bitlocker-design

BitLocker 设计

BitLocker 为 Windows 设备提供整卷加密，保护静态数据免遭设备丢失或失窃。在云管理的设备群中，通过 Intune 磁盘加密终端安全策略部署和监控，并将恢复密钥托管到 Microsoft Entra ID。

适用场景

为 Windows 终端加密，并集中管理恢复密钥和合规性。使用此技能选择预启动模式、配置静默启用，并在推出前规划恢复流程。

此技能不适用于常规 Intune 设备基线（intune-device-mgmt）、macOS FileVault（直接使用 Intune 磁盘加密策略），或 Azure VM 磁盘加密（azure-key-vault）。

根据设备类型选择配置

设备配置	预启动身份验证	加密方式	说明
现代企业笔记本电脑（TPM 2.0、Secure Boot）	仅 TPM（无 PIN）	XTS-AES 256	默认；静默启用
高敏感度管理员 / Tier 0（PAW）	TPM + PIN	XTS-AES 256	安全性更强；与 PAW 配合使用
自助终端 / 无人值守设备	仅 TPM，使用 Network Unlock	XTS-AES 256	无用户输入 PIN
旧设备（无 TPM 2.0 / 无 Secure Boot）	更换设备	不适用	不要尝试在旧版裸机上启用
可移动介质（USB）	BitLocker To Go（密码或智能卡）	XTS-AES 256	使用单独的策略
固定数据驱动器	与 OS 驱动器自动解锁	XTS-AES 256	与 OS 驱动器一起加密

**经验法则：**对于 95% 的现代企业笔记本电脑，仅 TPM + 静默启用是合适的默认设置。TPM + PIN 能将抵御物理攻击的安全性提升一倍，但支持请求会增加到三倍。将 TPM + PIN 保留给 Tier 0 / PAW。

方案

1. 确认先决条件 — TPM 2.0（少数情况下可使用 TPM 1.2）、Secure Boot UEFI、受支持的 Windows 版本（Pro/Enterprise）、已加入 Entra 或混合加入（密钥托管所必需）。 验证：Get-Tpm 显示 TpmReady=True；manage-bde -status 显示驱动器可加密。

2. 配置 Intune 磁盘加密策略 — 终端安全 → 磁盘加密 → 创建 BitLocker 配置文件。设置加密方法（XTS-AES 256）、加密 OS 驱动器 + 固定驱动器，并设置预启动模式（默认仅 TPM）。

3. 静默启用 — 启用在设备上静默启用 BitLocker和自动将恢复密钥托管到 Microsoft Entra ID。用户不会看到提示；加密会在后台完成。这是现代默认设置。 验证：试点设备显示 BitLocker = On，密钥已托管到 Entra（可在设备对象上查看），且没有记录用户交互。

4. 大规模推出前验证恢复密钥托管 — 从 Entra 设备页面提取一台试点设备的恢复密钥。如果无法获取，说明策略配置有误——应在扩大规模之前修正。未托管的密钥意味着设备无法恢复。 验证：试点组 100% 的设备都能在 Entra 中看到密钥；帮助台可以获取密钥。

5. 为可移动驱动器配置 BitLocker To Go — 使用单独的策略：要求使用密码（8 个或更多字符）或智能卡进行可移动驱动器加密。如果数据敏感度需要，可通过 Defender for Endpoint 设备控制阻止向未加密的可移动驱动器写入数据。

6. 纳入合规性和 Conditional Access — 将 BitLocker / 加密添加到 Intune 合规性策略中。CA 授权控制“要求设备合规”会据此限制对企业应用的访问。 验证：未加密设备会在合规宽限期内被报告为不合规，并被 CA 阻止。

7. 监控和恢复操作 — 每日查看加密报告；对加密状态持续超过 7 天的设备发出警报。记录帮助台恢复流程：用户从启动屏幕读取恢复密钥 ID → 帮助台在 Entra 中查询 → 将密钥告知用户。

防护措施

• 大规模部署前，先验证恢复密钥托管是否正常——未托管的密钥可能导致数据 丢失。 先试点 50 台设备，检索每个密钥，然后再扩大部署。
• 先试点预启动身份验证选项；它们会影响用户体验和自动化／映像部署。 TPM+PIN 可能导致网络唤醒、远程管理和无人值守重启无法正常工作。
• 可移动驱动器加密（BitLocker To Go）需要单独制定策略。 不要假设操作系统驱动器策略也涵盖 USB 驱动器。
• 没有 TPM = 实际上无法使用 BitLocker。 纯软件 BitLocker 的安全性要弱得多，这也表明应淘汰该设备。
• 恢复密钥属于敏感信息。 服务台流程应要求在向来电者读出恢复密钥前验证其身份。
• 不要随意轮换恢复密钥。 每次轮换都会导致托管的密钥在一段时间内失效；应在确认新密钥已托管后，再将轮换视为完成。

常见反模式

• “启用 BitLocker，却不验证密钥是否已托管”——第一台设备丢失时，就会发现密钥缺失，数据无法恢复。先验证密钥托管情况。
• “所有人都使用 TPM+PIN”——PIN 忘记或锁定导致的工单量会增加 3 倍。仅对 PAW／Tier 0 保留此设置。
• “跳过合规性集成”——已加密设备不会显示在 CA 中。将其添加到合规性策略。
• “BitLocker To Go 为可选项”——存有客户数据的 USB 闪存盘未加密，丢失后就会造成数据泄露。任何处理敏感数据的设备都必须启用此功能。
• “服务台未验证来电者身份就读出恢复密钥”——这为通过社会工程窃取数据开辟了途径。务必验证身份。
• “加密后重新映像，却不保存密钥”——设备更新时很容易漏掉此步骤；重新映像会销毁可恢复状态。擦除前务必验证密钥托管情况。

示例提示词

• 设计一项通过 Intune 静默启用 BitLocker 并将密钥托管到 Entra 的策略。
• 为我们的 PAW 设备设置 TPM+PIN 预启动身份验证。
• 大规模部署前，在试点环中验证恢复密钥托管情况。
• 为可移动 USB 驱动器配置带密码保护的 BitLocker To Go。
• 将磁盘加密添加到 Intune 合规性策略，并设置 Conditional Access 门控。
• 规划并记录服务台恢复密钥工作流。

Microsoft Learn

• BitLocker 概述：https://learn.microsoft.com/windows/security/operating-system-security/data-protection/bitlocker/
• 使用 Intune 管理 BitLocker：https://learn.microsoft.com/mem/intune/protect/encrypt-devices
• 磁盘加密策略：https://learn.microsoft.com/mem/intune/protect/endpoint-security-disk-encryption-policy
• 静默加密：https://learn.microsoft.com/intune/device-configuration/endpoint-security/encrypt-bitlocker-windows
• Entra 中的恢复密钥：https://learn.microsoft.com/entra/identity/devices/manage-device-identities
• BitLocker To Go：https://learn.microsoft.com/windows/security/operating-system-security/data-protection/bitlocker/bitlocker-to-go-faq
• BitLocker 恢复：https://learn.microsoft.com/windows/security/operating-system-security/data-protection/bitlocker/recovery-overview