Planen der BitLocker-Verwaltung

Gilt für: Konfigurations-Manager (Current Branch)

Verwenden Sie den Konfigurations-Manager zum Verwalten der BitLocker-Laufwerkverschlüsselung (BitLocker Drive Encryption, BDE) für lokale Windows-Clients, die in Active Directory eingebunden sind. Es bietet eine vollständige BitLocker-Lebenszyklusverwaltung, die die Verwendung von Microsoft BitLocker Administration and Monitoring (MBAM) ersetzen kann.

Weitere allgemeine Informationen zu BitLocker finden Sie unter BitLocker-Übersicht. Einen Vergleich der BitLocker-Bereitstellungen und -Anforderungen finden Sie in der Tabelle zum Vergleich der BitLocker-Bereitstellungen.

Features

Konfigurations-Manager stellt die folgenden Verwaltungsfunktionen für die BitLocker-Laufwerkverschlüsselung bereit:

Clientbereitstellung

• Stellen Sie den BitLocker-Client auf verwalteten Windows-Geräten bereit, auf denen Windows 8.1, Windows 10 oder Windows 11 ausgeführt wird.

• Verwalten von BitLocker-Richtlinien und Hinterlegungswiederherstellungsschlüsseln für lokale und internetbasierte Clients

Verwalten von Verschlüsselungsrichtlinien

• Beispiel: Wählen Sie Laufwerkverschlüsselung und Verschlüsselungsstärke aus, konfigurieren Sie die Ausnahmerichtlinie für Benutzer, Einstellungen für die Verschlüsselung von Festplattenlaufwerken.

• Bestimmen Sie die Algorithmen, mit denen das Gerät und die Datenträger verschlüsselt werden sollen.

• Erzwingen Sie die Konformität der Benutzer mit neuen Sicherheitsrichtlinien, bevor Sie das Gerät verwenden.

• Passen Sie das Sicherheitsprofil Ihrer organization auf Gerätebasis an.

• Wenn ein Benutzer das Betriebssystemlaufwerk entsperrt, geben Sie an, ob nur ein Betriebssystemlaufwerk oder alle angeschlossenen Laufwerke entsperrt werden sollen.

Berichte zur Konformität

Integrierte Berichte für:

• Status der Verschlüsselung pro Volume oder pro Gerät
• Der primäre Benutzer des Geräts
• Compliance-Status
• Gründe für die Nichteinhaltung

Verwaltungs- und -Überwachungswebsite

Anderen Personas in Ihrer organization außerhalb der Konfigurations-Manager-Konsole erlauben, bei der Schlüsselwiederherstellung zu helfen, einschließlich Schlüsselrotation und anderer BitLocker-bezogener Unterstützung. Helpdesk-Administratoren können Benutzern beispielsweise bei der Wiederherstellung von Schlüsseln helfen.

Self-Service-Portal für Benutzer

Lassen Sie Benutzer sich mit einem Einmalschlüssel zum Entsperren eines mit BitLocker verschlüsselten Geräts selbst helfen. Sobald dieser Schlüssel verwendet wird, generiert er einen neuen Schlüssel für das Gerät.

Voraussetzungen

Allgemeine Voraussetzungen

• Zum Erstellen einer BitLocker-Verwaltungsrichtlinie benötigen Sie die Rolle "Volladministrator" im Konfigurations-Manager.

• Um die BitLocker-Verwaltungsberichte zu verwenden, installieren Sie die Reporting Services-Punktstandortsystemrolle. Weitere Informationen finden Sie unter Konfigurieren der Berichterstellung.

  Hinweis

  Damit der Wiederherstellungsüberwachungsbericht von der Administrations- und Überwachungswebsite aus funktioniert, verwenden Sie nur einen Reporting Services-Punkt am primären Standort.

Voraussetzungen für Clients

• Das Gerät benötigt einen TPM-Chip, der im BIOS aktiviert ist und über Windows zurückgesetzt werden kann.

  Microsoft empfiehlt Geräte mit TPM-Version 2.0 oder höher. Geräte mit TPM-Version 1.2 unterstützen möglicherweise nicht alle BitLocker-Funktionen ordnungsgemäß.

