Vuoi che il PIN di Windows Hello scada con la stessa regolarità (o diversa) della password? Con Intune puoi applicare in modo centralizzato una scadenza del PIN a Windows 10/11, mantenendo controllo, audit e una buona esperienza utente.
Scenario e obiettivo
In molti ambienti gli utenti vedono un avviso per cambiare la password ogni 45 giorni, mentre non viene mai richiesto il rinnovo del PIN di Windows Hello. L’obiettivo di questa guida è impostare un periodo di scadenza del PIN in modo coerente con la tua strategia di rotazione delle credenziali, usando Intune o — nei domini ibridi — i Criteri di gruppo (GPO). La procedura qui descritta è pensata per amministratori che gestiscono dispositivi Windows 10/11 con Windows Hello for Business.
Come funziona la scadenza del PIN in Windows Hello for Business
Windows Hello for Business (WHfB) sostituisce le credenziali basate su password con credenziali a chiave (o certificato) protette dall’hardware e sbloccate da un fattore locale (PIN, biometria). Il PIN non è “un’altra password”: è locale al dispositivo, non viaggia in rete, ed è protetto dal TPM. La scadenza del PIN è un parametro della PIN policy di WHfB e determina dopo quanti giorni il sistema richiede all’utente di impostarne uno nuovo.
- Ambito: il PIN governa solo lo sblocco della chiave su quello specifico dispositivo.
- Indipendenza: la password continua a seguire le Password Policy di Azure AD/Entra ID o AD on‑prem.
- Esperienza utente: prima della scadenza, Windows mostra un avviso; allo scadere, il cambio PIN è obbligatorio al prossimo accesso/sblocco.
Prerequisiti
- Dispositivi Windows 10/11 iscritti a Intune e idonei a Windows Hello for Business (TPM consigliato).
- Windows Hello for Business abilitato nell’organizzazione.
- Ruoli amministrativi: Intune Administrator o equivalenti per creare/assegnare criteri.
- Gruppi di assegnazione chiaramente definiti per eventuale distribuzione granulare.
Soluzione operativa con Intune
La via più rapida è la configurazione tenant‑wide dal pannello di Windows Hello for Business in Intune.
- Accedere al portale di amministrazione Intune:
https://intune.microsoft.com. - Navigare in Devices → Enroll devices → Windows enrollment → Windows Hello for Business.
- In Configure Windows Hello for Business selezionare Enable.
- Fra le impostazioni che appaiono, impostare PIN expiration (days) sul numero di giorni desiderato (predefinito = 41).
- Fare clic su Save.
Tutti i dispositivi Windows 10/11 già iscritti o che si iscriveranno in futuro riceveranno la nuova scadenza al successivo check‑in di Intune.
Effetti della configurazione
- Gli utenti con PIN più “vecchi” del limite impostato riceveranno l’avviso di rinnovo e quindi il blocco obbligatorio al primo accesso utile.
- Nuove attivazioni di PIN seguiranno la nuova policy fin da subito.
- Eventuali criteri più restrittivi mirati a gruppi specifici possono sovrascrivere la configurazione tenant‑wide sullo stesso dispositivo.
Distribuzione granulare con profilo di configurazione
Se vuoi policy diverse per reparti, ruoli o classi di dispositivi, usa un profilo di configurazione mirato con il template Identity Protection (piattaforma “Windows 10 and later”).
- In Intune vai su Devices → Configuration profiles → Create profile.
- Seleziona piattaforma Windows 10 and later e template Identity Protection.
- Apri la sezione Windows Hello for Business e abilita la funzionalità.
- Configura PIN expiration (days) con il valore desiderato e, se necessario, le altre voci di PIN complexity (min/max length, caratteri richiesti, lockout, history).
- Assegna il profilo a gruppi di sicurezza (utenti o dispositivi) e completa.
