Prihlasovanie PIN-om alebo biometriou vyzerá jednoducho. Vo firme však nestačí, aby sa človek dostal do Windowsu. Potrebuje otvoriť aj lokálny súborový server či aplikáciu viazanú na Active Directory. Práve tu vzniká otázka: ako zaviesť Windows Hello for Business tak, aby používatelia nemuseli pri práci s lokálnymi zdrojmi znova zadávať heslo?
PIN nie je skrátené heslo
Windows Hello for Business používa kľúč viazaný na konkrétne zariadenie. PIN alebo biometria slúži na odomknutie tohto kľúča; PIN sa neposiela na server ako heslo. Ak má zariadenie TPM, kľúč môže byť chránený hardvérom. To je dôležitý rozdiel oproti heslu, ktoré sa dá použiť aj z iného zariadenia. Microsoft princíp vysvetľuje v prehľade Windows Hello for Business a v častých otázkach.
Čo rieši Cloud Kerberos Trust
V hybridnom prostredí môže používateľ overovať identitu cez Microsoft Entra ID, no časť služieb zostáva v lokálnom Active Directory. Model Cloud Kerberos Trust umožňuje používať Windows Hello for Business aj pre prístup k týmto lokálnym zdrojom. Microsoft ho odporúča, ak nie je potrebné riešiť scenáre certifikátového overovania. Nejde však o riešenie pre prostredie tvorené iba lokálnym AD bez Microsoft Entra ID. Zdroj: Microsoft Learn.
Používateľ vidí pohodlné prihlásenie. Správca musí zabezpečiť správne prepojenie identít, podporované zariadenia, pripravené radiče domény a politiku Windows Hello for Business. Pri prvom prihlásení po nastavení a pri prístupe k lokálnym AD zdrojom je podľa Microsoftu potrebné spojenie s radičom domény. Preto sa oplatí preveriť aj ľudí, ktorí pracujú väčšinu času mimo kancelárie. Zdroj: Microsoft Learn.
Čo skontrolovať pred nasadením
- Ktoré zariadenia sú pripojené k Microsoft Entra ID a ktoré sú hybridne pripojené.
- Či sú lokálne aplikácie a súborové služby stále závislé od Active Directory.
- Stav radičov domény, ich dostupnosť pre používateľov a podporované verzie Windowsu.
- Nastavenie politiky Windows Hello for Business a spôsob registrácie používateľov.
- Ako bude fungovať obnovenie PIN-u a čo sa stane pri strate zariadenia.
Konkrétne požiadavky sa menia podľa typu prostredia. Pred zapnutím politiky preto použite aktuálny postup nasadenia od Microsoftu a otestujte malú skupinu používateľov vrátane prístupu k lokálnym súborom, VPN a aplikáciám.
Kedy sa to oplatí
Ak firma používa Microsoft 365, spravované Windows zariadenia a zároveň jej zostali lokálne služby, Cloud Kerberos Trust môže zjednodušiť cestu k prihlasovaniu bez hesla. Výsledok závisí od pripravenosti identity a zariadení; nasadenie preto začína inventúrou, nie iba zapnutím jednej politiky.