Intune を使って BitLocker で Windows デバイスを暗号化する

Windows を実行するデバイスでは BitLocker 暗号化を構成し、バージョン 22H2 以降を実行するデバイスでは個人データ暗号化 (PDE) Windows 11構成するには、Microsoft Intuneを使用します。 この記事では、標準的な BitLocker 暗号化とサイレント BitLocker 暗号化の両方のシナリオについて説明します。

BitLocker 暗号化のシナリオ

Intune では、主に 2 つの BitLocker 暗号化手法がサポートされています。

• Standard BitLocker 暗号化 - ユーザーにプロンプトが表示され、暗号化プロセスを操作できる場合があります。 暗号化の種類の選択とユーザー主導の回復キー管理に柔軟性を提供します。

• サイレント BitLocker 暗号化 - デバイスでユーザー操作や管理者特権を必要としない自動暗号化。 エンド ユーザーの操作に依存することなく、すべての管理対象デバイスを暗号化したい組織に最適です。

前提条件

ライセンスと Windows エディション

BitLocker 管理をサポートする Windows エディションについては、Windows ドキュメントの「 Windows エディションとライセンス要件 」を参照してください。

役割ベースのアクセス制御

Intune で BitLocker を管理するには、Intune ロールベースのアクセス制御 (RBAC) の役割が割り当てられている必要があります。これには、[BitLockerKeys の回転 (プレビュー)] 権限を持つリモート タスクのアクセス許可が含まれる [はい] に設定されています。

このアクセス許可は、独自の カスタム RBAC ロール に追加するか、次のいずれかの 組み込み RBAC ロールを使用できます。

• ヘルプ デスク オペレーター
• エンドポイント セキュリティ管理者

復旧計画

BitLocker を有効にする前に、organization のニーズに合った回復オプションを理解し、計画してください。 詳細については、Windows セキュリティ ドキュメントの「 BitLocker 回復の概要 」を参照してください。

BitLocker 暗号化のポリシーの種類

次の Intune ポリシーの種類から選択して、BitLocker 暗号化を構成します。

エンドポイント セキュリティ ポリシー (推奨)

エンドポイント セキュリティ >ディスク暗号化ポリシーでは、焦点を絞ったセキュリティ固有の BitLocker 構成が提供されます。

• BitLocker プロファイル - BitLocker 暗号化を構成するための専用設定。 詳細については、 BitLocker CSP を参照してください。
• 個人データ暗号化プロファイル - 階層化されたセキュリティのために BitLocker と共に動作するファイル レベルの暗号化用に PDE を構成します。 詳細については、 PDE CSP を参照してください。

デバイス構成ポリシー

デバイス構成 > エンドポイント保護プロファイル には、広範なエンドポイント保護構成の一部として BitLocker 設定が含まれています。 エンドポイント保護プロファイルの BitLocker で使用可能な設定を表示します。

標準の BitLocker 暗号化を構成する

Standard BitLocker 暗号化を使用すると、ユーザーとの対話が可能になり、暗号化構成の柔軟性が提供されます。

エンドポイント セキュリティ ポリシーの作成

1. Microsoft Intune 管理センターにサインインします。

2. [エンドポイント セキュリティ]>[ディスク 暗号化]>[ポリシーの作成] を選択します。

3. 次のオプションを設定します。

   • プラットフォーム: Windows
   • プロファイル: BitLocker または個人データ暗号化を選択する

   

4. [ 構成設定 ] ページで、ビジネス ニーズに合わせて BitLocker の設定を構成します。

   • OS、固定ドライブ、リムーバブル ドライブの暗号化方法を構成します。
   • 回復オプション (パスワードとキーの要件) を設定します。
   • 必要に応じて TPM スタートアップ認証を構成します。

   [次へ] を選択します。

5. [スコープ (タグ)] タブで [スコープ タグを選択] を選択し、[タグを選択する] ウィンドウを開いて、プロファイルにスコープ タグを割り当てます。

   [次へ] を選んで続行します。

6. [ 割り当て] ページで、このプロファイルを受け取るグループを選択します。 プロファイルの割り当ての詳細については、ユーザーおよびデバイス プロファイルの割り当てに関するページを参照してください。

