วิธีปรับใช้ Bitlocker โดยใช้แคตตาล็อกการตั้งค่า Intune 📑

ในบทความนี้ ผมจะสาธิตวิธีการปรับใช้ Bitlocker โดยใช้ Intune Settings Catalog คุณสามารถกำหนดค่า Bitlocker ด้วย Intune ได้โดยใช้แค็ตตาล็อกการตั้งค่า ซึ่งมีตัวเลือกการกำหนดค่าที่ยืดหยุ่นมากขึ้น

BitLocker เป็นคุณสมบัติการปกป้องข้อมูลที่ผสานรวมกับระบบปฏิบัติการและจัดการกับภัยคุกคามของการโจรกรรมข้อมูลหรือการเปิดเผยจากคอมพิวเตอร์ที่สูญหาย ถูกขโมย หรือเลิกใช้งานอย่างไม่เหมาะสม โดยจะให้การป้องกันสูงสุดเมื่อใช้กับ Trusted Platform Module (TPM) เวอร์ชัน 1.2 หรือเวอร์ชันที่ใหม่กว่า

BitLocker อาจได้รับการกำหนดค่าใน Intune สำหรับอุปกรณ์ Windows 10 และ 11 โดยใช้วิธีใดวิธีหนึ่งจากสามวิธี:

• โปรไฟล์การป้องกันปลายทาง
• โปรไฟล์การเข้ารหัสดิสก์ความปลอดภัยปลายทาง
• โปรไฟล์แค็ตตาล็อกการตั้งค่า

การป้องกันจุดสิ้นสุดและโปรไฟล์การเข้ารหัสดิสก์การรักษาความปลอดภัยจุดสิ้นสุดใช้ผู้ให้บริการการกำหนดค่า BitLocker (CSP) เพื่อกำหนดค่าการเข้ารหัสของพีซีและอุปกรณ์ ในขณะที่โปรไฟล์แค็ตตาล็อกการตั้งค่าใช้การผสมผสานระหว่างการตั้งค่าที่สนับสนุนด้วย BitLocker CSP และ ADMX

Microsoft แนะนำให้ปรับใช้ Bitlocker โดยใช้โปรไฟล์การป้องกันปลายทางเมื่อเลือกวิธีการกำหนดค่าที่เหมาะสมกับความต้องการขององค์กรของคุณมากที่สุด โปรไฟล์แค็ตตาล็อกการตั้งค่าเป็นสิ่งทดแทนที่ใช้งานได้ หากคุณต้องการความยืดหยุ่นและทางเลือกในการตั้งค่าที่มากขึ้น

ดูคำแนะนำเกี่ยวกับวิธีการเปิดใช้งานและกำหนดค่า Bitlocker โดยใช้โปรไฟล์การเข้ารหัสดิสก์ความปลอดภัยปลายทาง ในบทความนี้ ผมจะสาธิตวิธีกำหนดค่าและปรับใช้ BitLocker บนอุปกรณ์ Windows 10 และ 11 ผ่านทางแค็ตตาล็อกการตั้งค่า Intune

• ข้อกำหนดเบื้องต้นสำหรับการปรับใช้ Bitlocker ผ่านแค็ตตาล็อกการตั้งค่า Intune
• การตั้งค่า Bitlocker เพิ่มเติมมีอยู่ในแคตตาล็อกการตั้งค่า Intune
• ปรับใช้ Bitlocker โดยใช้แคตตาล็อกการตั้งค่า Intune
• การตั้งค่า Bitlocker
• การตั้งค่าการเข้ารหัสลับไดรฟ์ด้วย Bitlocker
• ไดรฟ์ระบบปฏิบัติการ Bitlocker ในแคตตาล็อกการตั้งค่า
• Bitlocker แก้ไขไดรฟ์ข้อมูลในแคตตาล็อกการตั้งค่า Intune
• กำหนดค่าไดรฟ์ข้อมูลแบบถอดได้ผ่านแค็ตตาล็อกการตั้งค่า Intune

ข้อกำหนดเบื้องต้นสำหรับการปรับใช้ Bitlocker ผ่านแค็ตตาล็อกการตั้งค่า Intune

BitLocker for Intune พร้อมใช้งานบนอุปกรณ์ที่ใช้ Windows 10 และ Windows 11 การเปิดใช้งาน Bitlocker โดยใช้ Intune จำเป็นต้องมีข้อกำหนดเบื้องต้นต่อไปนี้:

