Windows

Do BitLocker usando o AAD / MDM para o Cloud Data Security

Реклама подобрана на основе следующей информации:

Реклама подобрана на основе следующей информации:

Índice:

Anonim

Com os novos recursos do Windows 10, a produtividade dos usuários aumentou os trancos e barrancos. Isso porque o Windows 10 introduziu sua abordagem como `Mobile first, Cloud first`. Não é nada, mas a integração de dispositivos móveis com a tecnologia de nuvem. O Windows 10 oferece o gerenciamento moderno de dados usando soluções de gerenciamento de dispositivos baseados em nuvem, como Microsoft Enterprise Mobility Suite (EMS) . Com isso, os usuários podem acessar seus dados de qualquer lugar e a qualquer momento. No entanto, esse tipo de dados também precisa de segurança, o que é possível com o Bitlocker .

Criptografia do Bitlocker para segurança de dados em nuvem

A configuração de criptografia do Bitlocker já está disponível nos dispositivos móveis do Windows 10. No entanto, esses dispositivos precisavam ter o recurso InstantGo para automatizar a configuração. Com o InstantGo, o usuário pode automatizar a configuração no dispositivo, bem como fazer backup da chave de recuperação na conta do Azure AD do usuário.

Agora, os dispositivos não precisarão mais do recurso InstantGo. Com o Windows 10 Creators Update, todos os dispositivos do Windows 10 terão um assistente no qual os usuários serão solicitados a iniciar a criptografia do Bitlocker, independentemente do hardware usado. Isso foi principalmente o resultado do feedback dos usuários sobre a configuração, onde eles desejavam ter essa criptografia automatizada sem que os usuários fizessem nada. Portanto, agora a criptografia do Bitlocker tornou-se automática e independente do hardware.

Como a criptografia do Bitlocker funciona

Quando o usuário final inscreve o dispositivo e é um administrador local, o TriggerBitlocker MSI faz o seguinte:

  • Implanta três arquivos em C: Arquivos de Programas (x86) BitLockerTrigger
  • Importa uma nova tarefa agendada com base no Enable_Bitlocker.xml incluído

A tarefa agendada será executada a cada dia às 14:00 e fará o seguinte:

  • Execute Enable_Bitlocker.vbs cujo principal objetivo é chamar Enable_BitLocker.ps1 e executar minimizado.
  • Por sua vez, Enable_BitLocker.ps1 criptografará a unidade local e armazenar a chave de recuperação no Azure AD e no OneDrive for Business (se configurado)
    • A chave de recuperação só é armazenada quando alterada ou não presente

Os usuários que não fazem parte do grupo de administração local precisam seguir um procedimento diferente. Por padrão, o primeiro usuário que associa um dispositivo ao Azure AD é um membro do grupo de administradores local. Se um segundo usuário, que faz parte do mesmo inquilino do AAD, fizer logon no dispositivo, ele será um usuário padrão.

Essa bifurcação é necessária quando uma conta do Gerenciador de Inscrição do Dispositivo cuida da associação do Azure AD antes de entregá-la sobre o dispositivo para o usuário final. Para esses usuários modificados MSI (TriggerBitlockerUser) foi dada a equipe do Windows. É um pouco diferente da dos usuários admin locais:

A tarefa agendada do BitlockerTrigger será executada no Contexto do Sistema e:

  • Copie a chave de recuperação para a conta do Azure AD do usuário que ingressou no dispositivo para o AAD.
  • Copie temporariamente a chave de recuperação para Systemdrive temp (normalmente C: Temp).

Um novo script MoveKeyToOD4B.ps1 é introduzido e é executado diariamente por meio de uma tarefa agendada chamada MoveKeyToOD4B . Esta tarefa agendada é executada no contexto dos usuários. A chave de recuperação será movida de systemdrive temp para a pasta de recuperação do OneDrive for Business.

Para os cenários administrativos não locais, os usuários precisam implantar o arquivo TriggerBitlockerUser via Intune no grupo de extremidade -Comercial. Isso não é implantado no grupo / conta do Gerenciador de Inscrição de Dispositivos usado para associar o dispositivo ao Azure AD.

Para obter acesso à chave de recuperação, os usuários precisam acessar um dos seguintes locais:

  • Conta do AD do Azure
  • Uma pasta de recuperação no OneDrive for Business (se configurado).

Os usuários são sugeridos para recuperar a chave de recuperação via //myapps.microsoft.com e navegue até o perfil deles ou na pasta de recuperação do OneDrive for Business.

Para obter mais informações sobre como habilitar a criptografia do BitLocker, leia o blog completo no Microsoft TechNet.