Monitorar a criptografia do dispositivo com o Intune

O relatório de criptografia do Microsoft Intune é um local centralizado para exibir detalhes sobre o status de criptografia de um dispositivo e encontrar opções para gerenciar chaves de recuperação de dispositivos. As opções de chave de recuperação disponíveis dependem do tipo de dispositivo que está sendo exibido.

Para encontrar o relatório, entre no centro de administração do Microsoft Intune. Selecione Dispositivos Gerenciar> configuraçãodedispositivos>, selecione a guia Monitor* e, em seguida, selecione o status de criptografia do dispositivo.

Exibir detalhes de criptografia

O relatório de criptografia mostra detalhes comuns nos dispositivos compatíveis gerenciados. As seções a seguir fornecem detalhes sobre as informações apresentadas pelo Intune no relatório.

Pré-requisitos

O relatório de criptografia dá suporte a relatórios em dispositivos que executam as seguintes versões do sistema operacional:

• macOS 10.13 ou posterior
• Windows versão 1607 ou posterior

Detalhes do relatório

O painel Relatório de criptografia exibe uma lista dos dispositivos que você gerencia com detalhes de alto nível sobre esses dispositivos. Você pode selecionar um dispositivo na lista para detalhar e exibir mais detalhes no painel de status de criptografia do dispositivo dispositivos.

• Nome do dispositivo – o nome do dispositivo.

• Sistema operacional – a plataforma do dispositivo, como Windows ou macOS.

• Versão do sistema operacional: A versão do Windows ou do macOS no dispositivo.

• Versão do TPM(aplica-se somente ao Windows) – a versão do chip TPM (Trusted Platform Module) detectada no dispositivo Windows.

  Para saber mais sobre como consultamos a versão do TPM, confira CSP DeviceStatus – Especificação do TPM.

• Preparação de criptografia – uma avaliação da preparação dos dispositivos para dar suporte a uma tecnologia de criptografia aplicável, como a criptografia BitLocker ou FileVault. Os dispositivos são identificados como:

  • Pronto: O dispositivo pode ser criptografado usando a política de MDM, o que exige que o dispositivo atenda aos seguintes requisitos:

    Para dispositivos macOS:

    • macOS versão 10.13 ou posterior

    Para dispositivos Windows:

    • Windows 10 versão 1709 ou posterior do Negócios, Enterprise, Educação, Windows 10 versão 1809 ou posterior do Pro, e Windows 11.
    • O dispositivo precisa ter um chip TPM

    Importante

    Em 14 de outubro de 2025, o Windows 10 chegou ao fim do suporte e não receberá atualizações de qualidade e recursos. O Windows 10 é uma versão permitida no Intune. Os dispositivos que executam esta versão ainda podem se registrar no Intune e usar recursos qualificados, mas a funcionalidade não será garantida e pode variar.

    Para saber mais sobre os pré-requisitos do Windows para criptografia, confira o CSP (provedor de serviço de configuração) do BitLocker na documentação do Windows.

  • Não pronto: o dispositivo não tem recursos completos de criptografia, mas ainda pode dar suporte à criptografia.

  • Não aplicável: Não há informações suficientes para classificar este dispositivo.

• Status da criptografia – indica se a unidade do sistema operacional é criptografada.

• Nome Principal do Usuário – O usuário primário do dispositivo.

Status da criptografia de dispositivo

Quando você seleciona um dispositivo no Relatório de criptografia, o Intune exibe o painel Status de criptografia do dispositivo. O painel fornece os seguintes detalhes:

• Nome do dispositivo – o nome do dispositivo que você está exibindo.

• Preparação da criptografia – uma avaliação da prontidão do dispositivo para dar suporte à criptografia por meio da política MDM com base em um TPM ativado.

  Quando um dispositivo Windows tem uma preparação de Não pronto, ele ainda pode dar suporte à criptografia. Para ter a designação Pronto, o dispositivo Windows precisa ter um chip TPM ativado. No entanto, os chips TPM não precisam dar suporte à criptografia, pois o dispositivo ainda pode ser criptografado manualmente. Ou por meio de uma configuração de MDM/Política de Grupo que pode ser definida para permitir a criptografia sem um TPM.

