אחסון מפתחות שחזור של BitLocker ב- Active Directory

באפשרותך להשתמש ב- Active Directory כדי לאחסן באופן מאובטח גיבויים של מפתחות שחזור של BitLocker (סיסמאות) ממחשבי לקוח. זה מאוד נוח אם יש לך משתמשים מרובים המשתמשים ב- BitLocker כדי להצפין את הנתונים שלהם. באפשרותך לקבוע את תצורת המדיניות הקבוצתית בתחום שלך כך שבעת הצפנת כונן כלשהו באמצעות BitLocker, המחשב ישמור את מפתח השחזור בחשבון אובייקט המחשב שלו ב- AD (כגון אחסון סיסמת מנהל מערכת של מחשב מקומי שנוצרה באמצעות LAPS).

כדי לקבוע תצורה של אחסון מפתחות BitLocker ב- Active Directory, התשתית שלך חייבת לעמוד בדרישות הבאות:

• מחשבי לקוח שבהם פועל Windows 10 או Windows 8.1 עם מהדורות Pro ו- Enterprise;

• גירסת סכימת AD: Windows Server 2012 ואילך;

• יש לעדכן את קבצי GPO ADMX שלך לגרסאות העדכניות ביותר.

כיצד לקבוע תצורה של מדיניות קבוצתית לאחסון מפתחות שחזור של BitLocker ב- AD?

כדי לשמור (גיבוי) באופן אוטומטי מפתחות שחזור של BitLocker בתחום Active Directory, עליך לקבוע תצורה של GPO מיוחד.

1. פתח את מסוף ניהול המדיניות הקבוצתית של תחום (

   gpmc.msc

   ), ליצור GPO חדש ולקשר אותו ל- OU עם המחשבים שברצונך לאפשר שמירה אוטומטית של מפתח BitLocker ב- AD;

2. עבור אל תצורת מחשב -> תבניות מנהליות -> רכיבי Windows -> הצפנת כונן של BitLocker;

3. הפוך את פרטי השחזור של BitLocker לזמינים במדיניות Active Directory Domain Services עם ההגדרות הבאות: דרוש גיבוי של BitLocker ל- AD DS ובחר מידע שחזור של BitLocker לאחסון: סיסמאות שחזור וחבילות מפתח;

   

4. לאחר מכן עבור אל תצורת מחשב -> מדיניות -> תבניות מנהליות -> רכיבי Windows -> הצפנת כונן של BitLocker -> כונני מערכת הפעלה והפוך את המדיניות לזמינה בחר כיצד ניתן לשחזר כונני מערכת הפעלה המוגנים באמצעות BitLocker. שים לב שמומלץ לסמן את אל תהפוך את BitLocker לזמין עד לאחסון פרטי שחזור ב- AD DS עבור כונני מערכת ההפעלה. אם תסמן את האפשרות, BitLocker לא יפעיל הצפנת כונן עד שהמחשב ישמור מפתח שחזור חדש ב- AD (אם אתה משתמש נייד, יהיה עליך להמתין לחיבור הבא לרשת התחום);

5. במקרה שלנו, שמירה אוטומטית של מפתח BitLocker זמינה עבור כונן מערכת ההפעלה. אם ברצונך לשמור מפתחות שחזור של BitLocker עבור התקני מדיה חיצוניים או כוננים אחרים, קבע תצורה של מדיניות דומה בסעיפים אלה של GPO: כונני נתונים קבועים וכונני נתונים נשלפים;

   

6. עדכן הגדרות מדיניות קבוצתית בלקוחות:

   gpupdate /force

7. הצפנת כונן המערכת של המחשב שבו פועל Windows 10 Pro באמצעות BitLocker (הפעל את BitLocker);

   

8. Windows 10 ישמור את מפתח השחזור של BitLocker עבור המחשב ב- Active Directory ויצפין את הכונן. ייתכן שיש לך סיסמאות שחזור מרובות של BitLocker עבור מחשב יחיד (לדוגמה, עבור התקנים נשלפים שונים).

אם דיסק מחשב כבר מוצפן באמצעות BitLocker, באפשרותך לבצע סינכרון ידני ב- AD. הפעל את הפקודה:

manage-bde -protectors -get c:

העתק את ערך מזהה הסיסמה המספרית (לדוגמה,

22A6A1F0-1234-2D21-AF2B-7123211335047

).

הפעל את הפקודה הבאה כדי לשמור את מפתח השחזור בחשבון AD של המחשב הנוכחי:

manage-bde -protectors -adbackup C: -id {22A6A1F0-1234-2D21-AF2B-7123211335047}

תראה את ההודעה הבאה:

Recovery information was successfully backed up to Active Directory

BackupToAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId ((Get-BitLockerVolume -MountPoint $env:SystemDrive ).KeyProtector | where {$_.KeyProtectorType -eq "RecoveryPassword" }).KeyProtectorId

כיצד להציג ולנהל מפתחות שחזור של BitLocker ב- Active Directory?

כדי לנהל מפתחות שחזור של BitLocker מיישום ה- Snap-in 'משתמשים ומחשבים של Active Directory' (ADUC,

dsa.msc

), עליך להתקין את Remote Server Administration Tools (RSAT).

ב- Windows Server, באפשרותך להתקין את התכונה כלי השירות לניהול הצפנת כונן של BitLocker באמצעות Server Manager (היא מכילה כלי הצפנת כונן של BitLocker ומציג סיסמאות השחזור של BitLocker) .

לחלופין, באפשרותך להתקין תכונות אלה של Windows Server באמצעות PowerShell:

Install-WindowsFeature RSAT-Feature-Tools-BitLocker-BdeAducExt, RSAT-Feature-Tools-BitLocker-RemoteAdminTool, RSAT-Feature-Tools-BitLocker

כעת, אם תפתח את המאפיינים של כל מחשב במסוף ADUC, תראה כרטיסיית שחזור חדשה של BitLocker.

כאן תוכל להציג מתי נוצרה סיסמה, לקבל את מזהה הסיסמה ואת מפתח השחזור של BitLocker.

לאחר מכן, אם משתמש שוכח את סיסמת BitLocker שלו, הוא יכול לספר למנהל המערכת את 8 הסמלים הראשונים של מפתח השחזור המוצגים על מסך המחשב, ומנהל המערכת יכול למצוא את מפתח השחזור של המחשב ב- ADUC באמצעות פעולה —> מצא את סיסמת השחזור של BitLocker וספר אותה למשתמש. סיסמת השחזור (מספר בן 48 ספרות) תעזור לבטל נעילה של כונן המוגן באמצעות Bitlocker.

כברירת מחדל, רק מנהלי תחומים יכולים להציג מפתחות שחזור של BitLocker. ב- Active Directory, באפשרותך להקצות הרשאות להצגת מפתחות שחזור של BitLocker ב- OU ספציפי לכל קבוצת משתמשים. לשם כך, הקצה את ההרשאה להצגת ערך התכונה msFVE-RecoveryInformation.

לכן, במאמר זה, הראינו כיצד להגדיר גיבוי אוטומטי של מפתחות שחזור של BitLocker ב- Active Directory. אם משתמש שוכח את סיסמת BitLocker, באפשרותך להשיג אותה ולשחזר את הגישה לנתונים במכשיר של המשתמש.