   [次へ] を選択します。

7. [確認および作成] ページで、完了したら、[作成] を選択します。 作成したプロファイルのポリシーの種類を選択すると、新しいプロファイルが一覧に表示されます。

デバイス構成ポリシーの作成

1. Microsoft Intune 管理センターにサインインします。

2. [デバイス] >[デバイスの管理]>[構成] を選択します> [ポリシー] タブで、[作成] を選択します。

3. 次のオプションを設定します。

   • プラットフォーム: Windows 10 以降
   • プロファイルの種類: [ テンプレート>Endpoint Protection] を選択し、[ 作成] を選択します。

   

4. [ 構成設定 ] ページで [Windows 暗号化] を展開し、ビジネス ニーズに合わせて BitLocker 設定を構成します。

   

   BitLocker をサイレントに有効にする場合は、追加の前提条件と使用する必要がある特定の設定構成については、この記事の 「サイレント BitLocker 暗号化を構成する 」を参照してください。

5. [次へ] を選んで続行します。

6. organization の必要に応じて、その他の設定の構成を完了します。

7. ポリシーを適切なデバイス グループに割り当ててポリシー作成プロセスを完了し、プロファイルを保存します。

サイレント BitLocker 暗号化を構成する

サイレント BitLocker 暗号化では、ユーザーの操作なしでデバイスが自動的に暗号化され、管理環境にシームレスな暗号化エクスペリエンスが提供されます。

サイレント暗号化の前提条件

デバイスの要件

サイレント BitLocker を有効にするには、デバイスが次の条件を満たしている必要があります。

• オペレーティング システム:

  • エンド ユーザーが管理者としてサインインしている場合: Windows 10 バージョン 1803 以降、または Windows 11
  • エンド ユーザーが Standard ユーザーとしてサインインしている場合: Windows 10 バージョン 1809 以降、または Windows 11

• デバイスの構成:

  • 参加済みの Microsoft Entra または Microsoft Entra ハイブリッド参加済み
  • TPM (トラステッド プラットフォーム モジュール) 1.2 以降
  • ネイティブ UEFI BIOS モード
  • セキュア ブートが有効
  • Windows 回復環境 (WinRE) が構成され、使用可能

サイレント暗号化に必要な設定

選択したポリシーの種類に応じて、次の設定を構成します。

サイレント BitLocker のエンドポイント セキュリティ ポリシー

エンドポイント セキュリティ ディスク暗号化ポリシーの場合は、BitLocker プロファイルで次の設定を構成します。

• デバイスの暗号化を必須にする = 有効

• 他のディスク暗号化の警告を許可する = 無効

  

必要な設定に加えて、[ 回復パスワードのローテーションを構成する ] を構成して、回復パスワードの自動ローテーションを有効にすることを検討してください。

サイレント BitLocker のデバイス構成ポリシー

デバイス構成エンドポイント保護ポリシーの場合、エンドポイント保護テンプレートで次の設定を構成します。

• 他のディスク暗号化に関する警告 = ブロック
• 標準ユーザーがMicrosoft Entra参加中に暗号化を有効にすることを許可 = 許可
• 回復キーのユーザー作成 = 256 ビットの回復キーを許可または許可しない
• 回復パスワードのユーザー作成 = 48 桁の回復パスワードを許可または要求する

サイレント暗号化の TPM スタートアップ認証

サイレント BitLocker を機能させるには、TPM のスタートアップ PIN やスタートアップ キーをデバイス に要求する必要はありません 。これらはユーザーの操作を必要とするためです。

TPM 設定の構成

ユーザー操作を防止するように TPM スタートアップ認証設定を構成します。

エンドポイント セキュリティ ポリシー - BitLocker プロファイルの [ オペレーティング システム ドライブ] で、最初に [起動時に追加の認証を要求する] を [有効] に設定します。 有効にすると、次の TPM 設定が使用できるようになります。

