Deshabilite Windows Hello para empresas usando Intune: guía completa

En este artículo, le mostraré cómo deshabilitar Windows Hello para empresas usando Intune. Ahora puede usar Intune para deshabilitar el mensaje "Su organización requiere Windows Hello" o "Use Windows Hello con su cuenta" durante la OOBE del piloto automático y deshacerse de WHfB de forma permanente.

Windows Hello es una función de desbloqueo de dispositivos biométricos que funciona con huellas dactilares o reconocimiento facial. Microsoft Intune se puede utilizar para administrar Windows Hello y se puede acceder a él en Windows 10 y Windows 11. Un método más seguro para iniciar sesión en dispositivos es con Windows Hello.

Con Microsoft Intune, puede configurar una política para todo el inquilino que indique a los dispositivos Windows 10 o Windows 11 que utilicen Windows Hello para empresas cuando se inscriban en Intune. Esta política está dirigida a toda su organización y admite la experiencia inmediata de Windows Autopilot (OOBE).

Si elige no configurar una política para todo el inquilino para Windows Hello para empresas, puede usar un perfil de protección de identidad de configuración de dispositivo para configurar grupos de dispositivos para Windows Hello. Las organizaciones que no usan Intune pueden utilizar la política de grupo para deshabilitar Windows Hello. Si desea desactivar Windows Hello para empresas mediante Intune, esta publicación es para usted.

¿Por qué desactivar Windows Hello para empresas?

Aunque Windows Hello es una gran característica, no todo el mundo la necesita. No todas las organizaciones prefieren usar Windows Hello porque requiere autenticación de factor de remolque en lugar de contraseñas. Cuando asigna una nueva computadora portátil a sus empleados provista por Autopilot, Windows Hello aparece durante la OOBE.

Su organización requiere Windows Hello durante la OOBE de Autopilot

La siguiente captura de pantalla es un ejemplo de la pantalla Windows Hello que aparece en la computadora portátil equipada con Autopilot durante la OOBE. Con Windows Hello para empresas habilitado durante el piloto automático controlado por el usuario, verá la ventana con el siguiente mensaje:

Utilice Windows Hello con su cuenta. Su organización requiere que configure su cuenta profesional o educativa con Windows Hello Face, huella digital o PIN. Si ya configuró Windows Hello en este dispositivo, lo agregaremos automáticamente para esta cuenta. Es posible que se le solicite que vuelva a verificar con Windows Hello. Si su organización requiere un PIN más complejo, Windows le pedirá que lo cambie.

Diferencia entre Windows Hello y Windows Hello para empresas

Con Windows Hello, las personas pueden crear un PIN o un gesto biométrico en sus dispositivos personales para iniciar sesión cómodamente. Esta configuración se conoce como PIN de conveniencia de Windows Hello y no está respaldada por autenticación asimétrica (clave pública/privada) o basada en certificados.

Mientras que Windows Hello para empresas se configura mediante una política de grupo o una política de administración de dispositivos móviles (MDM), como Intune, siempre utiliza autenticación basada en claves o certificados. Este comportamiento lo hace más seguro que el PIN de conveniencia de Windows Hello.

Formas de desactivar Windows Hello para empresas

A continuación se enumeran diferentes formas de deshabilitar la configuración de Windows Hello para empresas en Intune.

Configure Windows Hello para empresas desde la inscripción de Windows (se aplica a todo el inquilino)
Utilice el perfil de configuración del dispositivo WHfB de Intune para deshabilitar Windows Hello para empresas (método con alcance)
Utilice Endpoint Security - Protección de cuenta

Quiero resaltar un punto importante aquí. Cuando deshabilita Windows Hello para empresas desde la configuración de inscripción de Windows, la configuración se aplica a todo el inquilino y no puede tener un alcance. Utilice este método si desea eliminar el mensaje Hola para empresas durante la OOBE (para Autopilot, por ejemplo).

Deshabilite Windows Hello para empresas usando Intune

Deberá iniciar sesión con un Intune rol de administrador. Realice los siguientes pasos para deshabilitar Windows Hello para empresas mediante Intune:

Inicie sesión en el Centro de administración de Microsoft Intune.
Vaya a Dispositivos > Windows > Inscripción de Windows.
En la sección General, seleccione Windows Hello para empresas.

