{"id":1274,"date":"2026-10-29T10:14:58","date_gmt":"2026-10-29T09:14:58","guid":{"rendered":"https:\/\/remivernier.com\/?p=1274"},"modified":"2026-10-29T10:14:58","modified_gmt":"2026-10-29T09:14:58","slug":"windows-hello-for-business-etat-ngc-dsregcmd","status":"publish","type":"post","link":"https:\/\/remivernier.com\/index.php\/2026\/10\/29\/windows-hello-for-business-etat-ngc-dsregcmd\/","title":{"rendered":"Windows Hello for Business: lire l’\u00e9tat NGC avec dsregcmd"},"content":{"rendered":"

Sur notre maquette, nous allons ouvrir une session de domaine sur un poste Windows 11 joint hybride, laisser Windows d\u00e9clencher l’inscription Windows Hello for Business, puis relire avec dsregcmd<\/code> et quelques commandes ce que le poste et l’annuaire ont r\u00e9ellement conserv\u00e9: une paire de cl\u00e9s, un conteneur NGC (Next Generation Credential) et une cl\u00e9 publique attach\u00e9e au compte.<\/p>\n

Nom du domaine: test.local (TESTLOCAL), synchronis\u00e9 vers un tenant Entra ID par Entra Connect<\/p>\n

Poste client: pc01, Windows 11, joint hybride, TPM 2.0<\/p>\n

Utilisateur: user01@test.local<\/p>\n

Mod\u00e8le de confiance: cloud Kerberos trust (l’objet AzureADKerberos existe d\u00e9j\u00e0 dans le domaine)<\/p>\n

Windows Hello ou Windows Hello for Business?<\/h2>\n

C’est le premier point que je tiens \u00e0 bien diff\u00e9rencier, car les deux affichent le m\u00eame \u00e9cran de saisie du PIN alors que le m\u00e9canisme n’a rien \u00e0 voir.<\/p>\n

Windows Hello, dans sa version grand public ou sous la forme du \u00ab PIN de commodit\u00e9 \u00bb (convenience PIN) sur un compte de domaine, ne fait que remplacer la saisie: le PIN d\u00e9verrouille un mot de passe conserv\u00e9 localement, et c’est ce mot de passe qui part ensuite vers le contr\u00f4leur de domaine. Le secret partag\u00e9 reste en place, avec tout ce que cela implique (NTLM, hash, r\u00e9utilisation du mot de passe\u2026). Windows Hello for Business cr\u00e9e lui une paire de cl\u00e9s asym\u00e9triques propre \u00e0 l’appareil, dont seule la cl\u00e9 publique est enregistr\u00e9e aupr\u00e8s du fournisseur d’identit\u00e9. Nous retrouvons dans la FAQ<\/a> de Microsoft ce qui s’ajoute \u00e0 Windows Hello: l’appareil est attest\u00e9 par le TPM, l’authentification repose sur une cl\u00e9 ou un certificat, et l’acc\u00e8s conditionnel peut en tenir compte.<\/p>\n

Depuis Windows 10 1607, les deux ne cohabitent plus: quand les strat\u00e9gies \u00ab Use Windows Hello for Business \u00bb et \u00ab Turn on convenience PIN sign-in \u00bb sont activ\u00e9es ensemble, l’utilisateur ne peut plus cr\u00e9er de PIN de commodit\u00e9 sur un poste qui n’est pas joint \u00e0 Entra ID, comme le d\u00e9crit cet article de support<\/a>. Microsoft y justifie ce blocage: le PIN de commodit\u00e9 prot\u00e8ge un mot de passe, alors que le PIN Windows Hello for Business prot\u00e8ge une cl\u00e9 li\u00e9e au TPM.<\/p>\n

Avec WHfB, le PIN n’est jamais transmis: il sert uniquement \u00e0 d\u00e9bloquer localement la cl\u00e9 priv\u00e9e prot\u00e9g\u00e9e par le TPM. Nous sommes donc face \u00e0 une authentification \u00e0 deux facteurs, comme le rappelle la pr\u00e9sentation officielle<\/a>: la cl\u00e9 (ce que l’on poss\u00e8de) et le PIN (ce que l’on sait). La biom\u00e9trie d\u00e9bloque la m\u00eame cl\u00e9 que le PIN.<\/p>\n

L’inscription vue par dsregcmd<\/h2>\n

Avant toute inscription, ouvrons une session avec user01 sur pc01 et lan\u00e7ons dsregcmd \/status<\/code> dans le contexte de l’utilisateur, sans \u00e9l\u00e9vation. Le paragraphe qui nous int\u00e9resse est \u00ab Ngc Prerequisite Check \u00bb:<\/p>\n

C:\\>dsregcmd \/status\n+----------------------------------------------------------------------+\n| Ngc Prerequisite Check                                               |\n+----------------------------------------------------------------------+\n            IsDeviceJoined : YES\n             IsUserAzureAD : YES\n             PolicyEnabled : YES\n          PostLogonEnabled : YES\n            DeviceEligible : YES\n        SessionIsNotRemote : YES\n            CertEnrollment : none\n              PreReqResult : WillProvision<\/code><\/pre>\n
Nous lisons chaque ligne comme une condition, toutes d\u00e9crites dans la documentation de dsregcmd<\/a>:<\/p>\n