将生物识别身份验证与 Active Directory 结合使用

利用生物特征进行用户身份验证的生物识别技术越来越受欢迎，并成为安全技术的重要组成部分。面部识别和指纹识别等方法广泛应用于医疗保健、银行和酒店等各个行业，以确保数字交易的安全并提供无缝的用户体验。预计到 2031 年，全球生物识别市场将达到 1361.8 亿美元，其中亚洲和北美的采用率最高。生物识别技术的使用日益增加，可归因于面部识别的普及、语音生物识别的便利性、人工智能的进步、恐怖主义和网络犯罪对多因素身份验证的需求以及对非接触式身份验证方法的需求等因素在 COVID-19 大流行期间。随着技术的不断进步，采用的障碍将会减少，从而导致生物识别技术的进一步增长和使用。

如何在 Active Directory 中实施生物识别身份验证

以下是在 Active Directory 和 Azure AD 中开始使用生物识别身份验证的一些最简单方法。

使用 Windows Hello

使用 Windows Hello 是在 Active Directory 中实施生物识别身份验证最广泛推荐的方法。它允许跨 Windows 设备进行指纹身份验证，并且用户无需记住 PIN 码或密码。通过要求用户使用面部识别或指纹扫描仪登录，可以降低未经授权访问的风险。 Windows Hello 在 Microsoft Passport 中注册用户凭据，允许对 Microsoft 帐户、Active Directory 和其他支持快速 ID Online (FIDO) 标准的服务进行身份验证。该系统可以使用移动设备摄像头和指纹识别器，以及带有指纹识别器的笔记本电脑。

使用公钥基础设施

公钥基础设施 (PKI) 是所有强身份验证因素（包括生物识别身份验证）的基础。 Azure AD 用户现在可以使用 FIDO2 安全密钥访问其帐户，无需密码，该安全密钥可以由 Microsoft Authenticator 应用或 Windows Hello 生成。这些密钥有助于验证 Active Directory 环境中服务的用户和设备。此外，Microsoft Entra 中的组合注册门户已更新，使用户能够创建和管理 FIDO2 安全密钥。 FIDO2 安全密钥还可用于在最新版本的 Edge 和 Firefox 浏览器上跨 Azure AD 加入的 Windows 10 设备进行身份验证。

相应准备设备

在新的 Windows 10 设备的设置过程中，系统会询问用户该设备是属于组织还是个人设备。如果它属于组织，系统会提示用户选择连接到企业资源的首选方法。他们可以选择使用 Azure Active Directory 加入或设置本地帐户并稍后手动加入域。一旦用户成功选择，系统就会要求他们验证身份。这可以通过接听电话或短信并输入代码来完成。有时，身份验证应用程序也用于此目的。在某些情况下，组织可能会启用允许生物识别身份验证的组策略设置，例如通过 Windows Hello 进行指纹、虹膜或面部识别。然而，只有当设备配备了必要的硬件时，才能使用生物特征认证。

启用微软护照

Microsoft 使用组策略可以轻松地在工作场所实施 Microsoft Passport。 Microsoft Passport 的集成取决于所使用的设备类型，无论是加入域的设备还是用户拥有的设备。组策略对象编辑器中的“使用生物识别”设置允许使用生物识别设备，例如视网膜扫描仪和指纹读取器，而不是 PIN。默认情况下启用生物识别设备的使用，但可以将其禁用以仅接受 PIN 码。如果组织选择允许生物识别身份验证，则还有与生物识别技术专门相关的其他组策略设置，位于：

计算机配置 > 策略 > 管理模板 > Windows 组件 > 生物识别。

使用过期设置

Windows Server 中的“过期”设置决定用户的 PIN 是否过期。如果禁用或未配置，PIN 码永远不会过期。启用此设置允许管理员指定 PIN 过期的天数，最小值为零，最大值为 730 天。 “历史记录”设置决定了有多少以前的 PIN 被存储并禁止重复使用。默认情况下，Windows 不存储 PIN 历史记录。启用此设置允许管理员指定要存储的 PIN 数，包括将当前 PIN 作为历史记录项目之一。 “需要特殊字符”设置确定用户的 PIN 码中是否可以使用特殊字符。默认情况下，Windows 不允许使用特殊字符。启用此设置要求用户在其 PIN 中至少包含一个特殊字符。