BitLocker-beheer implementeren

Van toepassing op: Configuration Manager (current branch)

BitLocker-beheer in Configuration Manager omvat de volgende onderdelen:

• BitLocker-beheeragent: Configuration Manager schakelt deze agent in op een apparaat wanneer u een beleid maakt en dit implementeert in een verzameling.

• Herstelservice: het serveronderdeel dat BitLocker-herstelgegevens van clients ontvangt. Zie Herstelservice voor meer informatie.

Voordat u BitLocker-beheerbeleid maakt en implementeert:

• Bekijk de vereisten

• Versleutel indien nodig de herstelsleutels in de sitedatabase

Een beleid maken

Wanneer u dit beleid maakt en implementeert, wordt via de Configuration Manager-client de BitLocker-beheeragent op het apparaat ingeschakeld.

1. Ga in de Configuration Manager-console naar de werkruimte Activa en naleving, vouw Endpoint Protection uit en selecteer het knooppunt BitLocker-beheer.

2. Selecteer op het lint BitLocker-beheerbeheerbeheerbeleid maken.

3. Geef op de pagina Algemeen een naam en optioneel een beschrijving op. Selecteer de onderdelen die u met dit beleid wilt inschakelen op clients:

   • Besturingssysteemstation: beheren of het station met het besturingssysteem is versleuteld

   • Vaste schijf: versleuteling van andere gegevensstations in een apparaat beheren

   • Verwisselbaar station: beheer versleuteling voor stations die je van een apparaat kunt verwijderen, zoals een USB-sleutel

   • Clientbeheer: De back-up van de sleutelherstelservice van BitLocker-stationsversleuteling herstellen informatie

4. Configureer op de pagina Setup de volgende algemene instellingen voor BitLocker-stationsversleuteling:

   Opmerking

   Configuration Manager past deze instellingen toe wanneer u BitLocker inschakelt. Als het station al is versleuteld of in uitvoering is, heeft een wijziging in deze beleidsinstellingen geen invloed op de stationsversleuteling op het apparaat.

   Als u deze instellingen uitschakelt of niet configureert, gebruikt BitLocker de standaardversleutelingsmethode (AES 128-bits).

   • Schakel voor Windows 8.1-apparaten de optie voor de stationsversleutelingsmethode en coderingssterkte in. Selecteer vervolgens de versleutelingsmethode.

   • Schakel voor Windows 10 of latere apparaten de optie voor de stationsversleutelingsmethode en coderingssterkte (Windows 10 of hoger) in. Selecteer vervolgens afzonderlijk de versleutelingsmethode voor stations met besturingssysteem, vaste schijven en verwisselbare schijven.

   Zie Naslaginformatie over instellingen - Instellingen voor meer informatie over deze en andere instellingen op deze pagina.

5. Geef op de pagina Besturingssysteemstation de volgende instellingen op:

   • Versleutelingsinstellingen besturingssysteemstation: Als u deze instelling inschakelt, moet de gebruiker het station met het besturingssysteem beveiligen en wordt het station versleuteld door BitLocker. Als u deze optie uitschakelt, kan de gebruiker het station niet beveiligen.

   Op apparaten met een compatibele TPM kunnen bij het opstarten twee typen verificatiemethoden worden gebruikt om extra beveiliging te bieden voor versleutelde gegevens. Tijdens het opstarten van de computer kan de TPM alleen worden gebruikt voor verificatie of kan ook de invoer van een pincode nodig zijn. Configureer de volgende instellingen:

   • Selecteer een protector voor het besturingssysteemstation: Configureer het voor gebruik van een TPM en pincode of alleen de TPM.

   • Minimale lengte van pincode voor opstarten instellen: Als u een pincode nodig hebt, is deze waarde de kortste lengte die de gebruiker kan opgeven. De gebruiker voert deze pincode in wanneer de computer wordt opgestart om het station te ontgrendelen. Standaard is 4de minimale lengte van de pincode.

   Zie Naslaginformatie over instellingen - OS station voor meer informatie over deze en andere instellingen op deze pagina.

6. Geef op de pagina Vast station de volgende instellingen op:

   • Vaste versleuteling van gegevensstations: als u deze instelling inschakelt, vereist BitLocker dat gebruikers alle vaste gegevensstations beveiligen. Vervolgens worden de gegevensstations versleuteld. Wanneer u dit beleid inschakelt, schakelt u ofwel automatisch ontgrendelen in of de instellingen voor Vast beleid met wachtwoord voor gegevensstations.

