Intune のエンドポイント セキュリティのディスク暗号化ポリシー設定

エンドポイント セキュリティ ポリシーの一部として、Intune のエンドポイント セキュリティ ノードにあるディスク暗号化ポリシーのプロファイルで構成できる設定を表示します。

重要

2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

注:

2023 年 6 月 19 日以降、Windows の BitLocker プロファイルは、設定カタログにある設定形式を使用するように更新されました。 新しいプロファイル形式には以前のプロファイルと同じ設定が含まれていますが、新しい形式により、Intune 管理センターの設定名が更新されています。 この変更により、古いプロファイルの新しいバージョンを作成できなくなります。 古いプロファイルの既存のインスタンスは、引き続き使用および編集できます。

この記事の設定の詳細は、2023 年 6 月 19 日より前に作成された BitLocker プロファイルにのみ適用されます。

新しいプロファイル形式では、プロファイルにある設定の専用リストが公開されなくなりました。 代わりに、設定に関する情報を表示しているときに UI の [ 詳細情報] リンクを使用して、Windows ドキュメントで BitLocker CSP を開きます。ここでは設定の詳細が詳しく説明されています。

適用対象:

  • macOS

  • Windows

    重要

    2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

サポートされているプラットフォームとプロファイル:

  • macOS:
    • プロファイル: FileVault
  • Windows:
    • プロファイル: BitLocker

FileVault

暗号化

FileVault を有効にする

  • 未構成 (既定値)

  • はい - macOS 10.13 以降を実行するデバイスで、FileVault と XTS-AES 128 を使用して完全なディスク暗号化を有効にします。 FileVault は、ユーザーがデバイスからサインオフすると有効になります。

    [ はい] に設定すると、FileVault の詳細設定を構成できます。

    • 回復キーの種類個人用キー 回復キーはデバイス用に作成されます。 個人キーについて、次の設定を行います。

      • 個人用リカバリ キーのローテーション デバイスの個人用回復キーを回転させる頻度を指定します。 既定の [ 未構成] または 1 か月から 12 か月の値を選択できます。
      • 個人用回復キーのエスクローの場所の説明 個人用回復キーを取得する方法を説明する、ユーザーへの短いメッセージを指定します。 パスワードを忘れた場合、個人用回復キーの入力を求められると、サインイン画面にこのメッセージが表示されます。

    • バイパスが許可される回数 FileVault を有効にするためのプロンプトをユーザーが無視できる回数を設定します。このとき、ユーザーはサインインに FileVault が必要になります。

      • 未構成 (既定) - 次のサインインが許可される前に、デバイスの暗号化が必要です。
      • 1 から 10 - デバイスで暗号化を要求する前に、ユーザーがプロンプトを 1 回から 10 回無視できるようにします。
      • 制限なし、常にプロンプト - ユーザーは FileVault を有効にするように求められますが、暗号化は必要ありません。

    • サインアウトするまで延期を許可する

      • 未構成 (既定値)
      • はい - ユーザーがサインアウトするまで FileVault を有効にするプロンプトを延期します。

    • サインアウト時のプロンプトを無効にする サインアウトするときに、FileVault を有効にするように要求するプロンプトが表示されないようにします。[無効] に設定すると、サインアウト時のプロンプトは無効になり、代わりに、ユーザーがサインインするときにプロンプトが表示されます。

      • 未構成 (既定値)
      • はい - サインアウト時に表示される FileVault を有効にするためのプロンプトを無効にします。

    • 回復キーを非表示に する暗号化中、個人用回復キーを macOS デバイスのユーザーに対して非表示にします。 ディスクが暗号化されると、ユーザーは任意のデバイスを使用して、Intune ポータル サイト Web サイト、またはサポートされているプラットフォームのポータル サイト アプリから個人用回復キーを表示できます。

      • 未構成 (既定値)
      • はい - デバイスの暗号化中に個人用回復キーを非表示にします。

BitLocker

注:

この記事では、2023 年 6 月 19 日以前に作成された、エンドポイント セキュリティ ディスク暗号化ポリシーの Windows 10 以降のプラットフォーム用に設定された BitLocker プロファイルの設定について詳しく説明します。 2023 年 6 月 19 日に、Windows 10 以降のプロファイルが更新され、設定カタログにある新しい設定形式が使用されました。 この変更により、古いプロファイルの新しいバージョンを作成できなくなり、それらのバージョンは開発されなくなります。 古いプロファイルの新しいインスタンスを作成することはできなくなりましたが、以前に作成したインスタンスを引き続き編集して使用することはできます。

