Configuration Manager (現在のブランチ) に適用
Configuration Manager での BitLocker 管理には、次のコンポーネントが含まれます。
BitLocker 管理エージェント: Configuration Manager は、ポリシーを作成してコレクションに展開するときに、デバイスでこのエージェントを有効にします。
回復サービス: クライアントから BitLocker 回復データを受信するサーバー コンポーネント。 詳細については、「 リカバリ サービス」を参照してください。
BitLocker 管理ポリシーを作成して展開する前に、次の手順を実行します。
ポリシーを作成する
このポリシーを作成して展開すると、Configuration Manager クライアントはデバイスで BitLocker 管理エージェントを有効にします。
注:
BitLocker 管理ポリシーを作成するには、Configuration Manager の完全な管理者ロールが必要です。
Configuration Manager コンソールで、[資産とコンプライアンス] ワークスペースに移動し、[Endpoint Protection] を展開して、[BitLocker 管理] ノードを選択します。
リボンで、[ BitLocker 管理コントロール ポリシーの作成] を選択します。
[ 全般 ] ページで、名前とオプションの説明を指定します。 このポリシーを使用してクライアントで有効にするコンポーネントを選択します。
オペレーティング システム ドライブ: OS ドライブが暗号化されているかどうかを管理します
固定ドライブ: デバイス内の他のデータ ドライブの暗号化を管理する
リムーバブル ドライブ: USB キーなど、デバイスから削除できるドライブの暗号化を管理します
クライアント管理: BitLocker ドライブ暗号化の回復情報のキー回復サービス バックアップを管理する
[ セットアップ] ページで、次の BitLocker ドライブ暗号化のグローバル設定を構成します。
注:
Configuration Manager は、BitLocker を有効にするときにこれらの設定を適用します。 ドライブが既に暗号化されているか、進行中の場合は、これらのポリシー設定を変更しても、デバイスのドライブ暗号化は変更されません。
これらの設定を無効にした場合、または構成しなかった場合、BitLocker は既定の暗号化方式 (AES 128 ビット) を使用します。
Windows 8.1 デバイスの場合は、[ドライブの暗号化方法] と [暗号強度] のオプションを有効にします。 次に、暗号化方法を選択します。
Windows 10 以降のデバイスの場合は、ドライブの暗号化方法と暗号強度のオプションを有効にします (Windows 10 以降)。 次に、OS ドライブ、固定データ ドライブ、リムーバブル データ ドライブの暗号化方法を個別に選択します。
このページのこれらの設定やその他の設定の詳細については、「 設定リファレンス - セットアップ」を参照してください。
[ オペレーティング システムのドライブ ] ページで、次の設定を指定します。
- オペレーティング システム ドライブ暗号化設定: この設定を有効にしている場合、ユーザーは OS ドライブを保護する必要があり、BitLocker はドライブを暗号化します。 無効にしている場合、ユーザーはドライブを保護できません。
互換性のある TPM を搭載したデバイスでは、起動時に 2 種類の認証方法を使用して、暗号化されたデータの保護を強化することができます。 コンピューターの起動時には、認証に TPM のみを使用することも、暗証番号 (PIN) の入力を要求することもできます。 以下の設定を構成します。
オペレーティング システム ドライブのプロテクターの選択: TPM と PIN を使用するか、TPM のみを使用するように構成します。
起動時の PIN の最小桁数を構成する: PIN が必要な場合、この値はユーザーが指定できる最短の桁数です。 ユーザーは、コンピューターが起動してドライブのロックを解除するときにこの PIN を入力します。 既定では、PIN の最小桁は
4桁です。
このページのこれらの設定およびその他の設定の詳細については、「 設定リファレンス - OS ドライブ」を参照してください。
[ 固定ドライブ] ページで、次の設定を指定します。
固定データ ドライブ暗号化: この設定を有効にすると、BitLocker はユーザーがすべての固定データ ドライブを保護下に置くように要求します。 その後、データ ドライブが暗号化されます。 このポリシーを有効にする場合は、自動ロック解除を有効にするか、 固定データ ドライブ パスワード ポリシーの設定を有効にします。
固定データ ドライブの自動ロック解除を構成する: BitLocker が暗号化されたデータ ドライブのロックを自動的に解除することを許可または要求します。 自動ロック解除を使用するには、BitLocker による OS ドライブの暗号化も要求します。
このページのこれらの設定およびその他の設定の詳細については、「 設定リファレンス - 固定ドライブ」を参照してください。
[ リムーバブル ドライブ ] ページで、次の設定を指定します。
リムーバブル データ ドライブの暗号化: この設定を有効にし、ユーザーが BitLocker 保護を適用できるようにすると、Configuration Manager クライアントはリムーバブル ドライブに関する回復情報を管理ポイントの回復サービスに保存します。 この動作により、ユーザーはプロテクター (パスワード) を忘れたり紛失したりした場合に、ドライブを回復できます。
リムーバブル データ ドライブに BitLocker 保護を適用することをユーザーに許可する: ユーザーはリムーバブル ドライブの BitLocker 保護を有効にすることができます。
