本文介绍如何修复尝试使用 Windows Hello 企业版（WHFB）登录到 Windows 时出现的“无法验证凭据”错误。
适用于： Windows 10、Windows 11原始 KB 数： 4519735
症状
尝试使用 WHFB 证书或密钥信任登录到 Windows 10 或 Windows 11 设备时，它会失败并显示以下错误消息之一：
无法验证凭据
出现错误，PIN 不可用（状态：0xc00000bb，子状态：0x0）。 单击以再次设置 PIN。
原因
出现此问题的原因是域控制器和客户端计算机的 NTAuth 存储中缺少颁发证书颁发机构（CA）证书。
使用 WHFB 时，域控制器需要验证客户端计算机发送的证书。 在验证期间，它会检查域控制器上的密钥分发中心 （KDC） 服务，以验证它是否可以在 NTAuth 注册表项中找到颁发 CA 证书。 NTAuth 注册表项位于 HKLM\Software\Microsoft\EnterpriseCertificates\NTAuth\Certificates.
注意
EnterpriseCertificates 注册表项提供的内容是 Active Directory 中的一个位置。 在组策略更新期间，这些证书由林中的所有客户端计算机、成员和域控制器导入注册表。
如何找出问题
- 打开 证书颁发机构 管理单元。
- 右键单击颁发 CA 服务器并选择“ 属性”。
- 转到 “常规 ”选项卡，选择当前证书（如果有多个证书），然后选择“ 查看证书”。
- 转到“ 详细信息 ”选项卡，向下滚动到 指纹 属性。
- 记下发证 CA 证书的指纹。
- 打开域控制器上的注册表并导航到
HKLM\Software\Microsoft\EnterpriseCertificates\NTAuth\Certificates。 - 使用指纹值验证是否具有上述注册表项下的文件夹。
解决方法
-
打开 证书颁发机构 管理单元。
-
右键单击颁发 CA 服务器并选择“ 属性”。
-
转到 “常规 ”选项卡，选择当前证书（如果有多个证书），然后选择“ 查看证书”。
-
使用 “复制到文件 ”选项导出证书。 并将其另存为IssuingCA.cer等文件。
-
在域控制器上使用企业管理员凭据登录并运行以下命令：
certutil -dspublish -f IssuingCA.cer NTAuthCA certutil -enterprise -addstore NTAuth IssuingCA.cer -
运行
gpupdate /force并确认颁发 CA 的指纹是在此注册表配置单元HKLM\Software\Microsoft\EnterpriseCertificates\NTAuth\Certificates下创建的。 -
等待 Active Directory 复制完成。
-
gpupdate /force在客户端计算机上运行，并确保在客户端计算机上创建颁发 CA 证书的指纹。