Referência de configurações do BitLocker

Aplica-se a: Configuration Manager (branch atual)

As políticas de gerenciamento do BitLocker no Configuration Manager contêm os seguintes grupos de políticas:

• Configurar
• Unidade do sistema operacional
• Unidade fixa
• Unidade removível
• Gerenciamento de clientes

As seções a seguir descrevem e sugerem configurações para as configurações de cada grupo.

Configurar

As configurações nesta página configuram as opções globais de criptografia do BitLocker.

Método de criptografia de unidade e força de criptografia

Configuração sugerida: habilitado com o método de criptografia padrão ou maior.

Dispositivos Windows 8.1

Para dispositivos Windows 8.1, ative a opção Método de criptografia de unidade e força de criptografia e selecione um dos seguintes métodos de criptografia:

• AES de 128 bits com difusor
• AES de 256 bits com difusor
• AES de 128 bits (padrão)
• AES de 256 bits

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMBLEncryptionMethodPolicy.

Windows 10 ou dispositivos posteriores

Para dispositivos Windows 10 ou posteriores, habilite a opção Método de criptografia de unidade e força de criptografia (Windows 10 ou posterior). Em seguida, selecione individualmente um dos seguintes métodos de criptografia para unidades de sistema operacional, unidades de dados fixas e unidades de dados removíveis:

• AES-CBC de 128 bits
• AES-CBC de 256 bits
• XTS-AES de 128 bits (padrão)
• XTS-AES de 256 bits

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMBLEncryptionMethodWithXts.

Observações de uso geral para criptografia de unidade e força de criptografia

• Se você desabilitar ou não definir essas configurações, o BitLocker usará o método de criptografia padrão.

• O Configuration Manager aplica essas configurações quando você ativa o BitLocker.

• Se a unidade já estiver criptografada ou estiver em andamento, qualquer alteração nessas configurações de política não altera a criptografia da unidade no dispositivo.

• Se você usar o valor padrão, o relatório de Conformidade do Computador BitLocker poderá exibir a força da codificação como desconhecida. Para contornar esse problema, habilite essa configuração e defina um valor explícito para a força da criptografia.

Impedir substituição de memória na reinicialização

Configuração sugerida: não configurada

Configure essa política para melhorar o desempenho de reinicialização sem substituir os segredos do BitLocker na memória na reinicialização.

Quando você não configura essa política, o BitLocker remove seus segredos da memória quando o computador é reiniciado.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMNoOverwritePolicy.

Validar conformidade com a regra de uso do certificado de card inteligente

Configuração sugerida: não configurada

Configure essa política para usar a proteção do BitLocker baseada em certificado de cartão inteligente. Em seguida, especifique o identificador de objeto do certificado.

Quando você não configura essa política, o BitLocker usa o identificador 1.3.6.1.4.1.311.67.1.1 de objeto padrão para especificar um certificado.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMScCompliancePolicy.

Identificadores exclusivos da organização

Configuração sugerida: não configurada

Configure essa política para usar um agente de recuperação de dados baseado em certificado ou o leitor BitLocker To Go.

Quando você não configura essa política, o BitLocker não usa o campo de identificação .

Se sua organização exigir medidas de segurança mais altas, configure o campo Identificação . Defina esse campo em todos os dispositivos USB de destino e alinhe-o com essa configuração.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMUidPolicy.

Unidade do sistema operacional

As configurações nesta página definem as configurações de criptografia para a unidade na qual o Windows está instalado.

Configurações de criptografia da unidade do sistema operacional

Configuração sugerida: Habilitado

Se você habilitar essa configuração, o usuário terá que proteger a unidade do sistema operacional e o BitLocker criptografará a unidade. Se você desabilitá-la, o usuário não poderá proteger a unidade. Se você não configurar essa política, a proteção do BitLocker não será necessária na unidade do sistema operacional.

