Administre BitLocker en cada PC de Office desde una consola
Cifrar una computadora portátil requiere un trabajo de cinco minutos. Doscientas computadoras portátiles, con pruebas de que cada unidad está cifrada y cada clave de recuperación está almacenada de forma segura, es un trabajo de administración. Eso es lo que realmente hace una consola BitLocker.
✍️ Technical Anshu🪟 Windows 10 / 11🏢 For IT admins
🎥 Mire el tutorial completo en el vídeo: Gestión de ManageEngine BitLocker, paso a paso
Haga dos preguntas simples a cualquier administrador de la oficina: ¿cuáles de sus PC aún no están cifradas y dónde está la clave de recuperación para la computadora portátil en el departamento de cuentas? Sin una gestión central, las respuestas honestas suelen ser "no seguras" y "tal vez en una hoja de cálculo". Una computadora portátil robada o perdida se convierte en un problema de datos y una pantalla de recuperación de BitLocker se convierte en un incendio que dura todo el día. Esta guía muestra el enfoque de flota utilizado en el vídeo: Administración de BitLocker de ManageEngine Endpoint Central, que convierte el cifrado en tres cosas que puede ver desde una consola: una política, una bóveda de claves y un panel de estado. Activar BitLocker para una sola PC es un trabajo diferente, que se trata en su propia guía; esta página solo trata de gestionarla en todas partes, sinceramente.
Endpoint Central — BitLocker Managed Computers (illustration)
Encrypted164 PCs
Pending22 PCs
Not encrypted14 PCs
Recovery keys safely stored on server186 of 186 drives
Machines with no agent (not counted here)Unknown
Ilustración: la vista de flota que un administrador realmente necesita: cuántas claves están cifradas, cuántas están pendientes, cuántas no y si todas las claves están almacenadas. Los condes son ejemplos.
1
Lo que realmente gestiona la consola
Endpoint Central no inventa su propio cifrado. El cifrado sigue siendo el propio BitLocker de Windows y se ejecuta en cada PC exactamente como lo creó Microsoft. La consola gestiona todo lo que la rodea:
Política: una definición de "cifrado correctamente": qué unidades, qué método de desbloqueo (TPM, TPM con PIN, frase de contraseña), qué algoritmo.
Implementación: la política se envía a grupos de máquinas; ManageEngine documenta envíos de hasta 250 dispositivos a la vez y las máquinas nuevas pueden adoptar la política automáticamente.
Depósito de claves: la clave de recuperación de cada unidad se recopila y almacena de forma centralizada, en el servidor de Endpoint Central o se realiza una copia de seguridad en Active Directory/Azure AD.
Estado: cada máquina administrada informa como Cifrado, Cifrado pendiente o No compatible, por lo que las lagunas son visibles en lugar de adivinadas.
Una protección que vale la pena copiar exactamente: según la documentación de ManageEngine, el cifrado ni siquiera comienza hasta que la clave de recuperación se haya almacenado de forma segura en el servidor. Esa única regla previene el desastre clásico: una unidad que se cifró bien y luego bloqueó a su propietario para siempre.
2
Paso 1: primero, consiga un agente en cada máquina
La consola sólo puede gestionar lo que puede ver. Cada PC necesita que el agente de Endpoint Central esté instalado y generando informes. Sea honesto consigo mismo en esta etapa:
Enumere las máquinas en el ámbito de gestión de la consola.
Compárelo con lo que realmente posee la oficina: registros de compras, la lista de computadoras AD, el escaneo de la red.
Cualquier PC sin un agente es invisible en todos los informes de esta guía. No está "probablemente encriptado": se desconoce y se desconoce el riesgo.
Los proyectos de cifrado de flotas suelen fallar aquí, no en el paso de cifrado. Primero cierre la brecha de visibilidad.
3
Paso 2: escriba una política antes de tocar cualquier PC
Cree la política de BitLocker de forma centralizada en lugar de decidir la configuración máquina por máquina:
Elija el protector: TPM solo para escritorios que nunca salen del edificio; TPM con PIN para portátiles que viajan (el razonamiento completo se encuentra en la guía de políticas de portátiles de esta serie).
Elija el tipo de cifrado: solo espacio usado es rápido y adecuado para máquinas nuevas; El disco completo se adapta a máquinas que han almacenado datos durante años.
Elija el algoritmo que necesita para el cumplimiento: la consola ofrece las opciones estándar de BitLocker, incluido XTS-AES 256.
