เปิดใช้งานและกำหนดค่า BitLocker โดยใช้ Intune: คำแนะนำทีละขั้นตอน

ในโพสต์นี้ ฉันจะแสดงวิธีเปิดใช้งานและกำหนดค่า BitLocker โดยใช้ Intune คุณสามารถใช้ Microsoft Intune เพื่อกำหนดค่าการเข้ารหัสไดรฟ์ด้วย BitLocker บนอุปกรณ์ที่ใช้ Windows 10 หรือ 11 คู่มือนี้จะอธิบายวิธีการปรับใช้ BitLocker โดยใช้ Intune สำหรับอุปกรณ์ Windows

การเข้ารหัสลับไดรฟ์ด้วย BitLocker ใน Intune เป็นคุณลักษณะการปกป้องข้อมูลที่ผสานรวมกับระบบปฏิบัติการและจัดการกับภัยคุกคามของการโจรกรรมข้อมูลหรือการเปิดเผยจากคอมพิวเตอร์ที่สูญหาย ถูกขโมย หรือเลิกใช้งานอย่างไม่เหมาะสม

การเข้ารหัสช่วยปกป้องข้อมูลในอุปกรณ์ของคุณ ดังนั้นเฉพาะผู้ที่ได้รับอนุญาตเท่านั้นจึงจะเข้าถึงได้ BitLocker พร้อมใช้งานบนอุปกรณ์ที่ใช้ Windows 10 และ Windows 11 คุณยังสามารถเปิดใช้งาน Bitlocker ได้โดยไม่ต้องใช้ TPM

สามารถเปิดใช้งานการเข้ารหัส Bitlocker บนอุปกรณ์ Windows 10 และ Windows 11 ได้หลายวิธี เช่น Group Policy, Configuration Manager และ Microsoft Intune ในคอมพิวเตอร์แบบสแตนด์อโลน คุณสามารถเปิดการเข้ารหัสด้วย Bitlocker ได้ด้วยตนเอง

หมายเหตุ: คุณสามารถกำหนดค่านโยบาย BitLocker เพื่อเปิดใช้งาน BitLocker บนอุปกรณ์โดยอัตโนมัติและโดยไม่ต้องแจ้งให้ทราบ นั่นหมายความว่า BitLocker เปิดใช้งานได้สำเร็จโดยไม่ต้องนำเสนอ UI ใด ๆ แก่ผู้ใช้ แม้ว่าผู้ใช้นั้นจะไม่ใช่ผู้ดูแลระบบภายในอุปกรณ์ก็ตาม คุณสามารถใช้โปรไฟล์ BitLocker จากนโยบายการเข้ารหัสดิสก์ความปลอดภัยปลายทาง หรือเทมเพลตการป้องกันปลายทางจากนโยบายการกำหนดค่าอุปกรณ์

ข้อกำหนดเบื้องต้นของ BitLocker Intune

BitLocker for Intune พร้อมใช้งานบนอุปกรณ์ที่ใช้ Windows 10 และ Windows 11 การเปิดใช้งาน Bitlocker โดยใช้ Intune จำเป็นต้องมีข้อกำหนดเบื้องต้นต่อไปนี้:

1. คุณจะต้องมีใบอนุญาต Microsoft Endpoint Manager (Intune) ที่ถูกต้อง
2. อุปกรณ์ต้องเป็น Azure AD หรือ Hybrid Azure AD ที่เข้าร่วม
3. อุปกรณ์จะต้องไม่ถูกเข้ารหัสด้วยเครื่องมือเข้ารหัสดิสก์ของบริษัทอื่น เช่น McAfee Disk Encryption หากอุปกรณ์ได้รับการเข้ารหัสด้วยโซลูชันอื่นอยู่แล้ว คุณจะต้องถอดรหัสอุปกรณ์เหล่านั้นโดยสมบูรณ์ก่อนจึงจะปรับใช้ BitLocker โดยใช้ Intune
4. อุปกรณ์ปลายทางต้องมีชิป TPM เวอร์ชัน 1.2 หรือสูงกว่า (ขอแนะนำอย่างยิ่งให้ TPM 2.0)
5. ต้องตั้งค่า BIOS เป็น UEFI
6. ในการจัดการ BitLocker ใน Intune บัญชีของคุณต้องมีสิทธิ์การควบคุมการเข้าถึงตามบทบาทของ Intune (RBAC) ที่เกี่ยวข้อง