Se você tiver dispositivos sem um Trusted Platform Module (TPM), use a opção Permitir o BitLocker sem um TPM compatível (requer uma senha). Essa configuração permite que o BitLocker criptografe a unidade do sistema operacional, mesmo que o dispositivo não tenha um TPM. Se você permitir essa opção, o Windows solicitará que o usuário especifique uma senha do BitLocker.

Em dispositivos com um TPM compatível, dois tipos de métodos de autenticação podem ser usados na inicialização para fornecer proteção adicional para dados criptografados. Quando o computador é iniciado, ele pode usar apenas o TPM para autenticação ou também pode exigir a entrada de um número de identificação pessoal (PIN). Defina as seguinte configurações:

• Selecione o protetor para a unidade do sistema operacional: configure-o para usar um TPM e PIN ou apenas o TPM.

• Configure o comprimento mínimo do PIN para inicialização: se você precisar de um PIN, esse valor será o comprimento mais curto que o usuário pode especificar. O usuário insere esse PIN quando o computador é inicializado para desbloquear a unidade. Por padrão, o comprimento mínimo do PIN é 4.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMBMSOSDEncryptionPolicy.

Permitir PINs aprimorados para inicialização

Configuração sugerida: não configurada

Configurar o BitLocker para usar PINs de inicialização avançados. Esses PINs permitem o uso de mais caracteres, como letras maiúsculas e minúsculas, símbolos, números e espaços. Essa configuração se aplica quando você ativa o BitLocker.

Se você habilitar essa configuração, todos os novos PINs de inicialização do BitLocker permitirão que o usuário crie PINs aprimorados.

• Exigir PINs somente ASCII: ajude a tornar os PINs aprimorados mais compatíveis com computadores que limitam o tipo ou o número de caracteres que você pode inserir no ambiente de pré-inicialização.

Se você desabilitar ou não definir essa configuração de política, o BitLocker não usará PINs aprimorados.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMEnhancedPIN.

Política de senha da unidade do sistema operacional

Configuração sugerida: não configurada

Use essas configurações para definir as restrições de senhas para desbloquear unidades do sistema operacional protegidas pelo BitLocker. Se você permitir protetores não TPM em unidades do sistema operacional, defina as seguintes configurações:

• Configure a complexidade de senha para unidades de sistema operacional: para impor requisitos de complexidade na senha, selecione Exigir complexidade de senha.

• Tamanho mínimo da senha para a unidade do sistema operacional: Por padrão, o comprimento mínimo é 8.

• Exigir senhas somente ASCII para unidades do sistema operacional removíveis

Se você habilitar essa configuração de política, os usuários poderão configurar uma senha que atenda aos requisitos definidos por você.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMOSPassphrase.

Notas gerais de uso da política de senha da unidade do sistema operacional

• Para que essas configurações de requisitos de complexidade sejam efetivas, habilite também a configuração de política de grupo A senha deve atender aos requisitos de complexidade na Configuração> do Computador Configuraçõesdo Windows>Configurações> de SegurançaPolíticas> de ContaPolítica de Senha.

• O BitLocker impõe essas configurações quando você o ativa, não quando você desbloqueia um volume. O BitLocker permite que você desbloqueie uma unidade com qualquer um dos protetores disponíveis na unidade.

• Se você usar a política de grupo para habilitar algoritmos compatíveis com FIPS para criptografia, hash e assinatura, não poderá permitir senhas como protetor do BitLocker.

Redefinir os dados de validação da plataforma após a recuperação do BitLocker

Configuração sugerida: não configurada

Controlar se o Windows atualiza os dados de validação da plataforma quando é iniciado após a recuperação do BitLocker.

Se você habilitar ou não definir essa configuração, o Windows atualizará os dados de validação da plataforma nessa situação.

Se você desabilitar essa configuração de política, o Windows não atualizará os dados de validação da plataforma nessa situação.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMTpmAutoResealPolicy.

URL e mensagem de recuperação de pré-inicialização

Configuração sugerida: não configurada

Quando o BitLocker bloqueia a unidade do sistema operacional, use essa configuração para exibir uma mensagem de recuperação personalizada ou uma URL na tela de recuperação de pré-inicialização do BitLocker. Essa configuração só se aplica a dispositivos Windows 10 ou posteriores.

Ao habilitar essa configuração, selecione uma das seguintes opções para a mensagem de recuperação de pré-inicialização:

• Usar mensagem e URL de recuperação padrão: Exiba a mensagem e a URL de recuperação padrão do BitLocker na tela de recuperação pré-inicialização do BitLocker. Se você configurou anteriormente uma mensagem ou URL de recuperação personalizada, use esta opção para reverter para a mensagem padrão.

• Use a mensagem de recuperação personalizada: inclua uma mensagem personalizada na tela de recuperação pré-inicialização do BitLocker.

  • Opção de mensagem de recuperação personalizada: digite a mensagem personalizada a ser exibida. Se você também quiser especificar uma URL de recuperação, inclua-a como parte dessa mensagem de recuperação personalizada. O comprimento máximo da cadeia de caracteres é de 32.768 caracteres.

• Usar URL de recuperação personalizada: substitua a URL padrão exibida na tela de recuperação pré-inicialização do BitLocker.

  • Opção de URL de recuperação personalizada: digite a URL a ser exibida. O comprimento máximo da cadeia de caracteres é de 32.768 caracteres.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMPrebootRecoveryInfo.

Configurações de imposição da política de criptografia (unidade do sistema operacional)

Configuração sugerida: Habilitado

Configure o número de dias que os usuários podem adiar a conformidade do BitLocker para a unidade do sistema operacional. O período de carência de não conformidade começa quando o Configuration Manager detecta pela primeira vez como não compatível. Após esse período de carência expirar, os usuários não poderão adiar a ação necessária nem solicitar uma isenção.

Se o processo de criptografia exigir a entrada do usuário, uma caixa de diálogo será exibida no Windows que o usuário não poderá fechar até fornecer as informações necessárias. Notificações futuras de erros ou status não terão essa restrição.

Se o BitLocker não exigir interação do usuário para adicionar um protetor, após o período de cortesia expirar, o BitLocker iniciará a criptografia em segundo plano.

Se você desabilitar ou não definir essa configuração, o Configuration Manager não exigirá que os usuários cumpram as políticas do BitLocker.

Para aplicar a política imediatamente, defina um período de carência de 0.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMUseOsEnforcePolicy.

Unidade fixa

As configurações nesta página configuram a criptografia para outras unidades de dados em um dispositivo.

Criptografia de unidade de dados fixa

Configuração sugerida: Habilitado

Gerenciar sua necessidade de criptografia de unidades de dados fixas. Se você habilitar essa configuração, o BitLocker exigirá que os usuários coloquem todas as unidades de dados fixas sob proteção. Em seguida, ele criptografa as unidades de dados.

Ao habilitar essa política, habilite o desbloqueio automático ou as configurações da política de senha da unidade de dados fixa.

• Configurar o desbloqueio automático para unidade de dados fixa: permita ou exija que o BitLocker desbloqueie automaticamente qualquer unidade de dados criptografada. Para usar o desbloqueio automático, também é necessário que o BitLocker criptografe a unidade do sistema operacional.

Se você não definir essa configuração, o BitLocker não exigirá que os usuários coloquem unidades de dados fixas sob proteção.

Se você desabilitar essa configuração, os usuários não poderão colocar suas unidades de dados fixas sob a proteção do BitLocker. Se você desabilitar essa política depois que o BitLocker criptografar unidades de dados fixas, o BitLocker descriptografará as unidades de dados fixas.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMBMSFDVEncryptionPolicy.

Negar acesso de gravação a unidades fixas não protegidas pelo BitLocker

Configuração sugerida: não configurada

Requer proteção BitLocker para Windows para gravar dados em unidades fixas no dispositivo. O BitLocker aplica essa política quando você o ativa.

