Configuration Manager (現在のブランチ) に適用
Configuration Manager の BitLocker 管理ポリシーには、次のポリシー グループが含まれています。
- セットアップ
- オペレーティング システム ドライブ
- 固定ドライブ
- リムーバブル ドライブ
- クライアント管理
次のセクションでは、各グループの設定の構成について説明し、提案します。
セットアップ
このページの設定では、グローバルな BitLocker 暗号化オプションを構成します。
ドライブの暗号化方法と暗号強度
推奨される構成: 既定以上の暗号化方法で 有効にします 。
注:
[セットアップのプロパティ] ページには、Windows のバージョンごとに設定されている 2 つのグループがあります。 このセクションでは、両方について説明します。
Windows 8.1 デバイス
Windows 8.1 デバイスの場合は、[ドライブの暗号化方法] と [暗号強度] のオプションを有効にし、次のいずれかの暗号化方法を選択します。
- AES 128ビット(ディフューザー付き)
- AES 256ビット(ディフューザー付き)
- AES 128 ビット (既定)
- AES 256 ビット
Windows PowerShell でこのポリシーを作成する方法の詳細については、「新しい CMBLEncryptionMethodPolicy」を参照してください。
Windows 10 以降のデバイス
Windows 10 以降のデバイスの場合は、ドライブの暗号化方法と暗号強度のオプションを有効にします (Windows 10 以降)。 次に、OS ドライブ、固定データ ドライブ、リムーバブル データ ドライブに対して、次のいずれかの暗号化方法を個別に選択します。
- AES-CBC 128 ビット
- AES-CBC 256 ビット
- XTS-AES 128 ビット (既定値)
- XTS-AES 256 ビット
ヒント
BitLocker は、暗号化アルゴリズムとして Advanced Encryption Standard (AES) を使用し、キー長を 128 ビットまたは 256 ビットに構成できます。 Windows 10 以降のデバイスでは、AES 暗号化は暗号ブロック チェーン (CBC) または暗号文スティーリング (XTS) をサポートします。
Windows 10 を実行していないデバイスでリムーバブル ドライブを使用する必要がある場合は、AES-CBC を使用します。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMBLEncryptionMethodWithXts」を参照してください。
ドライブ暗号化と暗号強度に関する一般的な使用上の注意
これらの設定を無効にした場合、または構成しなかった場合、BitLocker は既定の暗号化方法を使用します。
BitLocker を有効にすると、Configuration Manager によってこれらの設定が適用されます。
ドライブが既に暗号化されているか、進行中の場合は、これらのポリシー設定を変更しても、デバイスのドライブ暗号化は変更されません。
既定値を使用すると、BitLocker コンピューター コンプライアンス レポートに暗号の強度 が不明として表示されることがあります。 この問題を回避するには、この設定を有効にし、暗号強度の明示的な値を設定します。
再起動時のメモリの上書きを防ぐ
推奨される構成: 未構成
再起動時にメモリ内の BitLocker シークレットを上書きすることなく再起動パフォーマンスを向上させるには、このポリシーを構成します。
このポリシーを構成していない場合、BitLocker はコンピューターの再起動時にそのシークレットをメモリから削除します。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMNoOverwritePolicy」を参照してください。
スマート カード証明書の使用ルールに準拠していることを検証する
推奨される構成: 未構成
スマートカード証明書ベースの BitLocker 保護を使用するように、このポリシーを構成します。 次に、証明書 オブジェクト識別子を指定します。
このポリシーを構成しない場合、BitLocker は既定のオブジェクト識別子 1.3.6.1.4.1.311.67.1.1 を使用して証明書を指定します。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMScCompliancePolicy」を参照してください。
組織の一意の識別子
推奨される構成: 未構成
証明書ベースのデータ回復エージェントまたは BitLocker To Go リーダーを使用するには、このポリシーを構成します。
このポリシーを構成しない場合、BitLocker は ID フィールドを使用しません。
organization でより高いセキュリティ測定が必要な場合は、[Identification] フィールドを構成します。 すべてのターゲット USB デバイスにこのフィールドを設定し、この設定に合わせます。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMUidPolicy」を参照してください。