วิธีการกำหนดค่าและปรับใช้ Bitlocker โดยใช้ Intune

Intune ช่วยให้คุณสามารถกำหนดค่าและปรับใช้นโยบาย BitLocker ได้โดยใช้สองวิธี:

1. สร้างโปรไฟล์การกำหนดค่าอุปกรณ์สำหรับ BitLocker และปรับใช้กับอุปกรณ์
2. สร้างนโยบายความปลอดภัยปลายทางสำหรับ BitLocker กำหนดค่าและปรับใช้กับอุปกรณ์

คุณสามารถใช้ขั้นตอนข้างต้นเพื่อสร้างประเภทนโยบายที่คุณต้องการได้ แนวทางที่แนะนำคือการสร้างนโยบายความปลอดภัยปลายทางและกำหนดค่า BitLocker โดยใช้ Intune สำหรับอุปกรณ์ Windows

การตั้งค่าที่จำเป็นเพื่อเปิดใช้งาน BitLocker แบบเงียบ ๆ โดยใช้ Intune

ขึ้นอยู่กับประเภทของนโยบายที่คุณใช้ คุณสามารถเปิดใช้งาน BitLocker โดยไม่ต้องแจ้งให้ทราบโดยใช้ Intune:

• นโยบายการเข้ารหัสดิสก์ความปลอดภัยปลายทาง: กำหนดการตั้งค่าต่อไปนี้ในโปรไฟล์ BitLocker:

  • ซ่อนข้อความแจ้งเกี่ยวกับการเข้ารหัสของบุคคลที่สาม=ใช่
  • อนุญาตให้ผู้ใช้มาตรฐานเปิดใช้งานการเข้ารหัสระหว่าง Autopilot=ใช่
  • ต้องมีการสร้างไฟล์คีย์=ถูกบล็อกหรืออนุญาต

• นโยบายการกำหนดค่าอุปกรณ์ BitLocker: กำหนดการตั้งค่าต่อไปนี้ในเทมเพลตการป้องกันปลายทางหรือโปรไฟล์การตั้งค่าที่กำหนดเอง:

  • คำเตือนสำหรับการเข้ารหัสดิสก์อื่น=บล็อก
  • อนุญาตให้ผู้ใช้มาตรฐานเปิดใช้งานการเข้ารหัสระหว่าง Azure AD Join=Allow

เปิดใช้งานและกำหนดค่า Bitlocker โดยใช้ Intune

ตอนนี้เราจะดูวิธีใช้ Intune เพื่อเปิด ตั้งค่า และปรับใช้ Bitlocker วิธีนี้จะกำหนดค่าการเข้ารหัสไดรฟ์ด้วย BitLocker บนอุปกรณ์ที่ใช้ Windows 10 หรือ 11 ขั้นตอนระดับสูงในการเปิดใช้งานและกำหนดค่า Bitlocker โดยใช้ Intune มีดังนี้:

• เปิดใช้งาน Bitlocker โดยใช้ Intune
• สร้างโปรไฟล์การกำหนดค่าสำหรับ Bitlocker ใน Intune
• กำหนดค่านโยบาย Bitlocker โดยใช้ Intune
• ตรวจสอบสถานะการเข้ารหัส Bitlocker

ขั้นตอนที่ 1: สร้างนโยบาย BitLocker ใน Intune

ในขั้นตอนนี้ เราจะสร้างนโยบายความปลอดภัยปลายทางใหม่สำหรับ Bitlocker ใน Intune โดยมีขั้นตอนต่อไปนี้:

