在 Windows 11 25H2 上, 我无法创建 PIN

Question

在 Windows 11 25H2 上, 我无法创建 PIN

MCVillagerHa 0

我刚刚更新了 Windows 11 25H2 (Build 26200.6725) (Windows 专业版)

由于一些个人原因, 不久前我删除了 PIN 并更改了密码

现在, 我想要重新创建 PIN, 但是它不可用

准确的说, 是没有反应

你可以查看下面的图片, 其中显示了出现的问题

(图 1, 此时我已经完成了 Windows 安全中心给出的创建步骤, 在截图中, 我使用黑色画笔抹掉了我的电子邮箱) 用户的图像

(图 1, 补充: 在截图中无法表示出来, 我的鼠标在焦点不移动的情况下保持处在忙即转圈圈的状态)

我自行在 Internet 上查询了相关问题与解决方案,但是它们似乎不可用,又或许是因为我操作不正确(但是我完全根据其步骤进行)

我查询并尝试的解决方案有:

在系统配置中取消所有非Microsoft服务与启动项后重新启动
更改服务将所有与 PIN 相关的服务***** 启动或设为“自动"
通过其它的 Windows Hello 登录选项来二次引导到设置 PIN
取消设定密码并重新设定

*此处的与 PIN 相关的服务 为 Internet 上给出的信息, 而非 Microsoft 的官方信息, 其中有Credential Manager 和 Windows Biometric Service

此外, 为了方便日常使用或解决日常使用中出现的问题, 我可能更改了某些系统配置项(如某些服务或更改了某些注册表), 我可以告诉的是我从2024年6月开始禁用了 Windows Update, 当时我还没有升级到 Windows 11, 我是在2025年上半年通过 Microsoft 提供的渠道升级到 Windows 11 24H2的, 直到前不久更新 Windows 11 25H2 时, 我才根据 Internet 和 Microsoft 官方的信息重新启用了更新并安装了必需的补丁来更新到 25H2, 之后我继续禁用了 Windows Update

这是我目前可以提供的所有信息, 如果需要更多非隐私性信息, 我随时可以提供

感谢帮助我解决该问题

1 个答案

你的答案

Answer 1

Emmanuel Santana 30,965 独立顾问

你好。

请按照以下步骤重新建立 Windows Hello PIN 系统。

以管理员身份打开 PowerShell
- 点击「开始」按钮。
- 输入 PowerShell。
- 右键点击「Windows PowerShell」→ 选择「以管理员身份运行」。
检查关键服务是否正在运行
- 在 PowerShell 窗口中复制并粘贴以下命令：
```
     Get-Service NgcSvc, KeyIso, VaultSvc, SCardSvr | Select Name, Status, StartType
```
- 按下 Enter。
- 如果有任何服务显示为 Stopped（已停止） 或 Disabled（已禁用），请告诉我是哪一个。
检查 Windows Hello 状态
- 复制并粘贴以下命令：
```
     dsregcmd /status
```
- 按下 Enter。
- 向下滚动，找到 Ngc Prerequisite Check（Ngc 先决条件检查）。
- 记下 IsDeviceKeyPresent 和 IsUserKeyPresent 显示的是「YES」还是「NO」。
重置 PIN 系统 如果上面任一项显示「NO」，请仔细执行以下操作：
- 一行一行复制并粘贴以下命令，每行执行完后按 Enter：
```
     takeown /f %ProgramData%\Microsoft\Ngc /r /d y
     icacls %ProgramData%\Microsoft\Ngc /grant administrators:F /t
     rmdir /s /q %ProgramData%\Microsoft\Ngc
```
- 完成后关闭 PowerShell 并 重新启动电脑。
创建新的 PIN
- 打开「设置 → 帐户 → 登录选项 → PIN（Windows Hello）」。
- 点击「设置」并按照提示操作。
如果 PIN 按钮仍然没有反应
- 再次以管理员身份打开 PowerShell。
- 输入以下命令并按 Enter：
```
     reg query HKLM\SOFTWARE\Policies\Microsoft\PassportForWork
```
- 请告诉我是否看到 Enabled 或 DisablePostLogonProvisioning 这样的键值。

帮助链接： Windows Hello 常见问题与疑难排解指南

MCVillagerHa 0

感谢您的回答，
我进行了第二步，它如此显示

Name      Status StartType
KeyIso   Running    Manual
NgcSvc   Running    Manual
SCardSvr Stopped    Manual
VaultSvc Stopped Automatic

也就是说SCardSvr和VaultSvc是Stopped的
在第三步中,Ngc Prerequisite Check中我没有找到您说的 IsDeviceKeyPresent 和 IsUserKeyPresent，它如此显示：

