Windows Hello for Business

概要

Windows Hello for Business（WHfB）は、端末内の TPM に保護された秘密鍵を使う鍵ベース認証です。PIN や生体認証は「秘密鍵のローカル解除」に使われ、パスワードはネットワークに送られません。

仕組みの要点

端末が公開鍵/秘密鍵ペアを生成し、公開鍵を AD または Azure AD に登録します。
認証時は秘密鍵で署名し、サーバー側で公開鍵を使って検証します。
展開方式は「キー信頼」や「証明書信頼」などの構成に分かれます。

利点

パスワード依存を減らし、フィッシング耐性を高めやすい。
デバイス要因（TPM）とユーザー要因（PIN/生体）を組み合わせられる。

注意点

TPM の有無、回復手段、端末入れ替え時の運用が重要。
既存の Kerberos/AD 連携やクラウド ID との整合を確認する必要があります。