• ลงชื่อเข้าใช้ศูนย์การจัดการ Microsoft Endpoint Manager (Intune Admin Center)
• ไปที่โหนด Endpoint Security และภายใต้จัดการ ให้เลือก การเข้ารหัสดิสก์
• หากต้องการสร้างนโยบายใหม่ ให้เลือก สร้างนโยบาย

ในหน้าต่างสร้างโปรไฟล์ ให้เลือกตัวเลือกต่อไปนี้:

• แพลตฟอร์ม: Windows 10 และใหม่กว่า
• โปรไฟล์: BitLocker

คลิกสร้าง

ในแท็บ พื้นฐาน ของหน้า สร้างโปรไฟล์ ให้ป้อนชื่อนโยบาย Bitlocker และคำอธิบายโดยย่อ ตัวอย่างเช่น คุณสามารถระบุรายละเอียดต่อไปนี้:

• ชื่อ: เปิดใช้งานและกำหนดค่า Bitlocker โดยใช้ Intune
• คำอธิบาย: สร้างนโยบายความปลอดภัยปลายทางสำหรับ BitLocker

คลิก ถัดไป

ขั้นตอนที่ 2: กำหนดค่า Bitlocker โดยใช้ Intune

ในขั้นตอนนี้ ฉันจะแสดงวิธีกำหนดการตั้งค่านโยบาย Bitlocker ใน Intune มีการตั้งค่าหลายอย่างที่คุณสามารถกำหนดค่าได้เมื่อคุณมาถึง การตั้งค่าการกำหนดค่า BitLocker ฉันอยากจะชี้ให้เห็นว่าคุณไม่จำเป็นต้องเปิดใช้งานและกำหนดการตั้งค่า BitLocker ทุกรายการ จะต้องกำหนดการตั้งค่าตามความต้องการของธุรกิจ อย่างไรก็ตาม ฉันจะกล่าวถึงแนวทางปฏิบัติที่ดีที่สุดที่คุณสามารถปฏิบัติตามได้เมื่อคุณเปิดใช้งานและกำหนดค่า BitLocker โดยใช้ Intune

กำหนดการตั้งค่าฐาน BitLocker ใน Intune

การตั้งค่าชุดแรกที่คุณเห็นบนแท็บการตั้งค่าการกำหนดค่าสำหรับ Bitlocker คือการตั้งค่าพื้นฐาน สิ่งเหล่านี้ทำให้คุณสามารถกำหนดค่าการเปิดใช้งานและการบังคับใช้ BitLocker แบบไม่ต้องโต้ตอบได้ เราจะตรวจสอบทุกการตั้งค่า และฉันจะอธิบายวัตถุประสงค์ของการตั้งค่าแต่ละอย่าง และคุณควรเปิดใช้งานหรือไม่

