsoft.com/ja-jp/windows/security/hardware-security/tpm/trusted-platform-module-services-group-policy-settings?wt.mc_id=mvp_407731#standard-user-individual-lockout-threshold

（公開情報より抜粋）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/bd29a377-4f2c-3d91-6387-96dfbb02c687.png)

グループポリシーの編集を開く
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5dca0f78-0752-c44f-1ac6-58f044e2c35c.png)

公開情報で説明されてる ポリシー のパスを開いていきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/23498c17-990a-1141-aac9-48b86837b2b6.png)

目的のポリシー設定をみつけて、開きます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/008a869a-1dfa-2079-cf9d-0e8481927492.png)

値を 4 -> 2 に変更してみます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/85f7e9c8-0a33-1d9b-aa7d-703952ff3ecf.png)

再起動 を実施後に 検証しましたが、以前と変わらず、4回失敗したあとに、パスフレーズを求められる動作になっていました。

続いて、しきい値を 7 に変更して 再起動して試しても。以前と変わらず、4回失敗したあとに、パスフレーズを求められる動作になっている。

この謎は、解明できず。

# まとめ
ポリシーの設定は、意図しない結果となりました。
この原因は、判らないままですが、何かわかったら この記事に追記していきたいと思います。

既定の TPM ロックアウトの発生トリガーと、その後に 待つべき時間や、TPM リセットの影響が調べられたので、これを踏まえて対応ができればと思います。