Intune で Windows デバイスを BitLocker で暗号化する

Last updated at 2024-02-24Posted at 2024-02-24

はじめに

Intune で BitLocker を適用する方法は、以下の公開情報に 2 種類紹介されています。

公開情報より、抜粋

当記事では、上記のうち Bitlocker のエンドポイント保護のデバイス構成プロファイル（赤枠）の方を採用しています。

こちらを選んだ理由ですが、BitLocker 向けのエンドポイントセキュリティディスク暗号化ポリシー の方は、設定項目が英語のままで、この先応用する際に設定に迷うだろうな・・と感じたからです。

公開情報から、以下の ① と ② から読み取れた設定を、Intune 管理センターから構成しています。
構成した結果は、Autopilot や Intune で展開して BitLocker 暗号化された事を検証してあります。

② TPM スタートアップ PIN またはキー
スタートアップ PIN またはスタートアップキーを必要とするようにデバイスを設定しないでください。
https://learn.microsoft.com/ja-jp/mem/intune/protect/encrypt-devices#tpm-startup-pin-or-key

公開情報以外でもいくつかの同様な設定を行った結果を公開している方々のサイトを確認して、認識に齟齬が無いかなど確認しています。

この手順では、あらかじめ "BitLockerグループ" というデバイスグループを作成しておき、BitLocker で暗号化させたいデバイスをグループのメンバーとして登録された状態を想定しています。

Intune 管理センターにサインインし、左ペイン「デバイス」から「構成プロファイル」を選び、「＋作成」をクリック。
プラットフォームでは「Windows 10 以降」を選び、プロファイルの種類は「テンプレート」を選択し、「Endpoint Protection」を選択した後に、「作成」を押します。

参考
Endpoint Protection の右側の緑丸にマウスをポイントすると、以下の説明が表示されます。

2．「基本」タブでは、ポリシーの名称（任意）を入力して「次へ」を押します。

3．「構成設定」タブでは、「Windows 暗号化」を開いて、下図の赤枠の箇所を必須で選択して、「次へ」を押してください。

項目	選択肢
デバイスの暗号化	必要
他のディスクの暗号化に対する警告	ブロック
Microsoft Entra 参加中に暗号化を有効にすることを標準ユーザーに許可する	許可
起動時の追加認証	必要
互換性のある TPM スタートアップ	TPM を許可する
互換性のある TPM スタートアップ PIN	TPM でスタートアップ PIN を許可しない
互換性のある TPM スタートアップキー	TPM でスタートアップキーを許可しない
互換性のある TPM スタートアップキーと PIN	TPM でスタートアップキーと PIN を許可しない
OS ドライブの回復	有効にする
ユーザーによる回復パスワードの作成	48 桁の回復パスワードを許可する
ユーザーによる回復キーの作成	256 ビットの回復キーを許可する