Overzicht van BitLocker-instellingen

Van toepassing op: Configuration Manager (current branch)

Het BitLocker-beheerbeleid in Configuration Manager bevat de volgende beleidsgroepen:

• Configuratie
• Besturingssysteemstation
• Vast station
• Verwisselbaar station
• Clientbeheer

In de volgende secties worden configuraties beschreven en voorgesteld voor de instellingen in elke groep.

Configuratie

Met de instellingen op deze pagina worden globale BitLocker-versleutelingsopties geconfigureerd.

Stationsversleutelingsmethode en coderingssterkte

Voorgestelde configuratie: ingeschakeld met de standaard of hogere versleutelingsmethode.

Windows 8.1-apparaten

Schakel voor Windows 8.1-apparaten de optie voor stationsversleutelingsmethode en coderingssterkte in en selecteer een van de volgende versleutelingsmethoden:

• AES 128-bits met diffusor
• AES 256-bits met diffusor
• AES 128-bits (standaard)
• AES 256-bits

Zie New-CMBLEncryptionMethodPolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Apparaten met Windows 10 of hoger

Schakel voor Windows 10 of latere apparaten de optie voor de stationsversleutelingsmethode en coderingssterkte (Windows 10 of hoger) in. Selecteer vervolgens afzonderlijk een van de volgende versleutelingsmethoden voor stations met besturingssysteem, vaste schijven en verwisselbare schijven:

• AES-CBC, 128-bits
• AES-CBC 256-bits
• XTS-AES 128-bits (standaard)
• XTS-AES 256-bit

Zie New-CMBLEncryptionMethodWithXts voor meer informatie over het maken van dit beleid met Windows PowerShell.

Algemene gebruiksopmerkingen voor stationsversleuteling en coderingssterkte

• Als u deze instellingen uitschakelt of niet configureert, gebruikt BitLocker de standaardversleutelingsmethode.

• Configuration Manager past deze instellingen toe wanneer u BitLocker inschakelt.

• Als het station al is versleuteld of in uitvoering is, heeft een wijziging in deze beleidsinstellingen geen invloed op de stationsversleuteling op het apparaat.

• Als u de standaardwaarde gebruikt, kan in het BitLocker Computer Compliance-rapport de coderingssterkte als onbekend worden weergegeven. U kunt dit probleem omzeilen door deze instelling in te schakelen en een expliciete waarde voor coderingssterkte in te stellen.

Voorkomen dat geheugen wordt overschreven bij opnieuw opstarten

Voorgestelde configuratie: Niet geconfigureerd

Configureer dit beleid om de prestaties van het opnieuw opstarten te verbeteren zonder BitLocker-geheimen in het geheugen te overschrijven bij opnieuw opstarten.

Wanneer u dit beleid niet configureert, verwijdert BitLocker de geheimen uit het geheugen wanneer de computer opnieuw wordt opgestart.

Zie New-CMNoOverwritePolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Naleving van de gebruiksregels voor smartcardcertificaten valideren

Voorgestelde configuratie: Niet geconfigureerd

Configureer dit beleid voor BitLocker-beveiliging gebaseerd op smartcardcertificaten. Geef vervolgens de object-id van het certificaat op.

Wanneer u dit beleid niet configureert, gebruikt BitLocker de standaardobject-id 1.3.6.1.4.1.311.67.1.1 om een certificaat op te geven.

Zie New-CMScCompliancePolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Unieke identificatiecodes van organisaties

Voorgestelde configuratie: Niet geconfigureerd

Configureer dit beleid voor het gebruik van een op certificaten gebaseerde gegevensherstelagent of de BitLocker To Go-lezer.

Als u dit beleid niet configureert, wordt het veld Identificatie niet gebruikt in BitLocker.

Als uw organisatie hogere beveiligingsmaatregelen vereist, configureert u het veld Identificatie . Stel dit veld in op alle doel-USB-apparaten en lijn het uit op deze instelling.

Zie New-CMUidPolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

OS station

Met de instellingen op deze pagina worden de versleutelingsinstellingen geconfigureerd voor het station waarop Windows is geïnstalleerd.

