Windows 11’de PIN (Windows Hello) Oturum Açmayı Silmek ve Devre Dışı Bırakmak

Windows Hello modern kimlik doğrulama yöntemleri arasında önemli bir yere sahiptir. Kullanıcıya PIN, parmak izi ya da yüz tanıma gibi kolay ve hızlı oturum açma seçenekleri sunar.

Ancak bazı kurumlarda sadece klasik kullanıcı adı + parola kombinasyonunun kullanılmasını gerektiren güvenlik politikaları bulunur.

Bu noktada yöneticiler Windows Hello ve PIN oturum açmayı devre dışı bırakmak isteyebilir. Örneğin:

• Güvenlik politikaları gereği MFA/parola dışında alternatif yöntemlerin yasaklanması,
• Paylaşımlı bilgisayarlarda PIN kullanımının karışıklık yaratması,
• Yardım masası operasyonlarının sadeleştirilmesi,
• Uyumluluk ve regülasyon gereklilikleri.

Amaç kullanıcı deneyimini olumsuz etkilemeden kurumsal güvenliği ve standartları korumaktır.

PIN Oturum Açmayı Devre Dışı Bırakmanın Yöntemleri

Windows Hello PIN’i devre dışı bırakmak için birden fazla yöntem bulunur. Bunlar betik (BAT/PowerShell), Group Policy (GPO) ve Registry değişiklikleri üzerinden uygulanabilir.

Modern yönetim ortamlarında ise Intune/MDM politikaları tercih edilebilir.

1. Toplu İş (BAT) Betiği ile Devre Dışı Bırakma

Aşağıdaki betik, yönetici yetkileriyle çalıştırıldığında PIN oturum açmayı kapatır, mevcut PIN yapılandırmasını siler ve Windows Ayarları’ndaki ilgili seçeneği gizler.

@echo off
echo ==========================
echo PIN ile oturum acma devre disi birakiliyor...
echo ==========================

:: Grup ilkesi ayari - PIN oturum acmayi kapat
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\System" /v AllowDomainPINLogon /t REG_DWORD /d 0 /f

:: PIN konfigurasyonunu kaldir
takeown /f "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /r /d y
icacls "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /grant administrators:F /t
rd /s /q "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc"

:: Windows Hello/PIN secenegini gizle
reg add "HKLM\SOFTWARE\Policies\Microsoft\PassportForWork" /v Enabled /t REG_DWORD /d 0 /f

echo.
echo PIN oturum acma secenegi devre disi birakildi.
echo Lutfen sistemi yeniden baslatin.
pause

Notlar:

• Betik çalıştırıldığında Ngc klasörü silinir bu klasör PIN kimlik doğrulama verilerini içerir.
• Yeniden başlatma sonrası PIN seçeneği kullanıcıya gösterilmez.
• Betiği sessiz çalıştırmak için pause satırını kaldırabilirsiniz.

2. PowerShell ile Uygulama

Aynı işlemler PowerShell üzerinden de yapılabilir. Bu yöntem otomasyon ve Intune gibi modern yönetim araçlarıyla daha uyumludur.

$ngc = "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc"

# Politika ayarlari
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\System" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\System" -Name AllowDomainPINLogon -Type DWord -Value 0

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\PassportForWork" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\PassportForWork" -Name Enabled -Type DWord -Value 0

# PIN verilerini temizle
if (Test-Path $ngc) {
  takeown /f $ngc /r /d y | Out-Null
  icacls $ngc /grant administrators:F /t | Out-Null
  Remove-Item $ngc -Recurse -Force
}

Write-Host "PIN oturum açma devre dışı bırakıldı. Yeniden başlatın."

3. Group Policy (GPO) ile Merkezi Yönetim

Büyük ölçekli ortamlarda en iyi yöntem GPO üzerinden merkezi yönetimdir.

GPO yolları:

• Computer Configuration → Administrative Templates → System → Logon → Turn on PIN sign-in for domain users → Disabled
• Computer Configuration → Administrative Templates → Windows Components → Windows Hello for Business → Use Windows Hello for Business → Disabled

Alternatif olarak Registry Preferences (GPP) ile şu anahtarlar dağıtılabilir:

• HKLM\SOFTWARE\Policies\Microsoft\Windows\System\AllowDomainPINLogon = 0
• HKLM\SOFTWARE\Policies\Microsoft\PassportForWork\Enabled = 0

4. Intune / MDM ile Devre Dışı Bırakma

Azure AD veya Entra ID ile yönetilen cihazlarda Intune üzerinden:

• Device Configuration → Identity Protection / Windows Hello for Business → Disabled
• OMA-URI yöntemiyle PassportForWork CSP üzerinden de ayar gönderilebilir.

Var olan PIN verilerini silmek için ise bir remediation script veya Win32 app paketi kullanılabilir.

PIN oturum açmanın kapandığını doğrulamak için:

• Ayarlar → Hesaplar → Oturum açma seçenekleri ekranında “PIN (Windows Hello)” seçeneği görünmez veya pasif olur.
• Giriş ekranında PIN ile giriş seçeneği kalkar yalnızca parola (ve varsa kart/biometrik) kalır.
• Registry’de aşağıdaki değerler bulunmalıdır:
  • AllowDomainPINLogon = 0
  • Enabled = 0