Hello for Business im realen Einsatz

[StefanWe 14]

Hallo,

 

wir würden gerne Hello for Business einsetzen. Es ist konfiguriert und funktioniert. Aber wir haben im Lifecycle noch folgende Fragen:

 

Ziel soll es sein, Kennwortlos im Unternehmen zu arbeiten.

 

Szenario A: Ein neuer Mitarbeiter fängt bei uns an und bekommt ein Gerät in die Hand, welches Mitglied unserer Active Directory Domäne und Hybrid gejoind ins Azure AD ist. Muss ich dem Mitarbeiter jetzt erstmalig ein Passwort mitgeben? Wie erzwinge ich anschließend, das er sich nur noch mit Hello for Business anmeldet und nicht weiter mit dem Passwort?

 

Szenario B: Ein bereits vorhandener Mitarbeiter nutzt seit geraumer Zeit Hello for Business und kennt sein Passwort nicht mehr. Sein Gerät geht kaputt. Er bekommt ein neues Gerät. Muss er dann zwingend vom Help Desk ein neues Passwort erhalten? 

 

Wenn ich die GPO "Erzwinge Hello for Business oder Smart Card Anmeldung"  für Computer aktiviere, kann sich ein Benutzer nicht neu an einem Gerät mit Password anmelden. Auch ein IT Mitarbeiter kann sich nicht an dem Gerät anmelden.

 

Welche Erfahrung habt ihr im Lifecycle gemacht? 

 

 

[NilsK 3.045]

Moin,

 

ich habe (leider) noch nicht selbst damit gearbeitet, aber dies hier sieht aus, als würde es zu deiner Frage passen:

 

[Prepare people to use Windows Hello | Microsoft Learn]
https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello-prepare-people-to-use
 

Gruß, Nils

 

[StefanWe 14]

Hallo @NilsK,

leider nicht ganz. Das könnte vielleicht funktionieren, wenn wir die Geräte undeployed und AzureAD only gejoined sind.

 

Wir stellen die Geräte Active Directory und Azure AD hybrid gejoined zur Verfügung.  Vermutlich ist das auch das große Problem an der Sache.

[cj_berlin 1.508]

Moin,

 

entscheidend ist ja nicht, ob das Device AD-Mitglied ist oder nicht, sondern ob die User sich dort mit dem AD- oder mit dem Azure AD-Konto anmelden. Wenn das AD-Konto verwendet wird, ist das Kennwort immer eine Option. Vermutlich könnte man sie irgendwie tottreten, aber vermutlich wäre der Preis dafür auch der Verlust einer möglichen lokalen Anmeldung im Troubleshooting-Fall.