2-Factor-Authentifizierung und AD

Hey Leute,

ich beschäftige mich gerade mit 2-Factor-Authentifizierung.+
Ich habe folgendes eine Windows AD mit Passwort Policy das alle 30 Tage die Kennwörter erneuert werden müssen.
Nun wollte ich eTokkens für die 2-Factor-Authentifizierung einführen.
Habe mir SophosGuard zum testen installiert und bin direkt auf ein Problem gestoßen. Vielleicht ist es auch nur eine Verständnisfrage.
Also wenn ich das System starte kommt direkt eine Sophos Abfrage nach einer eToken Pin. Dann startet mein System durch bis zum Desktop.
Nun würde ich gerne aber nicht die Pin vom eTokken verwenden sondern die Windows Ad Credetials, spich Benutzername und Passwort aus der Ad in Verbidnung mit eTokken.
So das unsere Policy auch noch wirkt wegen der 30 Tage Kennworterneuerung und die User nicht noch zusätzlich noch eine Pin merken müssen.
EIne Idee ob und wie ich das mit Sophos umsetzen kann?
VG an alle Helfer