ハイブリッド証明書信頼の展開には、デバイスの書き戻し機能が必要です。Windows Server 2016 Active Directory Federation Services（AD FS）への認証には、ユーザーとコンピューターの両方が必要です。通常、ユーザーは同期されますが、デバイスは同期されません。そのため、AD FSによるコンピューターの認証が妨げられ、Windows Hello for Businessの証明書登録が失敗します。そのため、Windows Hello for Businessの展開には、Azure Active Directoryのプレミアム機能であるデバイスの書き戻し機能が必要です。
https://docs.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello- hybrid-cert-trust-prereqs