BitLocker 设备策略

• 他们希望如何在启动时解锁驱动器
• 如何备份其恢复密钥
• 如何解锁固定驱动器。

• 在没有 TPM 芯片的设备上启用 BitLocker。
• 在 BitLocker 界面中显示恢复选项。
• 在未启用 BitLocker 时，拒绝写入固定或可移动驱动器。
• 安全地保存加密的 BitLocker 恢复密钥，以便用户在忘记或放错密钥时可以访问。此密钥可在自助服务门户上找到。

要求

• BitLocker 设备策略需要 Windows 10 企业版或 Windows 11 企业版。
• 在部署 BitLocker 设备策略之前，请为 BitLocker 的使用准备好您的环境。有关 Microsoft 提供的详细信息，包括 BitLocker 系统要求和设置，请参阅 BitLocker 中的文章。

Windows 桌面和平板电脑设置

• Bitlocker 设置
  • 要求设备加密： 确定是否提示用户在 Windows 桌面或平板电脑上启用 BitLocker 加密。如果设置为“开”，则设备在注册完成后会显示一条消息，指示企业要求设备加密。如果设置为“关”，则不会提示用户，并且 BitLocker 将使用策略设置。默认为“关”。
• 加密设置
  • 配置加密方法： 确定用于特定驱动器类型的加密方法。如果设置为“关”，BitLocker 向导会提示设备用户选择用于驱动器类型的加密方法。所有驱动器的默认加密方法为 XTS-AES 128 位。可移动驱动器的默认加密方法为 AES-CBC 128 位。如果设置为“开”，BitLocker 将使用策略中指定的加密方法。如果设置为“开”，则会出现以下额外设置：操作系统驱动器、固定驱动器和可移动驱动器。为每种驱动器类型选择默认加密方法。默认为“关”。
• 操作系统驱动器设置
  • 启动时需要额外身份验证： 指定设备启动时所需的额外身份验证。还指定是否允许在没有 TPM 芯片的设备上使用 BitLocker。如果设置为“关”，则没有 TPM 的设备无法使用 BitLocker 加密。有关 TPM 的信息，请参阅 Microsoft 文章 受信任的平台模块技术概述。如果设置为“开”，则会出现以下额外设置。默认为“关”。
  • 阻止在没有 TPM 芯片的设备上使用 BitLocker： 在没有 TPM 芯片的设备上，BitLocker 要求用户创建解锁密码或启动密钥。启动密钥存储在 USB 驱动器中，用户必须在启动前将其连接到设备。解锁密码最少为八个字符。默认为“关”。
  • TPM 启动： 在具有 TPM 的设备上，有四种解锁模式：仅限 TPM、TPM + PIN、TPM + 密钥和 TPM + PIN + 密钥。TPM 启动适用于仅限 TPM 模式，其中加密密钥存储在 TPM 芯片中。此模式不需要用户提供额外的解锁数据。用户设备在重新启动期间会自动解锁，使用 TPM 芯片中的加密密钥。默认为“允许 TPM”。
  • TPM 启动 PIN： 此设置为 TPM + PIN 解锁模式。PIN 最多可包含 20 位数字。使用“最小 PIN 长度”设置指定最小 PIN 长度。用户在 BitLocker 设置期间配置 PIN，并在设备启动期间提供 PIN。
  • TPM 启动密钥： 此设置为 TPM + 密钥解锁模式。启动密钥存储在 USB 或其他可移动驱动器中，用户必须在启动前将其连接到设备。
  • TPM 启动密钥和 PIN： 此设置为 TPM + PIN + 密钥解锁模式。
    如果解锁成功，操作系统将开始加载。否则，设备将进入恢复模式。
• PIN 长度
  • 最小 PIN 长度： TPM 启动 PIN 的最小长度。默认为 6。
• BitLocker 密码恢复设置
  • BitLocker 恢复备份到 Citrix Endpoint Management： 如果启用此选项，需要解锁设备的用户可以在自助服务门户上找到其 BitLocker 恢复密钥。Citrix Endpoint Management 管理员无法查看用户的 BitLocker 恢复密钥。有关查看 BitLocker 恢复密钥的更多信息，请参阅BitLocker 恢复密钥。
