Technical Anshu
Tutorials Blog
🔐 إدارة أسطول BitLocker

قم بإدارة BitLocker على كل كمبيوتر مكتبي من وحدة تحكم واحدة

إن عملية تشفير جهاز كمبيوتر محمول واحد هي مهمة تستغرق خمس دقائق. إن مائتي جهاز كمبيوتر محمول - مع إثبات أن كل محرك أقراص مشفر ويتم تخزين كل مفتاح استرداد بأمان - هي مهمة إدارية. هذا ما تفعله وحدة تحكم BitLocker بالفعل.

✍️ Technical Anshu🪟 Windows 10 / 11🏢 For IT admins
🎥 شاهد الإرشادات التفصيلية الكاملة في الفيديو — إدارة ManageEngine BitLocker، خطوة بخطوة

اطرح سؤالين بسيطين على أي مسؤول مكتب: أي جهاز من أجهزة الكمبيوتر لديك لا يزال غير مشفر، وأين يوجد مفتاح استرداد الكمبيوتر المحمول في قسم الحسابات؟ بدون الإدارة المركزية، عادة ما تكون الإجابات الصادقة "غير متأكدة" و"ربما في جدول بيانات". يصبح الكمبيوتر المحمول المسروق أو المفقود مشكلة في البيانات، وتتحول شاشة استرداد BitLocker إلى حريق طوال اليوم. يعرض هذا الدليل أسلوب الأسطول المستخدم في الفيديو - إدارة BitLocker في ManageEngine Endpoint Central - والذي يحول التشفير إلى ثلاثة أشياء يمكنك رؤيتها من وحدة تحكم واحدة: السياسة، وخزنة المفاتيح، ولوحة الحالة. يعد تشغيل BitLocker لجهاز كمبيوتر واحد مهمة مختلفة، تمت تغطيتها في الدليل الخاص بها؛ هذه الصفحة مخصصة فقط لإدارتها في كل مكان، بصراحة.

Endpoint Central — BitLocker Managed Computers (illustration)
Encrypted164 PCs
Pending22 PCs
Not encrypted14 PCs
Recovery keys safely stored on server186 of 186 drives
Machines with no agent (not counted here)Unknown
رسم توضيحي: عرض الأسطول الذي يحتاجه المسؤول فعليًا - عدد المفاتيح المشفرة، وعدد المعلقين، وعدد غير المشفر، وما إذا كان كل مفتاح مخزّنًا. الأعداد هي أمثلة.
1

ما تديره وحدة التحكم فعليًا

لا يخترع Endpoint Central التشفير الخاص به. ولا يزال التشفير Windows BitLocker نفسه يعمل على كل جهاز كمبيوتر تمامًا كما أنشأته Microsoft. تدير وحدة التحكم كل شيء حولها:

  1. السياسة — تعريف واحد لـ "مشفر بشكل صحيح": أي محركات الأقراص، أي طريقة إلغاء القفل (TPM، TPM مع رقم التعريف الشخصي، عبارة المرور)، أي خوارزمية.
  2. النشر — يتم دفع السياسة إلى مجموعات من الأجهزة؛ تقوم ManageEngine بإرسال ما يصل إلى 250 جهازًا في المرة الواحدة، ويمكن للأجهزة الجديدة التقاط السياسة تلقائيًا.
  3. ضمان المفتاح — يتم جمع مفتاح استرداد كل محرك أقراص وتخزينه مركزيًا، على خادم Endpoint Central أو نسخه احتياطيًا في Active Directory / Azure AD.
  4. الحالة — يتم الإبلاغ عن كل جهاز مُدار على أنه مشفر، أو في انتظار التشفير أو غير متوافق، بحيث تكون الفجوات مرئية بدلاً من تخمينها.

حماية واحدة تستحق النسخ بالضبط: وفقًا لوثائق ManageEngine، لا يبدأ التشفير حتى يتم تخزين مفتاح الاسترداد بأمان على الخادم. هذه القاعدة الوحيدة تمنع وقوع الكارثة الكلاسيكية، وهي محرك الأقراص الذي قام بتشفير البيانات بشكل جيد ثم أغلق مالكه إلى الأبد.

