Windows Hello for Business（以下WHfB）は、Windowsのサインインをパスワードの入力から、その端末に紐づいた鍵とPIN・生体認証の組み合わせに置き換える仕組みです。何が満たせて何が満たせないかは Windows Hello for Businessとは（2要素認証にならない理由）で扱い、本記事は実際に入れるときの手順に絞ります。
導入の流れ（6つの手順）
- 1
前提条件を確認
エディション・TPM・ID基盤
- 2
構成を選ぶ
ADの有無で決まる
- 3
小さく試す
3〜5台で1日
- 4
展開する
グループポリシー／Intune
- 5
適用を確認
dsregcmd /status
- 6
PIN忘れの対応
PIN回復を有効に
WHfBのPINは何をしているのか
WHfBのPINは、そのPCの中の鍵を開けるためのものです。Microsoftは「その端末」と「PIN・顔・指紋」の組み合わせを2要素と位置づけていますが、どちらも同じPCの中で完結し、パスワードでのサインインも残ります。パスワードの代わりにログインを簡単にする手段で、それだけでは2要素認証になりません（多要素認証の基礎）。
パスワードとWHfBのPINの違い
パスワード
- ネットワークを流れる
- 知っていれば、どこからでも通過できる
WHfBのPIN
- ネットワークを流れない（送られるのは端末内の鍵で作った署名）
- その端末でしか使えない
- 鍵は端末のTPMに保管され、取り出せない
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
手順1：前提条件を確認する
WHfBは、端末とID管理基盤の両方に条件があります。先にここを確認せずに展開を始めると、一部の端末だけ登録できないという中途半端な状態になります。
| 確認する対象 | 条件 |
|---|---|
| Windowsのエディション | Pro／Enterprise／Education。Homeは対象外 |
| TPM | TPM 2.0 が有効であること（推奨。無い場合はソフトウェア鍵になる） |
| ID基盤 | Microsoft Entra ID、またはActive Directory（ハイブリッド構成） |
| 既存の多要素認証 | 初回登録時の本人確認に使うため、Entra ID側でMFAが利用できる状態 |
| 生体認証を使う場合 | 赤外線カメラまたは指紋センサー（非対応の端末はPINのみ） |
TPMの状態は tpm.msc で「TPM は使用する準備ができています」と出れば有効です。PowerShellでは次を使います。
Get-TpmTpmPresent と TpmReady がいずれも True であることを確認します。False の端末はBIOS／UEFIで無効か未搭載で、後から個別対応になるため展開前に洗い出します。
既存のOSログインがID・パスワードだけになっている範囲の確認は Windows OSログインの2要素認証にまとめています。
手順2：構成を選ぶ
WHfBには複数の展開モデルがあります。選択を誤ると、社内のファイルサーバーに繋がらないという形で後から問題が出ます。判断は「社内にActive Directoryがあるか」で分かれます。
| 社内の状況 | 選ぶ構成 |
|---|---|
| Active Directoryがなく、Microsoft 365中心 | クラウドのみ（Entra ID参加）。最も構成が単純 |
| Active Directoryがあり、社内サーバーにもアクセスする | ハイブリッド構成。クラウドKerberos信頼が最も導入負荷が低い |
| 社内のみでクラウドを使っていない | オンプレミス構成。証明書基盤が必要で負荷が高い |
ローカル・Active Directory・Entra IDの関係が整理できていない場合は WindowsのID管理の違いを先に確認してください。
構成選びの注意
手順3：小さく試す
全社に配る前に、必ず数台で試します。WHfBは端末ごとに登録が走るため、問題があると全社同時に問い合わせが発生します。
| 試し方 | 見ること |
|---|---|
| 対象は3〜5台 | 機種が複数あるなら機種ごとに1台ずつ |
| 実際の業務を1日通す | ログインだけでなく共有フォルダ・業務システム・VPNまで |
| 生体認証が使えない端末 | PINのみで問題なく運用できるか |
利用者側の登録は、対象PCの 設定 > アカウント > サインイン オプション から行います。ポリシーが適用されていれば、初回サインイン後に登録を促す画面が表示されます。
手順4：グループポリシーまたはIntuneで展開する