OS ドライブ
このページの設定は、Windows がインストールされているドライブの暗号化設定を構成します。
オペレーティング システム ドライブ暗号化の設定
推奨される構成: 有効
この設定を有効にしている場合、ユーザーは OS ドライブを保護する必要があり、BitLocker によってドライブが暗号化されます。 無効にしている場合、ユーザーはドライブを保護できません。 このポリシーを構成しない場合、OS ドライブで BitLocker 保護は必要ありません。
注:
ドライブが既に暗号化されている場合、この設定を無効にすると、BitLocker によってドライブの暗号化が解除されます。
トラステッド プラットフォーム モジュール (TPM) がないデバイスがある場合は、[互換性のある TPM なしで BitLocker を許可する (パスワードが必要)] オプションを使用します。 この設定により、デバイスに TPM がない場合でも、BitLocker は OS ドライブを暗号化できます。 このオプションを許可すると、BitLocker パスワードを指定するように求められます。
互換性のある TPM を搭載したデバイスでは、起動時に 2 種類の認証方法を使用して、暗号化されたデータの保護を強化することができます。 コンピューターの起動時には、認証に TPM のみを使用することも、暗証番号 (PIN) の入力を要求することもできます。 以下の設定を構成します。
オペレーティング システム ドライブのプロテクターの選択: TPM と PIN を使用するか、TPM のみを使用するように構成します。
起動時の PIN の最小桁数を構成する: PIN が必要な場合、この値はユーザーが指定できる最短の桁数です。 ユーザーは、コンピューターが起動してドライブのロックを解除するときにこの PIN を入力します。 既定では、PIN の最小桁は
4桁です。
ヒント
セキュリティを強化するために、TPM + PIN プロテクターを使用してデバイスを有効にする場合は、[システム>電源管理]>スリープ設定で次のグループ ポリシー設定を無効にすることを検討してください。
スリープ状態 (電源に接続) 時にスタンバイ状態 (S1-S3) を許可する
スリープ時 (バッテリー使用時) にスタンバイ状態 (S1-S3) を許可する
Windows PowerShell でこのポリシーを作成する方法の詳細については、「新しい CMBMSOSDEncryptionPolicy」を参照してください。
拡張スタートアップ PIN を許可する
推奨される構成: 未構成
拡張スタートアップ PIN を使用するように BitLocker を構成します。 これらの PIN を使用すると、大文字と小文字、記号、数字、スペースなど、より多くの文字を使用できます。 この設定は、BitLocker を有効にした場合に適用されます。
重要
すべてのコンピューターがプリブート環境で拡張 PIN をサポートできるわけではありません。 使用を有効にする前に、デバイスがこの機能と互換性があるかどうかを評価してください。
この設定を有効にすると、BitLocker のスタートアップ PIN はすべて新規に使用されて、拡張 PIN を作成することができます。
- ASCII のみの PIN を要求する: 拡張 PIN が、プリブート環境で入力できる文字の種類または数を制限しているコンピューターとの互換性を高めるために役立ちます。
このポリシー設定を無効にした場合、または構成しなかった場合、BitLocker は拡張 PIN を使用しません。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMEnhancedPIN」を参照してください。
オペレーティング システム ドライブ パスワード ポリシー
推奨される構成: 未構成
これらの設定を使用して、BitLocker で保護された OS ドライブのロックを解除するためのパスワードの制約を設定します。 OS ドライブで TPM 以外のプロテクターを許可する場合は、次の設定を構成します。
オペレーティング システム ドライブのパスワードの複雑さを構成する: パスワードに複雑さの要件を適用するには、[ パスワードの複雑さを要求する] を選択します。
オペレーティング システム ドライブのパスワードの最小桁数: 既定では、パスワードの最小桁数は
8です。リムーバブル OS ドライブに ASCII のみのパスワードを要求する
このポリシー設定を有効にすると、定義した要件を満たすパスワードをユーザーが構成できるようになります。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMOSPassphrase」を参照してください。
OS ドライブ パスワード ポリシーの一般的な使用上の注意
これらの複雑さの要件の設定を有効にするには、[コンピューターの構成]>Windows の設定>セキュリティの設定>アカウント ポリシー]>パスワード ポリシー] のグループ ポリシー設定 [パスワードは複雑さの要件を満たす必要があります] も有効にします。
BitLocker は、ボリュームのロックを解除するときではなく、オンにしたときにこれらの設定を実行します。 BitLocker を使用すると、ドライブで使用可能な任意のプロテクターを使用してドライブのロックを解除できます。
