【Windows Hello】PINの再設定リンクが表示されない時に確認する管理状態

Windows HelloのPINを忘れた、または入力ミスが続いてロックされた際に表示される「PINの再設定」リンクが、突然表示されなくなることがあります。これは特に会社で管理されている端末で発生しやすく、グループポリシーやBitLockerの回復キー管理状態が原因であるケースが大半です。この記事では、PIN再設定リンクが表示されない場合に、端末の管理状態やポリシー設定をどのように確認し、原因を切り分ければよいのかを具体的に解説します。

PIN再設定リンクが表示されない原因の全体像

Windows Helloは、TPMに紐づいたPINを使ってサインインを実現します。しかし、会社で管理されている端末では、管理者が設定したポリシーが優先されるため、標準のPIN再設定フローが無効化されていることがあります。主な原因として、以下の3つが挙げられます。

• グループポリシーまたはMDMポリシーで「PINのリセット」が無効化されている
• BitLockerの回復キーがAzure ADやActive Directoryにバックアップされていない、またはLAPSの状態が不完全
• デバイスがAzure AD参加またはハイブリッド参加されていない(ワークプレース参加のみなど)

これらの要因が複合的に作用して、「PINの再設定」リンクが表示されないのです。

確認すべき端末側の管理状態

ローカルグループポリシーの確認

まず、端末上でローカルグループポリシーエディターを使用して、PIN関連の設定を確認します。管理者権限が必要なため、社用PCでは自己判断で変更せず、閲覧のみ行います。

1. キーボードの「Windows」キーを押しながら「R」キーを押し、「ファイル名を指定して実行」ダイアログを開きます。
2. 「gpedit.msc」と入力し、Enterキーを押します。
3. 左側のツリーから「コンピューターの構成」→「管理用テンプレート」→「Windowsコンポーネント」→「Windows Hello for Business」を展開します。
4. 右側の一覧で「PINのリセットを有効にする」というポリシーをダブルクリックします。表示が「未構成」または「無効」の場合、PIN再設定機能が使えない可能性があります。
5. 加えて、「PINの複雑さ」や「PINの長さ」などのポリシーも確認します。これらが厳しすぎると、新しいPINが要件を満たさず再設定がブロックされることもあります。

TPM(トラステッド プラットフォーム モジュール)の状態

Windows HelloはTPMに依存しているため、TPMが無効化されている、または初期化されているとPIN再設定が動作しません。次の手順でTPMの状態を確認します。

1. 「Windows」キーを押して「tpm.msc」と入力し、Enterキーを押します。
2. TPM管理コンソールが開きます。「状態」が「TPMは使用可能です」と表示されていることを確認します。
3. 「TPMの製造元情報」で仕様バージョンが2.0以上であることも確認します(1.2では一部機能が制限される場合があります)。
4. 状態が「準備ができていません」と表示される場合は、管理者に連絡してTPMの初期化や有効化を依頼します。

Azure AD/Entra ID参加状態の確認

会社の端末は「Azure AD参加」「ハイブリッドAzure AD参加」「ワークプレース参加」のいずれかの状態です。PIN再設定リンクを表示させるには、Azure AD参加またはハイブリッド参加が必要な場合が多いです。

• コマンドプロンプトを管理者で開き、「dsregcmd /status」と入力します。
• 出力結果の「AzureAdJoined」が「YES」、または「WorkplaceJoined」が「YES」と表示されるか確認します。理想的には「AzureAdJoined: YES」かつ「MdmEnrolled: YES」となっていれば、管理対象として正しく認識されています。
• 「WorkplaceJoined」のみの場合は、PIN再設定が機能しない可能性があります。管理者にAzure AD参加への移行を相談してください。

確認すべきアカウント・ポリシー設定

管理者が設定したPINポリシー(Intune/MDM)

会社がMicrosoft IntuneなどのMDMを使っている場合、そこからPINのリセットが禁止されていることがあります。Intune管理画面では「Endpoint security」→「Account protection」でWindows Hello for Businessのポリシーを確認できます。具体的な確認は管理者に依頼してください。

BitLocker回復キーのバックアップ状態

PINの再設定には回復キーの検証が必要な場合があります。回復キーがAzure ADやADにバックアップされていないと、再設定リンクが表示されないことがあります。

• BitLockerが有効な端末では、コマンドプロンプトを管理者で開き「manage-bde -protectors -get C:」と入力し、回復パスワードのIDを確認します。
• そのIDがAzure ADポータルやADのユーザーオブジェクトに表示されるか、管理者に確認してもらいます。
• 回復キーがバックアップされていない場合、PIN再設定フローが途中で止まることがあります。バックアップを取るよう管理者に依頼してください。