新しい設定形式を使用するプロファイルの場合、Intune は各設定の名前別のリストを保持しなくなりました。 代わりに、各設定の名前、構成オプション、および Microsoft Intune 管理センターに表示される説明テキストは、設定の信頼できるコンテンツから直接取得されます。 そのコンテンツは、適切なコンテキストでの設定の使用に関する詳細情報を提供できます。 設定情報のテキストを表示するときに、[ 詳細] リンクを使用してそのコンテンツを開くことができます。

Windows プロファイルに関する次の設定の詳細は、非推奨のプロファイルに適用されます。

BitLocker – 基本設定

  • OS ドライブと固定データ ドライブのフル ディスク暗号化を有効にする CSP: BitLocker - RequireDeviceEncryption

    このポリシーが適用される前にドライブが暗号化されていた場合は、追加のアクションは実行されません。 暗号化の方法とオプションがこのポリシーのものと一致する場合、構成は成功を返すはずです。 インプレース BitLocker 構成オプションがこのポリシーと一致しない場合、構成はエラーを返す可能性があります。

    このポリシーを既に暗号化されているディスクに適用するには、ドライブの暗号化を解除し、MDM ポリシーを再適用します。 Windows の既定では、BitLocker ドライブの暗号化は要求されません。 ただし、Microsoft Entra 参加および Microsoft アカウント (MSA) 登録/ログインの自動暗号化では、XTS-AES 128 ビット暗号化で BitLocker の有効化を適用できます。

    • 未構成 (既定値) - BitLocker の強制は行われません。
    • はい - BitLocker の使用を強制します。

  • ストレージ カードの暗号化を必須とする (モバイルのみ) CSP: BitLocker - RequireStorageCardEncryption

    この設定は、Windows Mobile および Mobile Enterprise SKU デバイスにのみ適用されます。

    • 未構成 (既定値) - 設定は OS の既定値に戻り、ストレージ カードの暗号化を必要としません。
    • はい - モバイル デバイスには、ストレージ カードの暗号化が必要です。

    注:

    Windows 10 Mobile と Windows Phone 8.1 のサポートは、2020 年 8 月に終了しました。

  • サード パーティの暗号化に関するプロンプトを非表示にする CSP: BitLocker - AllowWarningForOtherDiskEncryption

    サードパーティの暗号化製品によって既に暗号化されているシステムで BitLocker が有効になっている場合、デバイスが使用できなくなる可能性があります。 データ損失が発生する可能性があるため、Windows の再インストールが必要になる場合があります。 サード パーティの暗号化がインストールまたは有効になっているデバイスでは、BitLocker を有効にしないことを強くお勧めします。

    既定では、BitLocker セットアップ ウィザードは、サード パーティの暗号化が適用されていないことを確認するようにユーザーに表示されます。

    • 未構成 (既定値) – BitLocker セットアップ ウィザードに警告が表示され、サード パーティの暗号化が存在しないことを確認するメッセージをユーザーに表示します。
    • はい - BitLocker セットアップ ウィザードのプロンプトをユーザーに対して非表示にします。

    BitLocker のサイレント有効機能が必要な場合は、必要なプロンプトによってサイレント有効化ワークフローが中断されるため、サード パーティの暗号化の警告を非表示にする必要があります。

    [はい] に設定すると、次の設定を構成できます。

    • 標準ユーザーが Autopilot 中に暗号化を有効にすることを許可する CSP: BitLocker - AllowStandardUserEncryption

      • 未構成 (既定値) – 設定はクライアントの既定のままになります。つまり、BitLocker を有効にするにはローカル管理者アクセスが必要です。
      • はい - Microsoft Entra 参加のサイレント有効化シナリオでは、BitLocker を有効にするためにユーザーがローカル管理者である必要はありません。

      非サイレント有効化と Windows Autopilot シナリオの場合、BitLocker セットアップ ウィザードを完了するには、ユーザーがローカル管理者である必要があります。

  • クライアント駆動型回復パスワードの循環を構成する CSP: BitLocker - ConfigureRecoveryPasswordRotation

    職場アカウントの追加 (AWA、正式には社内参加済み) デバイスは、キーのローテーションではサポートされていません。

    • 未構成 (既定値) – クライアントは BitLocker 回復キーをローテーションしません。
    • Disabled
    • Microsoft Entra 参加済みデバイス
    • Microsoft Entra ハイブリッド参加済みデバイス