1. คุณจะต้องมีใบอนุญาต Microsoft Intune ที่ถูกต้อง
2. อุปกรณ์ดังกล่าวต้องเป็น Azure AD หรือ Hybrid Azure AD ที่เข้าร่วม
3. อุปกรณ์จะต้องไม่ได้รับการเข้ารหัสโดยใช้ซอฟต์แวร์เข้ารหัสดิสก์จากบุคคลที่สาม เช่น McAfee Disk Encryption เมื่อปรับใช้ BitLocker โดยใช้ Intune คุณจะต้องถอดรหัสอุปกรณ์ใดๆ ที่ได้รับการเข้ารหัสโดยใช้เทคโนโลยีอื่นโดยสมบูรณ์
4. อุปกรณ์ปลายทางต้องมีชิป TPM เวอร์ชัน 1.2 ขึ้นไป (ขอแนะนำอย่างยิ่งให้ TPM 2.0)
5. ต้องตั้งค่า BIOS เป็น UEFI
6. ในการจัดการ BitLocker ใน Intune บัญชีของคุณต้องมีสิทธิ์การควบคุมการเข้าถึงตามบทบาทของ Intune (RBAC) ที่เกี่ยวข้อง

การตั้งค่า Bitlocker เพิ่มเติมมีอยู่ในแคตตาล็อกการตั้งค่า Intune

การตั้งค่า Bitlocker เพิ่มเติมต่อไปนี้มีอยู่ในแค็ตตาล็อกการตั้งค่า Intune และไม่มีอยู่ในโปรไฟล์ความปลอดภัยปลายทางนโยบายและการกำหนดค่าอุปกรณ์อีกสองโปรไฟล์

• อนุญาตให้อุปกรณ์ที่สอดคล้องกับ InstantGo หรือ HSTI สามารถเลือกไม่ใช้ PIN ก่อนการบูตได้
• อนุญาต PIN ที่ปรับปรุงแล้วสำหรับการเริ่มต้น
• เปิดใช้งานการใช้การตรวจสอบสิทธิ์ด้วย BitLocker ที่ต้องป้อนข้อมูลด้วยแป้นพิมพ์ก่อนบูตบนแถบสเลท
• บังคับใช้ประเภทการเข้ารหัสไดรฟ์บนไดรฟ์ระบบปฏิบัติการ
• เลือกประเภทการเข้ารหัส: (อุปกรณ์)

ปรับใช้ Bitlocker โดยใช้แคตตาล็อกการตั้งค่า Intune

ใช้ขั้นตอนต่อไปนี้เพื่อกำหนดค่าและปรับใช้ Bitlocker ด้วยแค็ตตาล็อกการตั้งค่า:

• ลงชื่อเข้าใช้ศูนย์การจัดการ Microsoft Intune
• ไปที่ อุปกรณ์ > อุปกรณ์ Windows > โปรไฟล์การกำหนดค่า
• เลือก + สร้างโปรไฟล์ และเลือก Windows 10 และใหม่กว่าสำหรับแพลตฟอร์มและแค็ตตาล็อกการตั้งค่าสำหรับประเภทโปรไฟล์ จากนั้นเลือก สร้าง

ตั้งชื่อโปรไฟล์ในแท็บ พื้นฐาน ของบานหน้าต่าง สร้างโปรไฟล์ เพิ่มคำอธิบายสั้น ๆ เกี่ยวกับโปรไฟล์ คลิก ถัดไป

บนแท็บ การตั้งค่าการกำหนดค่า เลือก +เพิ่มการตั้งค่า

พิมพ์ “BitLocker ” ในช่องค้นหาเพื่อค้นหาการตั้งค่าที่เกี่ยวข้องทั้งหมดสำหรับการกำหนดค่า Bitlocker แค็ตตาล็อกการตั้งค่า Intune ช่วยให้คุณมีความยืดหยุ่นในการเลือกการตั้งค่า BitLocker ที่จะเพิ่มลงในนโยบาย

