Planejar o gerenciamento do BitLocker

Aplica-se a: Configuration Manager (branch atual)

Utilize Configuration Manager para gerir a Encriptação de Unidade BitLocker (BDE) para clientes Windows no local, que estão associados ao Active Directory. Fornece uma gestão completa do ciclo de vida do BitLocker que pode substituir a utilização da Administração e Monitorização do Microsoft BitLocker (MBAM).

Para obter informações mais gerais sobre o BitLocker, consulte Descrição geral do BitLocker. Para obter uma comparação entre as implementações e os requisitos do BitLocker, veja o gráfico de comparação de implementações do BitLocker.

Recursos

Configuration Manager fornece as seguintes capacidades de gestão para a Encriptação de Unidade BitLocker:

Implantação do cliente

• Implemente o cliente BitLocker em dispositivos Windows geridos com Windows 8.1, Windows 10 ou Windows 11.

• Gerir políticas bitLocker e chaves de recuperação de caução para clientes no local e baseados na Internet

Gerir políticas de encriptação

• Por exemplo: escolha a encriptação de unidades e a força da cifra, configure a política de isenção de utilizador, definições de encriptação de unidades de dados fixas.

• Determine os algoritmos com os quais encriptar o dispositivo e os discos visados para encriptação.

• Force os utilizadores a cumprirem as novas políticas de segurança antes de utilizarem o dispositivo.

• Personalize o perfil de segurança da sua organização por dispositivo.

• Quando um utilizador desbloqueia a unidade do SO, especifique se pretende desbloquear apenas uma unidade de SO ou todas as unidades anexadas.

Relatórios de conformidade

Relatórios incorporados para:

• Encriptação status por volume ou por dispositivo
• O utilizador principal do dispositivo
• Status de conformidade
• Motivos para não conformidade

Site de administração e monitoramento

Permita que outras pessoas na sua organização fora da consola do Configuration Manager ajudem na recuperação de chaves, incluindo a rotação de chaves e outro suporte relacionado com o BitLocker. Por exemplo, os administradores do suporte técnico podem ajudar os utilizadores com a recuperação de chaves.

Portal self-service do utilizador

Permitir que os utilizadores se ajudem com uma chave de utilização única para desbloquear um dispositivo encriptado BitLocker. Assim que esta chave for utilizada, gera uma nova chave para o dispositivo.

Pré-requisitos

Pré-requisitos gerais

• Para criar uma política de gestão do BitLocker, precisa da função Administrador Completo no Configuration Manager.

• Para utilizar os relatórios de gestão do BitLocker, instale a função do sistema de sites do ponto do Reporting Services. Para obter mais informações, veja Configurar relatórios.

  Observação

  Para que o Relatório de Auditoria de Recuperação funcione a partir do site de administração e monitorização, utilize apenas um ponto do Reporting Services no site primário.

Pré-requisitos para clientes

• O dispositivo necessita de um chip TPM que esteja ativado no BIOS e seja reposto a partir do Windows.

  A Microsoft recomenda dispositivos com o TPM versão 2.0 ou posterior. Os dispositivos com a versão TPM 1.2 podem não suportar corretamente todas as funcionalidades do BitLocker.

• O disco rígido do computador requer um BIOS compatível com o TPM e que suporte dispositivos USB durante o arranque do computador.

A gestão do BitLocker não suporta todos os tipos de cliente suportados pelo Configuration Manager. Para obter mais informações, veja Configurações suportadas.

Pré-requisitos do serviço de recuperação

• Na versão 2010 e anterior, o serviço de recuperação BitLocker requer HTTPS para encriptar as chaves de recuperação na rede do cliente Configuration Manager para o ponto de gestão. Utilize uma das seguintes opções:

  • Ative HTTPS o site do IIS no ponto de gestão que aloja o serviço de recuperação.

  • Configure o ponto de gestão para HTTPS.

  Para obter mais informações, veja Encriptar dados de recuperação através da rede.

  Observação

  Quando o site e os clientes estão a executar Configuration Manager versão 2103 ou posterior, os clientes enviam as respetivas chaves de recuperação para o ponto de gestão através do canal de notificação de cliente seguro. Se algum cliente estiver na versão 2010 ou anterior, precisará de um serviço de recuperação compatível com HTTPS no ponto de gestão para escrow as chaves.

  A partir da versão 2103, uma vez que os clientes utilizam o canal de notificação de cliente seguro para escrow keys, pode ativar o site Configuration Manager para HTTP melhorado. Esta configuração não afeta a funcionalidade da gestão do BitLocker no Configuration Manager.