• TPM スタートアップ PIN を構成します = TPM でスタートアップ PIN を許可しない
• TPM スタートアップ キーを構成する = TPM でスタートアップ キーを許可しない
• TPM スタートアップ キーと PIN を構成します = TPM でスタートアップ キーと PIN を許可しない
• TPM のスタートアップを構成する = TPM を許可する、または TPM を要求する

デバイス構成ポリシー - Windows 暗号化のエンドポイント保護テンプレートで:

• 互換性のある TPM のスタートアップ = TPM を許可する、または TPM を要求する
• 互換性のある TPM スタートアップ PIN = TPM でスタートアップ PIN を許可しない
• 互換性のある TPM スタートアップ キー = TPM でスタートアップ キーを許可しない
• 互換性のある TPM スタートアップ キーと PIN を使用します = TPM でスタートアップ キーと PIN を許可しない

暗号化の種類の動作

暗号化の種類 (フル ディスクまたは使用領域のみ) は、次の詳細によって決まります。

1. ハードウェアの機能 - デバイスが モダン スタンバイをサポートしているかどうか。
2. サイレント暗号化の構成 - サイレント有効化が構成されているかどうか。
3. SystemDrivesEncryptionType 設定 - 明示的に設定されている場合。

既定の動作

SystemDrivesEncryptionType が構成されていない場合:

• サイレント暗号化を使用するモダン スタンバイ デバイス = 使用済み領域のみの暗号化。
• サイレント暗号化を使用したモダン以外のスタンバイ デバイス = フル ディスク暗号化。
• Standard (非サイレント) 暗号化 = ユーザーが選択またはポリシー定義済みを選択できます。

デバイス機能を確認する

デバイスがモダン スタンバイをサポートしているかどうかをチェックするには、コマンド プロンプトから実行します。

powercfg /a

モダン スタンバイ対応: スタンバイ (S0 低電力アイドル) ネットワーク接続 が使用可能であることを示します。 モダン スタンバイに対応していない: スタンバイ (S0 低電力アイドル) を表示します。ネットワーク接続は サポートされていません。

暗号化の種類を確認する

現在の暗号化の種類をチェックするには、管理者特権のコマンド プロンプトから実行します。

manage-bde -status c:

[Conversion Status] フィールドには、[ Used Space Only Encrypted ] または [Full Encrypted] のいずれかが表示されます。

BitLocker ポリシーを受信するデバイスに関する情報を表示するには、ディスク暗号化の監視に関する記事を参照してください。

設定カタログを使用して暗号化の種類を制御する

ディスク暗号化の種類をフル ディスク暗号化と使用領域のみの暗号化の間で変更するには、設定カタログの [ オペレーティング システム ドライブにドライブ暗号化の種類を適用する] 設定を使用します。

1. 設定カタログ ポリシーを作成する
2. [Windows コンポーネント]>BitLocker ドライブ暗号化>オペレーティング システム ドライブに移動する
3. [オペレーティング システム ドライブにドライブ暗号化の種類を適用する] を選択し、[有効] に設定して追加します。 暗号化の種類を選択します: (デバイス)。 次に、暗号化の種類: (デバイス) を、完全暗号化または使用済み領域のみの暗号化に設定します。

個人データ暗号化 (PDE)

個人データ暗号化 (PDE) は、BitLocker を補完するファイル レベルの暗号化を提供します。

個人データ暗号化 は、ボリュームとディスク全体ではなくファイルを暗号化するという点で BitLocker とは異なります。 PDE は、BitLocker などの他の暗号化方法に加えて発生します。 起動時にデータ暗号化キーを解放する BitLocker とは異なり、PDE では、ユーザーが Windows Hello for Business を使用してサインインするまで、データ暗号化キーは解放されません。

• PDE では、 ボリュームとディスク全体ではなくファイルを暗号化します。
• 階層化されたセキュリティのために BitLocker と共に動作します - PDE は BitLocker の代わりではありません。
• 暗号化キーを解放するには、Windows Hello for Business サインインが必要です。
• Windows 11 22H2 以降で使用できます。

