Windows 11 のハイブリッド Azure AD Join 環境で Windows Hello for Business（WHfB）を展開すると、「利便性 PIN（Convenience PIN）は止めたいが、WHfB 側の PIN 登録まで壊してしまわないか？」という不安がよく出てきます。本記事では AllowDomainPINLogon レジストリの意味と WHfB との関係を整理し、GPO／Intune を使った現実的な構成・運用パターンを具体的に解説します。
なぜ「Windows Hello を無効化する・しない問題」が起きるのか
Windows 11 で「PIN（Windows Hello）」を無効化しようとすると、実は以下の 2 つが同じ画面に並んでいるため、管理者・利用者ともに混乱しがちです。
- 従来の 利便性 PIN（Convenience PIN）
- 企業向けの Windows Hello for Business（WHfB）用 PIN／生体認証
さらに、ドメイン参加端末では Windows 10 バージョン 1607 以降、利便性 PIN は既定で無効化されており、必要なら GPO「利便性 PIN サインインを有効にする（Turn on convenience PIN sign-in）」で有効化する、という歴史的経緯もあります。
その結果、次のような疑問が生まれます。
- AllowDomainPINLogon=0（利便性 PIN 禁止）にすると WHfB PIN 登録まで止まるのでは？
- ユーザーが勝手に「古い PIN」を作らないようにしつつ、WHfB だけ使わせたい
結論から言うと、AllowDomainPINLogon=0 にしても WHfB の登録・利用には影響しません。ただし、GPO／Intune の設計をきちんと分けておかないと、現場での問い合わせやトラブルの原因になります。
用語の整理：「利便性 PIN」と「WHfB PIN」は別物
まずは両者の違いをしっかり分解しておきます。ここが分かれば、AllowDomainPINLogon をどう設定すべきかが自然に見えてきます。
| 項目 | 利便性 PIN（Convenience PIN） | Windows Hello for Business（WHfB） |
|---|---|---|
| 対象 OS / 想定用途 | 個人利用～小規模環境向けの簡易 PIN | 企業環境向けのモダン認証（パスワードレス MFA） |
| サポートされるアカウント | ローカル アカウント / オンプレ AD ユーザー | Microsoft Entra ID（旧 Azure AD）およびハイブリッド ID、オンプレ AD（キー信頼／証明書信頼など） |
| Microsoft Entra ID との関係 | Entra ID アカウントの認証には 非対応。ハイブリッド Join 端末でも、利便性 PIN で Entra ID サインインはできない。 | Entra ID / ハイブリッド環境での推奨方式。条件付きアクセスや多要素認証と統合可能。 |
| 認証の仕組み | 端末ローカルに保持した情報を元にしたパスワード代替。組織の鍵管理・証明書とは連携しない。 | TPM で保護された秘密鍵を生成し、PIN／生体認証はその鍵を解錠する「合図（ジェスチャ）」として利用。鍵ベース（キー信頼）や証明書ベース（証明書信頼）など複数モデル。 |
| 管理ポリシー | GPO「利便性 PIN サインインを有効にする」、レジストリ AllowDomainPINLogon 等で制御。 | GPO / Intune の「Use Windows Hello for Business」「Use a hardware security device」など、専用のポリシー群で制御。 |
| セキュリティ ベースライン | 企業向けセキュリティ ベースラインでは多くの場合「無効（Disabled）」が推奨。 | 条件付きアクセスや FIDO2 などと並ぶ、推奨されるパスワードレス要素。 |
| ハイブリッド AD Join との相性 | Microsoft Entra アカウントでは使用不可のため、ハイブリッド環境でのメイン認証方式としては不適。 | ハイブリッド AD Join / Cloud Kerberos Trust / Key Trust / Cert Trust などと組み合わせる公式シナリオが用意されている。 |
つまり、「Windows Hello」と一括りに見えても、利便性 PIN と WHfB PIN は別物であり、管理ポリシーも連動していないと考えるのがポイントです。
AllowDomainPINLogon レジストリの正体
質問の中心にいるレジストリがこちらです。
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System
AllowDomainPINLogon (DWORD)
これは GPO「利便性 PIN サインインを有効にする（Turn on convenience PIN sign-in）」と 1 対 1 で紐づく値で、ドメイン ユーザーが 利便性 PIN でサインインできるかどうかを制御します。
- 1（有効／Enabled）: ドメイン ユーザーが利便性 PIN を作成・サインインできる
- 0（無効／Disabled）: ドメイン ユーザーは利便性 PIN を利用できない
重要なのは、この値が制御しているのはあくまで 「Convenience PIN」だけ という点です。
