PIN 重置

本文介绍了 Microsoft PIN 重置服务 如何使用户能够恢复忘记的 Windows Hello 企业版 PIN，以及如何对其进行配置。

Windows Hello 企业版为用户提供重置忘记的 PIN 的功能。 有两种形式的 PIN 重置：

要求：

在客户端上启用非破坏性 PIN 重置时，会在本地生成 256 位 AES 密钥。 密钥将添加到用户的 Windows Hello 企业版容器和密钥作为 PIN 重置保护程序。 此 PIN 重置保护程序使用从 Microsoft PIN 重置服务检索到的公钥进行加密，然后存储在客户端上供以后在 PIN 重置期间使用。 用户启动 PIN 重置、完成对 Microsoft Entra ID 的身份验证和多重身份验证后，加密的 PIN 重置保护程序将发送到 Microsoft PIN 重置服务、解密并返回到客户端。 解密的 PIN 重置保护程序用于更改用于授权 Windows Hello 企业版密钥的 PIN，然后将其从内存中清除。

使用组策略、Microsoft Intune 或兼容的 MDM 解决方案，可以将 Windows 设备配置为安全地使用 Microsoft PIN 重置服务，该服务使用户无需重新注册即可重置忘记的 PIN。

下表比较了破坏性 PIN 重置和非破坏性 PIN 重置：

必须先在 Microsoft Entra 租户中注册两个应用程序，然后才能使用非破坏性 PIN 重置：

若要注册应用程序，请执行以下步骤：

注意

接受后，重定向页面将显示空白页。 这是一种已知行为。

若要在客户端上启用 PIN 恢复，可以使用：

以下说明详细介绍了如何配置设备。 选择最适合你需求的选项。

若要使用 Microsoft Intune 配置设备， 请创建设置目录策略 并使用以下设置：

将策略分配给一个组，该组包含要配置的设备或用户作为成员。

注意

还可以从 “终结点安全” 边栏选项卡配置 PIN 恢复：

或者，可以使用 PassportForWork CSP 的自定义策略配置设备。

注意

必须将 替换为 TenantId Microsoft Entra 租户的标识符。 若要查找租户 ID，请参阅 如何查找 Microsoft Entra 租户 ID 或尝试以下操作，确保使用组织的帐户登录：

若要使用组策略配置设备，请使用 本地组策略编辑器。 若要配置多个已加入 Active Directory 的设备，请 (GPO) 创建或编辑 组策略对象，并使用以下设置：

组策略可以 链接到 域或组织单位， 使用安全组进行筛选， 或使用 WMI 筛选器进行筛选。

可以通过从命令行运行 dsregcmd /status 来查看 PIN 重置配置。 此状态可以在用户状态部分的输出下找到，作为 CanReset 行项。 如果 CanReset 报告为 DestructiveOnly，则仅启用破坏性 PIN 重置。 如果 CanReset 报告了 DestructiveAndNonDestructive，则启用非破坏性 PIN 重置。

破坏性 PIN 重置的示例用户状态输出

非破坏性 PIN 重置的示例用户状态输出

适用于： 已加入 Microsoft Entra 的设备

加入 Microsoft Entra 的设备上的 PIN 重置使用称为 Web 登录 的流在锁屏界面中对用户进行身份验证。 Web 登录仅允许导航到特定域。 如果 Web 登录尝试导航到不允许的域，则会显示一个页面，并显示错误消息： 我们现在无法打开该页面。 如果你有联合环境，并且身份验证是使用 AD FS 或非 Microsoft 标识提供者处理的，则必须使用策略配置设备，以允许在 PIN 重置流期间访问的域列表。 设置后，它可确保在 Microsoft Entra 加入 PIN 重置期间可以使用来自该标识提供者的身份验证页。

若要使用 Microsoft Intune 配置设备， 请创建设置目录策略 并使用以下设置：

将策略分配给一个组，该组包含要配置的设备或用户作为成员。

或者，可以通过策略 CSP 使用自定义策略来配置设备。

注意

对于 Azure 政府版，加入 Microsoft Entra 的设备上的 PIN 重置失败存在已知问题。 当用户尝试启动 PIN 重置时，PIN 重置 UI 会显示一个错误页，显示“我们当前无法打开该页面”。 ConfigureWebSignInAllowedUrls 策略可用于解决此问题。 如果遇到此问题，并且使用的是 Azure 美国政府云，请将 login.microsoftonline.us 设置为 ConfigureWebSignInAllowedUrls 策略的值。

破坏性和非破坏性的 PIN 重置方案使用相同的步骤来启动 PIN 重置。 如果用户忘记了 PIN，但使用备用登录方法，他们可以导航到 “设置” 中的“登录选项”，并从 PIN 选项启动 PIN 重置。 如果用户没有其他方式登录其设备，也可以使用 PIN 凭据提供程序从 Windows 锁屏界面启动 PIN 重置。 用户必须进行身份验证并完成多重身份验证才能重置其 PIN。 PIN 重置完成后，用户可以使用其新 PIN 登录。

重要提示

对于已加入 Microsoft Entra 混合的设备，用户必须与域控制器建立公司网络连接才能完成破坏性 PIN 重置。 如果 AD FS 用于证书信任或仅限本地部署，则用户还必须与联合身份验证服务建立企业网络连接才能重置其 PIN。

对于已加入 Microsoft Entra 的设备：

对于已加入 Microsoft Entra 混合的设备：

注意

Microsoft Entra 混合联接设备上的密钥信任不支持从锁屏界面上方进行破坏性 PIN 重置。 这是因为用户预配其 Windows Hello 企业版凭据和能够使用该凭据进行登录之间的同步延迟。 对于此部署模型，必须部署非破坏性 PIN 重置，以便上述锁 PIN 重置正常工作。

你可能会发现，“设置”中的 PIN 重置仅在登录后有效。 此外，如果你对锁屏界面中的自助密码重置有任何匹配限制，则锁屏 PIN 重置功能不起作用。 有关详细信息，请参阅 在 Windows 登录屏幕上启用 Microsoft Entra 自助服务密码重置。