Lưu trữ khóa khôi phục BitLocker trong Active Directory

Bạn có thể sử dụng Active Directory để lưu trữ an toàn các bản sao lưu của khóa khôi phục BitLocker (mật khẩu) từ máy khách. Sẽ rất thuận tiện nếu bạn có nhiều người dùng sử dụng BitLocker để mã hóa dữ liệu của họ. Bạn có thể định cấu hình Chính sách nhóm trong miền của mình để khi mã hóa bất kỳ ổ đĩa nào bằng BitLocker, máy tính sẽ lưu khóa khôi phục trong tài khoản đối tượng máy tính của nó trong AD (giống như lưu trữ mật khẩu quản trị viên máy tính cục bộ được tạo bằng LAPS).

Để định cấu hình lưu trữ khóa BitLocker trong Active Directory, cơ sở hạ tầng của bạn phải đáp ứng các yêu cầu sau:

• Máy khách chạy Windows 10 hoặc Windows 8.1 với phiên bản Pro và Enterprise;

• Phiên bản lược đồ AD: Windows Server 2012 trở lên;

• Các tệp GPO ADMX của bạn phải được cập nhật lên phiên bản mới nhất.

Làm cách nào để định cấu hình chính sách nhóm để lưu trữ các khóa khôi phục BitLocker trong AD?

Để tự động lưu (sao lưu) các khóa khôi phục BitLocker vào miền Active Directory, bạn cần định cấu hình một GPO đặc biệt.

1. Mở bảng điều khiển Quản lý chính sách nhóm miền (

   gpmc.msc

   ), tạo một GPO mới và liên kết nó với một OU với các máy tính mà bạn muốn bật lưu khóa BitLocker tự động trong AD;

2. Chuyển đến Cấu hình máy tính -> Mẫu quản trị -> Cấu phần Windows -> Mã hóa ổ đĩa BitLocker;

3. Bật chính sách Lưu trữ thông tin khôi phục BitLocker trong Dịch vụ miền Active Directory với các cài đặt sau: Yêu cầu sao lưu BitLocker vào AD DS và Chọn thông tin khôi phục BitLocker để lưu trữ: Mật khẩu khôi phục và các gói khóa;

   

4. Sau đó, đi tới Cấu hình máy tính -> Chính sách -> Mẫu quản trị -> Cấu phần Windows -> Mã hóa ổ đĩa BitLocker -> Ổ đĩa hệ điều hành và bật chính sách Chọn cách có thể khôi phục các ổ đĩa hệ điều hành được bảo vệ bằng BitLocker. Lưu ý rằng bạn nên kiểm tra Không bật BitLocker cho đến khi thông tin khôi phục được lưu trữ vào AD DS cho ổ đĩa hệ điều hành. Nếu bạn chọn tùy chọn này, BitLocker sẽ không bắt đầu mã hóa ổ đĩa cho đến khi máy tính lưu khóa khôi phục mới trong AD (nếu bạn là người dùng di động, bạn sẽ phải đợi kết nối tiếp theo với mạng miền);

5. Trong trường hợp của chúng tôi, tự động lưu khóa BitLocker được bật cho ổ đĩa hệ điều hành. Nếu bạn muốn lưu khóa khôi phục BitLocker cho các thiết bị phương tiện bên ngoài hoặc các ổ đĩa khác, hãy định cấu hình chính sách tương tự trong các phần GPO này: Ổ đĩa dữ liệu cố định và Ổ đĩa dữ liệu di động;

   

6. Cập nhật cài đặt Chính sách nhóm trên máy khách:

   gpupdate /force

7. Mã hóa ổ đĩa hệ thống của máy tính chạy Windows 10 Pro bằng BitLocker (Bật BitLocker);

   

8. Windows 10 sẽ lưu khóa khôi phục BitLocker cho máy tính trong Active Directory và mã hóa ổ đĩa.

   Bạn có thể có nhiều mật khẩu khôi phục BitLocker cho một máy tính (ví dụ: cho các thiết bị di động khác nhau).

Nếu đĩa máy tính đã được mã hóa bằng BitLocker, bạn có thể đồng bộ hóa thủ công trong AD. Chạy lệnh:

manage-bde -protectors -get c:

Sao chép giá trị ID mật khẩu số (ví dụ:

22A6A1F0-1234-2D21-AF2B-7123211335047

).

Chạy lệnh bên dưới để lưu khóa khôi phục vào tài khoản AD của máy tính hiện tại:

manage-bde -protectors -adbackup C: -id {22A6A1F0-1234-2D21-AF2B-7123211335047}

Bạn sẽ thấy thông báo này:

Recovery information was successfully backed up to Active Directory

BackupToAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId ((Get-BitLockerVolume -MountPoint $env:SystemDrive ).KeyProtector | where {$_.KeyProtectorType -eq "RecoveryPassword" }).KeyProtectorId

Làm cách nào để xem và quản lý các khóa khôi phục BitLocker trong Active Directory?

Để quản lý các khóa khôi phục BitLocker từ phần đính vào Máy tính và Người dùng Active Directory (ADUC,

dsa.msc

), bạn phải cài đặt Công cụ quản trị máy chủ từ xa (RSAT).

Trong Windows Server, bạn có thể cài đặt tính năng Tiện ích quản trị mã hóa ổ đĩa BitLocker bằng Trình quản lý máy chủ (tiện ích này chứa Công cụ mã hóa ổ đĩa BitLocker và Trình xem mật khẩu khôi phục BitLocker) .

Hoặc bạn có thể cài đặt các tính năng Windows Server này bằng PowerShell:

Install-WindowsFeature RSAT-Feature-Tools-BitLocker-BdeAducExt, RSAT-Feature-Tools-BitLocker-RemoteAdminTool, RSAT-Feature-Tools-BitLocker

Bây giờ, nếu bạn mở thuộc tính của bất kỳ máy tính nào trong bảng điều khiển ADUC, bạn sẽ thấy tab Khôi phục BitLocker mới.

Tại đây, bạn có thể xem thời điểm mật khẩu được tạo, lấy ID mật khẩu và khóa khôi phục BitLocker.

Sau đó, nếu người dùng quên mật khẩu BitLocker của mình, người đó có thể cho quản trị viên biết 8 ký hiệu đầu tiên của khóa khôi phục được hiển thị trên màn hình máy tính và quản trị viên có thể tìm thấy khóa khôi phục của máy tính trong ADUC bằng cách sử dụng Hành động —> Tìm mật khẩu khôi phục BitLocker và thông báo mật khẩu đó cho người dùng. Mật khẩu khôi phục (số gồm 48 chữ số) sẽ giúp mở khóa ổ đĩa được bảo vệ bởi Bitlocker.

Theo mặc định, chỉ quản trị viên miền mới có thể xem các khóa khôi phục BitLocker. Trong Active Directory, bạn có thể ủy quyền xem các khóa khôi phục BitLocker trong một OU cụ thể cho bất kỳ nhóm người dùng nào. Để thực hiện, hãy ủy quyền xem giá trị thuộc tính msFVE-RecoveryInformation.

Vì vậy, trong bài viết này, chúng tôi đã chỉ ra cách định cấu hình sao lưu tự động các khóa khôi phục BitLocker trong Active Directory. Nếu người dùng quên mật khẩu BitLocker, bạn có thể lấy nó và khôi phục quyền truy cập vào dữ liệu trên thiết bị của người dùng.