BitLocker helyreállítási kulcsok tárolása az Active Directoryban

Az Active Directory segítségével biztonságosan tárolhatja a BitLocker helyreállítási kulcsok (jelszavak) biztonsági másolatait az ügyfélszámítógépekről. Nagyon kényelmes, ha több felhasználó használja a BitLockert adatai titkosításához. Konfigurálhatja a csoportházirendeket a tartományában, hogy a BitLocker segítségével bármilyen meghajtó titkosításakor a számítógép a helyreállítási kulcsot a számítógépes objektumfiókjába mentse az AD-ben (például a LAPS segítségével generált helyi számítógép rendszergazdai jelszó tárolására).

A BitLocker kulcsok Active Directoryban való tárolásának konfigurálásához az infrastruktúrának meg kell felelnie a következő követelményeknek:

• Windows 10 vagy Windows 8.1 rendszert futtató ügyfélszámítógépek Pro és Enterprise kiadással;

• AD-séma verziója: Windows Server 2012 vagy újabb;

• A GPO ADMX fájljait frissíteni kell a legújabb verziókra.

Hogyan állítsuk be a csoportházirendet a BitLocker helyreállítási kulcsok AD-ben való tárolására?

A BitLocker helyreállítási kulcsok Active Directory tartományba való automatikus mentéséhez (biztonsági mentéséhez) egy speciális csoportházirend-objektumot kell konfigurálnia.

1. Nyissa meg a Domain Group Policy Management konzolt (

   gpmc.msc

   ), hozzon létre egy új csoportházirend-objektumot, és kapcsolja össze azokkal a számítógépekkel, amelyeken engedélyezni kívánja az automatikus BitLocker-kulcsmentést az AD-ben;

2. Lépjen a Számítógép konfigurációja -> Felügyeleti sablonok -> Windows-összetevők -> BitLocker meghajtótitkosítás menüpontra;

3. Engedélyezze a BitLocker helyreállítási információk tárolása az Active Directory tartományi szolgáltatásokban házirendet a következő beállításokkal: A BitLocker biztonsági mentésének megkövetelése az AD DS-hez és Válassza ki a BitLocker helyreállítási adatait tárolni: Helyreállítási jelszavak és kulcscsomagok;

   

4. Ezután lépjen a Számítógép konfigurációja -> Házirendek -> Felügyeleti sablonok -> Windows-összetevők -> BitLocker meghajtótitkosítás -> Operációs rendszer-meghajtók menüpontra, és engedélyezze a házirendet Válassza ki, hogyan lehet helyreállítani a BitLocker által védett operációs rendszer-meghajtókat. Ne feledje, hogy javasolt a Ne engedélyezze a BitLockert addig, amíg a helyreállítási információkat el nem tárolja az operációs rendszer meghajtóihoz tartozó AD DS-ben jelölőnégyzetet. Ha bejelöli a lehetőséget, a BitLocker addig nem indítja el a meghajtótitkosítást, amíg a számítógép el nem ment egy új helyreállítási kulcsot az AD-ben (ha Ön mobil felhasználó, akkor meg kell várnia a következő csatlakozást a tartományhálózathoz);

5. Esetünkben a BitLocker kulcs automatikus mentése engedélyezett az operációs rendszer meghajtóján. Ha menteni szeretné a BitLocker helyreállítási kulcsait külső adathordozó eszközökhöz vagy más meghajtókhoz, konfiguráljon hasonló házirendet a következő csoportokban a csoportházirend-objektumokban: Rögzített adatmeghajtók és Cserélhető adatmeghajtók;

   

6. Frissítse a csoportházirend-beállításokat az ügyfeleken:

   gpupdate /force

7. Titkosítsa a Windows 10 Pro rendszert futtató számítógépe rendszermeghajtóját a BitLocker segítségével (Kapcsolja be a BitLockert);

   

8. A Windows 10 elmenti a számítógép BitLocker helyreállítási kulcsát az Active Directoryba, és titkosítja a meghajtót.

   Előfordulhat, hogy egyetlen számítógéphez több BitLocker helyreállítási jelszó is tartozik (például különböző cserélhető eszközökhöz).

Ha egy számítógép lemeze már titkosítva van a BitLocker használatával, manuálisan szinkronizálhat az AD-ben. Futtassa a parancsot:

manage-bde -protectors -get c:

Másolja ki a Numerical Password ID értéket (például

22A6A1F0-1234-2D21-AF2B-7123211335047

).

Futtassa az alábbi parancsot a helyreállítási kulcs mentéséhez az aktuális számítógép AD-fiókjába:

manage-bde -protectors -adbackup C: -id {22A6A1F0-1234-2D21-AF2B-7123211335047}

Ezt az üzenetet fogja látni:

Recovery information was successfully backed up to Active Directory

BackupToAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId ((Get-BitLockerVolume -MountPoint $env:SystemDrive ).KeyProtector | where {$_.KeyProtectorType -eq "RecoveryPassword" }).KeyProtectorId

Hogyan lehet megtekinteni és kezelni a BitLocker helyreállítási kulcsokat az Active Directoryban?

A BitLocker helyreállítási kulcsok kezelése az Active Directory Felhasználók és számítógépek beépülő modulból (ADUC,

dsa.msc

), telepítenie kell a Távoli kiszolgálófelügyeleti eszközöket (RSAT).

A Windows Server rendszerben telepítheti a BitLocker meghajtótitkosítási adminisztrációs segédprogramot a Kiszolgálókezelő segítségével (ez tartalmazza a BitLocker meghajtótitkosítási eszközöket és a BitLocker Recovery Password Viewer alkalmazást).

Vagy telepítheti ezeket a Windows Server-szolgáltatásokat a PowerShell segítségével:

Install-WindowsFeature RSAT-Feature-Tools-BitLocker-BdeAducExt, RSAT-Feature-Tools-BitLocker-RemoteAdminTool, RSAT-Feature-Tools-BitLocker

Most, ha megnyitja bármelyik számítógép tulajdonságait az ADUC konzolon, egy új BitLocker helyreállítás lapot fog látni.

Itt megtekintheti a jelszó létrehozásának időpontját, beszerezheti a jelszóazonosítót és a BitLocker helyreállítási kulcsot.

Ezután, ha a felhasználó elfelejti a BitLocker jelszavát, elmondhatja a számítógép képernyőjén megjelenő helyreállítási kulcs első 8 szimbólumát a rendszergazdának, a rendszergazda pedig megtalálhatja a számítógép helyreállítási kulcsát az ADUC-ban az Action — (Művelet) segítségével. > Keresse meg a BitLocker helyreállítási jelszavát, és mondja el a felhasználónak. A helyreállítási jelszó (48 számjegyű szám) segít a Bitlocker által védett meghajtó feloldásában.

Alapértelmezés szerint csak a domain rendszergazdái láthatják a BitLocker helyreállítási kulcsokat. Az Active Directoryban bármely felhasználói csoport számára delegálhat engedélyeket a BitLocker helyreállítási kulcsok megtekintésére egy adott szervezeti egységben. Ehhez delegáljon engedélyt az msFVE-RecoveryInformation attribútum értékének megtekintéséhez.

Tehát ebben a cikkben bemutattuk, hogyan konfigurálhatja a BitLocker helyreállítási kulcsok automatikus biztonsági mentését az Active Directoryban. Ha a felhasználó elfelejti a BitLocker jelszavát, megszerezheti azt, és visszaállíthatja a hozzáférést a felhasználó eszközén lévő adatokhoz.