用途：该技能面向在 Windows 终端上消除密码登录、满足抗钓鱼 MFA 要求的场景，帮助选择信任模型、核对前置条件并完成部署。不适用于共享设备上的 FIDO2 密钥、条件访问策略或设备合规管理。
信任模型：云专用（默认，无需本地 AD 信任）；混合环境推荐云 Kerberos 信任，需部署 Entra Kerberos 服务器对象；无法部署时可选密钥信任（旧方案，需 Windows Server 2016+ 域控及证书）；严格证书环境用证书信任（需 AD CS、NDES 和 Intune 证书连接器，最复杂）。新租户不建议用密钥信任或证书信任。
主要能力与用法：核对设备（Windows 10 1903+/11、TPM 2.0）与用户（Entra 加入或混合加入、已注册 MFA、支持许可证）前置条件，可用 dsregcmd /status 验证 AzureAdJoined，用 Get-AzureADKerberosServer 检查对象；通过 Intune 账户保护策略（优先）或旧版 WHfB 身份保护配置文件按试点环逐步启用，避免首日全租户开启；设置 PIN 复杂度（建议 6 位，不强制特殊字符）与生物识别；显式禁用便捷 PIN；在条件访问中创建要求抗钓鱼 MFA 的身份验证强度策略；共享或自助终端配置多重解锁；规划 PIN 重置与共享设备场景。
限制与注意：PIN 是本地设备绑定凭证，不应套用密码复杂度；无 TPM 或 BIOS 禁用 TPM 会退化为软件回退，安全性大幅降低；凭证按设备按用户独立，丢失设备只需吊销该凭证；仅部署 WHfB 不会阻止弱认证，仍需条件访问策略；部署前须规划 PIN 重置，否则易引发工单激增。
官方参考链接：https://learn.microsoft.com/windows/security/identity-protection/hello-for-business/ 等（详见资料）。