• Na versão 2010 e anterior, para utilizar o serviço de recuperação, precisa de pelo menos um ponto de gestão que não esteja numa configuração réplica. Embora o serviço de recuperação BitLocker seja instalado num ponto de gestão que utiliza uma base de dados réplica, os clientes não podem escrow chaves de recuperação. Em seguida, o BitLocker não encripta a unidade. Desative o serviço de recuperação BitLocker em qualquer ponto de gestão com uma base de dados réplica.

  A partir da versão 2103, o serviço de recuperação suporta pontos de gestão que utilizam uma base de dados réplica.

Pré-requisitos para portais BitLocker

• Para utilizar o portal self-service ou o site de administração e monitorização, precisa de um servidor Windows com o IIS. Pode reutilizar um Configuration Manager sistema de sites ou utilizar um servidor Web autónomo que tenha conectividade ao servidor da base de dados do site. Utilize uma versão do SO suportada para servidores do sistema de sites.

• No servidor Web que irá alojar o portal self-service, instale a funcionalidade Microsoft ASP.NET MVC 4.0 e .NET Framework 3.5 antes de encarar o processo de instalação. Outras funcionalidades e funções de servidor do Windows necessárias serão instaladas automaticamente durante o processo de instalação do portal.

  Dica

  Não precisa de instalar nenhuma versão do Visual Studio com ASP.NET MVC.

• A conta de utilizador que executa o script do instalador do portal precisa de SQL Server direitos sysadmin no servidor da base de dados do site. Durante o processo de configuração, o script define os direitos de início de sessão, utilizador e SQL Server função da conta do computador do servidor Web. Pode remover esta conta de utilizador da função sysadmin depois de concluir a configuração do portal self-service e do site de administração e monitorização.

Configurações suportadas

• A gestão do BitLocker não é suportada em máquinas virtuais (VMs) nem em edições de servidor. Por exemplo, a gestão do BitLocker não inicia a encriptação em unidades fixas de máquinas virtuais. Além disso, as unidades fixas em máquinas virtuais podem ser apresentadas como conformes, mesmo que não estejam encriptadas.

• A partir da versão 2409, Configuration Manager agora suporta passos de sequência de tarefas do BitLocker para dispositivos ARM. Na Gestão do BitLocker, as políticas que incluem a encriptação de unidades de SO com um protetor TPM e a encriptação de unidade fixa com a opção Desbloqueio Automático são agora compatíveis com dispositivos ARM.

• Na versão 2010 e anterior, Microsoft Entra associados, clientes de grupo de trabalho ou clientes em domínios não fidedignos não são suportados. Nestas versões anteriores do Configuration Manager, a gestão do BitLocker só suporta dispositivos associados a Active Directory local incluindo Microsoft Entra dispositivos associados híbridos. Esta configuração consiste em autenticar com o serviço de recuperação para escrow keys.

  A partir da versão 2103, Configuration Manager suporta todos os tipos de associação de cliente para a gestão do BitLocker. No entanto, o componente de interface de utilizador bitLocker do lado do cliente ainda é suportado apenas em dispositivos associados ao Active Directory e Microsoft Entra dispositivos associados híbridos.

• A partir da versão 2010, pode agora gerir políticas bitLocker e chaves de recuperação de segurança através de um gateway de gestão da cloud (CMG). Esta alteração também fornece suporte para a gestão do BitLocker através da gestão de clientes baseada na Internet (IBCM). Não existe nenhuma alteração ao processo de configuração da gestão do BitLocker. Esta melhoria suporta dispositivos associados a um domínio e associados a um domínio híbrido. Para obter mais informações, veja Implementar o agente de gestão: Serviço de recuperação.

  • Se tiver políticas de gestão do BitLocker que criou antes de atualizar para a versão 2010, para as disponibilizar aos clientes baseados na Internet através do CMG:
    1. Na consola do Configuration Manager, abra as propriedades da política existente.
    2. Mude para o separador Gestão de Clientes .
    3. Selecione OK ou Aplicar para guardar a política. Esta ação revê a política para que esteja disponível para clientes através do CMG.

• Por predefinição, o passo de sequência de tarefas Ativar BitLocker encripta apenas o espaço utilizado na unidade. A gestão do BitLocker utiliza a encriptação de disco completa . Configure este passo de sequência de tarefas para ativar a opção Utilizar encriptação de disco completa.

  A partir da versão 2203, pode configurar este passo de sequência de tarefas para aumentar as informações de recuperação do BitLocker do volume do SO para Configuration Manager.

  Para obter mais informações, veja Passos de sequência de tarefas – Ativar o BitLocker.

Próximas etapas

Criptografar dados de recuperação pela rede