使用 Windows Hello for Business 进行身份验证

如果您已在客户端系统上注册了 Windows Hello for Business，则适用于 Windows 的 Horizon Client 上的“以当前用户身份登录”功能支持使用证书身份验证的 Windows Hello for Business。仅 Horizon Blast 显示协议支持 Windows Hello for Business。

**注意：**如果在 Horizon Connection Server 上启用 True SSO，它将优先于 Windows Hello for Business。

必备条件

您的系统必须满足以下要求才能使用 Windows Hello for Business 进行身份验证：

• 必须在代理和 Horizon Client 上启用“以当前用户身份登录”。
• 您的客户端系统必须使用支持证书信任的 Windows Hello for Business 部署进行注册。有关支持的部署模型（包括证书信任）的详细信息，请参阅 https://learn.microsoft.com/zh-cn/windows/security/identity-protection/hello-for-business/hello-deployment-guide。
• 必须使用 Windows Hello for Business 凭据登录到安装了 Horizon Client 的系统。
• 如果使用了 Unified Access Gateway，则必须使其处于直通模式。
• 系统硬件要求如下所示：
  • Horizon Connection Server 和 Horizon Agent 版本 8.6 或更高版本。
  • 适用于 Windows 的 Horizon Client 版本 2206 或更高版本。
  • Windows Server 2019 或更高版本（如果在 Windows Server 上安装了 Horizon Agent）。

不支持的用例

以下场景中不支持 Windows Hello for Business：

• Unified Access Gateway 处于非直通模式
• 启用了双因素身份验证或 SAML 的 Unified Access Gateway
• 桌面版应用程序
• 在其中将 Horizon Agent 和 Horizon Client 安装到同一系统并在嵌套环境中使用的环境
• Direct Agent Connect
• 使用除证书信任以外的任何其他方法，通过 Windows Hello for Business 注册要启动 Horizon Client 的客户端系统。
• 在受保护模式下运行本地安全机构子系统服务 (LSASS) 的远程桌面计算机。默认情况下，Windows 11 计算机在受保护模式下运行 LSASS。

与第三方应用程序共享 Windows Hello for Business 证书

您可以使用 CertStoreIntercept 库与第三方应用程序共享用于 SSO 的 Windows Hello For Business 证书以进行用户身份验证。可以通过 Windows Hello for Business Certificate Redirection GPO 设置来配置此库。有关更多信息，请参阅*《Horizon 远程桌面功能和 GPO》*文档中的“View Agent 配置 ADMX 模板设置”。

日志记录

默认情况下，将为 Windows Hello for Business 证书重定向禁用日志记录。管理员可以通过注册表项 HKM\SOFTWARE\VDM\Whfb\IsCertInterceptLoggerEnabled 启用日志记录。

在 Horizon Agent 上，Windows Hello for Business 日志保存在 Agent 调试日志中。在 Horizon Client 上，这些日志保存在位于 %LOCALAPPDATA%\VDM\logs 的调试日志文件中。