总结
具有云信任登录的Windows Hello 企业版（WHfB）在强制门户 Wi-Fi 网络（如酒店、机场或会议网络）上可能会失败，这些网络需要基于浏览器的身份验证才能授予 Internet 访问权限。 在受影响的情况下，登录过程可能看起来会卡住大约两分钟，随后因身份验证错误而失败。
本文可帮助你确定登录问题是否与强制门户网络行为相关，并在开发永久解决方案时提供解决方法。
故障排除清单
使用以下步骤来确定Windows Hello 企业版登录失败是否与强制门户 Wi-Fi 网络相关：
- 尝试在强制门户网络 Wi‑Fi 上使用 Windows Hello 企业版 登录，并观察其表现并记录下来。 登录屏幕在失败之前是否保持活动状态约 2 分钟？
- 检查事件查看器是否有相关的错误事件。 打开事件查看器，转到Windows日志>安全和 应用程序和服务日志>Microsoft-Windows-HelloForBusiness>操作。 查找“症状”部分中介绍的事件。
- 尝试在同一网络上再次登录。 登录尝试是否间歇性地成功，或者登录尝试是否一直失败？
- 切换到其他网络连接（例如移动热点或有线连接），并尝试使用Windows Hello 企业版登录。 使用备用网络时，能否成功登录？
- 如果登录在备用网络上成功，但在强制门户网络上失败，并且你观察到以下部分中所述的症状，则此问题可能与强制门户网络行为相关。
症状：事件 ID 4625 和事件 ID 7001
在强制门户 Wi-Fi 网络上使用Windows Hello 企业版时，可能会遇到以下一个或多个症状：
-
使用 WHfB 和 Cloud Trust 成功登录后，登录屏幕将保持活动状态约两分钟，然后失败。
-
在同一网络上的登录尝试可能会间歇性成功，具体取决于计时和网络行为。
-
以下事件显示在事件查看器中：
安全事件 ID 4625
领域 价值 日志名称 安全性 Source Microsoft-Windows-Security-Auditing 事件编号 4625 任务类别 登录 级别 信息 关键字 审核失败 失败原因 未知用户名或密码错误 地位 0xC000005E 子状态 0x0 身份验证包 谈判 Windows Hello 企业版事件 ID 7001
领域 价值 日志名称 Microsoft-Windows-HelloForBusiness/Operational Source Microsoft-Windows-HelloForBusiness 事件编号 7001 任务类别 登录 级别 Error 凭据类型 软件密钥 部署类型 云 -
内部故障代码可能包括：
- 0xC0070022
- 0xC000005E
当强制门户网络行为延迟Microsoft Entra ID身份验证流量时，会发生这些故障。
原因：CloudAP 与 Windows Hello 企业版 之间的超时设置不一致
出现此问题的原因是，在登录期间独立运行的两个 Windows 身份验证组件之间的计时不匹配。
云身份验证提供程序在强制门户网络上的行为
在强制门户 Wi‑Fi 网络上，在用户完成强制门户身份验证页面之前，可能会阻止或静默延迟发往 Microsoft Entra ID 登录终结点（如 login.microsoftonline.com）的出站 HTTPS 流量。 对于某些强制门户 Wi‑Fi 网络，DNS 查询收到的答复会被 Windows 视为表明这些终结点可访问。
在受影响的情况下，TCP 连接不会立即失败。 相反，连接尝试超时并重试。 在此期间，云身份验证提供程序（CloudAP）将继续执行与预登录令牌交换相关的重试操作。 每次对一个终结点进行尝试通常会耗时约 21 秒，之后才会继续后续操作。 如果必须尝试 6 个以上的终结点，CloudAP 花费大约 126 秒，身份验证流量最终在强制门户网络上失败。
Windows Hello 企业版票证超时
在本地Windows Hello 企业版验证令牌后，密钥存储提供程序服务（kspsvc）将缓存身份验证票证，并启动固定的 120 秒超时窗口。 缓存的票证仅在操作系统指示交互式登录过程通过 WTS_SESSION_LOGON 通知完成之前有效。 如果Windows在超时到期前未收到此通知，Windows Hello 企业版清除缓存的令牌，并且登录操作失败。
登录失败的原因
在受影响的强制门户网络上，以下顺序会导致登录失败：
- CloudAP 身份验证恢复可能需要超过 120 秒的时间。
- Windows Hello 企业版 会在恰好 120 秒后使缓存的 PIN 票证过期。
- 在 CloudAP 完成身份验证处理之前，不会传送交互式登录完成通知。
因此，WHfB 令牌在登录过程完成之前过期，从而导致登录失败。
可能的快速解决方法
解决方法 1：登录前切换到飞行模式
如果已知目标采用强制门户的 Wi‑Fi 网络会复现超时现象，请先切换到飞行模式，然后再尝试使用 Windows Hello 企业版登录。
解决方法 2：使用其他身份验证方法重试登录
如果登录失败，请稍等片刻，然后重试。 可以使用密码作为替代身份验证方法。
解决方法 3：使用有针对性的 hosts 文件变通方法
在某些经过验证的场景中，为 hosts 和相关的 Microsoft Entra ID 登录终结点添加静态 login.microsoftonline.com 文件条目，可将强制门户 DNS 拦截延迟降低到足以成功完成登录的程度。
重要
注意事项：
- 此解决方法仅适用于特定的、记录在案的网络环境。
- Microsoft不建议将此方法作为常规部署策略。
- 如果 Microsoft 更新或轮换终结点 IP 地址，静态 IP 映射可能会停止工作。
- 这种方法可能会使漫游或旅行用户的故障排除和支持变得复杂。
仅在评估操作和支持影响后使用此解决方法。
详细信息
此问题目前在内部作为以下两者之间的超时预算不匹配进行跟踪：
- CloudAP 在降级或强制门户网络上的恢复行为。
- 适用于企业的 Windows Hello 的 PIN 票证超时时间固定为 120 秒。
发布时：
- 没有受支持的客户端注册表修改或配置更改可用于解决此问题。
- 尚未发布任何已确认的产品修复或设计更改。
- 此问题主要影响强制门户 Wi-Fi 网络上的全新交互式登录。
Windows Hello 企业版和 Microsoft Entra ID 连接依赖于登录期间对 Microsoft 身份验证终结点的可靠访问。 延迟或拦截出站身份验证流量的网络可能会影响 Windows 登录体验。