         IsDeviceJoined : NO

         IsUserAzureAD : NO

         PolicyEnabled : NO

      PostLogonEnabled : YES

        DeviceEligible : YES

    SessionIsNotRemote : YES

        CertEnrollment : none

          PreReqResult : WillNotProvision  
```由于没有这两个字段，我并没有擅自执行第四步  
谢谢您抽出时间的回答

Emmanuel Santana 30,965 信誉分独立顾问

2025-10-26T12:33:12.94+00:00
你做得对，没有继续执行第四步。根据你的结果，Windows Hello 的配置流程根本没有启动，因为系统没有检测到任何受信任的账户或密钥关联。

有两点非常关键：

IsDeviceJoined : NO 和 PreReqResult : WillNotProvision 表示你的电脑目前没有加入任何受信任的域或 Microsoft 帐户会话。在这种情况下，Windows Hello 不会生成 PIN 密钥。

NgcSvc 和 KeyIso 状态正常，但 VaultSvc 应该是 Running（运行中） 而不是 Stopped（已停止）。

请按照以下步骤操作：

在 PowerShell（以管理员身份运行）中输入以下命令，手动启动 Vault 服务：
Start-Service VaultSvc
然后执行：
Set-Service VaultSvc -StartupType Automatic

确认你已使用 Microsoft 帐户登录。

打开「设置 → 帐户 → 您的信息」。

如果显示「本地帐户」，点击「改为使用 Microsoft 帐户登录」。

登录后重新启动电脑。

重启并重新登录后，再次运行以下命令：
dsregcmd /status
查看是否显示 IsDeviceJoined : YES 和 PreReqResult : Success。

如果这些值仍未改变，可能是本地策略阻止了 Hello 的密钥信任功能。请运行以下命令：

reg query HKLM\SOFTWARE\Policies\Microsoft\PassportForWork

告诉我是否看到类似 Enabled 或 DisablePostLogonProvisioning 的项目。

MCVillagerHa 0

我执行了第一步，然而在第一步便出现了错误

Start-Service : 无法启动服务“Credential Manager (VaultSvc)”。
所在位置 行:1 字符: 1
+ Start-Service VaultSvc
+ ~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : OpenError: (System.ServiceProcess.ServiceController:ServiceController) [Start-Service],
   ServiceCommandException
    + FullyQualifiedErrorId : StartServiceFailed,Microsoft.PowerShell.Commands.StartServiceCommand

Emmanuel Santana 30,965 信誉分独立顾问

2025-10-26T12:44:58.6433333+00:00
谢谢你的反馈。从你提供的信息来看，VaultSvc 服务无法启动，是因为它的依赖链出现了问题。

我们来验证并修复它：

再次以管理员身份打开 PowerShell。运行以下命令，查看 VaultSvc 依赖哪些服务：
sc qc VaultSvc
检查以 DEPENDENCIES 开头的那一行，告诉我它列出了哪些内容（通常是 “RPCSS”）。

接下来，尝试手动启动那个依赖服务：
net start RPCSS
如果能够成功启动，再尝试启动 Vault 服务：
net start VaultSvc

如果还是失败，我们就重置凭据管理器相关组件。运行：
sfc /scannow
这会检查并修复与 VaultSvc 相关的系统文件。

完成后，重启电脑，再检查 凭据管理器（VaultSvc） 服务能否正常启动。
MCVillagerHa 0 信誉分

2025-10-26T12:50:04.5833333+00:00

第一步的命令

sc qc VaultSvc

就没有任何输出

我正在尝试sfc /scannow，如果有问题，我会更新这条注释
Emmanuel Santana 30,965 信誉分独立顾问

2025-10-26T12:53:37.5166667+00:00

如果 sc qc VaultSvc 没有任何输出，这表示 VaultSvc 服务在系统注册表中已经丢失或损坏，可能是之前修改系统配置时被删除的。

目前 sfc /scannow 命令可能会自动恢复它，所以请先等待扫描完成。
MCVillagerHa 0 信誉分

2025-10-26T12:54:37.49+00:00

sfc /scannow已执行，它显示

Windows 资源保护未找到任何完整性冲突。

20:57更新: 我尝试了 Powershell 7 (x64), 我曾经下载到电脑中的，它成功执行了sc qc VaultSvc

我正在按照您的回复继续进行
Emmanuel Santana 30,965 信誉分独立顾问

2025-10-26T12:59:02.28+00:00
谢谢你的更新。确实很奇怪，但我们可以尝试修复。请按照以下步骤重新创建该服务：

以管理员身份打开 PowerShell。

复制并粘贴以下命令，然后按回车：
sc create VaultSvc binPath= "C:\Windows\system32\lsass.exe" type= share start= auto DisplayName= "Credential Manager"

然后运行：
sc description VaultSvc "Stores credentials for automatic logon"

重启你的电脑。

重启后，再次打开 PowerShell，运行：

sc qc VaultSvc