มีห้าหมวดหมู่หรือกลุ่มของการตั้งค่าที่คุณสามารถกำหนดค่าสำหรับ Bitlocker ใน Intune:

1. การเข้ารหัสลับไดรฟ์ด้วย Bitlocker
2. ไดรฟ์ข้อมูลคงที่
3. ไดรฟ์ระบบปฏิบัติการ
4. ไดรฟ์ข้อมูลแบบถอดได้
5. การตั้งค่า Bitlocker

การตั้งค่า Bitlocker

หมวดหมู่ BitLocker เปิดใช้งานการตั้งค่าการหมุนการเข้ารหัสและการกู้คืนรหัสผ่านแบบเงียบ การเข้ารหัสแบบเงียบจะเปิดใช้งาน BitLocker บนอุปกรณ์โดยที่ผู้ใช้ไม่ต้องโต้ตอบ ข้อจำกัดที่สำคัญสำหรับการกำหนดค่านี้คือ เนื่องจากผู้ใช้ไม่จำเป็นต้องโต้ตอบ จึงไม่ได้รับแจ้งให้ใส่ PIN เริ่มต้น

หมายเหตุ: คุณไม่จำเป็นต้องเลือกการตั้งค่าทั้งหมด และกำหนดค่าเฉพาะที่จำเป็นสำหรับองค์กรของคุณ เพื่อวัตถุประสงค์ของการสาธิตนี้ ฉันจะเพิ่มทั้งหมดเข้าไป

เมื่อคุณเลือกหมวดหมู่เสร็จแล้ว ให้ใช้ปุ่ม X เพื่อปิดบานหน้าต่างตัวเลือกการตั้งค่า และกลับไปที่แท็บ การกำหนดค่า

คุณสามารถกำหนดค่าต่อไปนี้สำหรับการตั้งค่า Bitlocker:

• อนุญาตคำเตือนสำหรับการเข้ารหัสดิสก์อื่น ๆ
• กำหนดค่าการหมุนเวียนรหัสผ่านการกู้คืน
• ไดรฟ์แบบถอดได้ไม่รวมอยู่ในการเข้ารหัส
• ต้องมีการเข้ารหัสอุปกรณ์

การตั้งค่าการเข้ารหัสลับไดรฟ์ด้วย Bitlocker

จากแค็ตตาล็อกการตั้งค่า ให้ขยายหมวดหมู่เทมเพลตการดูแลระบบเพื่อดูตัวเลือกการตั้งค่าที่เริ่มต้นด้วยการเข้ารหัสลับไดรฟ์ด้วย BitLocker ที่นี่คุณสามารถตั้งค่าวิธีการเข้ารหัสและความแรงของการเข้ารหัสได้ ในตัวอย่างด้านล่างนี้ ฉันได้เลือก XTS-AES 256 บิต สำหรับไดรฟ์ข้อมูลแบบคงที่และไดรฟ์ระบบปฏิบัติการ และ AES-CBC 128 บิต (ค่าเริ่มต้น) สำหรับข้อมูลที่ถอดได้ ไดรฟ์

ฉันได้เปิดใช้งานตัวระบุเฉพาะเพื่อเป็นตัวอย่าง แต่ยังไม่ได้กรอก โปรดทราบว่า BitLocker CSP ภายนอกเทมเพลตการดูแลระบบไม่รองรับการตั้งค่า ID เฉพาะ

ไดรฟ์ระบบปฏิบัติการ Bitlocker ในแคตตาล็อกการตั้งค่า

เมื่อคุณกำหนดค่าและปรับใช้ Bitlocker โดยใช้ Intune Settings Catalog คุณจะได้รับการตั้งค่าเพิ่มเติมต่อไปนี้ซึ่งไม่สามารถใช้งานได้กับอีกสองวิธี

• อนุญาตให้อุปกรณ์ที่สอดคล้องกับ InstantGo หรือ HSTI สามารถเลือกไม่ใช้ PIN ก่อนการบูตได้
• อนุญาต PIN ที่ปรับปรุงแล้วสำหรับการเริ่มต้น
• เปิดใช้งานการใช้การตรวจสอบสิทธิ์ด้วย BitLocker ที่ต้องป้อนข้อมูลด้วยแป้นพิมพ์ก่อนบูตบนแถบสเลท
• บังคับใช้ประเภทการเข้ารหัสไดรฟ์บนไดรฟ์ระบบปฏิบัติการ
• เลือกประเภทการเข้ารหัส: (อุปกรณ์)