• 操作系统驱动器恢复设置： 为 BitLocker 加密的操作系统驱动器配置用户的恢复选项。
  • 启用操作系统驱动器恢复： 如果解锁步骤失败，BitLocker 会提示用户输入配置的恢复密钥。此设置配置了在用户没有解锁密码或 USB 启动密钥时可用的操作系统驱动器恢复选项。默认为关闭。
  • 允许基于证书的数据恢复代理： 指定是否允许基于证书的数据恢复代理。从“公钥策略”添加数据恢复代理，该策略位于“组策略管理控制台 (GPMC)”或“本地组策略编辑器”中。有关数据恢复代理的更多信息，请参阅 Microsoft 文章BitLocker 组策略设置。默认为关闭。
  • 48 位恢复密码： 指定是允许还是要求用户使用恢复密码。BitLocker 生成密码并将其存储在文件或 Microsoft 云帐户中。默认为允许 48 位密码。
  • 256 位恢复密钥： 指定是允许还是要求用户使用恢复密钥。恢复密钥是一个 BEK 文件，存储在 USB 驱动器上。默认为允许 256 位恢复密钥。
  • 隐藏操作系统驱动器恢复选项： 指定是否在 BitLocker 界面中显示或隐藏恢复选项。如果为开，则 BitLocker 界面中不显示任何恢复选项。在这种情况下，请将设备注册到 Active Directory，将恢复选项保存到 Active Directory，并将将恢复信息保存到 AD DS设置为开。默认为关闭。
  • 将恢复信息保存到 Active Directory 域服务： 指定是否将恢复选项保存到 Active Directory 域服务。默认为关闭。
  • 存储在 Active Directory 域服务中的恢复信息： 指定是将 BitLocker 恢复密码还是恢复密码和密钥包存储在 Active Directory 域服务中。存储密钥包支持从物理损坏的驱动器恢复数据。默认为备份恢复密码。
  • 在 Active Directory 域服务中存储恢复信息后启用 BitLocker： 指定是否阻止用户启用 BitLocker，除非设备已连接到域并且 BitLocker 恢复信息备份到 Active Directory 成功。如果为开，则设备必须在启动 BitLocker 之前加入域。默认为关闭。
  • 预启动恢复消息和 URL： 指定 BitLocker 是否在恢复屏幕上显示自定义消息和 URL。如果为开，则会出现以下额外设置：使用默认恢复消息和 URL、使用空恢复消息和 URL、使用自定义恢复消息、使用自定义恢复 URL 和使用 Citrix Endpoint Management 恢复消息和 URL。如果为关，则显示默认恢复消息和 URL。默认为关闭。
• 固定驱动器恢复设置： 为 BitLocker 加密的固定驱动器配置用户的恢复选项。BitLocker 不会向用户显示有关固定驱动器加密的消息。要在启动期间解锁驱动器，用户需要提供密码或智能卡。启动解锁设置（不在此策略中）会在用户在固定驱动器上启用 BitLocker 加密时出现在 BitLocker 界面中。有关相关设置的信息，请参阅此列表前面部分的配置操作系统驱动器恢复。默认为关闭。
• 固定驱动器设置
  • 阻止对未使用 BitLocker 的固定驱动器进行写入访问： 如果设置为“开”，则用户只能在固定驱动器使用 BitLocker 加密时才能对其进行写入。默认设置为“关”。
• 可移动驱动器设置
• 阻止对未使用 BitLocker 的可移动驱动器进行写入访问： 如果设置为“开”，则用户只能在可移动驱动器使用 BitLocker 加密时才能对其进行写入。请根据您的组织是否允许对其他组织的可移动驱动器进行写入访问来配置此设置。默认设置为“关”。
• 阻止对其他组织设备进行写入访问： 如果设置为“开”，则用户无法写入其组织内的其他设备，例如网络驱动器。
• 其他驱动器设置
• 提示进行其他磁盘加密： 允许您禁用设备上其他磁盘加密的警告提示。默认设置为“关”。