Pianificare la gestione di BitLocker

Si applica a: Gestione configurazione (Current Branch)

Usare Gestione configurazione per gestire Crittografia unità BitLocker per i client Windows locali aggiunti ad Active Directory. Offre una gestione completa del ciclo di vita di BitLocker che può sostituire l'uso di amministrazione e monitoraggio di Microsoft BitLocker (MBAM).

Per informazioni più generali su BitLocker, vedere Panoramica di BitLocker. Per un confronto tra le distribuzioni e i requisiti di BitLocker, vedere il grafico di confronto della distribuzione di BitLocker.

Funzionalità

Gestione configurazione offre le funzionalità di gestione seguenti per Crittografia unità BitLocker:

Distribuzione dei client

• Distribuire il client BitLocker nei dispositivi Windows gestiti che eseguono Windows 8.1, Windows 10 o Windows 11.

• Gestire i criteri di BitLocker e le chiavi di ripristino del deposito per i client locali e basati su Internet

Gestire i criteri di crittografia

• Ad esempio: scegliere la crittografia unità e il livello di crittografia, configurare i criteri di esenzione utente, correggere le impostazioni di crittografia dell'unità dati.

• Determina gli algoritmi con cui crittografare il dispositivo e i dischi di destinazione per la crittografia.

• Imporre agli utenti di rispettare i nuovi criteri di sicurezza prima di usare il dispositivo.

• Personalizzare il profilo di sicurezza dell'organizzazione in base al dispositivo.

• Quando un utente sblocca l'unità del sistema operativo, specificare se sbloccare solo un'unità del sistema operativo o tutte le unità collegate.

Report di conformità

Report predefiniti per:

• Stato di crittografia per volume o per dispositivo
• Utente principale del dispositivo
• Stato di conformità
• Motivi della non conformità

Sito Web di amministrazione e monitoraggio

Consenti ad altri utenti tipo della tua organizzazione al di fuori della console di Gestione configurazione di lavorare al ripristino delle chiavi, inclusa la rotazione delle chiavi e altro supporto correlato a BitLocker. Ad esempio, gli amministratori dell'help desk possono aiutare gli utenti con il ripristino delle chiavi.

Portale self-service per utenti

Consenti agli utenti di usare una chiave monouso per sbloccare un dispositivo crittografato con BitLocker. Una volta usata, viene generata una nuova chiave per il dispositivo.

Prerequisiti

Prerequisiti generali

• Per creare un criterio di gestione di BitLocker, è necessario il ruolo Amministratore completo in Gestione configurazione.

• Per usare i report di gestione di BitLocker, installare il ruolo di sistema del sito del punto di Reporting Services. Per ulteriori informazioni, consulta Configurare la creazione di report.

  Nota

  Affinché il report di controllo di ripristino funzioni nel sito Web di amministrazione e monitoraggio, usare solo un punto di Reporting Services nel sito primario.

Prerequisiti per i client

• Il dispositivo richiede un chip TPM abilitato nel BIOS e reimpostabile da Windows.

  Microsoft consiglia dispositivi con TPM 2.0 o versione successiva. I dispositivi con TPM versione 1.2 potrebbero non supportare correttamente tutte le funzionalità di BitLocker.

• Il disco rigido del computer richiede un BIOS compatibile con TPM e che supporti i dispositivi USB durante l'avvio del computer.

La gestione di BitLocker non supporta tutti i tipi di client supportati da Gestione configurazione. Per altre informazioni, vedere Configurazioni supportate.

Prerequisiti per il servizio di ripristino

• Nella versione 2010 e precedenti, il servizio di ripristino BitLocker richiede HTTPS per crittografare le chiavi di ripristino in rete dal client di Gestione configurazione al punto di gestione. Usare una delle opzioni seguenti:

  • HTTPS-enable il sito Web IIS nel punto di gestione che ospita il servizio di ripristino.

  • Configurare il punto di gestione per HTTPS.

  Per ulteriori informazioni, consulta Crittografare i dati di ripristino in rete.

  Nota

  Quando sia il sito sia i client eseguono Gestione configurazione versione 2103 o successiva, i client inviano le chiavi di ripristino al punto di gestione tramite il canale di notifica client protetto. Se alcuni client usano la versione 2010 o precedente, è necessario un servizio di ripristino abilitato per HTTPS nel punto di gestione per depositare le chiavi.

  A partire dalla versione 2103, poiché i client usano il canale di notifica client sicuro per depositare le chiavi, è possibile abilitare il sito di Gestione configurazione per HTTP avanzato. Questa configurazione non influisce sulla funzionalità di gestione di BitLocker in Gestione configurazione.

