Distribuire la gestione di BitLocker

Si applica a: Gestione configurazione (Current Branch)

La gestione di BitLocker in Gestione configurazione include i componenti seguenti:

Prima di creare e distribuire criteri di gestione di BitLocker:

Creare un criterio

Quando crei e distribuisci questo criterio, il client di Gestione configurazione abilita l'agente di gestione BitLocker nel dispositivo.

Nota

Per creare un criterio di gestione di BitLocker, è necessario il ruolo Amministratore completo in Gestione configurazione.

  1. Nella console di Gestione configurazione passare all'area di lavoro Asset e conformità, espandere Endpoint Protection e selezionare il nodo Gestione BitLocker.

  2. Sulla barra multifunzione selezionare Crea criteri di controllo gestione BitLocker.

  3. Nella pagina Generale specificare un nome e una descrizione facoltativa. Selezionare i componenti da abilitare sui client con questo criterio:

    • Unità del sistema operativo: gestisci se l'unità del sistema operativo è crittografata

    • Unità fissa: gestire la crittografia per altre unità dati in un dispositivo

    • Unità rimovibile: gestisci la crittografia per le unità che puoi rimuovere da un dispositivo, ad esempio una chiave USB

    • Gestione client: Gestire il servizio di ripristino della chiave di backup delle informazioni di ripristino di Crittografia unità BitLocker

  4. Nella pagina Configurazione , configura le seguenti impostazioni globali per Crittografia unità BitLocker:

    Nota

    Gestione configurazione applica queste impostazioni quando si abilita BitLocker. Se l'unità è già crittografata o è in corso, qualsiasi modifica a queste impostazioni dei criteri non modifica la crittografia dell'unità nel dispositivo.

    Se si disabilitano o non si configurano queste impostazioni, BitLocker usa il metodo di crittografia predefinito (AES a 128 bit).

    • Per i dispositivi Windows 8.1, abilitare l'opzione per il metodo di crittografia dell'unità e il livello di crittografia. Selezionare quindi il metodo di crittografia.

    • Per dispositivi Windows 10 o versioni successive, abilita l'opzione per il metodo di crittografia dell'unità e il livello di crittografia (Windows 10 o versioni successive). Selezionare quindi singolarmente il metodo di crittografia per unità del sistema operativo, unità dati fisse e unità dati rimovibili.

    Per ulteriori informazioni su queste e altre impostazioni in questa pagina, vedere Riferimento alle impostazioni - Configurazione.

  5. Nella pagina Unità del sistema operativo specificare le impostazioni seguenti:

    • Impostazioni di Crittografia unità del sistema operativo: se si abilita questa impostazione, l'utente deve proteggere l'unità del sistema operativo e BitLocker crittografa l'unità. Se viene disabilitata, l'utente non può proteggere l'unità.

    Nei dispositivi con un TPM compatibile, è possibile usare due tipi di metodi di autenticazione all'avvio per fornire una protezione aggiuntiva per i dati crittografati. All'avvio, il computer può usare solo il TPM per l'autenticazione oppure può anche richiedere l'immissione di un numero PIN (Personal Identification Number). Configurare le seguenti impostazioni:

    • Seleziona protezione per l'unità del sistema operativo: configura per l'uso di un TPM e un PIN o solo del TPM.

    • Configura la lunghezza minima del PIN per l'avvio: se è necessario un PIN, questo valore è la lunghezza minima che l'utente può specificare. L'utente immette questo PIN all'avvio del computer per sbloccare l'unità. Per impostazione predefinita, la lunghezza minima del PIN è 4.

    Per ulteriori informazioni su queste e altre impostazioni in questa pagina, vedere Riferimento alle impostazioni - Unità del sistema operativo.