2

الخطوة 1 – احصل على وكيل لكل جهاز أولاً

يمكن لوحدة التحكم إدارة ما يمكنها رؤيته فقط. يحتاج كل جهاز كمبيوتر إلى تثبيت وكيل Endpoint Central وإعداد التقارير. كن صادقًا مع نفسك في هذه المرحلة:

  1. قم بإدراج الأجهزة الموجودة في نطاق إدارة وحدة التحكم.
  2. قارنها بما يمتلكه المكتب فعليًا - سجلات الشراء، وقائمة أجهزة الكمبيوتر AD، وفحص الشبكة.
  3. أي جهاز كمبيوتر بدون وكيل يكون غير مرئي لكل تقرير في هذا الدليل. إنه ليس "مشفرة على الأرجح" — فهو غير معروف، وخطورته غير معروفة.

عادةً ما تفشل مشاريع تشفير الأسطول هنا، وليس في خطوة التشفير. أغلق فجوة الرؤية أولاً.

3

الخطوة 2 - اكتب سياسة واحدة قبل لمس أي جهاز كمبيوتر

قم بإنشاء سياسة BitLocker مركزيًا بدلاً من تحديد الإعدادات جهازًا تلو الآخر:

  1. اختر الحامي: TPM فقط لأجهزة سطح المكتب التي لا تغادر المبنى أبدًا؛ TPM مع رقم التعريف الشخصي (PIN) لأجهزة الكمبيوتر المحمولة التي تسافر (يتوفر السبب الكامل في دليل سياسة الكمبيوتر المحمول في هذه السلسلة).
  2. اختر نوع التشفير: يعتبر استخدام المساحة المستخدمة فقط سريعًا ومناسبًا للأجهزة الجديدة تمامًا؛ يناسب القرص الكامل الأجهزة التي احتفظت بالبيانات لسنوات.
  3. اختر الخوارزمية التي تحتاج إلى الامتثال — توفر وحدة التحكم خيارات BitLocker القياسية، بما في ذلك XTS-AES 256.
  4. حدد مساحة تخزين المفاتيح: الخادم، أو AD، أو كليهما. كلاهما هو الجواب الصادق لأي شيء مهم.
  5. قم بتضمين محركات أقراص البيانات الثابتة حيث يحتفظ المكتب بالعمل المشترك، وليس فقط محرك الأقراص C:.

إن سياسة واحدة، تُكتب مرة واحدة، وتُطبق في كل مكان - هذا هو الهدف الأساسي من القيام بذلك مركزيًا.

4

الخطوة 3 - النشر على شكل موجات، وليس دفعة واحدة

اطرح السياسة على مجموعة تجريبية صغيرة أولاً — جهازك الخاص وعدد قليل من المستخدمين الودودين. يقوم Endpoint Central بإجراء فحوصات ما قبل النشر بحثًا عن حالات الفشل التي تؤدي عادةً إلى تعطيل عمليات نشر BitLocker، مثل عدم توافق وضع BIOS ومشكلات ملكية TPM، ووضع علامة عليها قبل أن تصبح تذاكر مكتب مساعدة. ثم توسع في الأمواج:

  1. المجموعة التجريبية → تأكيد وصول المفاتيح إلى الضمان وتظهر الحالات مشفرة.
  2. قسم واحد في كل مرة → شاهد تقلص القائمة المعلقة.
  3. أجهزة الكمبيوتر المحمولة والأجهزة البعيدة تدوم طويلاً ← فهي أقل اتصالاً في كثير من الأحيان، لذا امنحها الوقت والتذكير.

التشفير بحد ذاته هادئ ويمكن للمستخدمين الاستمرار في العمل، لكن الموجة التي يمكنك مشاهدتها تستحق أكثر من عملية إطلاق كبيرة لا يمكنك مشاهدتها.

