تشفير BitLocker باستخدام AAD / MDM لأمن بيانات السحابة

بفضل ميزات Windows 10 الجديدة ، زادت إنتاجية المستخدمين من السرعة والقفزات. ذلك لأن Windows 10 قدم منهجها كـ "Mobile first، Cloud first". إنه لا شيء سوى دمج الأجهزة المحمولة مع تقنية السحابة. يقدم Windows 10 الإدارة الحديثة للبيانات باستخدام حلول إدارة الأجهزة المستندة إلى مجموعة النظراء مثل Microsoft Enterprise Mobility Suite (EMS) . مع هذا ، يمكن للمستخدمين الوصول إلى بياناتهم من أي مكان وزمان. ومع ذلك ، فإن هذا النوع من البيانات يحتاج أيضًا إلى أمان جيد ، وهو أمر ممكن باستخدام Bitlocker .

تشفير Bitlocker لأمن البيانات السحابية

يكون تكوين تشفير Bitlocker متاحًا بالفعل على أجهزة Windows 10 المحمولة. ومع ذلك ، فإن هذه الأجهزة تحتاج إلى القدرة InstantGo لأتمتة التكوين. باستخدام InstantGo ، يمكن للمستخدم أتمتة التكوين على الجهاز بالإضافة إلى الاحتفاظ بنسخة احتياطية من مفتاح الاسترداد لحساب Azure AD الخاص بالمستخدم.

ولكن الآن لن تحتاج الأجهزة إلى إمكانية InstantGo بعد الآن. مع تحديث Windows 10 Creators ، سيكون لكل أجهزة Windows 10 معالج حيث تتم مطالبة المستخدمين لبدء تشفير Bitlocker بغض النظر عن الأجهزة المستخدمة. وكان هذا في الأساس نتيجة لتعليقات المستخدمين حول التكوين ، حيث كانوا يرغبون في جعل هذا التشفير مؤتمت دون الحاجة إلى قيام المستخدمين بأي شيء. وهكذا ، أصبح الآن تشفير Bitlocker آليًا و جهازًا مستقلاً.

كيف يعمل تشفير Bitlocker

عندما يسجل المستخدم النهائي الجهاز وهو مسؤول محلي ، TriggerBitlocker MSI بما يلي:

• Deploys ثلاثة ملفات إلى C: Program Files (x86) BitLockerTrigger
• استيراد مهمة مجدولة جديدة تعتمد على تضمين Enable_Bitlocker.xml

سيتم تشغيل المهمة المجدولة كل اليوم في الساعة 2 ظهرا وسيقوم بما يلي:

• تشغيل Enable_Bitlocker.vbs الهدف الرئيسي هو الاتصال بـ Enable_BitLocker.ps1 والتأكد من تشغيله مصغرًا.
• في دورته ، سيقوم تشفير Enable_BitLocker.ps1 بتشغيل محرك الأقراص المحلي تخزين مفتاح الاسترداد في Azure AD و OneDrive for Business (إذا تمت تهيئته)
  • يتم تخزين مفتاح الاسترداد فقط عند تغيير أو عدم تقديم

المستخدمين الذين ليسوا جزءًا من مجموعة الإدارة المحلية ، يجب اتباع إجراء مختلف. افتراضيًا ، يكون المستخدم الأول الذي ينضم إلى جهاز إلى Azure AD عضوًا في مجموعة المسؤولين المحليين. إذا قام مستخدم آخر ، وهو جزء من نفس مستأجر AAD ، بتسجيل الدخول إلى الجهاز ، فسيكون مستخدمًا قياسيًا.

هذا التشعب ضروري عندما يعتني حساب مدير تسجيل الأجهزة بمنفذ Azure AD قبل تسليمه على الجهاز للمستخدم النهائي. لمثل هؤلاء المستخدمين المعدلة MSI (TriggerBitlockerUser) قد أعطيت فريق ويندوز. يختلف اختلافًا طفيفًا عن مستخدمي الإدارة المحلية:

سيتم تشغيل المهمة المجدولة لـ BitlockerTrigger في سياق النظام وسوف:

• نسخ مفتاح الاسترداد إلى حساب Azure AD للمستخدم الذي انضم إلى الجهاز إلى AAD.
• نسخ مفتاح الاسترداد إلى Systemdrive temp (عادةً C: Temp) مؤقتًا.

يتم إدخال برنامج نصي جديد MoveKeyToOD4B.ps1 ويعمل يوميًا عبر مهمة مجدولة تسمى MoveKeyToOD4B . تعمل هذه المهمة المجدولة في سياق المستخدمين. سيتم نقل مفتاح الاسترداد من systemdrive temp إلى المجلد OneDrive for Business recovery.

بالنسبة لسيناريوهات المشرفين غير المحليين ، يحتاج المستخدمون إلى نشر ملف TriggerBitlockerUser عبر Intune إلى مجموعة النهاية -users. لا يتم نشر هذا في مجموعة / حساب إدارة تسجيل الأجهزة المستخدمة للانضمام إلى الجهاز إلى Azure AD.

للحصول على الوصول إلى مفتاح الاسترداد ، يحتاج المستخدمون إلى الانتقال إلى أي من الموقعين التاليين:

• Azure AD account
• مجلد الاسترداد في OneDrive for Business (إذا تمت تهيئته).

يُقترح على المستخدمين استرداد مفتاح الاسترداد عبر //myapps.microsoft.com وانتقل إلى ملف التعريف الخاص بهم ، أو في المجلد OneDrive for Business recovery.

لمزيد من المعلومات حول كيفية تمكين تشفير Bitlocker ، اقرأ المدونة الكاملة على Microsoft TechNet.