詳細については、 PDE CSP を参照してください。

PDE を構成するには、次のいずれかを使用します。

• 個人データ暗号化プロファイルを使用したエンドポイント セキュリティ ポリシー。
• PDE カテゴリを含む設定カタログ。

BitLocker の監視と管理

暗号化状態の表示

1. Microsoft Intune管理センターで、[デバイス>監視]> [暗号化] レポートを選択します。

2. BitLocker ポリシーを受信したデバイスの暗号化状態を確認します。

3. BitLocker 回復キーとデバイス コンプライアンス情報にアクセスします。

回復キーの管理

Intune マネージド デバイスの回復キーを表示する

Intune は、BitLocker の Microsoft Entra ノードへのアクセスを提供するため、Microsoft Intune 管理センター内から Windows デバイスの BitLocker キー ID と回復キーを表示できます。

回復キーを表示するには:

1. Microsoft Intune 管理センターにサインインします。
2. [デバイス]>[すべてのデバイス] の順に選択します。
3. 一覧からデバイスを選択して、[監視] 下にある [回復キー] を選択します。
4. [ 回復キーの表示] を選択します。 これにより、'KeyManagement' アクティビティの下に監査ログ エントリが生成されます。

Microsoft Entra ID でキーを使用できる場合は、次の情報が表示されます。

• BitLocker キー ID
• BitLocker 回復キー
• ドライブの種類

キーが Microsoft Entra ID にない場合、Intune には [このデバイスの BitLocker キーが見つかりません] が表示されます。

必要なアクセス許可: IT 管理者がデバイスの BitLocker 回復キーを表示するには、Microsoft Entra ID内のmicrosoft.directory/bitlockerKeys/key/readアクセス許可が必要です。 このアクセス許可は、次の Microsoft Entra ロールに含まれています。

• クラウド デバイス管理者
• ヘルプデスク管理者
• グローバル管理者

Microsoft Entra ロールのアクセス許可の詳細については、「Microsoft Entra の組み込みロール」を参照してください。

監査ログ: すべての BitLocker 回復キー アクセスが監査されます。 詳細については、「Azure portal の監査ログ」を参照してください。

テナントに接続されたデバイスでの回復キー表示

テナント接続シナリオを使用する場合、Microsoft Intune はテナントに接続されたデバイスの回復キー データを表示できます。

要件:

• Configuration Manager サイトではバージョン 2107 以降を実行する必要があります
• 2107 を実行しているサイトの場合は、Microsoft Entra参加済みデバイス サポート用の更新プログラムのロールアップ KB11121541をインストールします
• BitLocker キーを表示するには、Intune アカウントに Intune RBAC アクセス許可が必要です
• Configuration Manager コレクション ロールと読み取り BitLocker 回復キーのアクセス許可を持つオンプレミス ユーザーに関連付ける必要があります

詳細については、「Configuration Manager の役割ベースの管理の構成」を参照してください。

BitLocker 回復キーを交換する

Intune デバイス アクションを使用することで、Windows 10 バージョン 1909 以降または Windows 11 を実行するデバイスの BitLocker 回復キーをリモートで交換できます。

キー ローテーションの前提条件:

• デバイスで Windows 10 バージョン 1909 以降または Windows 11 を実行している必要があります。

• Microsoft Entra に参加しているデバイスとハイブリッドに参加しているデバイスでは、BitLocker ポリシーを使用してキーの交換を有効にする必要があります。

  • クライアント駆動型回復パスワードのローテーション = Microsoft Entra参加済みデバイスで回転を有効にするか、Microsoft Entra IDおよびハイブリッド参加済みデバイスで回転を有効にする
  • BitLocker 回復情報を Microsoft Entra ID = Enabled に保存する
  • BitLocker を有効にする前に回復情報を Microsoft Entra ID に保存します = 必須

