Configurarea politicii de grup pentru salvarea cheilor de recuperare BitLocker în Active Directory

Pentru a salva automat cheile de recuperare BitLocker ale computerelor în Active Directory, configurați un obiect de politică de grup (GPO) la nivel de domeniu:

1. Deschideți Consola de administrare a politicilor de grup (gpmc.msc)
2. Creați un nou obiect de politică de grup (GPO) sau editați unul existent. Asigurați-vă că GPO-ul este legat de unitatea organizațională (OU) care conține obiectele de computer la care doriți să aplicați politica de backup BitLocker.
Se poate crea un GPO numit „Politica_BitLocker” în unitatea organizațională(OU): „Workstations”.

3. Editați obiectul GPO și accesați Computer Configuration > Policies > Administrative Templates > Windows Components > BitLocker Drive Encryption.

4. Activați politica „Store BitLocker Recovery information in Active Directory Domain Services”. Bifați opțiunea „SRequire BitLocker backup to AD DS” și selectați “store BitLocker Recovery passwords and key packages”.

5. Apoi, selectați unul dintre următoarele dosare GPO, în funcție de tipurile de unități pentru care doriți să faceți cheile de recuperare BitLocker recuperabile.

• Operating System Drives
• Fixed Data Drives
• Removable Data Drives

Se poate alege “Operating System Drives”  si bifa politica ““Choose how BitLocker-protected system drives can be recovered”

6. Selectați „Enable” și bifați caseta „Do not enable BitLocker until recovery information is stored in AD DS for”. Această politică permite BitLocker să înceapă criptarea unităților de stocare numai după ce informațiile de recuperare sunt salvate în AD.

7. Așteptați ca noile setări GPO să fie aplicate sau executați comanda gpupdate /force pentru a aplica imediat politica pe un computer. Verificați dacă politica a fost aplicată:

gpresult /r

Activați protecția BitLocker pe o statie

Utilizați una dintre următoarele metode pentru a activa protecția unității de stocare în Windows:

• Deschideți File Explorer, faceți clic dreapta pe unitatea de stocare și selectați „Activați BitLocker”. Urmați pașii simpli ai expertului pentru a activa criptarea BitLocker.
• Sau activați BitLocker pentru o unitate de stocare folosind PowerShell:

Enable-Bitlocker -MountPoint c: -UsedSpaceOnly -SkipHardwareTest -RecoveryPasswordProtector

După activarea BitLocker, trebuie să verificați în mod explicit dacă cheia de recuperare a fost salvată cu succes în AD. Rețineți că acest pas confirmă succesul efectiv al depozitării în siguranță, nu doar configurarea politicii.

Pasul 1. Verificați dacă există protecția

manage-bde -protectors -get C:

Pasul 2. Verificați dacă escrow readiness state este pregătit (IMPORTANT)

(Get-BitLockerVolume -MountPoint “C:”).KeyProtector |
Where-Object {$_.KeyProtectorType -eq ‘RecoveryPassword’}

Pasul 3. Verificați dacă informațiile de recuperare există în AD (CRITIC)

$ComputerDN = (Get-ADComputer $env:COMPUTERNAME).DistinguishedName

Get-ADObject `
-Filter {objectClass -eq «msFVE-RecoveryInformation»} `
-SearchBase $ComputerDN `
-Properties «msFVE-RecoveryPassword»,’whenCreated’

Rețineți că, chiar și în cazul în care Politica de grup este configurată corect, cheile de recuperare BitLocker nu vor fi stocate în AD dacă:

• TPM-ul nu este pregătit/nu este inițializat
• Nu a fost creată o parolă de protecție pentru recuperare
• Dispozitivul dvs. a fost criptat înainte de aplicarea politicii și nu a fost executată o copie de rezervă manage-bde
• Un computer nu are acces de scriere la obiectul msFVE-RecoveryInformation din AD

Copierea de rezervă manuală a cheilor existente cu ajutorul comenzii manage-bde

Dacă unitățile erau deja criptate înainte de activarea politicii de grup BitLocker, puteți utiliza instrumentul manage-bde pentru a trimite manual cheia de recuperare către AD.

1. Obțineți codul numeric de acces pentru unitatea protejată:

manage-bde -protectors -get c:

2. Faceți o copie de rezervă a cheii contului de computer din AD:

manage-bde -protectors -adbackup c: -id „{ID-ul numeric al parolei}”

Delegarea controlului în AD

1. Click dreapta pe unitatea organizațională (OU) din Active Directory care conține obiectele de tip computer cu cheile de recuperare BitLocker și selectați opțiunea „Delegate Control”.

2. Adăugați grupul de delegați și apoi click pe Next.

3. Selectați opțiunea „Create a custom task to delegate” și apoi click pe Next.

4. Selectați opțiunea „Only the following objects in the folder”, bifați caseta „msFVE-RecoveryInformation objects”.

5. Selectați permisiunile „Read”, și apoi click pe „Next”.

6. Toți utilizatorii adăugați în grupul „BitLocker Password Viewers” pot accesa tab-ul Recovery, care conține informații privind recuperarea BitLocker.

În cazul în care comanda returnează unul sau mai multe obiecte msFVE-RecoveryInformation cu atributele msFVE-RecoveryPassword completate, aceasta înseamnă că cheia de recuperare BitLocker a fost stocată cu succes în AD.

Rețineți că, în cadrul AD forest de mari dimensiuni, validarea schemelor ar trebui să se bazeze pe metadatele schemelor și pe interogări de tip ldapDisplayName, fata de o simplă potrivire a numelor (care poate genera rezultate inconsistente între domenii/replici).

Arhitectura de recuperare BitLocker trebuie să fie întotdeauna aliniată la strategia de identitate:

• AD DS (tradițional/hibrid)
• Entra ID (nativ pentru cloud)
• Intune (platformă pentru a gestiona dispozitivele finale).