WHfB の有効／無効は、別のポリシー「Use Windows Hello for Business」などによって決まります。
AllowDomainPINLogon=0 で WHfB はどうなる？（結論）
Microsoft の Windows Hello for Business FAQ では、利便性 PIN は Microsoft Entra ID アカウントの認証には利用できないと明記されています。
つまり、ハイブリッド Azure AD Join（Microsoft Entra ID + オンプレ AD）で WHfB を使う場合、そもそも利便性 PIN は Entra アカウントのサインインに関与しません。このため、
- AllowDomainPINLogon=0（利便性 PIN を禁止）にしても
- Use Windows Hello for Business を有効化し、WHfB の前提条件を満たしていれば
WHfB の PIN／生体認証登録（プロビジョニング）と、その後の利用には影響しません。
現行の Windows 10/11 では、設定画面「PIN（Windows Hello）」の UI から PIN をセットアップした場合でも、バックエンドが WHfB に構成されていれば 作られるのはあくまで WHfB のキー です。利便性 PIN を有効にする GPO は、「古いスタイルの Convenience PIN を許可するかどうか」を制御しているに過ぎません。
ハイブリッド AD Join + WHfB 環境のおすすめ方針
Windows 11 端末を Microsoft Entra ハイブリッド Join させ、WHfB で統一運用する場合、ポリシーの基本方針は次のようになります。
- 利便性 PIN（Convenience PIN）：禁止（無効化）
- Windows Hello for Business：有効化し、組織のセキュリティ要件に合わせて詳細を構成
この方針に沿って、GPO と Intune それぞれの代表的な設定例を見ていきます。
GPO での構成例：利便性 PIN を止めて WHfB を有効化
利便性 PIN を禁止する GPO 設定
オンプレ AD 管理の GPO で、利便性 PIN を明示的に無効化します。
- グループ ポリシー管理エディターを開く
コンピューターの構成 > 管理用テンプレート > システム > ログオンに移動- ポリシー 「利便性 PIN サインインを有効にする（Turn on convenience PIN sign-in）」 を開く
- [無効（Disabled）] を選択し、適用
これにより、該当 GPO が適用されたドメイン端末では、AllowDomainPINLogon=0 がセットされ、ユーザーは利便性 PIN を新規作成できなくなります。
WHfB を有効化する GPO 設定
次に WHfB を有効化し、必要に応じてキー信頼／証明書信頼モデルを選択します。
コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > Windows Hello for Businessに移動- 以下のポリシーを設定
- 「Windows Hello for Business を使用する（Use Windows Hello for Business）」
→ [有効（Enabled）] - 「ハードウェア セキュリティ デバイスを使用する（Use a hardware security device）」
→ TPM を必須にする場合は [有効] - 証明書信頼モデルを採用する場合は
「オンプレミス認証に証明書を使用する（Use certificate for on-premises authentication）」
→ [有効]
- 「Windows Hello for Business を使用する（Use Windows Hello for Business）」
ユーザー単位で制御したい場合は、同じポリシーが ユーザーの構成 > 管理用テンプレート > Windows コンポーネント > Windows Hello for Business にも用意されているため、グループ フィルタリングと組み合わせて利用します。
RDP で WHfB を使いたい場合の追加設定
リモート デスクトップ接続で WHfB の PIN／生体認証を利用したい場合、以下のポリシーも検討します。
- 「リモート サインインに Windows Hello for Business 認証情報の使用を許可する（Use Windows Hello for Business credentials for remote sign‑in）」
これにより、クライアント側で Hello でロック解除 → RDP セッションにも WHfB 資格情報を流用、といったユーザー体験が可能になります。
Intune（Microsoft Intune）での構成例
ハイブリッド管理（ConfigMgr + Intune 共存）やクラウド ネイティブ管理では、WHfB の大部分を Intune 側で実装するケースも多くなっています。
WHfB 構成プロファイル（Identity protection）
Intune では、「Identity protection」プロファイル（または Settings Catalog）を使って WHfB を有効化します。
- Intune ポータルで デバイス > 構成プロファイル を開く
- 新しいプロファイルを作成
- プラットフォーム：Windows 10 and later