Ao habilitar essa configuração:

• Se o BitLocker proteger uma unidade de dados fixa, o Windows a montará com acesso de leitura e gravação.

• Para qualquer unidade de dados fixa que o BitLocker não protege, o Windows a monta como somente leitura.

Quando você não define essa configuração, o Windows monta todas as unidades de dados fixas com acesso de leitura e gravação.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMFDVDenyWriteAccessPolicy.

Política de senha da unidade de dados corrigida

Configuração sugerida: não configurada

Use essas configurações para definir as restrições de senhas para desbloquear unidades de dados fixas protegidas pelo BitLocker.

Se você habilitar essa configuração, os usuários poderão configurar uma senha que atenda aos requisitos definidos.

Para maior segurança, habilite essa configuração e defina as seguintes configurações:

• Exigir senha para unidade de dados fixa: os usuários precisam especificar uma senha para desbloquear uma unidade de dados fixa protegida pelo BitLocker.

• Configure a complexidade de senha para unidades de dados fixas: para impor requisitos de complexidade na senha, selecione Exigir complexidade de senha.

• Tamanho mínimo da senha para unidade de dados fixa: por padrão, o comprimento mínimo é 8.

Se você desabilitar essa configuração, os usuários não poderão configurar uma senha.

Quando a política não está configurada, o BitLocker dá suporte a senhas com as configurações padrão. As configurações padrão não incluem requisitos de complexidade de senha e exigem apenas oito caracteres.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMFDVPassPhrasePolicy.

Notas de uso geral da política de senha da unidade de dados fixa

• Para que essas configurações de requisitos de complexidade sejam efetivas, habilite também a configuração de política de grupo A senha deve atender aos requisitos de complexidade na Configuração> do Computador Configuraçõesdo Windows>Configurações> de SegurançaPolíticas> de ContaPolítica de Senha.

• O BitLocker impõe essas configurações quando você o ativa, não quando você desbloqueia um volume. O BitLocker permite que você desbloqueie uma unidade com qualquer um dos protetores disponíveis na unidade.

• Se você usar a política de grupo para habilitar algoritmos compatíveis com FIPS para criptografia, hash e assinatura, não poderá permitir senhas como protetor do BitLocker.

Configurações de imposição da política de criptografia (unidade de dados fixa)

Configuração sugerida: Habilitado

Configure o número de dias que os usuários podem adiar a conformidade do BitLocker para unidades de dados fixas. O período de carência de não conformidade começa quando o Configuration Manager detecta pela primeira vez a unidade de dados fixa como não compatível. Ela não impõe a política de unidade de dados fixa até que a unidade do sistema operacional esteja em conformidade. Após o período de carência expirar, os usuários não poderão adiar a ação necessária nem solicitar uma isenção.

Se o processo de criptografia exigir a entrada do usuário, uma caixa de diálogo será exibida no Windows que o usuário não poderá fechar até fornecer as informações necessárias. Notificações futuras de erros ou status não terão essa restrição.

Se o BitLocker não exigir interação do usuário para adicionar um protetor, após o período de cortesia expirar, o BitLocker iniciará a criptografia em segundo plano.

Se você desabilitar ou não definir essa configuração, o Configuration Manager não exigirá que os usuários cumpram as políticas do BitLocker.

Para aplicar a política imediatamente, defina um período de carência de 0.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMUseFddEnforcePolicy.

Unidade removível

As configurações nesta página configuram a criptografia para unidades removíveis, como chaves USB.

Criptografia de unidade de dados removível

Configuração sugerida: Habilitado

Essa configuração controla o uso do BitLocker em unidades removíveis.

• Permitir que os usuários apliquem a proteção do BitLocker em unidades de dados removíveis: os usuários podem ativar a proteção do BitLocker para uma unidade removível.

