非Windows Hello for Business场景下AD认证的PIN/生物识别密钥获取问询

• 首次密码登录时，系统会基于用户密码派生出Kerberos所需的共享密钥，同时把这个密钥（或用于生成它的核心材料）用Windows的**DPAPI（数据保护API）**加密后，存在本地安全存储里（比如Credential Manager或SAM数据库的关联区域）。这个加密过程和用户的本地身份标识（SID）、设备安全上下文绑定，只有通过合法身份验证的用户才能解锁。
• 当后续用PIN、指纹或面部识别登录时，系统先通过本地认证框架（比如Winlogon的生物识别模块）验证用户身份，验证通过后，会自动解锁DPAPI加密的存储，取出之前缓存好的Kerberos共享密钥，直接用来加密KRB-AS-REQ里的认证器，和常规密码登录的Kerberos流程无缝衔接。
• 这里的核心逻辑是：生物识别/PIN只是解锁本地缓存的密钥材料，不需要重新从密码派生密钥。KDC端的验证逻辑完全不变，因为它收到的认证器还是用和用户密码对应的共享密钥加密的。

内容的提问来源于stack exchange，提问作者Ivan Appleseed