BitLocker - 固定ドライブの設定

  • BitLocker 固定ドライブ ポリシー CSP: BitLocker - EncryptionMethodByDriveType

    • 固定ドライブの回復 CSP: BitLocker - FixedDrivesRecoveryOptions

      必要なスタートアップ キー情報がない場合に、BitLocker で保護された固定データ ドライブを回復する方法を制御します。

      • 未構成 (既定) - データ回復エージェント (DRA) を含む既定の回復オプションがサポートされます。 エンド ユーザーは回復オプションを指定でき、回復情報は Microsoft Entra にバックアップされません。
      • 構成 – さまざまなドライブ回復手法を構成するためのアクセスを有効にします。

      [ 構成] に設定すると、次の設定を使用できます。

      • 回復キーのユーザー作成

        • ブロック (既定値)
        • 必須
        • 可

      • BitLocker 回復パッケージの構成

        • パスワードとキー (既定値) - 保護されたドライブのロックを解除するために管理者とユーザーが使用する BitLocker 回復パスワードと、Active Directory でデータを回復するために管理者が使用する回復キー パッケージの両方を含めます。
        • パスワードのみ - 必要なときに回復キー パッケージにアクセスできない場合があります。

      • 回復情報を Microsoft Entra にバックアップするためにデバイスを要求する

        • 未構成 (既定値) - Microsoft Entra ID への回復キーのバックアップが失敗した場合でも、BitLocker の有効化は完了します。 その結果、回復情報が外部に保存されなくなる可能性があります。
        • はい - 回復キーが Microsoft Entra に正常に保存されるまで、BitLocker の有効化は完了しません。

      • 回復パスワードのユーザー作成

        • ブロック (既定値)
        • 必須
        • 可

      • BitLocker のセットアップ中に回復オプションを非表示にする

        • 未構成 (既定値) - ユーザーが追加の回復オプションにアクセスすることを許可します。
        • はい - BitLocker セットアップ ウィザードの実行中にエンド ユーザーが回復キーの印刷などの追加の回復オプションを選択できないようにします。

      • 回復情報を格納した後で BitLocker を有効にする

        • 未構成 (既定値)
        • はい - [はい] に設定すると、BitLocker 回復情報が Active Directory Domain Services に保存されます。

      • 証明書ベースのデータ回復エージェント (DRA) の使用をブロックする

        • 未構成 (既定) - DRA の使用をセットアップできるようにします。 DRA をセットアップするには、DRA エージェントと証明書を展開するためのエンタープライズ PKI とグループ ポリシー オブジェクトが必要です。
        • はい - データ回復エージェント (DRA) を使用して BitLocker 対応ドライブを回復する機能をブロックします。

    • BitLocker によって保護されていない固定データ ドライブへの書き込みアクセスをブロックするCSP: BitLocker - FixedDrivesRequireEncryption この設定は、BitLocker 固定ドライブ ポリシーが [構成] に設定されている場合に使用できます。

      • 未構成 (既定) - 暗号化されていない固定ドライブにデータを書き込むことができます。
      • はい - Windows では、BitLocker が保護されていない固定ドライブへのデータの書き込みは許可されません。 固定ドライブが暗号化されていない場合、ユーザーはドライブの BitLocker セットアップ ウィザードを完了してから、書き込みアクセス権を付与する必要があります。

    • 固定データ ドライブの暗号化方法を構成する CSP: BitLocker - EncryptionMethodByDriveType

      固定データ ドライブ ディスクの暗号化方法と暗号強度を構成します。 XTS- AES 128 ビットは、 Windows の既定の暗号化方法であり、推奨される値です。

      • 未構成 (既定値)
      • AES 128 ビット CBC
      • AES 256 ビット CBC
      • AES 128 ビット XTS
      • AES 256 ビット XTS

BitLocker - OS ドライブの設定

  • BitLocker システム ドライブ ポリシー CSP: BitLocker - EncryptionMethodByDriveType

    • 構成 (既定)
    • 未構成

    [ 構成] に設定すると、次の設定を構成できます。

    • スタートアップ認証が必要です CSP: BitLocker - SystemDrivesRequireStartupAuthentication

      • 未構成 (既定値)
      • はい - システム起動時に、トラステッド プラットフォーム モジュール (TPM) の使用やスタートアップ PIN 要件など、追加の認証要件を構成します。