• Permitir que os usuários suspendam e descriptografem o BitLocker em unidades de dados removíveis: os usuários podem remover ou suspender temporariamente a criptografia de unidade BitLocker de uma unidade removível.

Quando você habilita essa configuração e permite que os usuários apliquem a proteção do BitLocker, o cliente do Configuration Manager salva informações de recuperação sobre unidades removíveis no serviço de recuperação no ponto de gerenciamento. Esse comportamento permite que os usuários recuperem a unidade se esquecerem ou perderem o protetor (senha).

Ao habilitar essa configuração:

• Habilitar as configurações da política de senha da unidade de dados removível

• Desabilite as seguintes configurações de política de grupo noAcesso ao Armazenamento Removível do Sistema> para configurações de usuário & computador:

  • Todas as classes de armazenamento removíveis: Negar todo o acesso
  • Discos removíveis: negar acesso de gravação
  • Discos removíveis: negar acesso de leitura

Se você desabilitar essa configuração, os usuários não poderão usar o BitLocker em unidades removíveis.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMRDVConfigureBDEPolicy.

Negar acesso de gravação a unidades removíveis não protegidas pelo BitLocker

Configuração sugerida: não configurada

Requer proteção do BitLocker para o Windows gravar dados em unidades removíveis no dispositivo. O BitLocker aplica essa política quando você o ativa.

Ao habilitar essa configuração:

• Se o BitLocker proteger uma unidade removível, o Windows a montará com acesso de leitura e gravação.

• Para qualquer unidade removível que o BitLocker não protege, o Windows a monta como somente leitura.

• Se você habilitar a opção para negar acesso de gravação a dispositivos configurados em outra organização, o BitLocker só fornecerá acesso de gravação a unidades removíveis com campos de identificação que correspondam aos campos de identificação permitidos. Defina esses campos com as configurações globais Identificadores exclusivos da organização na página Configuração .

Quando você desabilita ou não define essa configuração, o Windows monta todas as unidades removíveis com acesso de leitura e gravação.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMRDVDenyWriteAccessPolicy.

Política de senha da unidade de dados removível

Configuração sugerida: Habilitado

Use essas configurações para definir as restrições de senhas para desbloquear unidades removíveis protegidas pelo BitLocker.

Se você habilitar essa configuração, os usuários poderão configurar uma senha que atenda aos requisitos definidos.

Para maior segurança, habilite essa configuração e defina as seguintes configurações:

• Exigir senha para unidade de dados removível: os usuários precisam especificar uma senha para desbloquear uma unidade removível protegida pelo BitLocker.

• Configure a complexidade de senha para unidades de dados removíveis: para impor requisitos de complexidade na senha, selecione Exigir complexidade de senha.

• Tamanho mínimo da senha para unidade de dados removível: por padrão, o comprimento mínimo é 8.

Se você desabilitar essa configuração, os usuários não poderão configurar uma senha.

Quando a política não está configurada, o BitLocker dá suporte a senhas com as configurações padrão. As configurações padrão não incluem requisitos de complexidade de senha e exigem apenas oito caracteres.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMRDVPassPhrasePolicy.

Notas de uso geral para política de senha de unidade de dados removível

• Para que essas configurações de requisitos de complexidade sejam efetivas, habilite também a configuração de política de grupo A senha deve atender aos requisitos de complexidade na Configuração> do Computador Configuraçõesdo Windows>Configurações> de SegurançaPolíticas> de ContaPolítica de Senha.

• O BitLocker impõe essas configurações quando você o ativa, não quando você desbloqueia um volume. O BitLocker permite que você desbloqueie uma unidade com qualquer um dos protetores disponíveis na unidade.

• Se você usar a política de grupo para habilitar algoritmos compatíveis com FIPS para criptografia, hash e assinatura, não poderá permitir senhas como protetor do BitLocker.

Gerenciamento de clientes

As configurações nesta página definem os serviços de gerenciamento e clientes do BitLocker.