  6. Nella pagina Unità fissa specificare le impostazioni seguenti:

    • Crittografia unità dati risolta: se si abilita questa impostazione, BitLocker richiede agli utenti di proteggere tutte le unità dati fisse. Crittografa quindi le unità dati. Quando si abilita questo criterio, abilitare lo sblocco automatico o le impostazioni per Criterio password unità dati fissa.

    • Configura lo sblocco automatico per l'unità dati fissa: consente o richiedi a BitLocker di sbloccare automaticamente qualsiasi unità dati crittografata. Per usare lo sblocco automatico, richiedi anche a BitLocker di crittografare l'unità del sistema operativo.

    Per ulteriori informazioni su queste e altre impostazioni in questa pagina, vedere Riferimento alle impostazioni - Unità fissa.

  7. Nella pagina Unità rimovibili specificare le impostazioni seguenti:

    • Crittografia unità dati rimovibili: quando si abilita questa impostazione e si consente agli utenti di applicare la protezione BitLocker, il client di Gestione configurazione salva le informazioni di ripristino sulle unità rimovibili nel servizio di ripristino nel punto di gestione. Questo comportamento consente agli utenti di ripristinare l'unità se dimenticano o perdono la protezione (password).

    • Consente agli utenti di applicare la protezione BitLocker alle unità dati rimovibili: Gli utenti possono attivare la protezione BitLocker per un'unità rimovibile.

    • Criteri password unità dati rimovibili: usare queste impostazioni per impostare i vincoli per le password di sbloccare le unità rimovibili protette da BitLocker.

    Per ulteriori informazioni su queste e altre impostazioni in questa pagina, vedere Riferimento alle impostazioni - Unità rimovibile.

  8. Nella pagina Gestione client specificare le impostazioni seguenti:

    • Configurare i servizi di gestione di BitLocker: Quando si abilita questa impostazione, Gestione configurazione esegue automaticamente e automaticamente il backup invisibile all'utente delle informazioni di ripristino delle chiavi nel database del sito. Se disabiliti o non configuri questa impostazione, Gestione configurazione non salva le informazioni di ripristino della chiave.

      • Selezionare le informazioni di ripristino di BitLocker da archiviare: Configurare il dispositivo per l'utilizzo di una password di ripristino e di un pacchetto di chiavi oppure solo di una password di ripristino.

      • Consenti l'archiviazione delle informazioni di ripristino in testo normale: senza un certificato di crittografia di gestione BitLocker, Gestione configurazione archivia le informazioni di ripristino della chiave in testo normale. Per altre informazioni, vedere Crittografare i dati di ripristino nel database.

    Per ulteriori informazioni su queste e altre impostazioni in questa pagina, vedere Riferimento alle impostazioni - Gestione client.

  9. Completare la procedura guidata.

Per modificare le impostazioni di un criterio esistente, sceglierlo nell'elenco e selezionare Proprietà.

Quando si creano più criteri, è possibile configurarne la priorità relativa. Se si distribuiscono più criteri a un client, viene usato il valore di priorità per determinare le impostazioni.

A partire dalla versione 2006, è possibile usare i cmdlet di Windows PowerShell per questa attività. Per altre informazioni, vedere New-CMBlmSetting.

Distribuire un criterio

  1. Scegliere un criterio esistente nel nodo di gestione di BitLocker . Sulla barra multifunzione selezionare Distribuisci.

  2. Selezionare una raccolta di dispositivi come destinazione della distribuzione.

  3. Se si desidera che il dispositivo possa potenzialmente crittografare o decrittografare le unità in qualsiasi momento, selezionare l'opzione Consenti la correzione all'esterno della finestra di manutenzione. Se la raccolta ha finestre di manutenzione, corregge comunque questo criterio di BitLocker.

  4. Configurare una pianificazione semplice o personalizzata . Il client valuta la conformità in base alle impostazioni specificate nella pianificazione.