• เปิดใช้งานการเข้ารหัสทั้งดิสก์สำหรับระบบปฏิบัติการและไดรฟ์ข้อมูลแบบคงที่: เลือก ใช่ สิ่งนี้จะบังคับใช้ BitLocker
• กำหนดให้การ์ดจัดเก็บข้อมูลต้องเข้ารหัส (มือถือเท่านั้น): เลือก ไม่ได้กำหนดค่า เมื่อตั้งค่านี้เป็น ใช่ อุปกรณ์มือถือจะต้องมีการเข้ารหัสบนการ์ดจัดเก็บข้อมูล เมื่อตั้งค่าเป็นไม่ได้กำหนดค่า การตั้งค่าจะกลับสู่ค่าเริ่มต้นของระบบปฏิบัติการซึ่งไม่จำเป็นต้องเข้ารหัสการ์ดจัดเก็บข้อมูล การตั้งค่านี้ใช้ได้กับอุปกรณ์ Windows Mobile และ Mobile Enterprise SKU เท่านั้น
• ซ่อนข้อความแจ้งเกี่ยวกับการเข้ารหัสของบุคคลที่สาม: เลือก ใช่ หากคุณเปิดใช้งาน BitLocker โดยใช้ Intune บนระบบที่ได้รับการเข้ารหัสโดยผลิตภัณฑ์เข้ารหัสของบริษัทอื่นแล้ว อาจทำให้อุปกรณ์ใช้งานไม่ได้ ขอแนะนำอย่างยิ่งว่าอย่าเปิดใช้งาน BitLocker บนอุปกรณ์ที่ติดตั้งหรือเปิดใช้งานการเข้ารหัสของบุคคลที่สาม เช่น McAfee Disk Encryption เมื่อตั้งค่านี้เป็น ใช่ ข้อความแจ้งเตือนนี้จะถูกระงับ เมื่อตั้งค่าเป็น ไม่ได้กำหนดค่า การตั้งค่าจะกลับสู่ค่าเริ่มต้นซึ่งก็คือการเตือนผู้ใช้เกี่ยวกับการเข้ารหัสของบุคคลที่สาม
• อนุญาตให้ผู้ใช้มาตรฐานเปิดใช้งานการเข้ารหัสระหว่างระบบอัตโนมัติ: เลือก ใช่ เมื่อตั้งค่าเป็น ใช่ ในระหว่างสถานการณ์การเปิดใช้งาน Azure Active Directory Join (AADJ) แบบไม่มีการโต้ตอบ ผู้ใช้ไม่จำเป็นต้องเป็นผู้ดูแลระบบภายในเพื่อเปิดใช้งาน BitLocker โดยใช้ Intune เมื่อตั้งค่าเป็นไม่ได้กำหนดค่า การตั้งค่าจะคงไว้เป็นค่าเริ่มต้นของไคลเอ็นต์ซึ่งจะต้องมีสิทธิ์การเข้าถึงของผู้ดูแลระบบภายในเพื่อเปิดใช้งาน BitLocker
• กำหนดค่าการหมุนเวียนรหัสผ่านการกู้คืนที่ขับเคลื่อนโดยไคลเอ็นต์: เลือกตัวเลือก “เปิดใช้งานการหมุนเวียนบน Azure AD และอุปกรณ์ที่เข้าร่วมแบบไฮบริด” หากคุณตั้งค่านี้เป็น ไม่ได้กำหนดค่า หมายความว่าไคลเอ็นต์จะไม่หมุนเวียนคีย์การกู้คืน BitLocker เมื่อเปิดเผยบนไคลเอ็นต์ การตั้งค่าเป็นเปิดใช้งานการหมุนเวียนคีย์สำหรับอุปกรณ์ที่เข้าร่วม Azure AD จะอนุญาตให้มีการหมุนเวียนคีย์สำหรับอุปกรณ์ AADJ การตั้งค่าเป็นเปิดใช้งานการหมุนเวียนคีย์สำหรับอุปกรณ์ที่เข้าร่วม Azure AD และอุปกรณ์ที่เข้าร่วมแบบไฮบริดจะอนุญาตให้มีการหมุนเวียนคีย์สำหรับอุปกรณ์ AADJ หรืออุปกรณ์ที่เข้าร่วมแบบไฮบริด

กำหนดการตั้งค่าไดรฟ์คงที่ของ BitLocker ใน Intune

การตั้งค่าไดรเวอร์คงที่ของ BitLocker จะนำไปใช้กับดิสก์ภายในเพิ่มเติมที่อุปกรณ์อาจมี ตัวอย่างนี้อาจแยกพาร์ติชันบนดิสก์หลักหรือดิสก์ที่สองแยกต่างหากที่ติดตั้งบนเดสก์ท็อปหรือแล็ปท็อป

มาดูการตั้งค่าไดรเวอร์คงที่แต่ละรายการตามลำดับ:

• นโยบายไดรฟ์คงที่ของ BitLocker: การตั้งค่านโยบายนี้ใช้เพื่อควบคุมวิธีการเข้ารหัสและความเข้มงวดของการเข้ารหัส ค่าของนโยบายนี้จะกำหนดความแข็งแกร่งของการเข้ารหัสที่ BitLocker ใช้ในการเข้ารหัส
• การกู้คืนไดรฟ์แบบคงที่: การตั้งค่านี้ควบคุมวิธีการกู้คืนไดรฟ์ข้อมูลแบบคงที่ที่ป้องกันด้วย BitLocker ในกรณีที่ไม่มีข้อมูลคีย์การเริ่มต้นระบบที่จำเป็น
• การสร้างไฟล์คีย์การกู้คืน: การตั้งค่านี้เป็น Require จะสร้างรหัสผ่านการกู้คืน 48 หลักในระหว่างการเริ่มต้น BitLocker และส่งรหัสผ่านไปยัง Azure AD หากมีการตั้งค่านโยบายบันทึกข้อมูลการกู้คืน BitLocker ไปยัง Azure Active Directory
• กำหนดค่าแพ็คเกจการกู้คืน BitLocker: การตั้งค่านี้เป็น Require จะสร้างรหัสผ่านการกู้คืน 48 หลักในระหว่างการเริ่มต้น BitLocker และส่งรหัสผ่านไปยัง Azure AD หากมีการตั้งค่านโยบายบันทึกข้อมูลการกู้คืน BitLocker ไปยัง Azure Active Directory
• กำหนดให้อุปกรณ์สำรองข้อมูลการกู้คืนไปยัง Azure AD: การตั้งค่านี้เป็น Require จะสร้างรหัสผ่านการกู้คืน 48 หลักในระหว่างการเริ่มต้น BitLocker และส่งไปยัง Azure AD หากนโยบายบันทึกข้อมูลการกู้คืน BitLocker ไปยัง Azure Active Directory คือ ตั้งค่าให้เปิดใช้งาน
• การสร้างรหัสผ่านการกู้คืน: การตั้งค่านี้เป็น อนุญาต จะสร้างรหัสผ่านการกู้คืน 48 หลักในระหว่างการเริ่มต้น BitLocker และส่งไปยัง Azure AD หากนโยบายบันทึกข้อมูลการกู้คืน BitLocker ไปยัง Azure Active Directory ถูกตั้งค่าให้เปิดใช้งาน การตั้งค่านี้เป็น ต้องการ จะสร้างรหัสผ่านการกู้คืน 48 หลักในระหว่างการเริ่มต้น BitLocker และส่งไปยัง Azure AD หากนโยบายบันทึกข้อมูลการกู้คืน BitLocker ไปยัง Azure Active Directory ได้รับการตั้งค่าให้เปิดใช้งาน
• ซ่อนตัวเลือกการกู้คืนระหว่างการตั้งค่า BitLocker: การตั้งค่านี้เป็น ใช่ จะบล็อกผู้ใช้จากการเลือกตัวเลือกการกู้คืนเพิ่มเติม เช่น การพิมพ์คีย์การกู้คืนระหว่างวิซาร์ดการตั้งค่า BitLocker การตั้งค่านี้เป็นไม่ได้กำหนดค่าจะทำให้ผู้ใช้สามารถเข้าถึงตัวเลือกการกู้คืนเพิ่มเติมได้
• เปิดใช้งาน BitLocker หลังจากข้อมูลการกู้คืนเพื่อจัดเก็บ: เมื่อตั้งค่านี้เป็น ใช่ ข้อมูลการกู้คืน BitLocker จะถูกบันทึกลงใน Active Directory Domain Services
• บล็อกการใช้ Data Recovery Agent (DRA) ตามใบรับรอง: การตั้งค่านี้เป็นใช่จะบล็อกความสามารถในการใช้ Data Recovery Agent (DRA) เพื่อกู้คืนไดรฟ์ที่เปิดใช้งาน BitLocker การตั้งค่านี้เป็น "ไม่ได้กำหนดค่า" จะทำให้สามารถตั้งค่าการใช้ DRA ได้ การตั้งค่า DRA ต้องใช้ PKI ขององค์กรและ Group Policy Objects เพื่อปรับใช้ตัวแทน DRA และใบรับรอง
• บล็อกการเข้าถึงการเขียนไดรฟ์ข้อมูลแบบคงที่ที่ไม่ได้รับการป้องกันโดย BitLocker: เมื่อตั้งค่าเป็น ใช่ Windows จะไม่อนุญาตให้เขียนข้อมูลใดๆ ไปยังไดรฟ์แบบคงที่ที่ไม่ได้รับการป้องกันด้วย BitLocker หากไดรฟ์แบบคงที่ไม่ได้รับการเข้ารหัส ผู้ใช้จะต้องดำเนินการตามวิซาร์ดการตั้งค่า BitLocker สำหรับไดรฟ์ให้เสร็จสิ้นก่อนจึงจะได้รับสิทธิ์ในการเขียน การตั้งค่านี้เป็น "ไม่ได้กำหนดค่า" จะทำให้ข้อมูลถูกเขียนลงในไดรฟ์แบบคงที่ที่ไม่ได้เข้ารหัส
• กำหนดค่าวิธีการเข้ารหัสสำหรับไดรฟ์ข้อมูลแบบคงที่: เลือกวิธีการเข้ารหัส AES 256bit XTS การตั้งค่านี้ทำให้คุณสามารถเลือกวิธีการเข้ารหัสที่ต้องการสำหรับดิสก์ไดรฟ์ข้อมูลแบบคงที่ XTS- AES 128 บิตคือวิธีการเข้ารหัสเริ่มต้นของ Windows และเป็นค่าที่แนะนำ