Decida el almacenamiento de claves: servidor, AD o ambos. Ambas son la respuesta honesta para cualquier cosa importante.
Incluya unidades de datos fijas donde la oficina mantiene el trabajo compartido, no solo la unidad C:.
Una política, escrita una vez, aplicada en todas partes: ese es el objetivo de hacer esto de manera centralizada.
4
Paso 3: Implementación en oleadas, no todas a la vez
Primero, envíe la política a un pequeño grupo piloto: su propia máquina y algunos usuarios amigables. Endpoint Central ejecuta verificaciones previas a la implementación para las fallas que comúnmente interrumpen las implementaciones de BitLocker, como la incompatibilidad del modo BIOS y los problemas de propiedad de TPM, y las marca antes de que se conviertan en tickets de asistencia técnica. Luego ensancha en ondas:
Grupo piloto → confirme que las claves llegaron al depósito de garantía y los estados muestran Encriptado.
Un departamento a la vez → observe cómo se reduce la lista de pendientes.
Las computadoras portátiles y las máquinas remotas duran → se conectan con menor frecuencia, así que deles tiempo y un recordatorio.
El cifrado en sí es silencioso y los usuarios pueden seguir trabajando, pero una ola que puedes observar vale más que un gran despliegue que no puedes ver.
5
Paso 4: convierta la revisión semanal de cinco minutos en un hábito
El cifrado de flotas no es un proyecto que termina; las máquinas se unen, se van y van a la deriva. La consola hace que el mantenimiento sea pequeño:
Abra la vista de estado: cualquier máquina que se encuentre en No conforme obtiene un nombre y un motivo; persiga esos, no los verdes.
Compruebe que los nuevos afiliados hayan recogido la póliza automáticamente.
Verifique el depósito en garantía al azar: elija una máquina al azar y recupere su clave. Si no puedes, la bóveda es un rumor, no una bóveda.
Antes de que cualquier auditor solicite, exporte el informe de cifrado para que la prueba ya exista (la guía de auditoría de esta serie cubre esto en profundidad).
6
Lo que esto no hace: lea antes de confiar en él
Sinceramente, porque las páginas de cifrado suelen saltarse esta parte:
La consola administra BitLocker; Las PC deben ejecutar una edición de Windows que incluya BitLocker (Pro, Enterprise o Education). Las máquinas con Windows Home no pueden unirse a este sistema.
El cifrado protege una máquina apagada o robada. No hace nada contra el malware en una PC desbloqueada y en funcionamiento; esa es una capa de defensa diferente.
El depósito en garantía solo lo protege si la consola y su base de datos clave están protegidas: contraseñas de administrador seguras, cuentas de administrador limitadas y copias de seguridad del servidor son parte del trabajo.
Un panel verde cubre solo máquinas administradas por agentes. Mantenga el Paso 1 verdadero para siempre.
🔴 La única regla para copiar incluso si no usa nada más: nunca permita que una unidad termine de cifrarse a menos que su clave de recuperación ya esté almacenada en algún lugar que usted controle. Todas las herramientas para flotas de esta guía se basan en esa regla, porque una unidad bloqueada con una llave perdida no es una característica de seguridad, es una pérdida de datos.
🎥 Míralo hecho en vivo en el video
El tutorial completo (políticas, copia de seguridad de claves y la consola) se muestra paso a paso en el vídeo.
No. El cifrado sigue siendo Microsoft BitLocker en cada PC. Endpoint Central lo administra: implementa la política, recopila las claves de recuperación e informa el estado de cada máquina desde una consola.
¿Dónde se almacenan las claves de recuperación?
En el servidor de Endpoint Central y, opcionalmente, también con una copia de seguridad en Active Directory o Azure AD. Según la documentación de ManageEngine, el cifrado en una máquina no se inicia hasta que su clave se haya almacenado en el servidor.
¿Cuántas PC puede cubrir una póliza?
ManageEngine documenta la implementación de políticas en hasta 250 dispositivos a la vez, y las políticas también se pueden aplicar automáticamente a los dispositivos recién agregados para que las nuevas PC alcancen el cumplimiento sin pasos manuales.
Esta guía se basa en el vídeo Anshu técnico sobre la administración de BitLocker • ¿Atascado en un escalón? Pregunte en los comentarios del vídeo: las respuestas se encuentran allí 🙏