  5. Selezionare OK per distribuire il criterio.

È possibile creare più distribuzioni dello stesso criterio. Per visualizzare informazioni aggiuntive su ogni distribuzione, selezionare il criterio nel nodo Gestione BitLocker e quindi nel riquadro dei dettagli passare alla scheda Distribuzioni. È anche possibile usare i cmdlet di Windows PowerShell per questa attività. Per ulteriori informazioni, vedere New-CMSettingDeployment.

Importante

Se è attiva una connessione RDP (Remote Desktop Protocol), il client MBAM non avvia le azioni Crittografia unità BitLocker. Chiudere tutte le connessioni della console remota e accedere a una sessione della console con un account utente di dominio. Viene quindi avviata Crittografia unità BitLocker e il client carica le chiavi e i pacchetti di ripristino. Se accedi con un account utente locale, Crittografia unità BitLocker non viene avviato.

È possibile usare RDP per connettersi in remoto alla sessione della console del dispositivo con lo /admin switch. Ad esempio: mstsc.exe /admin /v:<IP address of device>

Una sessione di console avviene quando ti trovi alla console fisica del computer o una connessione remota che è uguale a quella usata dalla console fisica del computer.

Monitoraggio

Visualizzare le statistiche di conformità di base sulla distribuzione dei criteri nel riquadro dei dettagli del nodo di gestione di BitLocker :

  • Conteggio conformità
  • Numero di errori
  • Conteggio delle non conformità

Passare alla scheda Distribuzioni per visualizzare la percentuale di conformità e le azioni consigliate. Selezionare la distribuzione, quindi nella barra multifunzione selezionare Visualizza stato. Questa azione passa all'area di lavoro Monitoraggio , nodo Distribuzioni . Analogamente alla distribuzione di altre distribuzioni di criteri di configurazione, in questa visualizzazione è possibile visualizzare uno stato di conformità più dettagliato.

Per informazioni sul motivo per cui i client segnalano la non conformità ai criteri di gestione di BitLocker, vedere Codici di non conformità.

Per altre informazioni sulla risoluzione dei problemi, vedi Risolvere problemi relativi a BitLocker.

Usare i log seguenti per il monitoraggio e la risoluzione dei problemi:

Registri dei client

  • Registro eventi di MBAM: nel Visualizzatore eventi di Windows passare ad Applicazioni e servizi>Microsoft>Windows>MBAM. Per altre informazioni, vedere Informazioni sui registri eventi di BitLocker e sui registri eventi client.

  • BitlockerManagementHandler.log e BitlockerManagement_GroupPolicyHandler.log nel percorso dei log client, %WINDIR%\CCM\Logs per impostazione predefinita

Log del punto di gestione (servizio di ripristino)

  • Registro eventi del servizio di ripristino: nel Visualizzatore eventi di Windows passare ad Applicazioni e servizi>Microsoft>Windows>MBAM-Web. Per altre informazioni, vedere Informazioni sui registri eventi di BitLocker e sui registri eventi del server.

  • Log di traccia del servizio di ripristino: <Default IIS Web Root>\Microsoft BitLocker Management Solution\Logs\Recovery And Hardware Service\trace*.etl

Considerazioni sulla migrazione

Se attualmente usi Microsoft BitLocker Administration and Monitoring (MBAM), puoi eseguire senza problemi la migrazione della gestione a Gestione configurazione. Quando distribuisci i criteri di gestione di BitLocker in Gestione configurazione, i client caricano automaticamente pacchetti e chiavi di ripristino nel servizio di ripristino di Gestione configurazione.

Importante

Quando esegui la migrazione da MBAM autonomo alla gestione di BitLocker in Gestione configurazione, se è necessaria una funzionalità esistente di MBAM autonomo, non riutilizzare i componenti o i server MBAM autonomi con la gestione di BitLocker in Gestione configurazione. Se si riutilizzano questi server, MBAM autonomo smetterà di funzionare quando la gestione di BitLocker di Gestione configurazione installa i componenti in tali server. Non eseguire lo script MBAMWebSiteInstaller.ps1 per configurare i portali di BitLocker nei server MBAM autonomi. Quando si configura Gestione configurazione la gestione di BitLocker, usare server separati.