MFA(多要素認証)の影響

組織のポリシーによっては、PIN再設定時にMFAが必須となっている場合があります。MFAが未設定、または認証方法が不完全だと、再設定リンクが表示されても次のステップに進めません。会社の認証ポリシーを確認し、必要なら管理者にMFAの設定を依頼します。

具体的な手順:PIN再設定リンクを表示させるための操作

以下の手順は、あくまでトラブルシューティングとして実施できる範囲です。端末に変更を加える場合は管理者の許可を得てください。

1. 「設定」→「アカウント」→「サインインオプション」を開きます。
2. 「Windows Hello PIN」のセクションで「PINを忘れた場合」または「PINをリセット」というリンクが表示されるか確認します。表示されない場合は、以下の追加の確認を行います。
3. コマンドプロンプト(管理者)で「netplwiz」と入力し、ユーザーアカウントのプロパティを開きます。該当ユーザーが「Administrators」グループに所属していること、およびアカウントが無効になっていないことを確認します。
4. 同じくコマンドプロンプトで「whoami /groups」と入力し、ユーザーが必要なセキュリティグループ(例:Domain Users)に属しているか確認します。
5. 「dsregcmd /status」の出力を管理者に送り、ポリシー設定をチェックしてもらいます。特に「NgcSetKey」や「NGC(Next Generation Credential)」の項目が「YES」になっているかが重要です。
6. 場合によっては、一度サインアウトし、再サインインするとリンクが復活することがあります。ただし、これは一時的な対処です。

状況別の比較表:PIN再設定が可能な環境と不可能な環境

環境項目	可能な状態	不可能な状態
Azure AD参加	済み(AzureAdJoined = YES)	未参加、またはWorkplaceJoinedのみ
MDM登録(Intune)	登録済み(MdmEnrolled = YES)	未登録、またはポリシー未適用
PINリセットポリシー	有効または未構成	無効(GPO/MDMで明示的に無効)
BitLocker回復キー	Azure AD/ADにバックアップ済み	バックアップなし、またはキーが無効
TPM状態	有効、バージョン2.0以上	無効、初期化済み、バージョン1.2
MFA設定	組織の認証ポリシーでMFAが有効かつユーザーが登録済み	MFAが必須だが未登録、または無効

よくある失敗パターンと管理者への確認ポイント

失敗パターン1:レジストリを直接編集してしまい、PIN機能が完全に停止

一部のWebサイトでは「PINリセットリンクを強制的に表示するレジストリ設定」が紹介されていますが、会社の管理端末でレジストリを変更すると、セキュリティポリシー違反となり、PIN機能が完全に使えなくなるリスクがあります。レジストリの変更は管理者のみが行うべきです。

失敗パターン2:回復キーを自分で削除してしまう

BitLocker回復キーを誤って削除したり、Azure ADポータルから手動で削除すると、PIN再設定に必要なキーが欠落します。回復キーはバックアップとして必ず保管しておく必要があり、削除は管理者のみが行うべき操作です。

管理者への確認ポイント

• 自端末のAzure AD参加状態とIntune登録状態を「dsregcmd /status」の出力で伝え、ポリシーが適切に適用されているか確認してもらいます。
• グループポリシーで「PINのリセットを有効にする」が「無効」になっていないか、または「未構成」で上書きされていないかを確認依頼します。
• BitLocker回復キーがバックアップされているか、またLAPS(ローカル管理者パスワードソリューション)を使用している場合はその状態も確認してもらいます。
• 最終手段として、管理者がポリシーを一時的に緩和してPIN再設定を試すことができるか相談します。テスト環境で実施するのが望ましいです。

まとめ

PIN再設定リンクが表示されない原因は、主にグループポリシー、Azure AD参加状態、BitLocker回復キーのバックアップ状況、TPMの状態にあります。端末側でできることは「dsregcmd /status」や「gpedit.msc」を用いた状態確認までであり、ポリシー変更は必ず管理者に依頼してください。自己判断でのレジストリ編集や回復キー削除は、端末のロックアウトやデータ損失につながる恐れがあります。適切な情報を管理者に伝え、組織のポリシーに沿った対応を取ることが、安全かつ迅速な解決への近道となります。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。