リムーバブル データ ドライブのパスワード ポリシー: これらの設定を使用して、BitLocker で保護されたリムーバブル ドライブのロックを解除するためのパスワードの制約を設定します。
このページのこれらの設定およびその他の設定の詳細については、「 設定リファレンス - リムーバブル ドライブ」を参照してください。
[ クライアント管理 ] ページで、次の設定を指定します。
BitLocker 管理サービスの構成: この設定を有効にすると、Configuration Manager は、サイト データベース内のキー回復情報を自動的かつサイレントにバックアップします。 この設定を無効にするか、構成しない場合、Configuration Manager はキー回復情報を保存しません。
保存する BitLocker 回復情報を選択する: 回復パスワードとキー パッケージを使用するか、回復パスワードのみを使用するように構成します。
回復情報をプレーン テキストで保存できるようにする: BitLocker 管理暗号化証明書がない場合、Configuration Manager はキー回復情報をプレーン テキストで保存します。 詳細については、「 データベース内のリカバリ データの暗号化」を参照してください。
このページのこれらの設定およびその他の設定の詳細については、「 設定リファレンス - クライアント管理」を参照してください。
ウィザードを終了します。
既存のポリシーの設定を変更するには、一覧からポリシーを選択し、[ プロパティ] を選択します。
複数のポリシーを作成する場合は、それらの相対的な優先度を構成できます。 複数のポリシーをクライアントに展開する場合、クライアントは優先度値を使用して設定を決定します。
バージョン 2006 以降では、このタスクに Windows PowerShell コマンドレットを使用できます。 詳細については、「 New-CMBlmSetting」を参照してください。
ポリシーを展開する
BitLocker 管理ノードで既存のポリシーを選択します。 リボンで、[ 展開] を選択します。
展開のターゲットとしてデバイス コレクションを選択します。
デバイスでドライブをいつでも暗号化または復号化できるようにする場合は、[ メンテナンス期間外での修復を許可する] オプションを選択します。 コレクションにメンテナンス期間がある場合でも、この BitLocker ポリシーが修正されます。
シンプル スケジュールまたはカスタム スケジュールを構成します。 クライアントは、スケジュールで指定された設定に基づいてコンプライアンスを評価します。
[ OK ] を選択してポリシーを展開します。
同じポリシーの複数のデプロイを作成できます。 各展開に関する追加情報を表示するには、[BitLocker 管理] ノードでポリシーを選択し、詳細ウィンドウで [展開] タブに切り替えます。このタスクには、Windows PowerShell コマンドレットを使用することもできます。 詳細については、「 New-CMSettingDeployment」を参照してください。
重要
リモート デスクトップ プロトコル (RDP) 接続がアクティブな場合、MBAM クライアントは BitLocker ドライブ暗号化アクションを開始しません。 すべてのリモート本体接続を閉じて、ドメイン ユーザー アカウントで本体セッションにサインインします。 その後、BitLocker ドライブ暗号化が開始され、クライアントは回復キーとパッケージをアップロードします。 ローカル ユーザー アカウントでサインインした場合、BitLocker ドライブ暗号化は開始されません。
RDP を使用して、 /admin スイッチでデバイスのコンソール セッションにリモート接続できます。 例: mstsc.exe /admin /v:<IP address of device>
コンソール セッションは、コンピューターの物理コンソールにいるとき、またはコンピューターの物理コンソールにいる場合と同じリモート接続のいずれかです。
監視する
BitLocker 管理ノードの詳細ウィンドウで、ポリシーの展開に関する基本的なコンプライアンス統計情報を表示します。
- コンプライアンス カウント
- エラー数
- コンプライアンス違反カウント
[ デプロイ] タブに切り替えて、コンプライアンスの割合と推奨されるアクションを確認します。 展開を選択し、リボンで [ 状態の表示] を選択します。 このアクションにより、ビューが [監視ワークスペース ] の [デプロイ] ノードに切り替わります。 他の構成ポリシー展開の展開と同様に、このビューではコンプライアンス状態の詳細を確認できます。
クライアントが BitLocker 管理ポリシーに準拠していないと報告している理由を理解するには、「 非準拠コード」を参照してください。
トラブルシューティングの詳細については、「 BitLocker のトラブルシューティング」を参照してください。
監視とトラブルシューティングには、次のログを使用します。
クライアント ログ
MBAM イベント ログ: Windows イベント ビューアーで、[アプリケーションとサービス]>Microsoft>Windows>MBAM を参照します。 詳細については、「BitLocker イベント ログおよびクライアント イベント ログについて」を参照してください。
クライアント ログ パスのBitlockerManagementHandler.logとBitlockerManagement_GroupPolicyHandler.log、既定で
%WINDIR%\CCM\Logs
管理ポイント ログ (回復サービス)
回復サービス イベント ログ: Windows イベント ビューアーで、[アプリケーションとサービス]>Microsoft>Windows>MBAM-Web を参照します。 詳細については、「BitLocker イベント ログおよびサーバー イベント ログについて」を参照してください。
Recovery Service トレース ログ:
<Default IIS Web Root>\Microsoft BitLocker Management Solution\Logs\Recovery And Hardware Service\trace*.etl
移行に関する考慮事項
現在 Microsoft BitLocker Administration and Monitoring (MBAM) を使用している場合は、管理を Configuration Manager にシームレスに移行できます。 Configuration Manager で BitLocker 管理ポリシーを展開すると、クライアントは回復キーとパッケージを Configuration Manager 回復サービスに自動的にアップロードします。
重要
スタンドアロン MBAM から Configuration Manager BitLocker 管理に移行する場合、スタンドアロン MBAM の既存の機能が必要な場合は、スタンドアロンの MBAM サーバーまたはコンポーネントを Configuration Manager BitLocker 管理で再利用しないでください。 これらのサーバーを再利用すると、Configuration Manager BitLocker 管理がコンポーネントをそれらのサーバーにインストールすると、スタンドアロン MBAM は動作を停止します。 スタンドアロン MBAM サーバーで BitLocker ポータルをセットアップする MBAMWebSiteInstaller.ps1 スクリプトを実行しないでください。 Configuration Manager の BitLocker 管理を設定するときは、個別のサーバーを使用します。
グループ ポリシーの競合
Configuration Manager には、すべての MBAM グループ ポリシー設定が実装されているわけではありません。 スタンドアロン MBAM はドメイン グループ ポリシーを使用し、Configuration Manager は BitLocker 管理用のローカル ポリシーを設定します。 ドメイン ポリシーは、ローカルの Configuration Manager BitLocker 管理ポリシーを上書きします。 スタンドアロン MBAM ドメイン グループ ポリシーが Configuration Manager ポリシーと一致しない場合、Configuration Manager の BitLocker 管理は失敗します。 たとえば、ドメイン グループ ポリシーでキー回復サービス用にスタンドアロン MBAM サーバーを設定する場合、Configuration Manager の BitLocker 管理は管理ポイントに同じ設定を設定できません。 この動作により、クライアントは管理ポイントの Configuration Manager BitLocker 管理キー回復サービスに回復キーを報告しません。
警告
Configuration Manager には、スタンドアロン MBAM と同等の機能があります。 Configuration Manager では、ドメイン グループ ポリシーを設定して BitLocker 管理を構成する理由はありません。 競合や問題を防ぐには、BitLocker のグループ ポリシーを使用しないでください。 Configuration Manager の BitLocker 管理ポリシーを使用してすべての設定を構成します。
TPM パスワード ハッシュ
以前の MBAM クライアントは、TPM パスワード ハッシュを Configuration Manager にアップロードしません。 クライアントは TPM パスワード ハッシュを 1 回だけアップロードします。
この情報を Configuration Manager 回復サービスに移行する必要がある場合は、デバイスの TPM をクリアします。 再起動後、新しい TPM パスワード ハッシュが回復サービスにアップロードされます。
注:
TPM パスワード ハッシュのアップロードは、主に Windows 10 より前のバージョンの Windows に関係します。 Windows 10 以降では既定で TPM パスワード ハッシュが保存されないため、これらのデバイスは通常、パスワード ハッシュをアップロードしません。 詳細については、「 TPM 所有者パスワードについて」を参照してください。
再暗号化
Configuration Manager は、BitLocker ドライブ暗号化で既に保護されているドライブを再暗号化しません。 ドライブの現在の保護と一致しない BitLocker 管理ポリシーを展開すると、非準拠として報告されます。 ドライブは引き続き保護されています。
たとえば、MBAM を使用して AES-XTS 128 暗号化アルゴリズムでドライブを暗号化しましたが、Configuration Manager ポリシーには AES-XTS 256 が必要です。 ドライブが暗号化されていても、ドライブはポリシーに準拠していません。
この動作を回避するには、まずデバイスで BitLocker を無効にします。 次に、新しい設定で新しいポリシーをデプロイします。
共同管理と Intune
BitLocker の Configuration Manager クライアント ハンドラーは、共同管理に対応しています。 デバイスが共同管理されている場合、Endpoint Protection ワークロードを Intune に切り替えると、Configuration Manager クライアントはその BitLocker ポリシーを無視します。 デバイスは、Intune から Windows 暗号化ポリシーを取得します。
重要
目的の暗号化アルゴリズムを維持しながら暗号化管理機関を切り替える場合、クライアントで追加の操作を行う必要はありません。 ただし、暗号化管理機関を切り替え、目的の暗号化アルゴリズムも変更された場合は、 再暗号化を計画する必要があります。
Intune での BitLocker の管理の詳細については、次の記事を参照してください。