Serviços de Gerenciamento do BitLocker

Configuração sugerida: Habilitado

Quando você habilita essa configuração, o Configuration Manager faz backup automática e silenciosamente das informações de recuperação de chave no banco de dados do site. Se você desabilitar ou não definir essa configuração, o Configuration Manager não salvará as informações de recuperação de chave.

• Selecione as informações de recuperação do BitLocker a serem armazenadas: Configure o serviço de recuperação de chave para fazer backup das informações de recuperação do BitLocker. Ele fornece um método administrativo de recuperação de dados criptografados pelo BitLocker, o que ajuda a evitar a perda de dados devido à falta de informações importantes.

• Permitir que as informações de recuperação sejam armazenadas em texto sem formatação: sem um certificado de criptografia de gerenciamento do BitLocker para o SQL Server, o Configuration Manager armazena as informações de recuperação de chave em texto sem formatação. Para obter mais informações, consulte Criptografar dados de recuperação no banco de dados.

• Frequência de status de verificação do cliente (minutos): na frequência configurada, o cliente verifica as políticas de proteção e o status do BitLocker no computador e também faz backup da chave de recuperação do cliente. Por padrão, o cliente do Configuration Manager verifica o status do BitLocker a cada 90 minutos.

  Importante

  Não defina esse valor como menor que 60. Um valor de frequência menor pode fazer com que o cliente relate brevemente estados de conformidade imprecisos.

Para obter mais informações sobre como criar essas políticas com o Windows PowerShell, consulte:

• Set-CMBlmPlaintextStorage
• New-CMBMSClientConfigureCheckIntervalPolicy

Política de isenção de usuário

Configuração sugerida: não configurada

Configure um método de contato para que os usuários solicitem uma isenção da criptografia BitLocker.

Se você habilitar essa configuração de política, forneça as seguintes informações:

• Máximo de dias para adiar: quantos dias o usuário pode adiar uma política imposta. Por padrão, esse valor é 7 dias (uma semana).

• Método de contato: especifique como os usuários podem solicitar uma isenção: URL, endereço de email ou número de telefone.

• Contato: especifique a URL, o endereço de email ou o número de telefone. Quando um usuário solicita uma isenção da proteção do BitLocker, ele vê uma caixa de diálogo do Windows com instruções sobre como aplicar. O Configuration Manager não valida as informações inseridas.

  • URL: use o formato de URL padrão, https://website.domain.tld. O Windows exibe a URL como um hiperlink.

  • Email address: Use o formato de endereço de email padrão, user@domain.tld. O Windows exibe o endereço como o seguinte hiperlink: mailto:user@domain.tld?subject=Request exemption from BitLocker protection.

  • Número de telefone: especifique o número para o qual você deseja que os usuários liguem. O Windows exibe o número com a seguinte descrição: Please call <your number> for applying exemption.

Se você desabilitar ou não definir essa configuração, o Windows não exibirá as instruções de solicitação de isenção para os usuários.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMBMSUserExemptionPolicy.

URL para o link de política de segurança

Configuração sugerida: Habilitado

Especifique uma URL a ser exibida aos usuários como a Política de Segurança da Empresa no Windows. Use este link para fornecer aos usuários informações sobre os requisitos de criptografia. Ele é mostrado quando o BitLocker solicita que o usuário criptografe uma unidade.

Se você habilitar essa configuração, configure a URL do link da política de segurança.

Se você desabilitar ou não definir essa configuração, o BitLocker não mostrará o link da política de segurança.

Para obter mais informações sobre como criar essa política com o Windows PowerShell, consulte New-CMMoreInfoUrlPolicy.

Próximas etapas

Se você usar o Windows PowerShell para criar esses objetos de política, use o cmdlet New-CMBlmSetting. Esse cmdlet cria um objeto de configurações de política de gerenciamento do BitLocker que contém todas as políticas especificadas. Para implantar as configurações de política em uma coleção, use o cmdlet New-CMSettingDeployment .