   • Automatisch ontgrendelen configureren voor vast gegevensstation: BitLocker toestaan of vereisen dat elk versleuteld gegevensstation automatisch wordt ontgrendeld. Als u automatisch ontgrendelen wilt gebruiken, moet u ook BitLocker vereisen om het OS-station te versleutelen.

   Voor meer informatie over deze en andere instellingen op deze pagina, zie Naslaginformatie over Instellingen - Vast station.

7. Geef op de pagina Verwisselbaar station de volgende instellingen op:

   • Verwisselbare versleuteling van schijven Wanneer u deze instelling inschakelt en gebruikers toestaat BitLocker-beveiliging toe te passen, slaat de Configuration Manager-client herstelinformatie over verwisselbare stations op in de herstelservice op het beheerpunt. Dit gedrag zorgt ervoor dat gebruikers het station kunnen herstellen als ze de protector (wachtwoord) vergeten of kwijtraken.

   • Gebruikers toestaan om BitLocker-beveiliging toe te passen op verwisselbare gegevensstations: Gebruikers kunnen BitLocker-beveiliging inschakelen voor een verwisselbaar station.

   • Wachtwoordbeleid voor verwisselbare schijven: gebruik deze instellingen om de beperkingen in te stellen voor wachtwoorden voor het ontgrendelen van verwisselbare stations die door BitLocker zijn beveiligd.

   Zie Naslaginformatie over instellingen - Verwisselbaar station voor meer informatie over deze en andere instellingen op deze pagina.

8. Geef op de pagina Clientbeheer de volgende instellingen op:

   • BitLocker-beheerservices configureren: wanneer u deze instelling inschakelt, maakt Configuration Manager automatisch en geruisloos back-ups van belangrijke herstelgegevens in de sitedatabase. Als u deze instelling uitschakelt of niet configureert, slaat Configuration Manager geen gegevens voor sleutelherstel op.

     • Selecteer BitLocker-herstelgegevens die u wilt opslaan: Configureer deze voor gebruik van een herstelwachtwoord en sleutelpakket of alleen een herstelwachtwoord.

     • Opslaan van herstelgegevens als tekst zonder opmaak toestaan: Zonder een BitLocker-versleutelingscertificaat slaat Configuration Manager de sleutelherstelgegevens op in tekst zonder opmaak. Zie Herstelgegevens in de database versleutelen voor meer informatie.

   Voor meer informatie over deze en andere instellingen op deze pagina, zie Naslaginformatie over instellingen - Clientbeheer.

9. Voltooi de wizard.

Als u de instellingen van een bestaand beleid wilt wijzigen, kiest u het beleid in de lijst en selecteert u Eigenschappen.

Wanneer u meer dan één beleid maakt, kunt u hun relatieve prioriteit configureren. Als u meerdere beleidsregels voor een client implementeert, wordt de prioriteitswaarde gebruikt om de instellingen te bepalen.

Vanaf versie 2006 kunt u voor deze taak Windows PowerShell-cmdlets gebruiken. Zie New-CMBlmSetting voor meer informatie.

Een beleid implementeren

1. Kies een bestaand beleid in het knooppunt BitLocker-beheer . Selecteer Implementeren op het lint.

2. Selecteer een apparaatverzameling als doel voor de implementatie.

3. Als u wilt dat het apparaat de stations op elk gewenst moment kan versleutelen of ontsleutelen, selecteert u de optie Herstel toestaan buiten het onderhoudsvenster. Als de verzameling onderhoudsvensters heeft, wordt dit BitLocker-beleid nog steeds hersteld.

4. U kunt een eenvoudig of aangepast schema configureren. De client evalueert de naleving op basis van de instellingen die in de planning zijn opgegeven.

5. Selecteer OK om het beleid te implementeren.

U kunt meerdere implementaties van hetzelfde beleid maken. Als u meer informatie over elke implementatie wilt weergeven, selecteert u het beleid in het BitLocker-beheerknooppunt en gaat u in het detailvenster naar het tabblad Implementaties. U kunt voor deze taak ook Windows PowerShell-cmdlets gebruiken. Zie New-CMSettingDeployment voor meer informatie.

Monitor

Bekijk eenvoudige nalevingsstatistieken over de beleidsimplementatie in het detailvenster van het knooppunt BitLocker-beheer :

• Aantal nalevingsmaatregelen
• Aantal fouten
• Aantal niet-naleving

Ga naar het tabblad Implementaties om het compliantiepercentage en de aanbevolen actie te bekijken. Selecteer de implementatie en selecteer vervolgens Status weergeven op het lint. Met deze actie schakelt u over naar de bewakingswerkruimte, knooppunt Implementaties . Net als bij de implementatie van andere implementaties van configuratiebeleid kunt u in deze weergave een gedetailleerdere compliantiestatus bekijken.