กำหนดการตั้งค่าไดรฟ์ BitLocker OS

ในส่วนนี้ เราจะพูดถึงการตั้งค่าไดรฟ์ BitLocker OS ที่มีอยู่ใน Intune

• นโยบายไดรฟ์ระบบ BitLocker: เลือก กำหนดค่า
• ต้องมีการตรวจสอบสิทธิ์การเริ่มต้น: เลือก ใช่
• การเริ่มต้น TPM ที่เข้ากันได้: เลือก จำเป็น ขอแนะนำให้ต้องมี TPM สำหรับ BitLocker
• PIN เริ่มต้น TPM ที่เข้ากันได้: เลือก ถูกบล็อก ขอแนะนำให้ปิดใช้งาน PIN หากคุณต้องการเปิดใช้งาน BitLocker แบบเงียบๆ โดยใช้ Intune
• คีย์การเริ่มต้น TPM ที่เข้ากันได้: เลือก ถูกบล็อก
• คีย์การเริ่มต้น TPM และ PIN ที่เข้ากันได้: เลือก ถูกบล็อก
• ปิดใช้งาน BitLocker บนอุปกรณ์ที่ TPM เข้ากันไม่ได้: เลือก ไม่ได้กำหนดค่า
• เปิดใช้งานข้อความและ URL การกู้คืนก่อนบูต: ใช้ตัวเลือกนี้เพื่อประกาศว่าต้องการข้อความการกู้คืนที่กำหนดเองหรือ URL หรือไม่
• URL การกู้คืนก่อนบูต: ไม่บังคับ ใช้ตัวเลือกนี้เพื่อประกาศว่าต้องการข้อความการกู้คืนที่กำหนดเองหรือ URL

