Bitlocker-codering met AAD / MDM voor Cloud Data Security

Met de nieuwe functies van Windows 10 is de productiviteit van gebruikers toegenomen. Dat komt omdat <10> Windows 10 zijn aanpak introduceerde als `eerst mobiel, eerst cloud`. Het is niets anders dan de integratie van mobiele apparaten met de cloud-technologie. Windows 10 biedt het moderne beheer van gegevens met behulp van cloud-gebaseerde apparaatbeheeroplossingen zoals Microsoft Enterprise Mobility Suite (EMS) . Hiermee hebben gebruikers overal en altijd toegang tot hun gegevens. Dit soort gegevens heeft echter ook een goede beveiliging nodig, wat mogelijk is met Bitlocker . Bitlocker-codering voor cloudgegevensbeveiliging

Bitlocker-coderingsconfiguratie is al beschikbaar op de mobiele apparaten met Windows 10. Deze apparaten moesten echter een

InstantGo -capaciteit hebben om de configuratie te automatiseren. Met InstantGo kan de gebruiker de configuratie op het apparaat automatiseren en een back-up maken van de herstelsleutel naar het Azure AD-account van de gebruiker. Maar nu hebben de apparaten de InstantGo-functionaliteit niet meer nodig. Met Windows 10 Creators Update krijgen alle Windows 10-apparaten een wizard waarin gebruikers worden gevraagd om de Bitlocker-codering te starten, ongeacht de gebruikte hardware. Dit was vooral het gevolg van feedback van gebruikers over de configuratie, waar ze deze codering geautomatiseerd wilden laten hebben zonder dat de gebruikers iets deden. Dus nu is de Bitlocker-codering

automatisch en hardwareonafhankelijk geworden. Hoe werkt de Bitlocker-versleuteling

Wanneer de eindgebruiker het apparaat inschrijft en een lokale beheerder is, de TriggerBitlocker MSI doet het volgende:

Implementeert drie bestanden in C: Program Files (x86) BitLockerTrigger

• Importeert een nieuwe geplande taak op basis van de inbegrepen Enable_Bitlocker.xml
• De geplande taak wordt uitgevoerd elke dag om 14.00 uur en doet het volgende:

Start Enable_Bitlocker.vbs, met als hoofddoel Enable_BitLocker.ps1 aan te roepen en ervoor te zorgen dat geminimaliseerd wordt uitgevoerd.

• Op zijn beurt codeert Enable_BitLocker.ps1 de lokale schijf en sla de herstelsleutel op in Azure AD en OneDrive voor bedrijven (indien geconfigureerd)
• De herstelsleutel wordt alleen opgeslagen wanneer een van de gebruikers is gewijzigd of niet aanwezig
  • Gebruikers die geen deel uitmaken van de lokale beheerdersgroep, moeten een andere procedure volgen. Standaard is de eerste gebruiker die een apparaat verbindt met Azure AD lid van de lokale beheerdersgroep. Als een tweede gebruiker, die deel uitmaakt van dezelfde AAD-tenant, zich aanmeldt bij het apparaat, is dit een standaardgebruiker.

Deze bifurcatie is nodig wanneer een Device Enrollment Manager-account de Azure AD-join verzorgt voordat deze wordt overhandigd over het apparaat naar de eindgebruiker. Voor dergelijke gebruikers is aan de gewijzigde MSI (TriggerBitlockerUser) een Windows-team toegewezen. Het is iets anders dan dat van lokale beheerders:

De geplande BitlockerTrigger-taak wordt uitgevoerd in de systeemcontext en zal:

de herstelsleutel kopiëren naar het Azure AD-account van de gebruiker die het apparaat heeft toegevoegd aan AAD.

• Kopieer de herstelsleutel tijdelijk naar Systemdrive temp (meestal C: Temp).
• Een nieuw script MoveKeyToOD4B.ps1 wordt geïntroduceerd

en wordt dagelijks uitgevoerd via een geplande taak met de naam MoveKeyToOD4B . Deze geplande taak wordt uitgevoerd in de context van de gebruiker. De herstelsleutel wordt verplaatst van systeemstation temp naar de herstelmap van OneDrive voor Bedrijven. Voor de niet-lokale beheerdersscenario`s moeten gebruikers het bestand TriggerBitlockerUser via

Intune naar de einde groep distribueren -gebruikers. Dit wordt niet geïmplementeerd in de Device Enrollment Manager-groep / -account die wordt gebruikt om het apparaat aan te sluiten op Azure AD. Om toegang te krijgen tot de herstelsleutel, moeten gebruikers naar een van de volgende locaties gaan:

Azure AD-account

• Een herstelmap in OneDrive voor bedrijven (indien geconfigureerd).
• Gebruikers kunnen de herstelcode ophalen via

//myapps.microsoft.com en ga naar hun profiel of in de herstelmap van OneDrive voor Bedrijven. Lees de volledige blog over Microsoft TechNet voor meer informatie over het inschakelen van de Bitlocker-codering.