- プロファイルの種類：Identity protection または 設定カタログ
- 主な設定例
- Enable Windows Hello for Business：Enabled
- Use Windows Hello for Business：Enabled
- Require security device（TPM 必須）: Enabled
- PIN の最小桁数、履歴、複雑性（数字のみ／英数字など）
- 生体認証（顔／指紋）を許可するかどうか
- ハイブリッド Join 端末用のセキュリティ グループに割り当てる
Intune で利便性 PIN をブロックする
Intune からも、管理用テンプレート（Administrative Templates）を使えば「Turn on convenience PIN sign-in」ポリシーを配布できます。
- Intune で 構成プロファイル > 管理用テンプレート を新規作成
- カテゴリ System > Logon の中から
- Turn on convenience PIN sign-in を探す
- 値を Disabled に設定
これで、クラウド管理デバイスであっても、AllowDomainPINLogon=0 と同等の制御を Intune 側で一元管理できます。
ハイブリッド Azure AD Join の前提条件チェック
WHfB をハイブリッド Join 端末で使うには、端末が正しく 「Hybrid Azure AD Join（Microsoft Entra hybrid joined）」 状態になっていることが大前提です。
代表的なチェックポイントは次の通りです。
- オンプレ AD と Microsoft Entra ID（旧 Azure AD）の同期（Entra Connect / Cloud Sync）が正常
- GPO または Azure AD Connect の設定により、対象 OU のデバイスが自動でハイブリッド Join されるようになっている
- クライアント OS は Windows 10 1803 以降、または Windows 11（推奨は最新のビルド）
dsregcmd /statusの結果で- AzureAdJoined : YES
- DomainJoined : YES
- 端末がインターネット経由で Entra ID エンドポイントに到達できる（プロキシ／ファイアウォール設定を含む）
この前提が崩れていると、WHfB 自体がプロビジョニングに失敗するため、「PIN が作れない＝AllowDomainPINLogon のせい？」と誤解されやすくなります。まずはデバイス Join 状態と WHfB のイベントログを確認しましょう。
ユーザー側から見た挙動の違い
AllowDomainPINLogon=0 と WHfB 有効化の組み合わせにすると、利用者の画面上では次のような挙動になります。
サインイン オプション画面の見え方
- 利便性 PIN 禁止 & WHfB 無効 の場合
- 「PIN（Windows Hello）」オプション自体が表示されない、あるいは「一部の設定は組織によって管理されています」と表示されて灰色になる
- 利便性 PIN 禁止 & WHfB 有効 の場合
- 「PIN（Windows Hello）」という表記は表示される
- 初回サインイン時または Windows セキュリティ（アカウントの保護）からの誘導で WHfB セットアップ ウィザードが起動する
- このとき作成される PIN は WHfB の鍵を解錠する PIN であり、利便性 PIN ではない
UI 上はどちらも「PIN（Windows Hello）」と表示されるため、画面だけを見て利便性 PIN か WHfB PIN かを区別するのはほぼ不可能です。実際にはバックエンドで使用される鍵の種類や、認証フロー（Entra ID か、オンプレ AD か）がまったく異なります。
Windows セキュリティからのセットアップ
最近の Windows では、設定アプリだけでなく Windows セキュリティ アプリ（Windows Security）側の「アカウントの保護」から PIN セットアップを促されるケースもあります。この場合、GPO「Turn on convenience PIN sign-in」で UI を有効化しても、実際に作られるのは WHfB PIN になる、という挙動が確認されています。
逆に言えば、WHfB で統一するつもりなら、利便性 PIN を有効化しておく必要はなく、AllowDomainPINLogon=0 のままで問題ありません。
運用上のベスト プラクティス
ここまでを踏まえ、Hybrid AD Join + WHfB 展開時の実務的なポイントをまとめます。
1. 利便性 PIN は明示的に禁止する
- GPO または Intune の管理用テンプレートで「Turn on convenience PIN sign-in」を Disabled にする
- レジストリを直接配布する方法もありますが、構成管理と監査の観点では GPO／Intune 経由が無難
- セキュリティ ベースラインとも整合が取れ、監査対応もしやすくなります。
2. WHfB はポリシーで一元管理する
- 「Use Windows Hello for Business」を Enabled にし、PIN 桁数や生体認証の可否も組織ポリシーとして定義
- TPM2.0 のみ許可する／TPM 必須とする設定（Use a hardware security device）でセキュリティ レベルを揃える