• Die Festplatte des Computers benötigt ein BIOS, das mit TPM kompatibel ist und USB-Geräte während des Computerstarts unterstützt.

Die BitLocker-Verwaltung unterstützt nicht alle Clienttypen, die von Konfigurations-Manager unterstützt werden. Weitere Informationen finden Sie unter Unterstützte Konfigurationen.

Voraussetzungen für den Wiederherstellungsdienst

• In Version 2010 und früher erfordert der BitLocker-Wiederherstellungsdienst HTTPS, um die Wiederherstellungsschlüssel über das Netzwerk vom Konfigurations-Manager-Client zum Verwaltungspunkt zu verschlüsseln. Verwenden Sie eine der folgenden Optionen:

  • Aktivieren Sie die IIS-Website auf dem Verwaltungspunkt, der den Wiederherstellungsdienst hostet, über HTTPS.

  • Konfigurieren Sie den Verwaltungspunkt für HTTPS.

  Weitere Informationen finden Sie unter Verschlüsseln von Wiederherstellungsdaten über das Netzwerk.

  Hinweis

  Wenn sowohl der Standort als auch die Clients Konfigurations-Manager Version 2103 oder höher ausgeführt werden, senden die Clients ihre Wiederherstellungsschlüssel über den sicheren Clientbenachrichtigungskanal an den Verwaltungspunkt. Wenn Clients die Version 2010 oder früher verwenden, benötigen sie einen HTTPS-fähigen Wiederherstellungsdienst auf dem Verwaltungspunkt, um ihre Schlüssel zu hinterlegen.

  Da Clients den sicheren Clientbenachrichtigungskanal verwenden, um Schlüssel zu hinterlegen, können Sie ab Version 2103 die Konfigurations-Manager-Site für erweitertes HTTP aktivieren. Diese Konfiguration wirkt sich nicht auf die Funktionalität der BitLocker-Verwaltung im Konfigurations-Manager aus.

• In Version 2010 und früher benötigen Sie für die Verwendung des Wiederherstellungsdiensts mindestens einen Verwaltungspunkt, der sich nicht in einer Replikatkonfiguration befindet. Obwohl der BitLocker-Wiederherstellungsdienst auf einem Verwaltungspunkt installiert wird, der ein Datenbankreplikat verwendet, können Clients keine Wiederherstellungsschlüssel hinterlegen. Dann verschlüsselt BitLocker das Laufwerk nicht. Deaktivieren Sie den BitLocker-Wiederherstellungsdienst auf jedem Verwaltungspunkt mit einem Datenbankreplikat.

  Ab Version 2103 unterstützt der Wiederherstellungsdienst Verwaltungspunkte, die ein Datenbankreplikat verwenden.

Voraussetzungen für BitLocker-Portale

• Um das Self-Service-Portal oder die Verwaltungs- und Überwachungswebsite verwenden zu können, benötigen Sie einen Windows-Server mit IIS. Sie können ein Konfigurations-Manager-Standortsystem oder einen eigenständigen Webserver verwenden, der Konnektivität mit dem Standortdatenbankserver aufweist. Verwenden Sie eine unterstützte Betriebssystemversion für Standortsystemserver.

• Installieren Sie Microsoft ASP.NET MVC 4.0 und .NET Framework 3.5 auf dem Webserver, der das Self-Service-Portal hostet, bevor Sie mit dem Installationsvorgang beginnen. Andere erforderliche Windows Server-Rollen und -Features werden während des Installationsvorgangs des Portals automatisch installiert.

  Tipp

  Sie müssen keine Version von Visual Studio mit ASP.NET MVC installieren.

• Das Benutzerkonto, das das Skript zum Portalinstallationsprogramm ausführt, benötigt SQL Server-Systemadministratorrechte auf dem Standortdatenbankserver. Während des Setupprozesses legt das Skript Anmelde-, Benutzer- und SQL Server-Rollenrechte für das Webserver-Computerkonto fest. Sie können dieses Benutzerkonto nach Abschluss der Einrichtung des Self-Service-Portals und der Administrations- und Überwachungswebsite aus der Rolle "Systemadministrator" entfernen.