Versleutelingsinstellingen voor besturingssysteemstations

Voorgestelde configuratie: Ingeschakeld

Als u deze instelling inschakelt, moet de gebruiker het station met het besturingssysteem beveiligen en wordt het station versleuteld door BitLocker. Als u deze optie uitschakelt, kan de gebruiker het station niet beveiligen. Als u dit beleid niet configureert, is BitLocker-beveiliging niet vereist op het besturingssysteemstation.

Als u apparaten hebt zonder een TPM (Trusted Platform Module), gebruikt u de optie BitLocker toestaan zonder een compatibele TPM (wachtwoord vereist). Met deze instelling kan BitLocker het OS-station versleutelen, zelfs als het apparaat geen TPM heeft. Als u deze optie toestaat, wordt de gebruiker gevraagd een BitLocker-wachtwoord op te geven.

Op apparaten met een compatibele TPM kunnen bij het opstarten twee typen verificatiemethoden worden gebruikt om extra beveiliging te bieden voor versleutelde gegevens. Tijdens het opstarten van de computer kan de TPM alleen worden gebruikt voor verificatie of kan ook de invoer van een pincode nodig zijn. Configureer de volgende instellingen:

• Selecteer een protector voor het besturingssysteemstation: Configureer het voor gebruik van een TPM en pincode of alleen de TPM.

• Minimale lengte van pincode voor opstarten instellen: Als u een pincode nodig hebt, is deze waarde de kortste lengte die de gebruiker kan opgeven. De gebruiker voert deze pincode in wanneer de computer wordt opgestart om het station te ontgrendelen. Standaard is 4de minimale lengte van de pincode.

Zie New-CMBMSOSDEncryptionPolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Verbeterde pincodes voor opstarten toestaan

Voorgestelde configuratie: Niet geconfigureerd

Configureer BitLocker voor het gebruik van verbeterde opstartpincodes. Met deze pincodes kunt u meer tekens gebruiken, zoals hoofdletters en kleine letters, symbolen, cijfers en spaties. Deze instelling is van toepassing wanneer u BitLocker inschakelt.

Als je deze instelling inschakelt, kan de gebruiker met alle nieuwe BitLocker-pincodes verbeterde pincodes maken.

• Alleen ASCII-pincodes vereisen: verbeterde pincodes compatibeler maken met computers die het type of aantal tekens beperken dat u in de omgeving vóór het opstarten kunt invoeren.

Als u deze beleidsinstelling uitschakelt of niet configureert, gebruikt BitLocker geen verbeterde pincodes.

Zie New-CMEnhancedPIN voor meer informatie over het maken van dit beleid met Windows PowerShell.

Beleid voor stationswachtwoorden van besturingssysteem

Voorgestelde configuratie: Niet geconfigureerd

Gebruik deze instellingen om de beperkingen in te stellen voor wachtwoorden voor het ontgrendelen van met BitLocker beveiligde besturingssysteemstations. Als u niet-TPM-protectors op OS-stations toestaat, configureert u de volgende instellingen:

• Wachtwoordcomplexiteit configureren voor besturingssysteemstations: Als u complexiteitsvereisten voor het wachtwoord wilt afdwingen, selecteert u Wachtwoordcomplexiteit vereisen.

• Minimale wachtwoordlengte voor besturingssysteemstation: De minimale lengte is 8standaard .

• ASCII-only wachtwoorden vereisen voor verwisselbare OS-stations

Als deze instelling is ingeschakeld, kunnen gebruikers een wachtwoord configureren dat voldoet aan de vereisten die u definieert.

Zie New-CMOSPassphrase voor meer informatie over het maken van dit beleid met Windows PowerShell.

Algemene opmerkingen over het gebruik van het beleid voor het wachtwoord van het besturingssysteemstation

• Deze instellingen voor complexiteitsvereisten zijn alleen effectief als u ook de groepsbeleidsinstelling inschakelt: Wachtwoord moet voldoen aan de complexiteitsvereisten in Computerconfiguratie,>Windows-instellingen>,Beveiligingsinstellingen,>Accountbeleid>, Wachtwoordbeleid.