グループ ポリシーを使用して、暗号化、ハッシュ、署名の FIPS 準拠アルゴリズムを有効にすると、BitLocker 保護機能としてパスワードを許可できません。
BitLocker 回復後にプラットフォーム検証データをリセットする
推奨される構成: 未構成
BitLocker 回復後に Windows が起動するときにプラットフォーム検証データを更新するかどうかを制御します。
この設定を有効にするか、構成しない場合、Windows はこの状況でプラットフォーム検証データを更新します。
このポリシー設定を無効にすると、この状況で Windows はプラットフォーム検証データを更新しません。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMTpmAutoResealPolicy」を参照してください。
プリブート リカバリ メッセージと URL
推奨される構成: 未構成
BitLocker が OS ドライブをロックするときに、この設定を使用して、プリブートの BitLocker 回復画面にカスタム回復メッセージまたは URL を表示します。 この設定は、Windows 10 以降のデバイスにのみ適用されます。
この設定を有効にする場合は、プリブート回復メッセージに対して次のいずれかのオプションを選択します。
既定の回復メッセージと URL を使用する: プリブートの BitLocker 回復画面に既定の BitLocker 回復メッセージと URL を表示します。 以前にカスタム回復メッセージまたは URL を構成した場合は、このオプションを使用して既定のメッセージに戻します。
カスタム回復メッセージを使用する: プリブートの BitLocker 回復画面にカスタム メッセージを含めます。
- カスタム回復メッセージ オプション: 表示するカスタム メッセージを入力します。 回復 URL も指定する場合は、このカスタム回復メッセージの一部として含めます。 文字列の最大長は 32,768 文字です。
カスタム回復 URL を使用する: プリブートの BitLocker 回復画面に表示される既定の URL を置き換えます。
- カスタム リカバリ URL オプション: 表示する URL を入力します。 文字列の最大長は 32,768 文字です。
注:
プリブートでは、すべての文字と言語がサポートされるわけではありません。 最初に、カスタム メッセージまたは URL をテストして、プリブートの BitLocker 回復画面に正しく表示されていることを確認します。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMPrebootRecoveryInfo」を参照してください。
暗号化ポリシーの適用設定 (OS ドライブ)
推奨される構成: 有効
ユーザーが OS ドライブの BitLocker コンプライアンスを延期できる日数を構成します。 非準拠の猶予期間は、Configuration Manager が非準拠として最初に検出したときに開始されます。 この猶予期間が終了すると、ユーザーは必要な操作を延期したり、除外を要求したりすることはできません。
暗号化プロセスでユーザー入力が必要な場合、必要な情報を入力するまでユーザーが閉じることができないダイアログ ボックスが Windows に表示されます。 エラーまたは状態に関する今後の通知には、この制限はありません。
BitLocker で保護機能を追加するためにユーザーの操作を必要としない場合、猶予期間が終了すると、BitLocker はバックグラウンドで暗号化を開始します。
この設定を無効にするか、構成しない場合、Configuration Manager はユーザーが BitLocker ポリシーに準拠する必要はありません。
ポリシーを直ちに適用するには、猶予期間を 0 に設定します。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMUseOsEnforcePolicy」を参照してください。
固定ドライブ
このページの設定では、デバイス内の他のデータ ドライブの暗号化を構成します。
データ ドライブの暗号化が修正されました
推奨される構成: 有効
固定データ ドライブの暗号化に関する要件を管理します。 この設定を有効にすると、BitLocker は、ユーザーがすべての固定データ ドライブを保護下に置くことを要求します。 その後、データ ドライブが暗号化されます。
このポリシーを有効にする場合は、自動ロック解除を有効にするか、 固定データ ドライブ パスワード ポリシーの設定を有効にします。
- 固定データ ドライブの自動ロック解除を構成する: BitLocker が暗号化されたデータ ドライブのロックを自動的に解除することを許可または要求します。 自動ロック解除を使用するには、 BitLocker による OS ドライブの暗号化も要求します。
この設定を構成しない場合、BitLocker では、ユーザーが固定データ ドライブを保護する必要はありません。
