1、内置管理员账户不能使用人脸识别，需要另外建立账户登录使用
2、加入域后，需要进组策略配置指纹人脸识别登录

Server 2025 配置域、安装联合身份验证服务和AD CS，部署Windows Hello企业版的详细教程
一、配置域环境
1. 搭建Server 2025系统环境

搭建Windows Server 2025（假设系统已安装，且为最新稳定版）。
进行系统重命名，例如命名为DC1。
2. 设置管理员账户密码

在控制面板中设置Administrator账户的密码。
3. 配置网络信息

IP地址：192.168.10.1
DNS地址：192.168.10.1
4. 添加域控制器角色

打开“服务器管理器”，选择“添加角色和功能”。
选择“将此服务器提升为域控制器”。
选择“添加新林”，输入林根域的名称（例如long.com），并设置DSRM密码。
完成先决条件检查后，点击“安装”。
5. 验证域环境

重启DC1后，使用ipconfig /all命令检查网络配置。
确保DC1能够通过ping命令与其他设备通信。
二、安装联合身份验证服务（AD FS）
1. 安装AD FS角色

在DC1上，打开“服务器管理器”，选择“添加角色和功能”。
在“服务器角色”中选择“Active Directory 联合身份验证服务”。
完成安装并配置AD FS。
2. 配置AD FS

打开AD FS管理工具，配置联合身份验证服务的证书、信任关系等。
确保AD FS与Active Directory集成，并配置相关的身份验证策略。
三、安装和配置AD CS（证书服务）
1. 安装AD CS角色

在DC1上，再次打开“服务器管理器”，选择“添加角色和功能”。
选择“证书服务”角色，并勾选“证书颁发机构”和（可选）“Web注册”。
完成安装。
2. 配置AD CS

打开“证书颁发机构”管理控制台。
配置企业根CA，创建新的私钥和证书模板。
确保证书模板满足Windows Hello企业版的要求，特别是Kerberos身份验证证书模板。
3. 替换域控制器证书

使用Kerberos身份验证证书模板替换现有的域控制器证书。
在证书颁发机构管理控制台中，复制Kerberos身份验证模板，并配置新的模板以满足Windows Hello企业版的要求。
四、部署Windows Hello企业版
1. 验证公钥基础结构

确保所有域控制器都安装了Kerberos身份验证证书。
检查证书吊销列表（CRL）和在线证书状态协议（OCSP）响应器的配置。
2. 配置Windows Hello企业版

在DC1上，使用组策略或其他配置管理工具配置Windows Hello企业版策略。
启用Windows Hello企业版，并配置信任模型（密钥信任或证书信任）。
3. 注册用户和设备

在Active Directory中为用户和设备配置Windows Hello企业版凭据。
使用Microsoft Entra Connect Sync将Windows Hello企业版凭据的公钥同步到用户的Active Directory对象。
4. 验证部署

在客户端计算机上测试Windows Hello企业版登录功能。
确保用户能够使用Windows Hello企业版进行身份验证，并且所有设置均按预期工作。
五、疑难解答与维护
在部署过程中，如果遇到任何问题，请参考Windows Hello企业版的官方文档和社区资源。
定期检查AD FS和AD CS服务的状态，确保它们正常运行。
监控证书的有效期和CRL的更新情况，确保公钥基础结构的安全性。
通过以上步骤，您可以在Server 2025上成功配置域环境、安装联合身份验证服务和AD CS，并部署Windows Hello企业版。这将为您的企业提供强大的身份验证和加密保护。