轻松管理 BitLocker

首先在每台机器上获取代理

控制台只能管理它能看到的内容。每台 PC 首先需要安装 Endpoint Central 代理并进行报告 - 如果没有代理，计算机对于策略、密钥保管库和本指南中的每个报告都是不可见的。

将控制台的计算机列表与办公室实际拥有的计算机列表进行比较——购买记录、Active Directory 计算机列表、网络扫描。任何丢失的电脑“可能都没有加密”；它是未知，未知就是风险。舰队加密项目通常会在此可见性步骤失败，而不是在加密步骤失败——首先缩小差距。

在接触任何 PC 之前编写一项策略

集中创建 BitLocker 策略，而不是一台一台地配置 PC。策略是“正确加密”的一种定义，视频的演练设置了重要的决策：

保护器： TPM 仅在启动时自动解锁驱动器 - 被盗的笔记本电脑仍然会到达 Windows 登录屏幕。 TPM + PIN 在 Windows 启动之前要求输入 PIN，这是真正阻止小偷的设置；对于旅行的笔记本电脑来说，日常的小摩擦是值得的。没有 TPM 的机器可以使用密码保护器——这是经过深思熟虑的选择，绝非偶然。

算法和范围： XTS-AES 128 或 256（256 是大多数审计员喜欢看到的记录；在实践中两者都不是暴力破解的），以及针对全新机器的仅使用空间加密与针对已投入使用的任何机器的全磁盘，因为“空”空间仍然保存着已删除的文件。

设置密钥托管——并在执行任何操作之前验证它

每个 BitLocker 驱动器都有一个 48 位的恢复密钥，当 PC 显示蓝色恢复屏幕时，该密钥是用户和已擦除驱动器之间的唯一东西。托管意味着密钥会自动收集并存储在组织控制的位置：在 Endpoint Central 服务器上，还可以选择将密钥备份到 Active Directory 或 Azure AD 中。

Endpoint Central 的规则很严格，其严格性在于：只有在恢复密钥安全存储在服务器上时才会开始加密。驱动器永远无法通过其唯一的密钥留在机器本身上进行加密。

政策先行推向试点

将完成的策略部署到整个办公室之前的一个小型试点组（您可以走到几台机器前）。观察它们在控制台状态中的变化，确认每个恢复密钥已放入保管库，然后才将部署范围扩大到机器组（ManageEngine 文档一次最多推送 250 台设备）。新机器在加入时可以自动选择该策略，因此项目结束后机群仍能得到保障。

阅读状态板 - 已加密、待定、不合规

从这里开始，工作就是读书，而不是旅行。控制台的 BitLocker 托管计算机视图中的每台托管计算机均处于以下三种状态之一：已加密、待加密或不合规。该板（而不是在办公室里走动）是您回答“我们的哪些电脑尚未加密？”的方式。

按风险顺序处理差距清单

“待定”和“不合规”是症状，而不是诊断。常见原因：机器未签入（关机、休假、坐席停止报告）；先决条件失败 - 控制台的预部署检查标记经典问题，例如 BIOS 模式不兼容和 TPM 所有权错误；该机器没有 TPM，也没有计划密码短语回退；或者 Windows 版本根本无法执行 BitLocker — Windows Home 计算机将永远处于空白状态，直到升级或更换为止。

按风险顺序清除列表：首先离开建筑物的笔记本电脑，然后是保存敏感数据（帐户、人力资源、客户记录）的计算机，然后是共享区域中的台式机，最后是受控房间中的固定台式机。并在每台计算机上正确验证完成情况：状态显示已加密并且您可以从保管库检索其恢复密钥。两者都是——不是一个。

证明这一点——报告、恢复演习和本地检查

当板干净后，提取加密报告：哪些机器被加密，使用哪种策略，以及是否存储了每个驱动器的密钥。该报告是审计证据——“我们相信我们已加密”与您可以移交的文件之间的区别。

然后演练一次最糟糕的一天：选择一台机器，打开控制台的恢复密钥查找，然后像在真正的锁定期间那样检索其密钥。你从未测试过的托管只是一种希望，而不是一个系统。当人员变动时也应这样做：当员工离开时，正确轮换密钥和访问权限，而不是保留旧的访问权限和旧密钥。

您自己坐在一台电脑前，可以通过管理命令提示符检查该机器自身的状态：

manage-bde -status C:

它告诉您该驱动器的状态 - 它没有说明其恢复密钥所在的位置。保管库是第二个问题的答案，它是从一个控制台管理 BitLocker 的全部意义所在。