Unterstützte Konfigurationen

• Die BitLocker-Verwaltung wird auf virtuellen Computern (VMs) oder Servereditionen nicht unterstützt. Beispielsweise startet die BitLocker-Verwaltung die Verschlüsselung auf Festplattenlaufwerken virtueller Computer nicht. Darüber hinaus können Festplattenlaufwerke in virtuellen Computern als kompatibel angezeigt werden, obwohl sie nicht verschlüsselt sind.

• Ab Version 2409 unterstützt der Konfigurations-Manager jetzt BitLocker-Tasksequenzschritte für ARM-Geräte. In der BitLocker-Verwaltung sind Richtlinien, die die Verschlüsselung von Betriebssystemlaufwerken mit einem TPM-Schutz und die Festplattenlaufwerkverschlüsselung mit der Option zum automatischen Entsperren umfassen, jetzt mit ARM-Geräten kompatibel.

• In Version 2010 und früher werden von Microsoft Entra beigetretene Arbeitsgruppenclients oder Clients in nicht vertrauenswürdigen Domänen nicht unterstützt. In diesen früheren Versionen von Konfigurations-Manager unterstützt die BitLocker-Verwaltung nur Geräte, die in ein lokales Active Directory eingebunden sind, einschließlich Microsoft Entra Hybrid-verbundene Geräte. Diese Konfiguration dient der Authentifizierung beim Wiederherstellungsdienst, um Schlüssel zu hinterlegen.

  Ab Version 2103 unterstützt Konfigurations-Manager alle Clientbeitrittstypen für die BitLocker-Verwaltung. Die clientseitige BitLocker-Benutzeroberflächenkomponente wird jedoch weiterhin nur auf Geräten unterstützt, die mit Active Directory und Microsoft Entra Hybrid verbunden sind.

• Ab Version 2010 können Sie jetzt BitLocker-Richtlinien und Hinterlegungswiederherstellungsschlüssel über ein Cloud Management Gateway (CMG) verwalten. Diese Änderung bietet auch Unterstützung für die BitLocker-Verwaltung über die internetbasierte Clientverwaltung (Internet Based Client Management, IBCM). Der Setupprozess für die BitLocker-Verwaltung ändert sich nicht. Diese Verbesserung unterstützt Geräte, die in die Domäne eingebunden sind, und in Hybridumgebungen eingebundene Geräte. Weitere Informationen finden Sie unter Bereitstellen des Verwaltungs-Agents: Wiederherstellungsdienst.

  • Wenn Sie über BitLocker-Verwaltungsrichtlinien verfügen, die Sie vor dem Update auf Version 2010 erstellt haben, um sie internetbasierten Clients über CMG zur Verfügung zu stellen:
    1. Öffnen Sie in der Konfigurations-Manager-Konsole die Eigenschaften der vorhandenen Richtlinie.
    2. Wechseln Sie zur Registerkarte Clientverwaltung .
    3. Wählen Sie "OK " oder "Übernehmen " aus, um die Richtlinie zu speichern. Mit dieser Aktion wird die Richtlinie überarbeitet, sodass sie für Clients über das CMG verfügbar ist.

• Standardmäßig verschlüsselt der Schritt "BitLocker aktivieren " in der Tasksequenz nur den belegten Speicherplatz auf dem Laufwerk. Die BitLocker-Verwaltung verwendet die vollständige Datenträgerverschlüsselung . Konfigurieren Sie diesen Tasksequenzschritt, um die Option zur Verwendung der vollständigen Datenträgerverschlüsselung zu aktivieren.

  Ab Version 2203 können Sie diesen Tasksequenzschritt so konfigurieren, dass die BitLocker-Wiederherstellungsinformationen für das Betriebssystemvolume im Konfigurations-Manager hinterlegt werden.

  Weitere Informationen finden Sie unter Tasksequenzschritte – Aktivieren von BitLocker.

Nächste Schritte

Verschlüsseln von Wiederherstellungsdaten über das Netzwerk