BitLockerデバイスポリシー

• 起動時にドライブのロックを解除する方法
• 回復キーをバックアップする方法
• 固定ドライブのロックを解除する方法。

• TPMチップのないデバイスでBitLockerを有効にする。
• BitLockerインターフェイスで回復オプションを表示する。
• BitLockerが有効になっていない場合に、固定ドライブまたはリムーバブルドライブへの書き込みアクセスを拒否する。
• ユーザーがキーを忘れたり紛失したりした場合にアクセスできるように、暗号化されたBitLocker回復キーを安全に保存する。このキーはセルフヘルプポータルで見つけることができます。

要件

• BitLockerデバイスポリシーには、Windows 10 EnterpriseまたはWindows 11 Enterpriseエディションが必要です。
• BitLockerデバイスポリシーを展開する前に、BitLockerを使用するための環境を準備してください。BitLockerのシステム要件やセットアップを含むMicrosoftからの詳細情報については、BitLockerの記事を参照してください。

Windowsデスクトップおよびタブレットの設定

• BitLocker設定
  • デバイスの暗号化を必須にする: WindowsデスクトップまたはタブレットでBitLocker暗号化を有効にするようユーザーに促すかどうかを決定します。オンの場合、登録完了後にデバイスは、企業がデバイスの暗号化を要求していることを示すメッセージを表示します。オフの場合、ユーザーはプロンプト表示されず、BitLockerはポリシー設定を使用します。既定値はオフです。
• 暗号化設定
  • 暗号化方法の構成: 特定のドライブタイプに使用する暗号化方法を決定します。オフの場合、BitLockerウィザードは、ドライブタイプに使用する暗号化方法をデバイスユーザーに促します。すべてのドライブの暗号化方法は既定でXTS-AES 128ビットです。リムーバブルドライブの暗号化方法は既定でAES-CBC 128ビットです。オンの場合、BitLockerはポリシーで指定された暗号化方法を使用します。オンの場合、次の追加設定が表示されます: オペレーティングシステムドライブ、固定ドライブ、およびリムーバブルドライブ。各ドライブタイプの既定の暗号化方法を選択します。既定値はオフです。
• OSドライブ設定
  • 起動時に追加認証を要求する: デバイスの起動時に必要な追加認証を指定します。また、TPMチップを持たないデバイスでBitLockerを許可するかどうかも指定します。オフの場合、TPMのないデバイスはBitLocker暗号化を使用できません。TPMに関する情報については、Microsoftの記事「Trusted Platform Module Technology Overview」を参照してください。オンの場合、次の追加設定が表示されます。既定値はオフです。
  • TPMチップのないデバイスでのBitLockerをブロックする: TPMチップのないデバイスでは、BitLockerはユーザーにロック解除パスワードまたはスタートアップキーの作成を要求します。スタートアップキーはUSBドライブに保存され、ユーザーは起動前にデバイスに接続する必要があります。ロック解除パスワードは最低8文字です。既定値はオフです。
  • TPMスタートアップ: TPMを搭載したデバイスには、TPMのみ、TPM + PIN、TPM + キー、TPM + PIN + キーの4つのロック解除モードがあります。TPMスタートアップはTPMのみのモード用で、暗号化キーはTPMチップに保存されます。このモードでは、ユーザーが追加のロック解除データを提供する必要はありません。ユーザーデバイスは、TPMチップからの暗号化キーを使用して、再起動時に自動的にロック解除されます。既定値はTPMを許可です。
  • TPMスタートアップPIN: この設定はTPM + PINロック解除モードです。PINは最大20桁です。最小PIN長設定を使用して、最小PIN長を指定します。ユーザーはBitLockerセットアップ中にPINを構成し、デバイス起動時にPINを提供します。
  • TPMスタートアップキー: この設定はTPM + キーロック解除モードです。スタートアップキーはUSBまたはその他のリムーバブルドライブに保存され、ユーザーは起動前にデバイスに接続する必要があります。
  • TPMスタートアップキーとPIN: この設定はTPM + PIN + キーロック解除モードです。
    ロック解除が成功すると、オペレーティングシステムがロードを開始します。そうでない場合、デバイスはリカバリモードに入ります。
• PINの長さ
  • 最小PIN長: TPM起動PINの最小の長さ。デフォルトは6です。
• BitLockerパスワード回復設定
  • BitLocker回復のCitrix Endpoint Managementへのバックアップ: このオプションが有効になっている場合、デバイスのロックを解除する必要があるユーザーは、セルフヘルプポータルでBitLocker回復キーを見つけることができます。Citrix Endpoint Management管理者は、ユーザーのBitLocker回復キーを見ることはできません。BitLocker回復キーの表示の詳細については、「BitLocker回復キー」を参照してください。
