Windows hello for business 等を使う場合にパスワードの利用を禁止させることは可能か
はじめに
Entra参加デバイスなどでWindows hello for business を利用する場合に、既定ではロック画面のオプションとして、パスワードの表示が残ってしまう。（Windows hello for businessも、パスワードもどちらも利用できる状態になる）
パスワードのオプションを表示させない方法はあるか調べてみた。
結論：Entra参加端末では可能。
下記公式ドキュメントに書いてあります。
ハイブリッド参加済みデバイス、AD参加デバイスでは不可であり、Entra参加端末では可能と記載があります。
KB5030310を使用したバージョン 22H2 Windows 11以降、Windows パスワードレ エクスペリエンスは、Microsoft Entra参加しているデバイスでパスワードのないユーザー エクスペリエンスを促進するセキュリティ ポリシーです。
Windows パスワードレス エクスペリエンスでは、Windows Helloまたは FIDO2 セキュリティ キーを使用してサインインするユーザー:
Windows ロック画面でパスワード資格情報プロバイダーを使用できない
セッション内認証中にパスワードを使用するように求められません (たとえば、UAC 昇格、ブラウザーのパスワード マネージャーなど)
[アカウント] > [設定] アプリの [パスワードの変更] オプションがありませんMicrosoft Entraハイブリッド参加済みデバイスと Active Directory ドメイン参加済みデバイスは現在スコープ外です。
設定方法
Intune＞設定カタログ＞パスワードレスエクスペリエンス で設定が可能です。
注意点
ただこれは、パスワードを完全に廃止するわけではなく、
例えば
・Ctrl+ALT+DEL>アカウントを管理 であればパスワードをリセットできる
・「他のユーザー」からアカウント切り替えをしてIDとパスワードを入力すれば、パスワードでサインインが可能
など、あくまで日常的にパスワードを使わないように非表示にする、というイメージとなります。
また、ブラウザのパスワードマネージャーも利用不可になるなどの記載もあります。
Windows パスワードレス エクスペリエンスが有効になっている場合、ユーザーはセッション内認証シナリオでパスワード資格情報プロバイダーを使用できません。 セッション内認証のシナリオは次のとおりです。
Web ブラウザーのパスワード マネージャー
Discussion