Als u wilt weten waarom klanten melden dat ze niet voldoen aan het BitLocker-beheerbeleid, raadpleegt u Niet-nalevingscodes.

Zie Problemen met BitLocker oplossen voor meer informatie over het oplossen van problemen.

Gebruik de volgende logboeken om te controleren en problemen op te lossen:

Clientlogboeken

• MBAM-gebeurtenislogboek: blader in de Windows Logboeken naar Toepassingen en services>Microsoft>Windows>MBAM. Zie Info over BitLocker-gebeurtenislogboeken en Clientgebeurtenislogboeken voor meer informatie.

• Standaard BitlockerManagementHandler.log en BitlockerManagement_GroupPolicyHandler.log in het pad %WINDIR%\CCM\Logs van de clientlogboeken

Logboeken van beheerpunten (herstelservice)

• Logboek van herstelservicegebeurtenissen: blader in de Windows Logboeken naar Toepassingen en services>Microsoft>Windows>MBAM-Web. Zie Informatie over BitLocker-gebeurtenislogboeken en servergebeurtenislogboeken.

• Traceringslogboeken voor herstelservice: <Default IIS Web Root>\Microsoft BitLocker Management Solution\Logs\Recovery And Hardware Service\trace*.etl

Overwegingen bij migratie

Als u momenteel gebruikmaakt van Microsoft BitLocker Administration and Monitoring (MBAM), kunt u het beheer naadloos migreren naar Configuration Manager. Wanneer u BitLocker-beheerbeleid implementeert in Configuration Manager, worden clients automatisch herstelsleutels en pakketten geüpload naar de herstelservice van Configuration Manager.

Conflicten in groepsbeleid

Configuration Manager implementeert niet alle instellingen voor MBAM-groepsbeleid. Zelfstandige MBAM gebruikt domeingroepsbeleid, terwijl Configuration Manager lokaal beleid instelt voor BitLocker-beheer. Domeinbeleid overschrijft het lokale BitLocker-beheerbeleid van Configuration Manager. Als het groepsbeleid voor het zelfstandige MBAM-domein niet overeenkomt met het beleid van Configuration Manager, mislukt het BitLocker-beheer van Configuration Manager. Als bijvoorbeeld met een domeingroepsbeleid de zelfstandige MBAM-server voor sleutelherstelservices wordt ingesteld, kan het BitLocker-management van Configuration Manager niet dezelfde instelling instellen voor het beheerpunt. Dit gedrag zorgt ervoor dat clients hun herstelsleutels niet rapporteren aan de BitLocker-beheersleutelherstelservice van Configuration Manager op het beheerpunt.

TPM-wachtwoordhash

• Eerdere MBAM-clients uploaden de TPM-wachtwoordhash niet naar Configuration Manager. De client uploadt de TPM-wachtwoordhash slechts eenmaal naar de client.

• Als u deze gegevens wilt migreren naar de herstelservice van Configuration Manager, wist u de TPM op het apparaat. Nadat de computer opnieuw is opgestart, wordt de nieuwe TPM-wachtwoordhash naar de herstelservice geüpload.

Opnieuw coderen

In Configuration Manager worden stations die al zijn beveiligd met BitLocker-stationsversleuteling niet opnieuw versleuteld. Als u een BitLocker-beheerbeleid implementeert dat niet overeenkomt met de huidige beveiliging van het station, wordt het gerapporteerd als niet-compatibel. Het station is nog steeds beveiligd.

U hebt bijvoorbeeld MBAM gebruikt om het station te versleutelen met het AES-XTS 128-versleutelingsalgoritme, maar het Configuration Manager-beleid vereist AES-XTS 256. Het station voldoet niet aan het beleid, ook al is het station versleuteld.

Schakel eerst BitLocker uit op het apparaat om dit probleem te omzeilen. Implementeer vervolgens een nieuw beleid met de nieuwe instellingen.

Co-management en Intune

De Configuration Manager-clienthandler voor BitLocker is zich bewust van co-beheer. Als het apparaat gezamenlijk wordt beheerd en u de Endpoint Protection-werkbelasting overschakelt naar Intune, negeert de Configuration Manager-client het BitLocker-beleid. Het apparaat ontvangt het Windows-versleutelingsbeleid van Intune.

Zie de volgende artikelen voor meer informatie over het beheren van BitLocker met Intune:

• Apparaatversleuteling gebruiken met Intune
• Problemen met BitLocker-beleid oplossen in Microsoft Intune

Volgende stappen

Over de BitLocker-herstelservice

BitLocker-rapporten en -portals instellen