• OSドライブ回復設定: BitLockerで暗号化されたOSドライブのユーザー向け回復オプションを構成します。
  • OSドライブ回復を有効にする: ロック解除手順が失敗した場合、BitLockerは構成された回復キーをユーザーに要求します。この設定は、ロック解除パスワードまたはUSB起動キーを持っていないユーザーが利用できるオペレーティングシステムドライブの回復オプションを構成します。デフォルトはオフです。
  • 証明書ベースのデータ回復エージェントを許可する: 証明書ベースのデータ回復エージェントを許可するかどうかを指定します。グループポリシー管理コンソール (GPMC) またはローカルグループポリシーエディターの公開キーポリシーからデータ回復エージェントを追加します。データ回復エージェントの詳細については、Microsoftの記事「BitLockerグループポリシー設定」を参照してください。デフォルトはオフです。
  • 48ビット回復パスワード: ユーザーが回復パスワードを使用することを許可するか、または要求するかを指定します。BitLockerはパスワードを生成し、ファイルまたはMicrosoft Cloudアカウントに保存します。デフォルトは48ビットパスワードを許可です。
  • 256ビット回復キー: ユーザーが回復キーを使用することを許可するか、または要求するかを指定します。回復キーはUSBドライブに保存されるBEKファイルです。デフォルトは256ビット回復キーを許可です。
  • OSドライブ回復オプションを非表示にする: BitLockerインターフェイスで回復オプションを表示するか非表示にするかを指定します。オンの場合、BitLockerインターフェイスには回復オプションが表示されません。その場合、デバイスをActive Directoryに登録し、回復オプションをActive Directoryに保存し、回復情報をAD DSに保存をオンに設定します。デフォルトはオフです。
  • 回復情報をActive Directory Domain Servicesに保存する: 回復オプションをActive Directory Domain Servicesに保存するかどうかを指定します。デフォルトはオフです。
  • Active Directory Domain Servicesに保存される回復情報: BitLocker回復パスワード、または回復パスワードとキーパッケージをActive Directory Domain Servicesに保存するかどうかを指定します。キーパッケージを保存すると、物理的に破損したドライブからデータを回復できます。デフォルトは回復パスワードをバックアップです。
  • Active Directory Domain Servicesに回復情報を保存した後にBitLockerを有効にする: デバイスがドメインに接続されており、BitLocker回復情報のActive Directoryへのバックアップが成功しない限り、ユーザーがBitLockerを有効にすることを防ぐかどうかを指定します。オンの場合、BitLockerを開始する前にデバイスがドメインに参加している必要があります。デフォルトはオフです。
  • プレブート回復メッセージとURL: BitLockerが回復画面にカスタマイズされたメッセージとURLを表示するかどうかを指定します。オンの場合、次の追加設定が表示されます: デフォルトの回復メッセージとURLを使用、空の回復メッセージとURLを使用、カスタム回復メッセージを使用、カスタム回復URLを使用、およびCitrix Endpoint Management回復メッセージとURLを使用。オフの場合、デフォルトの回復メッセージとURLが表示されます。デフォルトはオフです。
• 固定ドライブの回復設定: BitLockerで暗号化された固定ドライブのユーザー向け回復オプションを設定します。BitLockerは、固定ドライブの暗号化についてユーザーにメッセージを表示しません。起動時にドライブのロックを解除するには、ユーザーはパスワードまたはスマートカードを提供します。このポリシーには含まれていない起動時のロック解除設定は、ユーザーが固定ドライブでBitLocker暗号化を有効にすると、BitLockerインターフェイスに表示されます。関連設定の詳細については、このリストの前の「OSドライブの回復を構成する」を参照してください。デフォルトはオフです。
• 固定ドライブの設定
  • BitLockerを使用していない固定ドライブへの書き込みアクセスをブロックする: オンの場合、ユーザーはBitLockerで暗号化されている場合にのみ固定ドライブに書き込むことができます。デフォルトはオフです。
• リムーバブルドライブの設定
• BitLockerを使用していないリムーバブルドライブへの書き込みアクセスをブロックする: オンの場合、ユーザーはBitLockerで暗号化されている場合にのみリムーバブルドライブに書き込むことができます。この設定は、組織が他の組織のリムーバブルドライブへの書き込みアクセスを許可するかどうかに応じて構成してください。デフォルトはオフです。
• 他の組織デバイスへの書き込みアクセスをブロックする: オンの場合、ユーザーはネットワークドライブなど、組織内の他のデバイスに書き込むことはできません。
• その他のドライブ設定
• その他のディスク暗号化のプロンプト: デバイス上の他のディスク暗号化に関する警告プロンプトを無効にできます。デフォルトはオフです。