同ツールはパスワードベースの認証のように全デバイスを横断するのではなく、ユーザーの認証情報を個々のPCやモバイル端末と関連付ける。Windows Hello for BusinessはWindows 10とWindows 10 Mobileのバージョン1607以降の両方で利用できる。

Microsoft PassportとWindows Hello

　最初のWindows 10にはMicrosoft Passport（以下、Passport）とWindows Helloが含まれていて、これを組み合わせてベーシックなパスワードの代わりに多要素認証を使うことが可能だった。Passportでは2段階認証を実現し、Windows Helloでは生体認証が加わった。

　PassportとHelloが成熟すると、Microsoftは導入やサポートのプロセス簡略化を図った。同社はこの2つの技術を組み合わせて改善し、Windows Helloという1つの機能としてパッケージ化した。

　その後MicrosoftはWindows Hello for Businessをリリースし、企業内でGroup Policyやモバイルデバイス管理（MDM）ポリシーを使ってWindows Helloを簡単に管理できるようにした。Windows Hello for Businessでは証明書ベースの認証や鍵の組み合わせによる認証も利用できる。非法人向けのWindows Helloでは証明書は利用できない。

Windows Hello for Businessが必要な理由

　Microsoftがパスワードを離れて他の認証形態へと移行していることに意外性はない。パスワードは企業も個人もリスクにさらす。ユーザーはパスワードを忘れたり、不注意な取り扱いをしたり、複数のサービスで使い回したりしかねない。

　サイバー犯罪集団がネットワーク接続を盗み見し、データセンターに侵入して認証情報を盗んだり、ユーザーをだましてパスワードを開示させたりすることもある。パスワードのみに頼ったシステムは、正しいユーザー名とパスワードを入力した一切の接続で安全な認証が行われたと見なす。

　そうしたリスクに対応するため、Windows Hello for Businessでは個々のデバイスに基づき、パスワードではなくセキュリティ証明書または秘密鍵と公開鍵の組み合わせを使って認証を行う。ユーザー個人の認証情報は端末でローカルに保存されることから、このアプローチの方がデータ盗難に対する耐性は高い。認証情報が流出したり、端末から外部のシステムに移動したり、遠方にあるデータセンターの中央リポジトリに保存されたりすることはない。

　Windows Helloの認証は端末に結び付けられるため、ユーザーが会社のリソースにアクセスするためにはその端末と、暗証番号や生体情報といったサインオン要素の両方を必要とする。その構成要素が流出したとしても端末がなければ意味はなく、端末を不正利用されたとしてももう一方の要素がなければアクセスはできない。この場合、Windows Hello for Businessは銀行のキャッシュカードと暗証番号のような仕組みで機能する。

　ユーザーがいったん暗証番号や認証情報を入力すれば、ネットワークリソースやオンプレミスアプリケーション、クラウドベースサービスを通じたシングルサインオンが可能になる。

Windows Hello for Businessを機能させる

　既に公開鍵インフラ（PKI）がある組織では、そのシステムをWindows Hello for Business証明書の発行と管理に利用できる。各証明書の有効期限は90日だが、Windows Hello for Businessでは自動的に更新され、普通は失効の約30日前に更新される。

　PKIを持たない組織、あるいは証明書を使いたくない組織はキーベース認証が利用できる。このモデルでは認証サーバで公開鍵を管理して、端末でセキュアに保存された秘密鍵と照合する。

　管理者は鍵の組み合わせを端末のソフトウェアまたはハードウェアと関連付けることができる。ハードウェアを使うためにはIT部門がTrusted Platform Module（TPM）チップでデバイスを設定する必要がある。TPMチップはセキュアなプロセッサで、暗号運用を担い、ブルートフォース攻撃のような脅威から端末を守るための複数のセキュリティ対策が組み込まれている。

　証明書や鍵の組み合わせに加えて、ユーザーは暗証番号または認証情報を登録してデバイスと関連付ける必要がある。暗証番号は単純な数字の組み合わせでも、パスワードのような複雑な文字列でもいい。管理者はGroup PolicyやMDMポリシーを設定して暗証番号の長さ（6文字以上）や複雑さ、有効期限、例えば特定の文字を必須とするなどの設定をコントロールできる。

Windows Hello for Businessの導入方法

　Windows Hello for Businessのユーザー登録プロセスは、導入形態によって異なる。ユーザーはまずユーザー名とパスワードを入力し、次にスマートカードや電話、メールまたは認証アプリを通じて本人確認を行う。認証プロセスが完了し、自分の特定の端末でゼスチャを登録すると、そのゼスチャを使ってIT部門が許可した会社のリソースにアクセスできるようになる。ユーザー登録はその特定のデバイスのみに適用される。従ってWindows Hello for Businessで登録したいデバイスは、個々に追加登録を済ませる必要がある。