      [はい] に設定すると、次の設定を構成できます。

      • 互換性のある TPM のスタートアップ CSP: BitLocker - SystemDrivesRequireStartupAuthentication

        BitLocker には TPM を要求することをお勧めします。 この設定は、BitLocker を初めて有効にするときにのみ適用され、BitLocker が既に有効になっている場合は効果がありません。

        • ブロック (既定値) - BitLocker は TPM を使用しません。
        • 必須 - BitLocker は、TPM が存在し、使用可能な場合にのみ有効になります。
        • 許可 - TPM が存在する場合、BitLocker はそれを使用します。

      • 互換性のある TPM スタートアップ PIN CSP: BitLocker - SystemDrivesRequireStartupAuthentication

        • ブロック (既定値) - PIN の使用をブロックします。
        • 必須 - BitLocker を有効にするには PIN と TPM が必要です。
        • 許可 - TPM が存在する場合は BitLocker が使用し、ユーザーがスタートアップ PIN を構成できるようにします。

        サイレント有効化シナリオの場合は、これを [ブロック] に設定する必要があります。 ユーザーの操作が必要な場合、サイレント有効化シナリオ (Windows Autopilot を含む) は成功しません。

      • 互換性のある TPM スタートアップ キー CSP: BitLocker - SystemDrivesRequireStartupAuthentication

        • ブロック (既定値) - スタートアップ キーの使用をブロックします。
        • 必須 - BitLocker を有効にするには、スタートアップ キーと TPM が必要です。
        • 許可 - BitLocker は、TPM が存在する場合にそれを使用し、ドライブのロックを解除するためにスタートアップ キー (USB ドライブなど) を許可します。

        サイレント有効化シナリオの場合は、これを [ブロック] に設定する必要があります。 ユーザーの操作が必要な場合、サイレント有効化シナリオ (Windows Autopilot を含む) は成功しません。

      • 互換性のある TPM スタートアップ キーと PIN CSP: BitLocker - SystemDrivesRequireStartupAuthentication

        • ブロック (既定値) - スタートアップ キーと PIN の組み合わせの使用をブロックします。
        • 必須 - 有効にするには、BitLocker にスタートアップ キーと PIN が必要です。
        • 許可 - BitLocker は、TPM が存在する場合にそれを使用し、スタートアップ キー) と PIN の組み合わせを許可します。

        サイレント有効化シナリオの場合は、これを [ブロック] に設定する必要があります。 ユーザーの操作が必要な場合、サイレント有効化シナリオ (Windows Autopilot を含む) は成功しません。

      • TPM に互換性のないデバイスで BitLocker を無効に するCSP: BitLocker - SystemDrivesRequireStartupAuthentication

        TPM が存在しない場合、BitLocker の起動にはパスワードまたは USB ドライブが必要です。

        この設定は、BitLocker を初めて有効にするときにのみ適用され、BitLocker が既に有効になっている場合は効果がありません。

        • 未構成 (既定値)
        • はい - 互換性のある TPM チップなしで BitLocker が構成されないようにブロックします。

      • プリブート回復メッセージと URL を有効にする CSP: BitLocker - SystemDrivesRecoveryMessage構成

        • 未構成 (既定値) – 既定の BitLocker プリブート回復情報を使用します。
        • はい - ユーザーが回復パスワードを見つける方法を理解するのに役立つ、カスタムのプリブート回復メッセージと URL の構成を有効にします。 プリブート メッセージと URL は、ユーザーが回復モードで PC からロックアウトされているときに表示されます。

        [はい] に設定すると、次の設定を構成できます。

        • プリブート回復メッセージ カスタムのプリブート回復メッセージを指定します。

        • プリブート リカバリ URL カスタムのプリブート回復 URL を指定します。

      • システム ドライブの回復 CSP: BitLocker - SystemDrivesRecoveryOptions

        • 未構成 (既定値)
        • 構成 - 追加の設定の構成を有効にします。

        [ 構成] に設定すると、次の設定を使用できます。

        • 回復キーのユーザー作成

          • ブロック (既定値)
          • 必須
          • 可

        • BitLocker 回復パッケージの構成

          • パスワードとキー (既定値) - 保護されたドライブのロックを解除するために管理者とユーザーが使用する BitLocker 回復パスワードと、管理者がデータ回復目的で使用する回復キー パッケージの両方を Active Directory に含めます。
          • パスワードのみ - 必要なときに回復キー パッケージにアクセスできない場合があります。