• BitLocker dwingt deze instellingen af wanneer u BitLocker inschakelt, niet wanneer u een volume ontgrendelt. Met BitLocker kunt u een station ontgrendelen met een van de beveiligingsfuncties die beschikbaar zijn op het station.

• Als u groepsbeleid gebruikt om FIPS-compatibele algoritmen voor versleuteling, hashing en ondertekening in te schakelen, kunt u geen wachtwoorden toestaan als BitLocker-beveiliging.

Platformvalidatiegegevens opnieuw instellen na BitLocker-herstel

Voorgestelde configuratie: Niet geconfigureerd

Bepaal of Windows platformvalidatiegegevens vernieuwt wanneer deze worden gestart na BitLocker-herstel.

Als u deze instelling inschakelt of niet configureert, vernieuwt Windows in deze situatie de platformvalidatiegegevens.

Als u deze beleidsinstelling uitschakelt, worden de platformvalidatiegegevens in deze situatie niet vernieuwd.

Zie New-CMTpmAutoResealPolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Herstelbericht en URL voor opstarten

Voorgestelde configuratie: Niet geconfigureerd

Wanneer BitLocker het OS-station vergrendelt, gebruik je deze instelling om een aangepast herstelbericht of een URL weer te geven op het BitLocker-herstelscherm voorafgaand aan het opstarten. Deze instelling is alleen van toepassing op apparaten met Windows 10 of hoger.

Wanneer je deze instelling inschakelt, selecteer je een van de volgende opties voor het herstelbericht vóór opstarten:

• Gebruik standaardherstelbericht en -URL: geef het standaard BitLocker-herstelbericht en de standaard URL weer in het BitLocker-herstelscherm vóór het opstarten. Als u eerder een aangepast herstelbericht of aangepaste URL hebt geconfigureerd, gebruikt u deze optie om terug te keren naar het standaardbericht.

• Een aangepast herstelbericht gebruiken: neem een aangepast bericht op in het BitLocker-herstelscherm vóór het opstarten.

  • Optie voor aangepast herstelbericht: typ het aangepaste bericht dat u wilt weergeven. Als u ook een herstel-URL wilt opgeven, neemt u deze op als onderdeel van dit aangepaste herstelbericht. De maximumtekenreekslengte bedraagt 32.768 tekens.

• Aangepaste herstel-URL gebruiken: Vervang de standaard-URL die wordt weergegeven in het BitLocker-herstelscherm vóór het opstarten.

  • Optie voor aangepaste herstel-URL: typ de URL die moet worden weergegeven. De maximumtekenreekslengte bedraagt 32.768 tekens.

Zie New-CMPrebootRecoveryInfo voor meer informatie over het maken van dit beleid met Windows PowerShell.

Instellingen voor het afdwingen van versleutelingsbeleid (OS-station)

Voorgestelde configuratie: Ingeschakeld

Configureer het aantal dagen dat gebruikers BitLocker-naleving voor het besturingssysteemstation kunnen uitstellen. De respijtperiode voor niet-naleving begint wanneer Configuration Manager voor het eerst detecteert dat dit niet-compatibel is. Nadat deze respijtperiode is verlopen, kunnen gebruikers de vereiste actie niet uitstellen of een vrijstelling aanvragen.

Als voor het versleutelingsproces gebruikersinvoer is vereist, wordt in Windows een dialoogvenster weergegeven dat de gebruiker pas kan sluiten als hij de vereiste informatie heeft opgegeven. Toekomstige meldingen voor fouten of status hebben deze beperking niet.

Als BitLocker geen interactie van de gebruiker vereist om een beschermer toe te voegen, start BitLocker versleuteling op de achtergrond nadat de respijtperiode is verstreken.

Als u deze instelling uitschakelt of niet configureert, hoeven gebruikers van Configuration Manager niet te voldoen aan BitLocker-beleid.

Als u het beleid onmiddellijk wilt afdwingen, stelt u een respijtperiode in van 0.

