azure - 使用 CredUIPromptForWindowsCredentials 验证 FIDO2 token

Question

我有一个 Azure AD 加入系统，设置为使用 FIDO2 token 登录。使用该 token ，我可以登录并解锁 Windows 10 计算机，因此我知道该 token 已注册并正在运行。

当我尝试使用 CredUIPromptForWindowsCredentials 验证用户的 YubiKey 时，我没有看到“FIDO 安全 key ”作为选项之一。

在同一系统上，当连接并设置指纹扫描仪时，我会看到验证指纹的选项。 PIN 和 Windows 智能卡身份验证也正常工作。

有人知道为什么“FIDO 安全 key ”不会作为调用 CredUIPromptForWindowsCredentials 时出现的安全对话框上的选项出现，但会在 Windows 登录和解锁屏幕上出现并起作用吗？

Answer 1

从 Windows 10 1903 开始​​，除非以管理员权限运行，否则您只能通过 Windows Hello 访问 FIDO 设备。我再也找不到谈论此问题的原始 Microsoft 变更日志，我前段时间确实读过它，但我认为它已被删除，但是 this issue讨论这个。

这解释了为什么它显示在在 SYSTEM 帐户下运行的登录屏幕上，但在使用 CREDUI 中运行的 CredUIPromptForWindowsCredentials 时却不显示。模式，即在用户帐户下。

因此，您必须正确配置 Windows Hello 才能使用 FIDO 设备，或者如果您正在开发自己的凭据提供程序，则必须使用 Windows Hello API。