Conflitti tra criteri di gruppo

Gestione configurazione non implementa tutte le impostazioni di Criteri di gruppo di MBAM. MBAM autonomo usa i criteri di gruppo di dominio, mentre Gestione configurazione imposta i criteri locali per la gestione di BitLocker. I criteri di dominio sostituiranno i criteri di gestione BitLocker di Gestione configurazione locali. Se i criteri di gruppo del dominio MBAM autonomo non corrispondono ai criteri di Gestione configurazione, la gestione di BitLocker di Gestione configurazione avrà esito negativo. Ad esempio, se un criterio di gruppo di dominio imposta il server MBAM autonomo per i servizi di ripristino delle chiavi, la gestione di BitLocker di Gestione configurazione non può impostare la stessa impostazione per il punto di gestione. Questo comportamento fa sì che i client non segnalino le chiavi di ripristino al servizio di recupero delle chiavi di gestione BitLocker di Gestione configurazione nel punto di gestione.

Avviso

Gestione configurazione ha pari funzionalità con MBAM autonomo. Con Gestione configurazione, non dovrebbe esserci motivo di impostare i criteri di gruppo di dominio per configurare la gestione di BitLocker. Per evitare conflitti e problemi, evitare l'uso di Criteri di gruppo per BitLocker. Configurare tutte le impostazioni tramite i criteri di gestione di BitLocker di Gestione configurazione.

Hash password TPM

  • I client MBAM precedenti non caricano l'hash delle password TPM in Gestione configurazione. Il client carica l'hash della password TPM una sola volta.

  • Se è necessario eseguire la migrazione di queste informazioni al servizio di ripristino di Gestione configurazione, cancellare il TPM nel dispositivo. Dopo il riavvio, carica il nuovo hash della password TPM nel servizio di ripristino.

Nota

Il caricamento dell'hash della password TPM riguarda principalmente le versioni di Windows precedenti a Windows 10. Windows 10 o versione successiva per impostazione predefinita non salva l'hash della password TPM, quindi questi dispositivi in genere non lo caricano. Per ulteriori informazioni, vedere Informazioni sulla password del proprietario del TPM.

Crittografia di nuovo

Gestione configurazione non crittografa nuovamente le unità già protette con Crittografia unità BitLocker. Se distribuisci un criterio di gestione di BitLocker che non corrisponde alla protezione corrente dell'unità, viene segnalato come non conforme. L'unità è ancora protetta.

Ad esempio, è stato usato MBAM per crittografare l'unità con l'algoritmo di crittografia AES-XTS 128, ma i criteri di Gestione configurazione richiedono AES-XTS 256. L'unità non è conforme ai criteri, anche se l'unità è crittografata.

Per risolvere questo comportamento, disabilitare prima BitLocker nel dispositivo. Distribuire quindi un nuovo criterio con le nuove impostazioni.

Gestione condivisa e Intune

Il gestore client di Gestione configurazione per BitLocker è compatibile con la co-gestione. Se il dispositivo è co-gestito e si passa il carico di lavoro di Endpoint Protection a Intune, il client di Gestione configurazione ignora i relativi criteri di BitLocker. Il dispositivo ottiene i criteri di crittografia Windows da Intune.

Importante

Il passaggio dalle autorità di gestione della crittografia mantenendo l'algoritmo di crittografia desiderato non richiede azioni aggiuntive sul client. Tuttavia, se si cambia autorità di gestione della crittografia e cambia anche l'algoritmo di crittografia desiderato, sarà necessario pianificare una nuova crittografia.

Per altre informazioni sulla gestione di BitLocker con Intune, vedere gli articoli seguenti:

Passaggi successivi

Informazioni sul servizio di ripristino di BitLocker

Configurare i report e i portali di BitLocker

  • Last updated on