        • 回復情報を Microsoft Entra にバックアップするためにデバイスを要求する

          • 未構成 (既定値) - Microsoft Entra ID への回復キーのバックアップが失敗した場合でも、BitLocker の有効化は完了します。 その結果、回復情報が外部に保存されなくなる可能性があります。
          • はい - 回復キーが Microsoft Entra に正常に保存されるまで、BitLocker の有効化は完了しません。

        • 回復パスワードのユーザー作成

          • ブロック (既定値)
          • 必須
          • 可

        • BitLocker のセットアップ中に回復オプションを非表示にする

          • 未構成 (既定値) - ユーザーが追加の回復オプションにアクセスすることを許可します。
          • はい - BitLocker セットアップ ウィザードの実行中にエンド ユーザーが回復キーの印刷などの追加の回復オプションを選択できないようにします。

        • 回復情報を格納した後で BitLocker を有効にする

          • 未構成 (既定値)
          • はい - [はい] に設定すると、BitLocker 回復情報が Active Directory Domain Services に保存されます。

        • 証明書ベースのデータ回復エージェント (DRA) の使用をブロックする

          • 未構成 (既定) - DRA の使用をセットアップできるようにします。 DRA をセットアップするには、DRA エージェントと証明書を展開するためのエンタープライズ PKI とグループ ポリシー オブジェクトが必要です。
          • はい - データ回復エージェント (DRA) を使用して BitLocker 対応ドライブを回復する機能をブロックします。

      • PIN の最小桁数 CSP: BitLocker - SystemDrivesMinimumPINLength

        BitLocker の有効化中に TPM + PIN が必要な場合のスタートアップ PIN の最小長を指定します。 PIN の桁数は 4 桁から 20 桁にする必要があります。

        この設定を構成しない場合、ユーザーは任意の長さ (4 桁から 20 桁) のスタートアップ PIN を構成することができます

        この設定は、BitLocker を初めて有効にするときにのみ適用され、BitLocker が既に有効になっている場合は効果がありません。

    • オペレーティング システム ドライブの暗号化方法を構成する CSP: [BitLocker - EncryptionMethodByDriveType](/ https:/go.microsoft.com/fwlink?linkid=872526)

      OS ドライブの暗号化方法と暗号強度を構成します。 XTS- AES 128 ビットは、 Windows の既定の暗号化方法であり、推奨される値です。

      • 未構成 (既定値)
      • AES 128 ビット CBC
      • AES 256 ビット CBC
      • AES 128 ビット XTS
      • AES 256 ビット XTS

BitLocker - リムーバブル ドライブの設定

  • BitLocker リムーバブル ドライブ ポリシー CSP: BitLocker - EncryptionMethodByDriveType

    • 未構成 (既定値)
    • 構成

    [ 構成] に設定すると、次の設定を構成できます。

    • リムーバブル データ ドライブの暗号化方法を構成する CSP: BitLocker - EncryptionMethodByDriveType

      リムーバブル データ ドライブ ディスクに必要な暗号化方法を選択します。

      • 未構成 (既定値)
      • AES 128 ビット CBC
      • AES 256 ビット CBC
      • AES 128 ビット XTS
      • AES 256 ビット XTS

    • BitLocker によって保護されていないリムーバブル データ ドライブへの書き込みアクセスをブロックする CSP: BitLocker - RemovableDrivesRequireEncryption

      • 未構成 (既定) - 暗号化されていないリムーバブル ドライブにデータを書き込むことができます。
      • はい - Windows では、BitLocker が保護されていないリムーバブル ドライブにデータを書き込むことはできません。 挿入されたリムーバブル ドライブが暗号化されていない場合、ユーザーはドライブへの書き込みアクセスを許可する前に BitLocker セットアップ ウィザードを完了する必要があります。

    • 別の organization CSP で構成されたデバイスへの書き込みアクセスをブロックする: BitLocker - RemovableDrivesRequireEncryption

      • 未構成 (既定) - BitLocker 暗号化ドライブを使用できます。
      • はい - リムーバブル ドライブが組織所有のコンピューターで暗号化されていない限り、organization ドライブへの書き込みアクセスをブロックします。

次の手順

ディスク暗号化のエンドポイント セキュリティ ポリシー

  • Last updated on