• Status da criptografia – indica se a unidade do sistema operacional é criptografada. Podem ser necessárias até 24 horas para que o Intune relate um status de criptografia de um dispositivo ou uma alteração nesse status. Isso inclui o tempo para a criptografia do sistema operacional, além do tempo para o dispositivo relatar de volta ao Intune.

  Para acelerar o relatório do status de criptografia do FileVault antes que o check-in do dispositivo ocorra normalmente, os usuários precisam sincronizar seus dispositivos após a criptografia ser concluída.

  Para dispositivos Windows, esse campo não verifica se outras unidades, como unidades fixas, são criptografadas. O Status de criptografia vem do CSP do DeviceStatus – DeviceStatus/Compliance/EncryptionCompliance.

• Perfis – uma lista dos perfis de Configuração do dispositivo que se aplicam a esse dispositivo e são configurados com os seguintes valores:

  • macOS:

    • Tipo de perfil = Endpoint Protection
    • Configurações > FileVault > FileVault = Habilitar

  • Windows:

    • Tipo de perfil = Endpoint Protection
    • Configurações > Criptografia > do Windows Criptografar dispositivos = Exigir

  Use a lista de perfis para identificar políticas individuais para análise caso o Resumo do estado de perfil indique problemas.

• Resumo do estado de perfil – Um resumo dos perfis que se aplicam a esse dispositivo. O resumo representa a condição menos favorável nos perfis aplicáveis. Por exemplo, se apenas um dos vários perfis aplicáveis resultar em erro, o resumo do estado do perfil exibirá Erro.

  Para exibir mais detalhes de um status no centro de administração do Intune, acesse Dispositivos>,gerenciar configuração de dispositivos>>, selecione o perfil. Opcionalmente, selecione Status do dispositivo e, em seguida, selecione um dispositivo.

• Detalhes de status – Detalhes avançados sobre o estado de criptografia do dispositivo.

  Esse campo exibe informações para cada erro aplicável que possa ser detectado. É possível usar essas informações para entender por que um dispositivo talvez não esteja pronto para a criptografia.

  Veja a seguir exemplos dos detalhes do status que o Intune pode relatar:

  macOS:

  • A chave de recuperação ainda não foi recuperada e armazenada. Provavelmente, o dispositivo não foi desbloqueado ou não fez check-in.

    Considere: esse resultado não representa necessariamente uma condição de erro, mas um estado temporário que pode ser devido ao tempo no dispositivo em que o depósito de caução para chaves de recuperação deve ser configurado antes que a solicitação de criptografia seja enviada ao dispositivo. Esse status também pode indicar que o dispositivo permanece bloqueado ou não fez check-in no Intune recentemente. Por fim, como a criptografia do FileVault não é iniciada até que um dispositivo esteja conectado (carregando), é possível que um usuário receba uma chave de recuperação para um dispositivo que ainda não está criptografado.

  • O usuário está adiando a criptografia ou está em processo de criptografia.

    Considere: o usuário ainda não fez logoff depois de receber a solicitação de criptografia, o que é necessário antes que o FileVault possa criptografar o dispositivo, ou o usuário descriptografou manualmente o dispositivo. O Intune não pode impedir que um usuário descriptografe seu dispositivo.

  • O dispositivo já está criptografado. O usuário do dispositivo precisa descriptografá-lo para continuar.

    Considere: o Intune não pode configurar o FileVault em um dispositivo que já esteja criptografado. No entanto, depois que um dispositivo recebe a política para habilitar o FileVault, um usuário pode carregar sua chave de recuperação pessoal para habilitar o Intune a gerenciar a criptografia nesse dispositivo. Como alternativa, o usuário pode descriptografar manualmente seu dispositivo para que ele possa ser criptografado pela política do Intune posteriormente. No entanto, não recomendamos a descriptografia manual, pois isso pode deixar um dispositivo descriptografado por um tempo.