- パイロット用 OU／グループを作り、まずは一部ユーザーで検証してから全社展開する
3. ハイブリッド Join の健全性を常にモニタリング
- 定期的に
dsregcmd /statusをサンプリングして、Hybrid Join 状態をチェック - Azure ポータル（Entra 管理センター）でデバイスの Join 状態が想定通りか確認
- 「Join されていないから WHfB が出てこない」のに「AllowDomainPINLogon=0 のせいだ」と誤解されるケースを事前に防止
4. ログとイベントを押さえておく
トラブルシュートの観点から、次のログを「困ったときにまず見る場所」として運用手順に書いておくと便利です。
アプリケーションとサービス ログ > Microsoft > Windows > User Device Registrationアプリケーションとサービス ログ > Microsoft > Windows > HelloForBusiness- Azure AD サインイン ログ（条件付きアクセスの評価や MFA の状況確認）
よくある質問（FAQ）
Q1. AllowDomainPINLogon=0 にすると WHfB の PIN 作成画面も消えますか？
A. 消えません。
AllowDomainPINLogon はあくまで「利便性 PIN（Convenience PIN）」の可否を制御するものであり、WHfB のプロビジョニングは「Use Windows Hello for Business」ポリシーなど別の設定で制御されています。
Q2. ハイブリッド Azure AD Join で WHfB を使う場合、利便性 PIN を有効にするメリットはありますか？
A. 基本的にはありません。
利便性 PIN は Microsoft Entra ID アカウントの認証には対応していないため、ハイブリッド Join 端末のメイン認証方式としては利用できません。
むしろユーザーを混乱させ、サポート コストを増やす可能性があるため、WHfB 統一を目指すなら利便性 PIN は明示的に無効化しておくのがシンプルです。
Q3. 一部ユーザーだけ WHfB を強制したくない場合は？
A. GPO のスコープや Intune のグループで制御します。
「Use Windows Hello for Business」はコンピューター単位／ユーザー単位のどちらでも配布できるため、
- パイロット グループだけに WHfB を適用
- 管理者用アカウントは WHfB から除外（別の多要素認証ポリシーを適用）
といった柔軟な構成が可能です。
Q4. WHfB で PIN を使うと「パスワードより弱くなる」のでは？
A. WHfB PIN は「秘密鍵を解錠する合図」であり、単体で比較はできません。
WHfB の実態は「TPM 内に格納された鍵を用いた公開鍵認証」で、PIN や顔・指紋はその鍵を使用する権利を持つユーザーであることを端末ローカルで確認する手段です。
PIN そのものはオンラインで流れず、パスワードのようにリプレイ攻撃の対象になるわけではないため、適切に構成された WHfB は従来のパスワード単体よりも高いセキュリティを提供します。
Q5. 既に利便性 PIN を使っているユーザーがいる場合、WHfB に切り替えるとどうなりますか？
A. 利便性 PIN と WHfB PIN は別物なので、移行計画を立てて段階的に置き換える必要があります。
最近の Windows では、「Turn on convenience PIN sign-in」を有効にした状態で Windows セキュリティから PIN を再設定すると、裏側で WHfB 登録が行われる挙動も報告されていますが、環境によって差があります。
現実的には、
- WHfB ポリシーを段階的に有効化し
- 利用者に再サインイン＋新しい PIN 登録を案内し
- 最終的に利便性 PIN を無効化（AllowDomainPINLogon=0）する
というステップを踏むと、トラブルや問い合わせを最小限に抑えつつ移行できます。
まとめ：AllowDomainPINLogon=0 は WHfB 展開の敵ではない
本記事のポイントを整理すると、次のようになります。
- AllowDomainPINLogon=0 は「利便性 PIN（Convenience PIN）」だけを禁止する設定であり、Windows Hello for Business の登録や利用には直接影響しない
- ハイブリッド Azure AD Join + WHfB 環境では、利便性 PIN は Microsoft Entra アカウントの認証に対応しておらず、むしろ混乱要因になりやすい
- GPO／Intune では
- 「Turn on convenience PIN sign-in」：Disabled（利便性 PIN を禁止）
- 「Use Windows Hello for Business」：Enabled（WHfB を有効化）
- 導入時は、ハイブリッド Join の前提条件とイベントログを確認しつつ、パイロット展開 → 段階的なロールアウトを行うのが安全
「Windows Hello を無効化したい」という要件の裏には、「古い Convenience PIN を止めたい」と「WHfB だけをしっかり使わせたい」という 2 つの願いが隠れています。AllowDomainPINLogon と WHfB ポリシーをきちんと切り分けて設計することで、セキュアかつサポートしやすいサインイン基盤を構築できるはずです。
コメント