Zie New-CMUseOsEnforcePolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Vast station

De instellingen op deze pagina configureren versleuteling voor andere gegevensstations in een apparaat.

Vaste versleuteling van gegevensstations

Voorgestelde configuratie: Ingeschakeld

Beheer uw vereisten voor versleuteling van vaste datastations. Als u deze instelling inschakelt, vereist BitLocker dat gebruikers alle vaste gegevensstations beveiligen. Vervolgens worden de gegevensstations versleuteld.

Wanneer u dit beleid inschakelt, schakelt u ofwel automatisch ontgrendelen in of de instellingen voor Vast beleid met wachtwoord voor gegevensstations.

• Automatisch ontgrendelen configureren voor vast gegevensstation: BitLocker toestaan of vereisen dat elk versleuteld gegevensstation automatisch wordt ontgrendeld. Als u automatisch ontgrendelen wilt gebruiken, moet u ook BitLocker vereisen om het OS-station te versleutelen.

Als u deze instelling niet configureert, hoeven gebruikers van BitLocker geen vaste gegevensstations te beveiligen.

Als u deze instelling uitschakelt, kunnen gebruikers hun vaste gegevensstations niet onder BitLocker-beveiliging plaatsen. Als u dit beleid uitschakelt nadat BitLocker vaste schijven heeft versleuteld, ontsleutelt BitLocker de vaste schijven.

Zie New-CMBMSFDVEncryptionPolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Schrijftoegang weigeren tot harde schijven die niet worden beveiligd door BitLocker

Voorgestelde configuratie: Niet geconfigureerd

BitLocker-beveiliging voor Windows vereisen om gegevens te schrijven naar vaste stations op het apparaat. BitLocker past dit beleid toe wanneer u dit inschakelt.

Wanneer u deze instelling inschakelt:

• Als BitLocker een vast gegevensstation beveiligt, koppelt Windows dit met lees- en schrijftoegang.

• Voor elk vast gegevensstation dat BitLocker niet beveiligt, koppelt Windows het als alleen-lezen.

Als u deze instelling niet configureert, worden alle vaste gegevensstations met lees- en schrijftoegang gekoppeld.

Zie New-CMFDVDenyWriteAccessPolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Vast beleid met schijfwachtwoorden

Voorgestelde configuratie: Niet geconfigureerd

Gebruik deze instellingen om de beperkingen in te stellen voor wachtwoorden voor het ontgrendelen van door BitLocker beveiligde vaste schijven.

Als u deze instelling inschakelt, kunnen gebruikers een wachtwoord configureren dat voldoet aan de door u gedefinieerde vereisten.

Voor een betere beveiliging schakelt u deze instelling in en configureert u vervolgens de volgende instellingen:

• Wachtwoord vereisen voor vast gegevensstation: gebruikers moeten een wachtwoord opgeven om een met BitLocker beveiligd vast gegevensstation te ontgrendelen.

• Wachtwoordcomplexiteit configureren voor vaste gegevensstations: Als u complexiteitsvereisten voor het wachtwoord wilt afdwingen, selecteert u Wachtwoordcomplexiteit vereisen.

• Minimale wachtwoordlengte voor vast gegevensstation: De minimale lengte is 8standaard .

Als u deze instelling uitschakelt, kunnen gebruikers geen wachtwoord configureren.

Wanneer het beleid niet is geconfigureerd, ondersteunt BitLocker wachtwoorden met de standaardinstellingen. De standaardinstellingen bevatten geen vereisten voor wachtwoordcomplexiteit en vereisen slechts acht tekens.

Zie New-CMFDVPassPhrasePolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Algemene opmerkingen voor het gebruik van het vaste beleid voor stationswachtwoorden

• Deze instellingen voor complexiteitsvereisten zijn alleen effectief als u ook de groepsbeleidsinstelling inschakelt: Wachtwoord moet voldoen aan de complexiteitsvereisten in Computerconfiguratie,>Windows-instellingen>,Beveiligingsinstellingen,>Accountbeleid>, Wachtwoordbeleid.