この設定を無効にしている場合、ユーザーは固定データ ドライブを BitLocker 保護下に置くことができません。 BitLocker が固定データ ドライブを暗号化した後にこのポリシーを無効にすると、BitLocker は固定データ ドライブの暗号化を解除します。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「新しい CMBMSFDVEncryptionPolicy」を参照してください。
BitLocker で保護されていない固定ドライブへの書き込みアクセスを拒否する
推奨される構成: 未構成
デバイス上の固定ドライブにデータを書き込むには、Windows の BitLocker 保護が必要です。 BitLocker を有効にすると、このポリシーが適用されます。
この設定を有効にすると、次のようになります。
BitLocker が固定データ ドライブを保護する場合、Windows は読み取りおよび書き込みアクセス権でマウントします。
BitLocker が保護しない固定データ ドライブの場合、Windows は読み取り専用としてマウントします。
この設定を構成しない場合、Windows はすべての固定データ ドライブを読み取りおよび書き込みアクセスでマウントします。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMFDVDenyWriteAccessPolicy」を参照してください。
固定データ ドライブ パスワード ポリシー
推奨される構成: 未構成
これらの設定を使用して、BitLocker で保護された固定データ ドライブのロックを解除するためのパスワードの制約を設定します。
この設定を有効にすると、ユーザーは定義した要件を満たすパスワードを構成できます。
セキュリティを強化するには、この設定を有効にしてから、次の設定を構成します。
固定データ ドライブのパスワードを要求する: BitLocker で保護された固定データ ドライブのロックを解除するには、ユーザーがパスワードを指定する必要があります。
固定データ ドライブのパスワードの複雑さを構成する: パスワードに複雑さの要件を適用するには、[ パスワードの複雑さを要求する] を選択します。
固定データ ドライブのパスワードの最小長: 既定では、最小長は
8です。
この設定を無効にしている場合、ユーザーはパスワードを構成できません。
ポリシーが構成されていない場合、BitLocker は既定の設定でパスワードをサポートします。 既定の設定では、パスワードの複雑さの要件は含まれず、必要な文字は 8 文字のみです。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMFDVPassPhrasePolicy」を参照してください。
固定データ ドライブのパスワード ポリシーに関する一般的な使用上の注意
これらの複雑さの要件の設定を有効にするには、[コンピューターの構成]>Windows の設定>セキュリティの設定>アカウント ポリシー]>パスワード ポリシー] のグループ ポリシー設定 [パスワードは複雑さの要件を満たす必要があります] も有効にします。
BitLocker は、ボリュームのロックを解除するときではなく、オンにしたときにこれらの設定を実行します。 BitLocker を使用すると、ドライブで使用可能な任意のプロテクターを使用してドライブのロックを解除できます。
グループ ポリシーを使用して、暗号化、ハッシュ、署名の FIPS 準拠アルゴリズムを有効にすると、BitLocker 保護機能としてパスワードを許可できません。
暗号化ポリシーの適用設定 (固定データ ドライブ)
推奨される構成: 有効
ユーザーが固定データ ドライブの BitLocker コンプライアンスを延期できる日数を構成します。 非準拠の猶予期間は、Configuration Manager が固定データ ドライブを非準拠として最初に検出したときに開始されます。 OS ドライブが準拠するまで、固定データ ドライブのポリシーは適用されません。 猶予期間が終了した後、ユーザーは必要な操作を延期したり、除外を要求したりすることはできません。
暗号化プロセスでユーザー入力が必要な場合、必要な情報を入力するまでユーザーが閉じることができないダイアログ ボックスが Windows に表示されます。 エラーまたは状態に関する今後の通知には、この制限はありません。
BitLocker で保護機能を追加するためにユーザーの操作を必要としない場合、猶予期間が終了すると、BitLocker はバックグラウンドで暗号化を開始します。
この設定を無効にするか、構成しない場合、Configuration Manager はユーザーが BitLocker ポリシーに準拠する必要はありません。
ポリシーを直ちに適用するには、猶予期間を 0 に設定します。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMUseFddEnforcePolicy」を参照してください。
リムーバブル ドライブ
このページの設定では、USB キーなどのリムーバブル ドライブの暗号化を構成します。
リムーバブル データ ドライブの暗号化
推奨される構成: 有効
この設定は、リムーバブル ドライブでの BitLocker の使用を制御します。
リムーバブル データ ドライブに BitLocker 保護を適用することをユーザーに許可する: ユーザーはリムーバブル ドライブの BitLocker 保護を有効にすることができます。