Confronto fra criteri tenant‑wide e profili mirati
| Aspetto | Tenant‑wide | Profilo mirato |
|---|---|---|
| Ambito | Tutta l’organizzazione | Gruppi specifici |
| Priorità | Applicata di default | Prevale sul tenant‑wide per i destinatari |
| Scenari ideali | Policy base e coerenti | Eccezioni, reparti ad alto rischio, dispositivi condivisi |
| Gestione del rischio | Semplicità | Maggiore controllo e granularità |
Approfondimenti e migliori prassi
| Tema | Dettagli |
|---|---|
| Campo “0” | Impostare 0 (zero) disattiva la scadenza del PIN. |
| Granularità | Se serve applicare regole diverse per gruppi di utenti/dispositivi, usare un profilo di configurazione Identity Protection anziché la policy tenant‑wide. |
| Dispositivi ibridi AD | Nei domini ibridi è possibile raggiungere lo stesso risultato via GPO (Computer Configuration → Administrative Templates → System → PIN Complexity). |
| Password vs PIN | La password rimane oggetto delle password policy di Azure AD/Entra ID; il PIN è regolato esclusivamente da Windows Hello for Business. |
| Test e rollout | Prima di passare a produzione, distribuire a un gruppo pilota e verificare che l’avviso di scadenza appaia come previsto. |
| Valori tipici | 45–90 giorni per ambienti con rotazione password; 0 (nessuna scadenza) in contesti che privilegiano MFA forte e riduzione degli attriti. |
| Conflitti | Su uno stesso dispositivo prevale in genere l’impostazione più restrittiva. Evita sovrapposizioni inutili fra tenant‑wide e profili mirati. |
| VDI e lab | Su VDI non persistenti o ambienti demo valuta di disabilitare la scadenza per evitare prompt ricorrenti non necessari. |
Quando usare Azure AD (oggi Entra ID)
Azure AD/Entra ID non espone un’impostazione nativa per la scadenza del PIN. La gestione avviene sempre tramite Windows Hello for Business e quindi tramite Intune (o, in alternativa, GPO/MDM di terze parti).
Ulteriori personalizzazioni della complessità PIN
Oltre alla scadenza, definisci la complessità del PIN dal medesimo profilo (o GPO). Per bilanciare usabilità e sicurezza:
- Lunghezza minima: 6–8 cifre per utenti standard; 8–10 per reparti ad alto rischio.
- Caratteri speciali e lettere: opzionali; aumentano l’entropia ma possono ridurre l’adozione. Valuta il contesto.
- History: impedisci il riutilizzo degli ultimi PIN.
- Lockout: configura limiti di tentativi e durata del blocco.
Scenari d’uso consigliati
- Allineamento alla password: imposta la scadenza del PIN uguale alla rotazione password di riferimento (es. 45 giorni) per coerenza comunicativa.
- Rischio elevato: reparti finance, legale, IT admin con scadenza più stretta e history più lunga.
- Dispositivi condivisi: riduci la durata del PIN, attiva lockout aggressivo e history.
- Ambienti moderni con MFA forte: valuta PIN senza scadenza ma con lunghezza e lockout robusti.
Monitoraggio e verifica
Verifica lato client
- Apri Impostazioni → Account → Opzioni di accesso.
- Seleziona PIN (Windows Hello) e verifica i messaggi relativi ai criteri dell’organizzazione.
- Blocca e sblocca il dispositivo per osservare eventuali prompt di rinnovo.
Verifica lato Intune
- Controlla lo stato di Deployment del profilo: dispositivi succeeded, error, pending.
- Consulta i Device status per individuare eventuali errori CSP durante l’applicazione della policy.
- Usa i Audit logs per tracciare chi ha modificato le impostazioni e quando.
Log utili sul dispositivo
- Visualizzatore eventi → Applications and Services Logs → Microsoft → Windows → HelloForBusiness/Operational.
- Visualizzatore eventi → Microsoft → Windows → User Device Registration/Admin.
- Visualizzatore eventi → Microsoft → Windows → AAD/Operational per la partecipazione ad Azure AD/ibrido.
Risoluzione dei problemi
- La policy non arriva: verifica che il dispositivo sia assegnato al profilo, che sia in compliance e che abbia eseguito il check‑in recente. In caso di dubbi, forza la sincronizzazione da Settings → Accounts → Access work or school.
- Conflitti di policy: se esistono più profili che configurano la stessa impostazione, mantieni un solo punto di verità o allinea i valori. Evita sovrapposizioni fra tenant‑wide e profili diversi per lo stesso gruppo.