• BitLocker dwingt deze instellingen af wanneer u BitLocker inschakelt, niet wanneer u een volume ontgrendelt. Met BitLocker kunt u een station ontgrendelen met een van de beveiligingsfuncties die beschikbaar zijn op het station.

• Als u groepsbeleid gebruikt om FIPS-compatibele algoritmen voor versleuteling, hashing en ondertekening in te schakelen, kunt u geen wachtwoorden toestaan als BitLocker-beveiliging.

Instellingen voor het afdwingen van versleutelingsbeleid (vast station met gegevens)

Voorgestelde configuratie: Ingeschakeld

Configureer het aantal dagen dat gebruikers BitLocker-naleving kunnen uitstellen voor vaste datastations. De respijtperiode voor niet-naleving begint wanneer Configuration Manager voor het eerst detecteert dat het vaste gegevensstation niet-compatibel is. Het vaste beleid voor gegevensstations wordt pas afgedwongen als het OS-station compatibel is. Nadat de respijtperiode is verlopen, kunnen gebruikers de vereiste actie niet uitstellen of een vrijstelling aanvragen.

Als voor het versleutelingsproces gebruikersinvoer is vereist, wordt in Windows een dialoogvenster weergegeven dat de gebruiker pas kan sluiten als hij de vereiste informatie heeft opgegeven. Toekomstige meldingen voor fouten of status hebben deze beperking niet.

Als BitLocker geen interactie van de gebruiker vereist om een beschermer toe te voegen, start BitLocker versleuteling op de achtergrond nadat de respijtperiode is verstreken.

Als u deze instelling uitschakelt of niet configureert, hoeven gebruikers van Configuration Manager niet te voldoen aan BitLocker-beleid.

Als u het beleid onmiddellijk wilt afdwingen, stelt u een respijtperiode in van 0.

Zie New-CMUseFddEnforcePolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Verwisselbaar station

Met de instellingen op deze pagina wordt versleuteling geconfigureerd voor verwisselbare stations, zoals USB-sleutels.

Verwisselbare stationsversleuteling

Voorgestelde configuratie: Ingeschakeld

Deze instelling bepaalt het gebruik van BitLocker op verwisselbare stations.

• Gebruikers toestaan om BitLocker-beveiliging toe te passen op verwisselbare gegevensstations: Gebruikers kunnen BitLocker-beveiliging inschakelen voor een verwisselbaar station.

• Gebruikers toestaan BitLocker te onderbreken en te ontsleutelen op verwisselbare stations: Gebruikers kunnen BitLocker-stationsversleuteling verwijderen of tijdelijk onderbreken vanaf een verwisselbaar station.

Wanneer u deze instelling inschakelt en gebruikers toestaat BitLocker-beveiliging toe te passen, slaat de Configuration Manager-client herstelinformatie over verwisselbare stations op in de herstelservice op het beheerpunt. Dit gedrag zorgt ervoor dat gebruikers het station kunnen herstellen als ze de protector (wachtwoord) vergeten of kwijtraken.

Wanneer u deze instelling inschakelt:

• De instellingen voor het wachtwoordbeleid voor verwisselbare gegevens inschakelen

• Schakel de volgende groepsbeleidsinstellingen uit inVerwisselbare opslagtoegang van het systeem> voor zowel gebruikers- & computerconfiguraties:

  • Alle verwisselbare opslagklassen: alle toegang weigeren
  • Verwisselbare schijven: schrijftoegang weigeren
  • Verwisselbare schijven: leestoegang weigeren

Als u deze instelling uitschakelt, kunnen gebruikers BitLocker niet gebruiken op verwisselbare stations.

Zie New-CMRDVConfigureBDEPolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Schrijftoegang weigeren tot verwisselbare schijven die niet worden beveiligd door BitLocker

Voorgestelde configuratie: Niet geconfigureerd

BitLocker-beveiliging voor Windows vereisen om gegevens naar verwisselbare stations op het apparaat te schrijven. BitLocker past dit beleid toe wanneer u dit inschakelt.