• การกู้คืนไดรฟ์ระบบ: ควบคุมวิธีการกู้คืนไดรฟ์ระบบปฏิบัติการที่ป้องกันด้วย BitLocker ในกรณีที่ไม่มีข้อมูลคีย์การเริ่มต้นระบบที่จำเป็น
• การสร้างคีย์การกู้คืนโดยผู้ใช้: เลือก อนุญาต ซึ่งอนุญาตให้ผู้ใช้ผู้ดูแลระบบสร้างไฟล์คีย์การกู้คืน 256 บิตด้วยตนเอง
• กำหนดค่าแพ็คเกจการกู้คืน BitLocker: เลือก รหัสผ่านและคีย์
• กำหนดให้อุปกรณ์สำรองข้อมูลการกู้คืนไปยัง Azure AD: เลือก ใช่ BitLocker จะไม่เปิดใช้งานให้เสร็จสมบูรณ์จนกว่าคีย์การกู้คืนจะถูกบันทึกลงใน Azure Active Directory สำเร็จ
• การสร้างรหัสผ่านการกู้คืน: เลือก จำเป็น
• ซ่อนตัวเลือกการกู้คืนระหว่างการตั้งค่า BitLocker: เลือก ใช่ การตั้งค่านี้เป็นใช่จะบล็อกผู้ใช้ไม่ให้เลือกตัวเลือกการกู้คืนเพิ่มเติม เช่น การพิมพ์คีย์การกู้คืนในระหว่างวิซาร์ดการตั้งค่า BitLocker
• เปิดใช้งาน BitLocker หลังจากข้อมูลการกู้คืนเพื่อจัดเก็บ: เลือก ใช่ เมื่อตั้งค่านี้เป็นใช่ ข้อมูลการกู้คืน BitLocker จะถูกบันทึกลงใน Active Directory Domain Services
• บล็อกการใช้เอเจนต์การกู้คืนข้อมูลตามใบรับรอง (DRA): เลือก ไม่ได้กำหนดค่า การตั้งค่านี้เป็น "ไม่ได้กำหนดค่า" จะทำให้สามารถตั้งค่าการใช้ DRA ได้
• ความยาว PIN ขั้นต่ำ: ช่วยให้คุณสามารถกำหนดค่าความยาว PIN เริ่มต้นขั้นต่ำเมื่อต้องใช้ TPM + PIN เมื่อคุณเปิดใช้งาน Bitlocker โดยใช้ Intune
• กำหนดค่าวิธีการเข้ารหัสสำหรับไดรฟ์ระบบปฏิบัติการ: เลือก AES 256 บิต XTS

กำหนดการตั้งค่าไดรฟ์แบบถอดได้ของ BitLocker

เมื่อคุณเปิดใช้งานและกำหนดค่า Bitlocker โดยใช้ Intune คุณอาจต้องพิจารณาไดรฟ์แบบถอดได้ด้วยเช่นกัน ในโพสต์ก่อนหน้าของฉัน ฉันได้แสดงให้คุณเห็นถึงวิธีการบล็อกที่เก็บข้อมูลแบบถอดได้โดยใช้ Intune หากอนุญาตให้ใช้อุปกรณ์แบบถอดได้ คุณสามารถกำหนดการตั้งค่า BitLocker ต่อไปนี้ได้

• นโยบายไดรฟ์แบบถอดได้ของ BitLocker: เลือกกำหนดค่า
• กำหนดค่าวิธีการเข้ารหัสสำหรับไดรฟ์ข้อมูลแบบถอดได้: เลือก AES 256 บิต XTS
• บล็อกการเข้าถึงการเขียนไดรฟ์ข้อมูลแบบถอดได้ที่ไม่ได้รับการป้องกันโดย BitLocker: เลือก ไม่ได้กำหนดค่า
• บล็อกการเข้าถึงการเขียนไปยังอุปกรณ์ที่กำหนดค่าในองค์กรอื่น: เลือก ไม่ได้กำหนดค่า