Active Directory環境（グループポリシー）の場合、次の場所で有効化します。
コンピューターの構成 > ポリシー > 管理用テンプレート > Windows コンポーネント > Windows Hello for Business > 「Windows Hello for Business を使用する」を「有効」同じ階層でPINの要件（最小文字数、英字・記号の要否）も設定できます。ここを厳しくしすぎると、利用者がPINを忘れて問い合わせが増えます。PINは端末外では使えないため、パスワードと同じ感覚で長さを要求する必要はありません。
Intuneの場合は、デバイス > 登録 > Windows Hello for Business でテナント全体の既定を設定するか、構成プロファイルで対象を絞って配布します。
テナント全体の既定を変えると、すべてのWindows端末に一斉に効きます。手順3のとおり数台で試すなら、既定は触らずに構成プロファイルで配るほうが安全です。
- Intune 管理センターで デバイス > Windows > 構成 を開き、プロファイルを新規作成する
- プロファイルの種類で「設定カタログ」を選び、「Windows Hello For Business」で検索して「Windows Hello for Business を使用する」を有効にする
- 同じ画面でPINの最小文字数など必要な項目を設定する
- 割り当てで、試験用に作ったデバイスグループ（またはユーザーグループ）だけを選ぶ
端末側の同期を待たずに確認したい場合は、対象PCの 設定 > アカウント > 職場または学校にアクセスする > 接続中のアカウント > 情報 から「同期」を押すと、プロファイルの取得が早まります。
ハイブリッド構成で「クラウドKerberos信頼」を使う場合
社内にActive Directoryがある環境では、WHfBでサインインしたまま社内のファイルサーバーなどに入れるよう、Entra ID 側にActive Directory用のKerberosサーバーのオブジェクトを作る必要があります。ドメイン管理者の権限で、PowerShellから次の流れで作成します。
Install-Module -Name AzureADHybridAuthenticationManagement -AllowClobber Set-AzureADKerberosServer -Domain ドメイン名 -UserPrincipalName 管理者のUPNそのうえで、グループポリシーの同じ「Windows Hello for Business」の階層にある「オンプレミス認証にクラウド Kerberos 信頼を使用する」を有効にします（Intuneの場合は設定カタログの同名の項目）。この設定が抜けていると、PCへのサインインはできるのに共有フォルダを開くとパスワードを求められるという形で問題が出ます。
グループポリシーで設定できるアカウント保護の範囲は グループポリシーでのアカウント保護設定にまとめています。
手順5：適用されたかを確認する
配布しただけでは確認になりません。対象PCで次を実行します。
dsregcmd /status| 出力の項目 | 意味 |
|---|---|
| AzureAdJoined / DomainJoined | 想定した参加状態になっているか |
| NgcSet | YES ならそのユーザーのWHfBの鍵が作成済み |
| WamDefaultSet | シングルサインオンの前提が整っているか |
NgcSet が NO のままの端末は、ポリシーは届いていても登録が完了していません。利用者が登録画面をスキップしている場合が多く、その場合はサインイン オプションから手動で登録してもらいます。
登録画面が出てこない場合
| 確認すること | 内容 |
|---|---|
| エディションがHomeではないか | Homeでは個人向けの Windows Hello しか使えない |
| ローカルアカウントでないか | 対象は Entra ID またはActive Directoryのアカウント |
| ポリシーが届いているか | gpresult /r、Intuneは管理センターのデバイスの構成状態 |
| MFAの方法を登録済みか | 初回登録時の本人確認ができないと先に進まない |
それでも原因が分からない場合は、イベントビューアーのアプリケーションとサービス ログ > Microsoft > Windows > User Device Registration > Admin に、登録が失敗した理由が記録されています。
手順6：PINを忘れたときの対応を決めておく