Wanneer u deze instelling inschakelt:

• Als BitLocker een verwisselbaar station beveiligt, koppelt Windows dit met lees- en schrijftoegang.

• Verwisselbare stations die niet door BitLocker worden beschermd, worden door Windows gekoppeld als alleen-lezen.

• Als u de optie inschakelt om schrijftoegang te weigeren voor apparaten die zijn geconfigureerd in een andere organisatie, geeft BitLocker alleen schrijftoegang tot verwisselbare stations met identificatievelden die overeenkomen met de toegestane identificatievelden. Definieer deze velden met de algemene instellingen van de unieke id's van de organisatie op de pagina Installatie .

Wanneer u deze instelling uitschakelt of niet configureert, worden alle verwisselbare stations met lees- en schrijftoegang gekoppeld.

Zie New-CMRDVDenyWriteAccessPolicy voor meer informatie over hoe u dit beleid maakt met Windows PowerShell.

Wachtwoordbeleid voor verwisselbare schijven

Voorgestelde configuratie: Ingeschakeld

Gebruik deze instellingen om de beperkingen in te stellen voor wachtwoorden voor het ontgrendelen van verwisselbare stations die met BitLocker zijn beveiligd.

Als u deze instelling inschakelt, kunnen gebruikers een wachtwoord configureren dat voldoet aan de door u gedefinieerde vereisten.

Voor een betere beveiliging schakelt u deze instelling in en configureert u vervolgens de volgende instellingen:

• Wachtwoord vereisen voor verwisselbaar gegevensstation: gebruikers moeten een wachtwoord opgeven om een met BitLocker beveiligd verwisselbaar station te ontgrendelen.

• Wachtwoordcomplexiteit configureren voor verwisselbare gegevensstations: Als u complexiteitsvereisten voor het wachtwoord wilt afdwingen, selecteert u Wachtwoordcomplexiteit vereisen.

• Minimale wachtwoordlengte voor verwisselbaar gegevensstation: De minimale lengte is 8standaard .

Als u deze instelling uitschakelt, kunnen gebruikers geen wachtwoord configureren.

Wanneer het beleid niet is geconfigureerd, ondersteunt BitLocker wachtwoorden met de standaardinstellingen. De standaardinstellingen bevatten geen vereisten voor wachtwoordcomplexiteit en vereisen slechts acht tekens.

Zie New-CMRDVPassPhrasePolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Algemene opmerkingen voor het gebruik van het beleid voor het wachtwoord van een station met verwisselbare gegevens

• Deze instellingen voor complexiteitsvereisten zijn alleen effectief als u ook de groepsbeleidsinstelling inschakelt: Wachtwoord moet voldoen aan de complexiteitsvereisten in Computerconfiguratie,>Windows-instellingen>,Beveiligingsinstellingen,>Accountbeleid>, Wachtwoordbeleid.

• BitLocker dwingt deze instellingen af wanneer u BitLocker inschakelt, niet wanneer u een volume ontgrendelt. Met BitLocker kunt u een station ontgrendelen met een van de beveiligingsfuncties die beschikbaar zijn op het station.

• Als u groepsbeleid gebruikt om FIPS-compatibele algoritmen voor versleuteling, hashing en ondertekening in te schakelen, kunt u geen wachtwoorden toestaan als BitLocker-beveiliging.

Clientbeheer

Met de instellingen op deze pagina worden BitLocker-beheerservices en -clients geconfigureerd.

BitLocker Management Services

Voorgestelde configuratie: Ingeschakeld

Wanneer u deze instelling inschakelt, maakt Configuration Manager automatisch en op de achtergrond een back-up van belangrijke herstelgegevens in de sitedatabase. Als u deze instelling uitschakelt of niet configureert, slaat Configuration Manager geen gegevens voor sleutelherstel op.

• Selecteer BitLocker-herstelgegevens die u wilt opslaan: Configureer de sleutelherstelservice om een back-up te maken van BitLocker-herstelgegevens. Het biedt een beheermethode voor het herstellen van gegevens die zijn versleuteld door BitLocker, waardoor gegevensverlies vanwege het ontbreken van belangrijke informatie wordt voorkomen.