En la ventana de Windows Hello para empresas, vemos dos opciones:

Configurar Windows Hello para empresas: No configurado.
Utilice claves de seguridad para iniciar sesión: No configurado.

Junto a la opción "Configurar Windows Hello para empresas", seleccione el menú desplegable y seleccione Desactivado. Cuando está deshabilitado, los usuarios no pueden aprovisionar Windows Hello para empresas.

Nota: Si no desea habilitar Windows Hello para empresas durante la inscripción del dispositivo, configure Configurar Windows Hello para empresas en Deshabilitado. Cuando está deshabilitado, aún puede configurar las configuraciones posteriores para Windows Hello para empresas, aunque esta política no habilitará Windows Hello para empresas.

Las otras opciones que ve son aplicables cuando habilita la opción Configurar Windows Hello para empresas. Una vez que haya realizado los cambios anteriores, seleccione Guardar.

Esto desactivará

Configurar Windows Hello para empresas usando Intune

A veces, incluso después de desactivar Windows Hello para empresas, los usuarios ven la pantalla Windows Hello durante el inicio de sesión. Si desea deshabilitar la configuración de Windows Hello para empresas para un grupo de dispositivos o de usuarios específico y no para todo el inquilino de Intune, debe crear un perfil de configuración.

Realice los siguientes pasos para crear un perfil de configuración de dispositivo en Intune para configurar Windows Hello para empresas. Primero inicie sesión en el centro de administración de Intune. Seleccione Dispositivos > Perfiles de configuración > Crear perfil.

En la ventana Crear un perfil , configure lo siguiente y seleccione Crear.

Plataforma: Windows 10 y posterior
Tipo de perfil: Plantillas
Nombre de la plantilla: Protección de identidad

En la pestaña Conceptos básicos , ingrese las siguientes propiedades.

Nombre: Introduzca un nombre descriptivo para el perfil que podrá identificar fácilmente más adelante. Por ejemplo, un buen nombre de perfil es Configurar Windows Hello para empresas.
Descripción: introduzca una breve descripción del perfil. Esta configuración es opcional, pero recomendada.

Haga clic en Siguiente.

Junto a la configuración "Configurar Windows Hello para empresas", haga clic en el menú desplegable y seleccione Desactivado. La configuración "Usar claves de seguridad para iniciar sesión" está establecida en No configurado. Seleccione Siguiente.

En la pestaña Asignaciones , seleccione los grupos de Azure AD que recibirán el perfil WHfB. Haga clic en Siguiente.

En la pestaña Reglas de aplicabilidad , puede usar las opciones Regla, Propiedad y Valor para definir cómo Intune El perfil WHfB se aplica dentro de los grupos asignados. Por ejemplo, puede aplicar este perfil de Windows Hello para empresas a una versión de Windows o edición de sistema operativo específica. Intune aplica el perfil a los dispositivos que cumplen con las reglas que ingresa. No voy a especificar nada aquí, haz clic en Siguiente.

En Revisar + crear, revise la configuración de Windows Hello para empresas. Cuando selecciona Crear, los cambios se guardan y se asigna el perfil WHfB de Intune. La política también se muestra en la lista de perfiles del centro de administración de Intune.

Después de haber asignado el perfil WHfB de Intune a sus dispositivos y usuarios, la configuración del perfil se aplicará gradualmente una vez que los dispositivos se registren con el servicio Intune. También puedes forzar políticas de sincronización de Intune en tus ordenadores.

Supervisar el estado del perfil WHfB de Intune

Puede monitorear los perfiles de configuración del dispositivo en Microsoft Intune con unos simples pasos. Además, puede comprobar el estado de un perfil, ver qué dispositivos están asignados y actualizar las propiedades de un perfil. Para lograrlo, vaya a Dispositivos > Perfiles de configuración > seleccione Configurar el perfil de Windows Hello para empresas. En la sección "Estado de registro de usuario y dispositivo", seleccione Ver informe.

En la captura de pantalla siguiente, vemos que la asignación del perfil se realizó correctamente en varios dispositivos. En caso de que encuentre algún error, el código de error le ayudará a solucionar los errores de asignación de perfiles en Intune.