  • O FileVault precisa que o usuário aprove seu perfil de gerenciamento no macOS Catalina e posterior.

    Considere: a partir da versão 10.15 do macOS (Catalina), as configurações de registro aprovadas pelo usuário podem resultar na exigência de que os usuários aprovem manualmente a criptografia do FileVault. Para obter mais informações, consulte Registro aprovado pelo usuário na documentação do Intune.

  • Desconhecido.

    Considere: Uma possível causa para um status desconhecido é que o dispositivo está bloqueado e o Intune não pode iniciar o processo de caução ou criptografia. Depois que o dispositivo for desbloqueado, o progresso poderá continuar.

  Windows:

  Para dispositivos Windows, o Intune mostra apenas Detalhes do status para dispositivos que executam o Atualização de abril de 2019 do Windows 10 ou posterior ou Windows 11. Os Detalhes do status vêm do CSP do BitLocker – Status/DeviceEncryptionStatus.

  • A política do BitLocker requer o consentimento do usuário para iniciar o Assistente de Criptografia de Unidade de Disco BitLocker para iniciar a criptografia do volume do sistema operacional, mas o usuário não consentiu.

  • O método de criptografia do volume do sistema operacional não coincide com a política do BitLocker.

  • A política do BitLocker exige um protetor de TPM para proteger o volume do sistema operacional, mas um TPM não é usado.

  • A política do BitLocker exige um protetor somente de TPM para o volume do sistema operacional, mas a proteção do TPM não é usada.

  • A política do BitLocker exige uma proteção TPM+PIN para o volume do sistema operacional, mas um protetor TPM+PIN não é usado.

  • A política do BitLocker exige uma proteção de chave de inicialização+TPM para o volume do sistema operacional, mas um protetor de chave de inicialização+TPM não é usado.

  • A política do BitLocker exige uma proteção de chave de inicializaçãoTPM+PIN para o volume do sistema operacional, mas um protetor de chave de inicializaçãoTPM+PIN não é usado.

  • O volume do sistema operacional está desprotegido.

    Considere: uma política do BitLocker para criptografar unidades do sistema operacional foi aplicada no computador, mas a criptografia foi suspensa ou não foi concluída para a unidade do sistema operacional.

  • Falha no backup da chave de recuperação.

    Considere: verifique o log de eventos dos dispositivos para ver por que o backup da chave de recuperação falhou. Talvez seja necessário executar o comando manage-bde para caucionar manualmente as chaves de recuperação.

  • Uma unidade fixa está desprotegida.

    Considere: uma política do BitLocker para criptografar unidades fixas foi aplicada no computador, mas a criptografia foi suspensa ou não foi concluída para a unidade fixa.

  • O método de criptografia da unidade fixa não coincide com a política do BitLocker.

  • Para criptografar unidades, a política do BitLocker exige que o usuário entre como administrador ou, se o dispositivo estiver associado ao Microsoft Entra ID, a política AllowStandardUserEncryption deve ser definida como 1.

  • O WinRE (Ambiente de Recuperação do Windows) não está configurado.

    Considere: Precisa executar a linha de comando para configurar o WinRE em partição separada; pois isso não foi detectado. Para obter mais informações, consulte Opções de linha de comando REAgentC.

  • Não há um TPM disponível para o BitLocker, porque ele não está presente, ficou indisponível no Registro ou o sistema operacional está em uma unidade de disco removível.

    Considere: a política do BitLocker aplicada a este dispositivo requer um TPM, mas neste dispositivo, o CSP do BitLocker detecta que o TPM pode estar desabilitado no nível do BIOS.

  • O TPM não está pronto para o BitLocker.

    Considere: o CSP do BitLocker vê que este dispositivo tem um TPM disponível, mas o TPM pode precisar ser inicializado. Considere executar intialize-tpm no computador para inicializar o TPM.

  • A rede não estiver disponível, o que é necessário para o backup da chave de recuperação.