ユーザーがリムーバブル データ ドライブで BitLocker を一時停止および復号化できるようにする: ユーザーは、リムーバブル ドライブから BitLocker ドライブ暗号化を削除または一時的に中断できます。
この設定を有効にし、ユーザーが BitLocker 保護を適用できるようにすると、Configuration Manager クライアントはリムーバブル ドライブに関する回復情報を管理ポイントの回復サービスに保存します。 この動作により、ユーザーはプロテクター (パスワード) を忘れたり紛失したりした場合に、ドライブを回復できます。
この設定を有効にすると、次のようになります。
リムーバブル データ ドライブのパスワード ポリシーの設定を有効にする
[システム>リムーバブル記憶域アクセス] で、ユーザー & コンピューターの両方の構成で次のグループ ポリシー設定を無効にします。
- すべてのリムーバブル記憶域クラス: すべてのアクセスを拒否
- リムーバブル ディスク: 書き込みアクセスを拒否する
- リムーバブル ディスク: 読み取りアクセスを拒否する
この設定を無効にしている場合、ユーザーはリムーバブル ドライブで BitLocker を使用できません。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMRDVConfigureBDEPolicy」を参照してください。
BitLocker で保護されていないリムーバブル ドライブへの書き込みアクセスを拒否する
推奨される構成: 未構成
デバイス上のリムーバブル ドライブにデータを書き込むには、Windows の BitLocker 保護が必要です。 BitLocker を有効にすると、このポリシーが適用されます。
この設定を有効にすると、次のようになります。
BitLocker がリムーバブル ドライブを保護する場合、Windows は読み取りおよび書き込みアクセスでそのドライブをマウントします。
BitLocker が保護していないリムーバブル ドライブの場合、Windows は読み取り専用としてマウントします。
[別の organization で構成されたデバイスへの書き込みアクセスを拒否する] オプションを有効にした場合、BitLocker は、許可された ID フィールドと一致する ID フィールドを持つリムーバブル ドライブへの書き込みアクセスのみを付与します。 これらのフィールドは、[設定] ページの [組織の一意識別子] グローバル設定で定義します。
この設定を無効にした場合、または構成しなかった場合、Windows は読み取りおよび書き込みアクセスですべてのリムーバブル ドライブをマウントします。
注:
この設定は、[ システム>リムーバブル記憶域アクセス] のグループ ポリシー設定で上書きできます。 グループ ポリシー設定 [リムーバブル ディスク: 書き込みアクセスの拒否] を有効にした場合、BitLocker はこの Configuration Manager 設定を無視します。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMRDVDenyWriteAccessPolicy」を参照してください。
リムーバブル データ ドライブ パスワード ポリシー
推奨される構成: 有効
これらの設定を使用して、BitLocker で保護されたリムーバブル ドライブのロックを解除するためのパスワードの制約を設定します。
この設定を有効にすると、ユーザーは定義した要件を満たすパスワードを構成できます。
セキュリティを強化するには、この設定を有効にしてから、次の設定を構成します。
リムーバブル データ ドライブのパスワードを要求する: BitLocker で保護されたリムーバブル ドライブのロックを解除するには、ユーザーがパスワードを指定する必要があります。
リムーバブル データ ドライブのパスワードの複雑さを構成する: パスワードに複雑さの要件を適用するには、[ パスワードの複雑さを要求する] を選択します。
リムーバブル データ ドライブのパスワードの最小文字数: 既定では、パスワードの最小桁数は
8です。
この設定を無効にしている場合、ユーザーはパスワードを構成できません。
ポリシーが構成されていない場合、BitLocker は既定の設定でパスワードをサポートします。 既定の設定では、パスワードの複雑さの要件は含まれず、必要な文字は 8 文字のみです。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMRDVPassPhrasePolicy」を参照してください。
リムーバブル データ ドライブのパスワード ポリシーに関する一般的な使用上の注意
これらの複雑さの要件の設定を有効にするには、[コンピューターの構成]>Windows の設定>セキュリティの設定>アカウント ポリシー]>パスワード ポリシー] のグループ ポリシー設定 [パスワードは複雑さの要件を満たす必要があります] も有効にします。
BitLocker は、ボリュームのロックを解除するときではなく、オンにしたときにこれらの設定を実行します。 BitLocker を使用すると、ドライブで使用可能な任意のプロテクターを使用してドライブのロックを解除できます。
