Technical Anshu
Tutorials Blog
🔐 बिटलॉकर फ्लीट प्रबंधन

एक कंसोल से प्रत्येक ऑफिस पीसी पर बिटलॉकर प्रबंधित करें

एक लैपटॉप को एन्क्रिप्ट करना पांच मिनट का काम है। दो सौ लैपटॉप - इस सबूत के साथ कि प्रत्येक ड्राइव एन्क्रिप्टेड है और प्रत्येक पुनर्प्राप्ति कुंजी सुरक्षित रूप से संग्रहीत है - एक प्रबंधन कार्य है। BitLocker कंसोल वास्तव में यही करता है।

✍️ Technical Anshu🪟 Windows 10 / 11🏢 For IT admins
🎥 वीडियो में पूरा पूर्वाभ्यास देखें - इंजन बिटलॉकर प्रबंधन प्रबंधित करें, चरण दर चरण

किसी भी कार्यालय व्यवस्थापक से दो सरल प्रश्न पूछें: आपका कौन सा पीसी अभी भी एन्क्रिप्टेड नहीं है, और अकाउंट विभाग में लैपटॉप के लिए पुनर्प्राप्ति कुंजी कहां है? केंद्रीय प्रबंधन के बिना ईमानदार उत्तर आमतौर पर "निश्चित नहीं" और "शायद स्प्रेडशीट में" होते हैं। एक चोरी हुआ या खोया हुआ लैपटॉप डेटा समस्या बन जाता है, और BitLocker पुनर्प्राप्ति स्क्रीन पूरे दिन की आग बन जाती है। यह मार्गदर्शिका वीडियो में उपयोग किए गए फ़्लीट दृष्टिकोण को दिखाती है - इंजन एंडपॉइंट सेंट्रल के बिटलॉकर प्रबंधन को प्रबंधित करें - जो एन्क्रिप्शन को तीन चीज़ों में बदल देता है जिन्हें आप एक कंसोल से देख सकते हैं: एक नीति, एक कुंजी वॉल्ट और एक स्टेटस बोर्ड। एकल पीसी के लिए बिटलॉकर को चालू करना एक अलग काम है, जो इसके अपने गाइड में शामिल है; यह पेज केवल इसे हर जगह ईमानदारी से प्रबंधित करने के बारे में है।

Endpoint Central — BitLocker Managed Computers (illustration)
Encrypted164 PCs
Pending22 PCs
Not encrypted14 PCs
Recovery keys safely stored on server186 of 186 drives
Machines with no agent (not counted here)Unknown
चित्रण: एक व्यवस्थापक को वास्तव में बेड़े दृश्य की आवश्यकता होती है - कितने एन्क्रिप्टेड, कितने लंबित, कितने नहीं, और क्या प्रत्येक कुंजी संग्रहीत है। गिनती उदाहरण हैं.
1

कंसोल वास्तव में क्या प्रबंधित करता है

एंडपॉइंट सेंट्रल ने अपने स्वयं के एन्क्रिप्शन का आविष्कार नहीं किया है। एन्क्रिप्शन अभी भी Windows BitLocker है, जो प्रत्येक पीसी पर बिल्कुल वैसे ही चल रहा है जैसे Microsoft ने इसे बनाया था। कंसोल इसके चारों ओर सब कुछ प्रबंधित करता है:

  1. नीति - "ठीक से एन्क्रिप्टेड" की एक परिभाषा: कौन सी ड्राइव, कौन सी अनलॉक विधि (टीपीएम, पिन के साथ टीपीएम, पासफ़्रेज़), कौन सा एल्गोरिदम।
  2. परिनियोजन - नीति को मशीनों के समूहों में धकेल दिया जाता है; ManageEngine दस्तावेज़ एक समय में 250 डिवाइस तक पुश करते हैं, और नई मशीनें स्वचालित रूप से पॉलिसी ले सकती हैं।
  3. कुंजी एस्क्रो - प्रत्येक ड्राइव की पुनर्प्राप्ति कुंजी को एंडपॉइंट सेंट्रल सर्वर पर एकत्रित और केंद्रीय रूप से संग्रहीत किया जाता है या सक्रिय निर्देशिका / Azure AD में बैकअप किया जाता है।
  4. स्थिति - प्रत्येक प्रबंधित मशीन एन्क्रिप्टेड, एन्क्रिप्शन लंबित या गैर-अनुपालक के रूप में रिपोर्ट करती है, इसलिए अनुमान के बजाय अंतराल दिखाई देते हैं।

एक सुरक्षा बिल्कुल कॉपी करने लायक: ManageEngine के दस्तावेज़ के अनुसार, एन्क्रिप्शन तब तक शुरू नहीं होता जब तक कि पुनर्प्राप्ति कुंजी सर्वर पर सुरक्षित रूप से संग्रहीत न हो जाए। वह एकल नियम क्लासिक आपदा को रोकता है - एक ड्राइव जो ठीक से एन्क्रिप्ट की गई और फिर उसके मालिक को हमेशा के लिए लॉक कर दिया गया।