确认服务现在是否已经出现。然后尝试启动它：

Start-Service VaultSvc

请告诉我这些命令是否成功执行，或者你是否仍然收到错误提示。
MCVillagerHa 0 信誉分

2025-10-26T13:00:00.28+00:00

我执行了第一步，它显示

[SC] CreateService 失败 1073: 指定的服务已存在。

第二步：

[SC] ChangeServiceConfig2 成功

我正在重新启动电脑，我会及时更新

这一切都是在Powershell 7中执行的而不是Windows自带的Powershell，这很奇怪

21:05 更新：重启后：

我仍然无法在自带的Powershell中执行那些命令

在Powershell 7中，我执行了sc qc VaultSvc，它已经出现并我确认依赖服务RPCSS已打开

我执行了Start-Service VaultSvc，它提示

Start-Service: Failed to start service 'Credential Manager (VaultSvc)'.

我按照上面的注释又执行了net start VaultSvc，它显示

Credential Manager 服务正在启动 . Credential Manager 服务无法启动。系统出错。发生系统错误 5。拒绝访问。

此外，接下来，除非特别说明，否则我都会使用Powershell 7，以管理员模式运行
Emmanuel Santana 30,965 信誉分独立顾问

2025-10-26T13:16:10.6166667+00:00
在 PowerShell 中尝试以下命令：

sc sdset VaultSvc D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)

然后再尝试重新启用该服务，告诉我是否有效。
MCVillagerHa 0 信誉分

2025-10-26T13:22:29.12+00:00

ParserError: Line | 1 | sc sdset VaultSvc D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOC … | ~ | Missing closing ')' in expression.

启动 VaultSvc 的两个命令仍不可用
Emmanuel Santana 30,965 信誉分独立顾问

2025-10-26T13:26:57.6333333+00:00
Slight syntax error, try this:

sc sdset VaultSvc D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)
MCVillagerHa 0 信誉分

2025-10-26T13:29:47.8133333+00:00

ParserError: Line | 1 | sc sdset VaultSvc D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOC … | ~ | Missing closing ')' in expression.
Emmanuel Santana 30,965 信誉分独立顾问

2025-10-26T13:34:07.57+00:00

知道了，在命令提示符而不是 PowerShell 中运行它，看看它是否适合你。
MCVillagerHa 0 信誉分

2025-10-26T13:37:29.2933333+00:00

感谢您这么长时间的回答，我在管理员权限的CMD中执行了它

[SC] SetServiceObjectSecurity 成功

但我仍然无法通过Start-Service与net start启动VaultSvc
Emmanuel Santana 30,965 信誉分独立顾问

2025-10-26T13:42:21.2233333+00:00
Thanks for allowing me to help you so far. Alright so now we need to check this on Command Prompt:

Run this next in Command Prompt (Administrator):

sc qc VaultSvc

Check if you see this line:

BINARY_PATH_NAME : C:\Windows\System32\lsass.exe

If it’s blank or shows something else, run:

sc config VaultSvc binPath= "C:\Windows\System32\lsass.exe" type= share start= auto

Then try:

net start VaultSvc
MCVillagerHa 0 信誉分

2025-10-26T13:59:48.83+00:00

它仍然不可用

系统出错。发生系统错误 5。拒绝访问。

感谢您回答我这么长的时间，这大概有2小时了，由于我是一名学生，从明天开始我将没有时间使用电脑，如果您有想法可以继续添加注释，我会在下周末回来时查看感谢您的回答，祝您有美好的一天
Emmanuel Santana 30,965 信誉分独立顾问

2025-10-26T14:03:17.7333333+00:00
感谢您的更新，这说明 VaultSvc 服务项已恢复，但 Windows 仍然拒绝本地安全授权机构（LSASS）访问启动该服务。这是一个深层次的权限锁定，很可能是由于 LSASS 可执行文件缺少所有权，或者注册表项 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VaultSvc 出现了不匹配导致的。

目前不需要再操作。等您有空回来时，我们下一步将检查以下内容：

用以下命令检查 LSASS 权限：
icacls "C:\Windows\System32\lsass.exe"
输出结果应包含 SYSTEM:(F) 和 Administrators:(F)。

如果权限没有问题，导出并检查 VaultSvc 的注册表分支，确认所有参数都存在。

等您回来后，请把结果发上来，我们会帮您彻底重建或修复安全权限。

不用着急，祝您本周愉快，等您有空我们再继续。