• Nella versione 2010 e precedenti, per usare il servizio di ripristino è necessario almeno un punto di gestione non in una configurazione di replica. Anche se il servizio di ripristino di BitLocker viene installato in un punto di gestione che usa una replica del database, i client non possono depositare le chiavi di ripristino. In questo caso, BitLocker non crittograferà l'unità. Disabilitare il servizio di ripristino di BitLocker in qualsiasi punto di gestione con una replica del database.

  A partire dalla versione 2103, il servizio di ripristino supporta i punti di gestione che usano una replica del database.

Prerequisiti per i portali di BitLocker

• Per utilizzare il portale self-service o il sito Web di amministrazione e monitoraggio, è necessario un server Windows che esegue IIS. Puoi riutilizzare un sistema del sito di Gestione configurazione o usare un server Web autonomo con connettività al server database del sito. Usa una versione del sistema operativo supportata per i server del sistema del sito.

• Nel server Web che ospiterà il portale self-service, installare la funzionalità Microsoft ASP.NET MVC 4.0 e .NET Framework 3.5 prima di avviare il processo di installazione. Altri ruoli e funzionalità di Windows Server necessari verranno installati automaticamente durante il processo di installazione del portale.

  Consiglio

  Non è necessario installare alcuna versione di Visual Studio con ASP.NET MVC.

• L'account utente che esegue lo script del programma di installazione del portale deve disporre dei diritti di amministratore di sistema di SQL Server nel server database del sito. Durante il processo di installazione, lo script imposta i diritti di accesso, utente e ruolo di SQL Server per l'account computer del server Web. È possibile rimuovere questo account utente dal ruolo sysadmin dopo aver completato la configurazione del portale self-service e del sito Web di amministrazione e monitoraggio.

Configurazioni supportate

• La gestione di BitLocker non è supportata nelle macchine virtuali o nelle edizioni server. Ad esempio, la gestione di BitLocker non avvierà la crittografia nelle unità fisse delle macchine virtuali. Inoltre, le unità fisse nelle macchine virtuali possono essere visualizzate come conformi anche se non sono crittografate.

• A partire dalla versione 2409, Gestione configurazione supporta ora i passaggi della sequenza di attività di BitLocker per i dispositivi ARM. Nella gestione di BitLocker, i criteri che includono la crittografia dell'unità del sistema operativo con una protezione TPM e la crittografia fissa dell'unità con l'opzione di sblocco automatico sono ora compatibili con i dispositivi ARM.

• Nella versione 2010 e precedenti, i client aggiunti a Microsoft Entra, i client del gruppo di lavoro o i client in domini non attendibili di Microsoft Entra non sono supportati. In queste versioni precedenti di Gestione configurazione, la gestione di BitLocker supporta solo i dispositivi aggiunti a Active Directory locale inclusi Microsoft Entra dispositivi aggiunti ibridamente. Questa configurazione prevede l'autenticazione con il servizio di ripristino per depositare le chiavi.

  A partire dalla versione 2103, Gestione configurazione supporta tutti i tipi di join client per la gestione di BitLocker. Tuttavia, il componente dell'interfaccia utente BitLocker lato client è ancora supportato solo nei dispositivi aggiunti ad Active Directory e aggiunti all'ambiente ibrido di Microsoft Entra.

• A partire dalla versione 2010, è ora possibile gestire i criteri di BitLocker e le chiavi di ripristino del deposito tramite un gateway di gestione cloud (CMG). Questa modifica fornisce anche il supporto per la gestione di BitLocker tramite la gestione dei client basata su Internet (IBCM). Non sono previste modifiche al processo di configurazione per la gestione di BitLocker. Questo miglioramento supporta i dispositivi aggiunti a dominio e i dispositivi aggiunti a dominio ibridi. Per altre informazioni, vedere Distribuire l'agente di gestione: Servizio di ripristino.

  • Se si dispone di criteri di gestione di BitLocker creati prima dell'aggiornamento alla versione 2010, per renderli disponibili ai client basati su Internet tramite CMG:
    1. Nella console di Gestione configurazione apri le proprietà del criterio esistente.
    2. Passare alla scheda Gestione client .
    3. Selezionare OK o Applica per salvare il criterio. Questa azione rivede il criterio in modo che sia disponibile per i client tramite il CMG.

• Per impostazione predefinita, il passaggio Abilita sequenza di attività BitLocker crittografa solo lo spazio usato nell'unità. La gestione di BitLocker usa la crittografia completa del disco . Configurare questo passaggio della sequenza di attività per abilitare l'opzione Usa crittografia disco completo.

  A partire dalla versione 2203, è possibile configurare questo passaggio della sequenza di attività per depositare le informazioni di ripristino di BitLocker per il volume del sistema operativo in Gestione configurazione.

  Per altre informazioni, vedere Passaggi della sequenza di attività - Abilitare BitLocker.

Passaggi successivi

Crittografare i dati di ripristino in rete