5

الخطوة 4 - اجعل التحقق الأسبوعي لمدة خمس دقائق عادة

تشفير الأسطول ليس مشروعًا ينتهي؛ الآلات تنضم وتترك وتنجرف. وحدة التحكم تجعل الصيانة صغيرة:

  1. افتح عرض الحالة: أي جهاز موجود في وضع غير متوافق يحصل على اسم وسبب - قم بمطاردة هؤلاء، وليس الأجهزة الخضراء.
  2. تأكد من أن المنضمين الجدد قد التقطوا السياسة تلقائيًا.
  3. ضمان الفحص الفوري: اختر جهازًا عشوائيًا واحصل على مفتاحه. إذا لم تتمكن من ذلك، فإن القبو عبارة عن إشاعة، وليس قبوًا.
  4. قبل أن يطلب أي مدقق، قم بتصدير تقرير التشفير بحيث يكون الدليل موجودًا بالفعل (يغطي دليل التدقيق في هذه السلسلة هذا الأمر بعمق).
6

ما لا يفعله هذا - اقرأ قبل أن تعتمد عليه

الصدق، لأن صفحات التشفير عادةً ما تتخطى هذا الجزء:

  1. تدير وحدة التحكم BitLocker؛ يجب أن تقوم أجهزة الكمبيوتر بتشغيل إصدار Windows يتضمن BitLocker (Pro أو Enterprise أو Education). لا يمكن لأجهزة Windows Home الانضمام إلى هذا النظام.
  2. يحمي التشفير الجهاز الذي تم إيقاف تشغيله أو سرقته. فهو لا يفعل شيئًا ضد البرامج الضارة الموجودة على جهاز كمبيوتر قيد التشغيل وغير مقفل - وهذه طبقة مختلفة من الدفاع.
  3. يحميك Escrow فقط إذا كانت وحدة التحكم وقاعدة البيانات الرئيسية الخاصة بها محمية بنفسها — تعد كلمات مرور المشرف القوية وحسابات المسؤول المحدودة والنسخ الاحتياطية للخادم جزءًا من المهمة.
  4. تغطي لوحة المعلومات الخضراء الأجهزة التي يديرها الوكيل فقط. حافظ على صحة الخطوة 1 إلى الأبد.
🔴 القاعدة الوحيدة التي يجب نسخها حتى لو لم تستخدم أي شيء آخر: لا تسمح أبدًا لمحرك الأقراص بإنهاء التشفير ما لم يكن مفتاح الاسترداد الخاص به مخزنًا بالفعل في مكان تتحكم فيه. تم إنشاء كل أداة أسطول في هذا الدليل حول هذه القاعدة - نظرًا لأن محرك الأقراص المقفل الذي يحتوي على مفتاح مفقود لا يعد ميزة أمان، فهو عبارة عن فقدان للبيانات.

🎥شاهد ما تم إنجازه مباشرة في الفيديو

يتم عرض الإرشادات التفصيلية الكاملة — السياسات والنسخ الاحتياطي للمفاتيح ووحدة التحكم — خطوة بخطوة في الفيديو.

▶️ Watch Full Video
❓ الأسئلة الشائعة (الأسئلة الشائعة)

هل يحل Endpoint Central محل BitLocker؟

لا، لا يزال التشفير موجودًا بواسطة Microsoft BitLocker على كل جهاز كمبيوتر. يقوم Endpoint Central بإدارتها - نشر السياسة، وجمع مفاتيح الاسترداد، والإبلاغ عن حالة كل جهاز من وحدة تحكم واحدة.

أين يتم تخزين مفاتيح الاسترداد؟

على خادم Endpoint Central، ويتم نسخه احتياطيًا بشكل اختياري في Active Directory أو Azure AD أيضًا. وفقًا لوثائق ManageEngine، لا يبدأ التشفير على الجهاز حتى يتم تخزين مفتاحه على الخادم.

كم عدد أجهزة الكمبيوتر التي يمكن أن تغطيها سياسة واحدة؟

تقوم ManageEngine بتوثيق نشر السياسة لما يصل إلى 250 جهازًا في المرة الواحدة، ويمكن أيضًا تطبيق السياسات تلقائيًا على الأجهزة المضافة حديثًا حتى تصل أجهزة الكمبيوتر الجديدة إلى الامتثال دون خطوات يدوية.

يستند هذا الدليل إلى فيديو Technical Anshu حول إدارة BitLocker • هل أنت عالق في خطوة ما؟ اسأل في تعليقات الفيديو - الإجابات تحدث هناك 🙏