BitLocker 回復キーをローテーションするには、次の手順を実行します。

1. Microsoft Intune 管理センターにサインインします。

2. [デバイス]>[すべてのデバイス] の順に選択します。

3. 一覧からデバイスを選択します。

4. BitLocker キー回転リモート アクションを選択します。 表示されない場合は、省略記号 (...) を選択してから、[ BitLocker キーの回転] を選択します。

   

BitLocker の展開と要件の詳細については、「 BitLocker 展開の比較表」を参照してください。

セルフサービス回復

エンド ユーザーがヘルプデスクに電話せずに回復キーを取得できるように、Intune では、ポータル サイト アプリやその他の方法によるセルフサービス シナリオを有効にします。

セルフサービス アクセス オプション:

• ポータル サイト アプリ: ユーザーはポータル ポータル サイト アプリから BitLocker 回復キーにアクセスできます
• マイ アカウント ポータル: Microsoft Entra参加しているデバイスで account.microsoft.com で利用できます
• Microsoft Entra ID: Microsoft Entra に参加しているデバイスへの直接アクセス

セルフサービス アクセスの管理コントロール:

1. テナント全体の切り替え: 管理者以外のユーザーがセルフサービスを使用して BitLocker キーを回復できるかどうかを決定します。

   • 既定値: いいえ (すべてのユーザーがキーを回復できます)
   • はい: 管理者以外のユーザーが自分のデバイスの BitLocker キーを表示できないように制限します
   • Microsoft Entra デバイス設定で構成する

2. 条件付きアクセスの統合: 条件付きアクセス ポリシーを使用して、BitLocker 回復キーへのアクセスに準拠デバイスを要求します。

   • 条件付きアクセス ポリシーで 準拠デバイスを要求 するを設定する
   • 非準拠デバイスが BitLocker 回復キーにアクセスできない
   • BitLocker 回復キーは、条件付きアクセスの対象となる企業リソースとして扱われます

3. セルフサービスの監査ログ: すべてのユーザー回復キー アクセスがログに記録されます。

   • キー管理カテゴリの Microsoft Entra 監査ログにログインしています
   • アクティビティの種類: BitLocker キーの読み取り
   • ユーザー プリンシパル名とキー ID を含む
   • 詳細については、「Microsoft Entra の監査ログ」を参照してください

トラブルシューティング

サイレント BitLocker の一般的な問題

問題: サイレント構成にもかかわらず、BitLocker にユーザーの操作が必要である

• 解決方法: TPM スタートアップ PIN またはキーの設定が有効になっていないことを確認します。 競合するセキュリティ ベースライン ポリシーを確認します。

問題: デバイスがサイレント有効化の前提条件を満たしていない

• 解決策: デバイスが、TPM バージョン、UEFI モード、Microsoft Entra 参加状態など、デバイスの前提条件をすべて満たしていることを確認します。

問題: BitLocker がサイレント暗号化に失敗する

• 解決策: Windows イベント ログで BitLocker 関連のエラーを確認します。 セキュア ブートが有効になっており、WinRE が正しく構成されていることを確認します。

問題: ポリシーの競合によりサイレント有効化ができない

• 解決策: Intune のポリシー競合検出を使用して、ポリシー間の競合する設定を特定します。

回復キーのトラブルシューティング

サイレント BitLocker を有効にする場合、暗号化が発生すると回復キーが Microsoft Entra ID に自動的にバックアップされます。 確認:

1. デバイスは Microsoft Entra に正常に参加しています (自動バックアップに必要)
2. ポリシーの競合が自動バックアップ プロセスを妨げないこと
3. 回復キーのエスクローは暗号化レポートを通じて機能している

次の手順

• macOS デバイスの FileVault ポリシーを管理する
• ディスク暗号化を監視する
• BitLocker ポリシーのトラブルシューティング
• BitLocker ポリシーの既知の問題
• BitLocker 展開比較グラフ
• Windows セキュリティ ドキュメントの企業向けの BitLocker 管理
• 個人データ暗号化の概要
• ポータル サイト アプリを使用したエンド ユーザー向けのセルフサービス シナリオ