導入後に最も多い問い合わせは、PINを忘れたというものです。サインイン画面の「PIN を忘れた場合」から、Entra ID の本人確認を経て利用者自身がリセットできます。
このとき、グループポリシーやIntuneで「PIN 回復を使用する」を有効にしておくと、端末の鍵を作り直さずにPINだけを変更できます。無効のままだと鍵ごと作り直しになり、その端末の登録をやり直す手間が生じます。社員に案内する手順書に、この画面の場所を入れておくと問い合わせが減ります。
導入後に残る穴
WHfBを入れても、パスワードそのものは消えていません。ここが最も見落とされる点です。
| 残る経路 | 状態 |
|---|---|
| パスワードでのサインイン | 別の端末やWeb経由では、従来どおりパスワードで入れる |
| リモートデスクトップ接続 | 構成によってはWHfBが効かず、パスワードでの接続が通る（RDPの多要素認証） |
| 共有アカウント | 1つのIDを複数人で使うと本人確認にならない（共有アカウントの廃止） |
| サービスアカウント | 人が使わないアカウントは対象外（サービスアカウントの管理） |
「端末のログインは簡単になったが、同じIDとパスワードで外から入れる経路は残っている」という状態になりやすい点は、導入後も意識しておきます。経路ごとの穴の残り方は 多要素認証をすり抜ける経路で整理しています。
入れたあと日々の仕事で変わること
WHfBの導入後に担当者の手間になりやすいのは、「PINを忘れた」「サインインできない」という社員からの連絡と、どのPCがどの状態かを確かめる作業です。全PC・サーバーを1か所で管理できるようにしておくと（アプリップリキー）、次のように普段の仕事が楽になります。
- 「入れない」と言われたとき、席まで行かずに、どのPCで誰がログインに失敗したかをその場で確かめられます。
- OSの種類や最新OSかどうか、7日以上連絡のないPCを1画面で見られるので、Helloを展開する前の洗い出しで1台ずつ見て回らずに済みます。
- ログイン記録（日時・利用者・接続元のPC名とIPアドレス）を絞り込んでCSVで出せるので、取引先のチェックシートや監査で聞かれても、その日のうちに出せます。
そのうえで、PC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにすれば、2要素認証にできます。毎回の操作はスマホでワンタッチなので、社員の手間はほとんど増えません。
よくある質問
Windows Hello for Businessは2要素認証になりますか
Microsoftは端末の鍵とPIN・生体の組み合わせを2要素と位置づけていますが、同じPCの中で完結し、パスワードでのサインインやリモートデスクトップ接続も残ります。ログインを簡単にする手段で、それだけでは2要素認証になりません。2要素認証にするには、PCとは別の本人のスマホなど、2つ目の確認を組み合わせます。
TPMがない端末でも使えますか
ポリシーによってはソフトウェアで鍵を保持する形で動作しますが、鍵の保護強度は下がります。Helloを使うなら、TPM 2.0 が有効な端末に揃えることをおすすめします。
PINを忘れた場合はどうなりますか
その端末の鍵を作り直すことになります。Entra ID側の本人確認を経てPINをリセットする流れになるため、事前にリセット手段を用意しておかないと現地対応が必要になります。
導入後もパスワードは残りますか
残ります。WHfBは端末のサインイン方法を置き換えるもので、アカウント自体のパスワードが消えるわけではありません。パスワード自体をなくす構成にするには、別途設定が必要です。
いまの運用を棚卸ししてみる
WHfBは端末のログインを簡単にする手段ですが、見ておきたい経路は端末だけではありません。サーバー、リモートアクセス、パスワード管理、アカウント管理まで含めて、どこが弱いかを把握しておく必要があります。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
- Microsoft Learn「Windows Hello for Business」
- Microsoft Learn「Windows Hello for Business の展開」
- 情報処理推進機構（IPA）情報セキュリティ
※ 本記事は2026年9月時点の一般的な解説です。画面の名称・設定項目の場所は、Windowsおよび管理ツールのバージョンによって異なる場合があります。設定の変更は、影響範囲を確認のうえ実施してください。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。