ขั้นตอนที่ 3: ปรับใช้ BitLocker โดยใช้ Intune

ในขั้นตอนที่ 1 เราได้สร้างนโยบาย BitLocker ใน Intune และในขั้นตอนที่ 2 เราได้กำหนดการตั้งค่านโยบาย BitLocker ในขั้นตอนนี้ เราจะปรับใช้นโยบาย BitLocker โดยกำหนดให้กับอุปกรณ์

หากองค์กรของคุณตั้งค่า BitLocker ด้วย Intune เป็นครั้งแรก คุณสามารถทดสอบกับกลุ่มนำร่องได้ คุณสามารถขยายนโยบาย BitLocker ไปยังกลุ่มอุปกรณ์ที่ใหญ่ขึ้นได้หากการติดตั้งใช้งานสำเร็จ

ในหน้า ขอบเขต (แท็ก) ให้เลือกเลือกแท็กขอบเขต เพื่อเปิดบานหน้าต่างเลือกแท็กเพื่อกำหนดแท็กขอบเขตให้กับโปรไฟล์ เลือก ถัดไป เพื่อดำเนินการต่อ

ในหน้า การมอบหมาย ให้เลือกกลุ่มที่จะได้รับโปรไฟล์นี้ ใต้ส่วนกลุ่มที่รวมไว้ ให้คลิกเพิ่มกลุ่ม และเลือกกลุ่ม Azure AD ที่คุณต้องการปรับใช้นโยบาย BitLocker เลือก ถัดไป

ในหน้า ตรวจสอบ + สร้าง คุณจะพบการตั้งค่า BitLocker ทั้งหมดที่คุณได้กำหนดค่าไว้ เมื่อเสร็จแล้ว ให้เลือก สร้าง

หลังจากสร้างนโยบาย BitLocker ใน Intune แล้ว นโยบายจะปรากฏภายใต้การเข้ารหัสดิสก์ โปรไฟล์ใหม่จะปรากฏในรายการเมื่อคุณเลือกประเภทนโยบายสำหรับโปรไฟล์ที่คุณสร้างขึ้น คุณสามารถมีนโยบายการเข้ารหัสดิสก์ได้หลายนโยบายสำหรับกลุ่มอุปกรณ์ที่แตกต่างกันใน Intune

ขั้นตอนที่ 4: ตรวจสอบสถานะการเข้ารหัสด้วย Bitlocker ใน Intune

หลังจากที่คุณปรับใช้ Bitlocker โดยใช้ Intune แล้ว ขั้นตอนต่อไปคือการตรวจสอบสถานะการเข้ารหัส BitLocker บนอุปกรณ์ คุณสามารถทำได้จากศูนย์การจัดการ Intune นั้น นอกจากนั้น ยังมีรายงานการเข้ารหัส Microsoft Intune เพื่อดูรายละเอียดเกี่ยวกับสถานะการเข้ารหัสของอุปกรณ์และค้นหาตัวเลือกในการจัดการคีย์การกู้คืนอุปกรณ์

จากภาพหน้าจอด้านล่าง เราจะเห็นว่าการกำหนดโปรไฟล์ Bitlocker สำเร็จบนอุปกรณ์เกือบทั้งหมดที่เรากำหนดเป้าหมายไว้ โปรดทราบว่านี่คือสถานะการกำหนดโปรไฟล์ ไม่ใช่สถานะการเข้ารหัสดิสก์

รายงานการเข้ารหัส Microsoft Intune เป็นศูนย์กลางในการค้นหาเกี่ยวกับสถานะการเข้ารหัสของอุปกรณ์และค้นหาวิธีจัดการคีย์การกู้คืน ตัวเลือกคีย์การกู้คืนที่มีอยู่จะขึ้นอยู่กับประเภทของอุปกรณ์ที่คุณกำลังดู หากต้องการค้นหารายงาน ให้ลงชื่อเข้าใช้ศูนย์การจัดการ Microsoft Endpoint Manager เลือก อุปกรณ์ > จอภาพ จากนั้นภายใต้การกำหนดค่า ให้เลือก รายงานการเข้ารหัส