Bitlocker แก้ไขไดรฟ์ข้อมูลในแคตตาล็อกการตั้งค่า Intune

การกำหนดค่าการตั้งค่าไดรฟ์ข้อมูลแบบคงที่จะคล้ายกับการตั้งค่าความปลอดภัยของอุปกรณ์ปลายทาง ยกเว้นประเภทการเข้ารหัสไดรฟ์บังคับใช้บนไดรฟ์ข้อมูลแบบคงที่ และเลือกประเภทการเข้ารหัส (อุปกรณ์) การตั้งค่าเหล่านี้อนุญาตให้ผู้ดูแลระบบระบุว่า BitLocker ควรเข้ารหัสพื้นที่ที่ใช้เท่านั้นหรือทั้งไดรฟ์

กำหนดค่าไดรฟ์ข้อมูลแบบถอดได้ผ่านแค็ตตาล็อกการตั้งค่า Intune

สำหรับไดรฟ์แบบถอดได้ คุณจะพบการตั้งค่าส่วนใหญ่คล้ายกับนโยบายการป้องกันปลายทาง อย่างไรก็ตาม คุณจะต้องพิจารณาข้อกำหนดสำหรับการอนุญาตให้ผู้ใช้ระงับและถอดรหัสการป้องกันด้วย BitLocker บนไดรฟ์ข้อมูลแบบถอดได้ (อุปกรณ์) และบังคับใช้ประเภทการเข้ารหัสไดรฟ์ในการตั้งค่าไดรฟ์ข้อมูลแบบถอดได้ด้วย

ภาพหน้าจอด้านล่างแสดงการกำหนดค่าสำหรับไดรฟ์ข้อมูลแบบถอดได้ผ่านแค็ตตาล็อกการตั้งค่า Intune

เมื่อคุณได้กำหนดการตั้งค่า Bitlocker ทั้งหมดผ่านทาง Intune Settings Catalog แล้ว ให้คลิก ถัดไป บนแท็บการมอบหมาย ให้เพิ่มกลุ่ม Azure AD ที่คุณต้องการปรับใช้การตั้งค่า Bitlocker คลิก ถัดไป

ในหน้า ตรวจสอบ + สร้าง คุณจะพบการตั้งค่า BitLocker ทั้งหมดที่คุณได้กำหนดไว้ เมื่อเสร็จแล้ว ให้เลือกสร้าง

หลังจากปรับใช้นโยบาย BitLocker ผ่าน Intune นโยบายจะปรากฏใต้รายการโปรไฟล์การกำหนดค่า การแจ้งเตือนจะปรากฏขึ้นเพื่อยืนยันว่ามีการสร้างนโยบายแล้ว

หลังจากที่คุณปรับใช้ Bitlocker โดยใช้แค็ตตาล็อกการตั้งค่า Intune ขั้นตอนต่อไปคือการตรวจสอบสถานะการเข้ารหัส BitLocker บนอุปกรณ์ คุณสามารถทำได้จากศูนย์การจัดการ Intune นั้น นอกจากนั้น ยังมีรายงานการเข้ารหัส Microsoft Intune เพื่อดูรายละเอียดเกี่ยวกับสถานะการเข้ารหัสของอุปกรณ์และค้นหาตัวเลือกในการจัดการคีย์การกู้คืนอุปกรณ์

รายงานการเข้ารหัส Microsoft Intune เป็นศูนย์กลางในการค้นหาเกี่ยวกับสถานะการเข้ารหัสของอุปกรณ์และค้นหาวิธีจัดการคีย์การกู้คืน ตัวเลือกคีย์การกู้คืนที่มีอยู่จะขึ้นอยู่กับประเภทของอุปกรณ์ที่คุณกำลังดู

หากต้องการค้นหารายงาน ให้ลงชื่อเข้าใช้ศูนย์การจัดการ Microsoft Endpoint Manager เลือกอุปกรณ์ > จอภาพ จากนั้นภายใต้การกำหนดค่า ให้เลือกรายงานการเข้ารหัส