- Messaggi incoerenti all’utente: verifica di non avere scadenze diverse fra password e PIN senza motivazione; aggiorna le comunicazioni interne.
- Dispositivi ibridi AD: quando usi GPO, assicurati che non ci siano impostazioni MDM concorrenti; in caso di conflitto, la più restrittiva tende a prevalere.
- TPM o attivazione Hello: se WHfB non è stato inizializzato, l’utente non vedrà il prompt di scadenza del PIN. Verifica l’abilitazione di Hello e l’attestazione del dispositivo.
Piano di rollout suggerito
- Analisi: definisci valori target (scadenza, lunghezza, history, lockout) per ogni segmento.
- Pilota: crea un profilo mirato per un gruppo ristretto e monitora per una o due finestre di scadenza.
- Comunicazione: invia un messaggio chiaro con tempistiche, istruzioni e contatti supporto.
- Estensione: applica ai gruppi successivi; monitora errori e feedback.
- Mantenimento: documenta la policy definitiva, attiva audit periodico e reportistica.
Domande frequenti
Il PIN e la password devono scadere lo stesso giorno? Non necessariamente. Molte organizzazioni allineano le due scadenze per semplicità; altre differenziano il PIN (più frequente per dispositivi condivisi, meno frequente per laptop personali). Impostare la scadenza a zero è sicuro? Sì, se compensi con un PIN più lungo, lockout adeguato e MFA forte. In contesti ad alto rischio, mantieni una scadenza periodica. Gli utenti possono posticipare la scadenza? Possono ignorare gli avvisi finché non si raggiunge il giorno di scadenza; da quel momento il cambio diventa obbligatorio. La scadenza del PIN vale per tutti i dispositivi dell’utente? No, il PIN è locale al dispositivo. Se l’utente usa più dispositivi, ogni PIN ha la propria scadenza. La biometria è influenzata dalla scadenza del PIN? La biometria sblocca la chiave ma è il PIN a fare da fattore di fallback. La sua scadenza rimane valida anche se l’utente usa impronta o volto. Che succede in assenza di connettività? La richiesta di cambio PIN viene rispettata comunque; il dispositivo applica la policy localmente e chiede il rinnovo al successivo sblocco. È possibile forzare un cambio immediato? Puoi impostare una scadenza breve (es. 1 giorno) per un periodo limitato o usare comunicazioni interne con scadenze organizzative; non esiste un “reset PIN” remoto universale senza coinvolgere l’utente. Quali report posso usare? Monitora lo stato di distribuzione del profilo e gli eventi sul client; integra con ticket e sondaggi per misurare l’impatto.
Checklist operativa
- Decidi i valori per scadenza, lunghezza minima, history, lockout.
- Scegli se usare policy tenant‑wide, profili mirati o GPO (ibrido).
- Crea e assegna il profilo Identity Protection in Intune.
- Test su gruppo pilota, verifica log e user experience.
- Comunica a utenti e help desk con istruzioni chiare.
- Estendi a produzione, monitora e ottimizza.
Conclusioni
Impostare una scadenza del PIN di Windows Hello con Intune richiede pochi passaggi ma può migliorare coerenza e postura di sicurezza se progettato con criterio. Parti da una baseline tenant‑wide, usa profili mirati dove serve granularità, verifica su pilota e accompagna il rollout con comunicazioni e monitoraggio. Ricorda che il PIN non è una password: progetta la sua policy in funzione del rischio reale, della presenza di MFA e della tipologia di dispositivi, ottenendo così un giusto equilibrio fra sicurezza e usabilità.
Appendice operativa rapida
Procedura lampo in Intune
https://intune.microsoft.com→ Devices → Enroll devices → Windows enrollment → Windows Hello for Business.- Enable → imposta PIN expiration (days) (predefinito 41;
0 = disattiva). - Save e attendi il prossimo check‑in dei device.
Nota su ulteriori personalizzazioni
Se servono altre personalizzazioni su Windows Hello (lunghezza minima del PIN, lockout, uso di caratteri speciali, ecc.) modifica gli stessi campi nella sezione PIN complexity del profilo Intune o applica la GPO corrispondente nei domini ibridi.