• Sta toe dat herstelgegevens worden opgeslagen als tekst zonder opmaak: Zonder een BitLocker-versleutelingscertificaat voor SQL Server slaat Configuration Manager de sleutelherstelgegevens op in tekst zonder opmaak. Zie Herstelgegevens in de database versleutelen voor meer informatie.

• Frequentie van clientcontrole (minuten): Bij de geconfigureerde frequentie controleert de client het BitLocker-beveiligingsbeleid en de status op de computer en wordt ook een back-up van de clientherstelsleutel gemaakt. Standaard controleert de Configuration Manager-client de BitLocker-status elke 90 minuten.

  Belangrijk

  Stel deze waarde niet in op minder dan 60. Een lagere frequentiewaarde kan ertoe leiden dat de client kort onjuiste compliantiestatussen rapporteert.

Zie voor meer informatie over het maken van dit beleid met Windows PowerShell:

• Set-CMBlmPlaintextStorage
• New-CMBMSClientConfigureCheckIntervalPolicy

Beleid voor gebruikersvrijstelling

Voorgestelde configuratie: Niet geconfigureerd

Configureer een contactmethode voor gebruikers om vrijstelling van BitLocker-versleuteling aan te vragen.

Als deze beleidsinstelling is ingeschakeld, geef dan de volgende informatie op:

• Maximum aantal dagen voor uitstellen: hoeveel dagen de gebruiker een afgedwongen beleid kan uitstellen. Deze waarde is standaard ingesteld op 7 dagen (één week).

• Contactmethode: geef op hoe gebruikers een vrijstelling kunnen aanvragen: URL, e-mailadres of telefoonnummer.

• Contactpersoon: geef de URL, het e-mailadres of het telefoonnummer op. Wanneer een gebruiker een vrijstelling van BitLocker-beveiliging aanvraagt, zien ze een Windows-dialoogvenster met instructies over hoe ze een aanvraag kunnen indienen. De ingevoerde gegevens worden niet door Configuration Manager gevalideerd.

  • URL: gebruik de standaard URL-indeling, https://website.domain.tld. De URL wordt in Windows weergegeven als een hyperlink.

  • Email-adres: gebruik de standaard e-mailadresindeling, user@domain.tld. In Windows wordt het adres weergegeven als de volgende hyperlink: mailto:user@domain.tld?subject=Request exemption from BitLocker protection.

  • Telefoonnummer: geef het nummer op dat uw gebruikers moeten bellen. Het nummer wordt in Windows weergegeven met de volgende beschrijving: Please call <your number> for applying exemption.

Als u deze instelling uitschakelt of niet configureert, worden de instructies voor de vrijstellingsaanvraag niet weergegeven aan gebruikers.

Zie New-CMBMSUserExemptionPolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

URL voor de koppeling naar het beveiligingsbeleid

Voorgestelde configuratie: Ingeschakeld

Geef een URL op die voor gebruikers moet worden weergegeven als het bedrijfsbeveiligingsbeleid in Windows. Gebruik deze koppeling om gebruikers informatie te geven over versleutelingsvereisten. Dit wordt weergegeven wanneer BitLocker de gebruiker vraagt een station te versleutelen.

Als u deze instelling inschakelt, configureert u de koppelings-URL van het beveiligingsbeleid.

Als u deze instelling uitschakelt of niet configureert, wordt de koppeling naar het beveiligingsbeleid niet weergegeven in BitLocker.

Zie New-CMMoreInfoUrlPolicy voor meer informatie over het maken van dit beleid met Windows PowerShell.

Volgende stappen

Als u Windows PowerShell gebruikt om deze beleidsobjecten te maken, gebruikt u de cmdlet New-CMBlmSetting. Met deze cmdlet wordt een instellingenobject voor BitLocker-beheerbeleid gemaakt dat al het opgegeven beleid bevat. Als u de beleidsinstellingen wilt implementeren voor een verzameling, gebruikt u de cmdlet New-CMSettingDeployment .