グループ ポリシーを使用して、暗号化、ハッシュ、署名の FIPS 準拠アルゴリズムを有効にすると、BitLocker 保護機能としてパスワードを許可できません。
クライアント管理
このページの設定では、BitLocker 管理サービスとクライアントを構成します。
BitLocker 管理サービス
推奨される構成: 有効
この設定を有効にすると、Configuration Manager は、サイト データベース内のキー回復情報を自動的かつサイレントにバックアップします。 この設定を無効にするか、構成しない場合、Configuration Manager はキー回復情報を保存しません。
格納する BitLocker 回復情報を選択する: BitLocker 回復情報をバックアップするようにキー回復サービスを構成します。 BitLocker によって暗号化されたデータを回復する管理メソッドを提供し、キー情報の欠如によるデータ損失を防ぐのに役立ちます。
回復情報をプレーン テキストで保存できるようにする: SQL Server の BitLocker 管理暗号化証明書がない場合、Configuration Manager はキー回復情報をプレーン テキストで保存します。 詳細については、「 データベース内のリカバリ データの暗号化」を参照してください。
クライアントが状態を確認する頻度 (分): 構成された頻度で、クライアントはコンピューターの BitLocker 保護ポリシーと状態を確認し、クライアント回復キーもバックアップします。 既定では、Configuration Manager クライアントは BitLocker の状態を 90 分ごとにチェックします。
重要
この値を 60 未満に設定しないでください。 頻度値を小さくすると、クライアントは短時間的に不正確なコンプライアンス状態を報告する場合があります。
Windows PowerShell でこれらのポリシーを作成する方法の詳細については、次を参照してください。
ユーザー除外ポリシー
推奨される構成: 未構成
ユーザーが BitLocker 暗号化の除外を要求するための連絡方法を構成します。
このポリシー設定を有効にする場合は、次の情報を指定します:
延期する最大日数: ユーザーが適用されたポリシーを延期できる日数。 既定では、この値は
7日 (1 週間) です。連絡方法: ユーザーが除外を要求する方法 (URL、メール アドレス、電話番号) を指定します。
連絡先: URL、メール アドレス、電話番号を指定します。 ユーザーが BitLocker 保護の除外を要求すると、適用方法に関する手順が記載された Windows ダイアログ ボックスが表示されます。 Configuration Manager は、入力した情報を検証しません。
URL: 標準の URL 形式
https://website.domain.tldを使用します。 Windows は URL をハイパーリンクとして表示します。Email アドレス: 標準のメール アドレス形式である
user@domain.tldを使用します。 Windows は、アドレスをハイパーリンクとして表示します。mailto:user@domain.tld?subject=Request exemption from BitLocker protection。電話番号: ユーザーに発信してもらう番号を指定します。 Windows には、次の説明を含む番号が表示されます:
Please call <your number> for applying exemption。
この設定を無効にした場合、または構成しなかった場合、Windows は除外要求の手順をユーザーに表示しません。
注:
BitLocker は、コンピューターごとではなく、ユーザーごとに除外を管理します。 複数のユーザーが同じコンピューターにサインインし、1 人のユーザーが除外されない場合、BitLocker によってコンピューターが暗号化されます。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMBMSUserExemptionPolicy」を参照してください。
セキュリティ ポリシー リンクの URL
推奨される構成: 有効
Windows の 会社のセキュリティ ポリシーとしてユーザーに 表示する URL を指定します。 このリンクを使用して、暗号化要件に関する情報をユーザーに提供します。 BitLocker によってドライブの暗号化がユーザーに求められると表示されます。
この設定を有効にする場合は、 セキュリティ ポリシーのリンク URL を構成します。
この設定を無効にするか、構成しない場合、BitLocker はセキュリティ ポリシー リンクを表示しません。
Windows PowerShell でこのポリシーを作成する方法の詳細については、「New-CMMoreInfoUrlPolicy」を参照してください。
次の手順
Windows PowerShell を使用してこれらのポリシー オブジェクトを作成する場合は、New-CMBlmSetting コマンドレットを使用します。 このコマンドレットは、指定されたすべてのポリシーを含む BitLocker 管理ポリシー設定オブジェクトを作成します。 ポリシー設定をコレクションに展開するには、 New-CMSettingDeployment コマンドレットを使用します。