2

चरण 1 - सबसे पहले प्रत्येक मशीन पर एक एजेंट प्राप्त करें

कंसोल केवल वही प्रबंधित कर सकता है जो वह देख सकता है। प्रत्येक पीसी को एंडपॉइंट सेंट्रल एजेंट स्थापित करने और रिपोर्ट करने की आवश्यकता होती है। इस स्तर पर स्वयं के प्रति ईमानदार रहें:

  1. कंसोल के प्रबंधन के दायरे में मशीनों की सूची बनाएं।
  2. इसकी तुलना उससे करें जो वास्तव में कार्यालय के पास है - खरीद रिकॉर्ड, एडी कंप्यूटर सूची, नेटवर्क स्कैन।
  3. कोई भी पीसीबिना एजेंट केइस गाइड की प्रत्येक रिपोर्ट के लिए अदृश्य है। यह "संभवतः एन्क्रिप्टेड" नहीं है - यह अज्ञात है, और जोखिम अज्ञात है।

फ़्लीट एन्क्रिप्शन प्रोजेक्ट आमतौर पर यहां विफल होते हैं, एन्क्रिप्शन चरण में नहीं। पहले दृश्यता अंतर को बंद करें.

3

चरण 2 - किसी भी पीसी को छूने से पहले एक नीति लिखें

मशीन दर मशीन सेटिंग तय करने के बजाय केंद्रीय रूप से BitLocker नीति बनाएं:

  1. रक्षक चुनें: टीपीएम केवल उन डेस्कटॉप के लिए जो कभी भी इमारत से बाहर नहीं जाते; यात्रा करने वाले लैपटॉप के लिए पिन के साथ टीपीएम (पूरा तर्क इस श्रृंखला में लैपटॉप नीति गाइड में है)।
  2. एन्क्रिप्शन प्रकार चुनें: ब्रांड-नई मशीनों के लिए केवल प्रयुक्त-स्थान तेज़ और ठीक है; फ़ुल-डिस्क उन मशीनों को सूट करता है जिनमें वर्षों तक डेटा संग्रहीत होता है।
  3. अपनी अनुपालन आवश्यकताओं के लिए एल्गोरिदम चुनें - कंसोल XTS-AES 256 सहित मानक BitLocker विकल्प प्रदान करता है।
  4. कुंजी भंडारण तय करें: सर्वर, एडी, या दोनों। दोनों ही किसी भी महत्वपूर्ण बात के लिए ईमानदार उत्तर हैं।
  5. निश्चित डेटा ड्राइव शामिल करें जहां कार्यालय साझा कार्य रखता है, न कि केवल सी: ड्राइव।

एक बार लिखी गई एक नीति, हर जगह लागू होती है - यही इसे केंद्रीय रूप से करने का संपूर्ण उद्देश्य है।

4

चरण 3 - तरंगों में तैनात करें, एक बार में नहीं

नीति को पहले छोटे पायलट समूह पर लागू करें - आपकी अपनी मशीन और कुछ मित्रवत उपयोगकर्ता। एंडपॉइंट सेंट्रल उन विफलताओं के लिए पूर्व-तैनाती जांच चलाता है जो आमतौर पर बिटलॉकर रोलआउट को तोड़ती हैं, जैसे कि BIOS मोड असंगतता और टीपीएम स्वामित्व समस्याएं, और हेल्पडेस्क टिकट बनने से पहले उन्हें चिह्नित करती है। फिर लहरों में चौड़ा करें:

  1. पायलट समूह → पुष्टि कुंजियाँ एस्क्रो में आ गईं और स्थितियाँ एन्क्रिप्टेड दिखाई देती हैं।
  2. एक समय में एक विभाग → लंबित सूची को सिकुड़ते हुए देखें।
  3. लैपटॉप और रिमोट मशीनें लंबे समय तक चलती हैं → वे कम से कम बार कनेक्ट होते हैं, इसलिए उन्हें समय और एक अनुस्मारक दें।

एन्क्रिप्शन स्वयं शांत है और उपयोगकर्ता काम करना जारी रख सकते हैं, लेकिन जिस लहर को आप देख सकते हैं वह उस बिग-बैंग रोलआउट से अधिक मूल्यवान है जिसे आप नहीं देख सकते।

5

चरण 4 - साप्ताहिक पांच मिनट की जांच को एक आदत बनाएं

फ़्लीट एन्क्रिप्शन कोई ऐसी परियोजना नहीं है जो ख़त्म हो जाए; मशीनें जुड़ती हैं, निकलती हैं और बह जाती हैं। कंसोल रखरखाव को छोटा बनाता है:

  1. स्थिति दृश्य खोलें: गैर-अनुपालन में बैठी किसी भी मशीन को एक नाम और एक कारण मिलता है - उनका पीछा करें, हरे वाले का नहीं।
  2. जांचें कि नए जुड़ने वालों ने स्वचालित रूप से पॉलिसी ले ली है।
  3. स्पॉट-चेक एस्क्रो: एक यादृच्छिक मशीन चुनें और उसकी कुंजी पुनः प्राप्त करें। यदि नहीं कर सकते तो तिजोरी अफवाह है, तिजोरी नहीं।
  4. किसी भी ऑडिटर के पूछने से पहले, एन्क्रिप्शन रिपोर्ट निर्यात करें ताकि सबूत पहले से मौजूद हो (इस श्रृंखला में ऑडिट गाइड इसे गहराई से कवर करता है)।
6

यह क्या नहीं करता - इस पर भरोसा करने से पहले पढ़ें

ईमानदारी, क्योंकि एन्क्रिप्शन पृष्ठ आमतौर पर इस भाग को छोड़ देते हैं:

  1. कंसोल BitLocker को प्रबंधित करता है; पीसी को एक विंडोज़ संस्करण चलाना होगा जिसमें BitLocker (प्रो, एंटरप्राइज़ या एजुकेशन) शामिल हो। विंडोज़ होम मशीनें इस सिस्टम से नहीं जुड़ सकतीं।
  2. एन्क्रिप्शन एक बंद या चोरी हुई मशीन की सुरक्षा करता है। यह चालू, अनलॉक किए गए पीसी पर मैलवेयर के खिलाफ कुछ नहीं करता है - यह सुरक्षा की एक अलग परत है।
  3. एस्क्रो आपकी सुरक्षा तभी करता है जब कंसोल और उसका मुख्य डेटाबेस स्वयं सुरक्षित हो - मजबूत व्यवस्थापक पासवर्ड, सीमित व्यवस्थापक खाते और सर्वर का बैकअप कार्य का हिस्सा हैं।
  4. हरा डैशबोर्ड केवल एजेंट-प्रबंधित मशीनों को कवर करता है। चरण 1 को सदैव सत्य रखें.
🔴 कॉपी करने का एक नियम, भले ही आप किसी और चीज़ का उपयोग न करें: किसी ड्राइव को एन्क्रिप्ट करना कभी समाप्त न होने दें, जब तक कि उसकी पुनर्प्राप्ति कुंजी पहले से ही आपके नियंत्रण वाले स्थान पर संग्रहीत न हो। इस गाइड में प्रत्येक फ्लीट टूल उस नियम के आसपास बनाया गया है - क्योंकि खोई हुई चाबी के साथ लॉक की गई ड्राइव एक सुरक्षा सुविधा नहीं है, यह डेटा हानि है।

🎥 इसे वीडियो में लाइव देखें

संपूर्ण पूर्वाभ्यास - नीतियां, कुंजी बैकअप और कंसोल - वीडियो में चरण दर चरण दिखाया गया है।

▶️ Watch Full Video
❓ सामान्य प्रश्न (एफएक्यू)

क्या एंडपॉइंट सेंट्रल बिटलॉकर की जगह लेता है?

नहीं, एन्क्रिप्शन अभी भी प्रत्येक पीसी पर Microsoft BitLocker है। एंडपॉइंट सेंट्रल इसका प्रबंधन करता है - नीति को तैनात करना, पुनर्प्राप्ति कुंजी एकत्र करना, और एक कंसोल से प्रत्येक मशीन की स्थिति की रिपोर्ट करना।

पुनर्प्राप्ति कुंजियाँ कहाँ संग्रहीत हैं?

एंडपॉइंट सेंट्रल सर्वर पर, और वैकल्पिक रूप से सक्रिय निर्देशिका या Azure AD में भी बैकअप लिया जाता है। ManageEngine के दस्तावेज़ के अनुसार, किसी मशीन पर एन्क्रिप्शन तब तक शुरू नहीं होता जब तक कि उसकी कुंजी सर्वर पर संग्रहीत न हो जाए।

एक पॉलिसी पुश कितने पीसी को कवर कर सकती है?

ManageEngine दस्तावेज़ नीति परिनियोजन एक समय में 250 डिवाइसों तक करता है, और नीतियां नए जोड़े गए डिवाइसों पर भी स्वचालित रूप से लागू हो सकती हैं ताकि नए पीसी मैन्युअल चरणों के बिना अनुपालन तक पहुंच सकें।

यह मार्गदर्शिका बिटलॉकर को प्रबंधित करने पर तकनीकी अंशू वीडियो पर आधारित है। क्या आप एक कदम पर अटक गए हैं? वीडियो टिप्पणियों में पूछें - उत्तर वहीं होते हैं 🙏