Вопрос
Возникла проблема: в TPO TMS сервера в разделе Enrollment > General Properties задействован параметр: First log on password change after enrollment. В разделе Recovery Settings для параметра Administrator password Type указан пароль.

В Центре управления TMS с подключенным коннектором Indeed-Id выпускаю токен для пользователя.
Все проходит успешно, запрашиваются реквизиты для приложений в профиле пользователя.

Затем после входе на рабочую станцию по имени и паролю PKI client предлагает заменить pin для токена. (Или сразу при входе в систему по смарт-карте путем ввода default user pin.)
После при входе в систему по имени и pin (после корректно введенного pin) появляется окно с сообщением:

Синхронизация пароля

Ошибка при входе в систему.
Произошла нештатная ситуация: рассинхронизация пароля.
Для исправления проблемы введите пароль, установленный системным администратором или обратитесь к администратору Indeed-Id.
Новый пароль: [   ]
Подтверждение: [   ]

Пароль администратора из TPO Recovery Settings не подходит.

Данная ситуация возникает в случае подключенного коннектора между TMS и Indeed-Id.
Если токен выпускается в Центре управления TMS без коннектора Indeed-Id, а в дальнейшем происходит обучение токена при первом log on в Windows, то все работает хорошо.

Ответ
Возможно не включена синхронизация пароля пользователя в Indeed-Id.

Запрашивает ли Центр управления TMS при выпуске токена пароль пользователя в AD? Есть ли поле "Укажите пароль учетной записи пользователя в Active Directory ... " ? Если есть, то заполняется ли оно?

Если поля нет, то надо включить синхронизацию пароля пользователя в Indeed-Id. Это можно сделать, добавив в реестр на машине с Aladdin TMS Server следующий параметр:

[HKEY_LOCAL_MACHINE\SOFTWARE\Indeed-ID\TMSConnector]
"SyncADPassword"=dword:00000001