79 lines
4.0 KiB
Markdown
79 lines
4.0 KiB
Markdown
# Bitlocker
|
|
|
|
Per abilitare la crittografia del disco sulla VM server, accedere a `Server Manager` e selezionare `Add roles and features > Features`. Aggiungere la funzionalità `Bitlocker Drive Encryption`.
|
|
|
|
|
|
|
|
Dopo il riavvio del sistema, aprire `Manage Bitlocker` per accedere al pannello di gestione.
|
|
|
|
## Gestione dello sblocco
|
|
|
|
L'integrazione con il `TPM` rende lo sblocco del disco trasparente per l'utente. Il sistema utilizza il modulo hardware per sbloccare automaticamente il volume crittografato, richiedendo esclusivamente la password dell'account utente per accedere al sistema operativo. In assenza, è necessario prima immettere la password di decrittazione del disco e successivamente quella di autenticazione dell'utente.
|
|
|
|
Per consentire l'attivazione di Bitlocker in assenza di TPM, modificare la policy locale da `gpedit.msc`:
|
|
|
|
- `Computer Configuration > Administrative Templates > Windows Components > Bitlocker Drive Encryption > Operating System Drives`
|
|
- Abilitare l'impostazione `Require additional authentication at startup`
|
|
|
|
|
|
|
|
## Attivazione di Bitlocker
|
|
|
|
Successivamente all'abilitazione della policy, sarà possibile attivare Bitlocker tramite password:
|
|
|
|
- Accedere a Manage Bitlocker
|
|
- Scegliere l'opzione `Turn on Bitlocker`
|
|
|
|
|
|
|
|
- Selezionare `Enter a password` come metodo di sblocco
|
|
|
|
Durante il processo di attivazione, è fondamentale salvare la `recovery key` in un luogo sicuro e separato dallla VM.
|
|
|
|
Al successivo avvio del sistema, in uno scenario senza TPM,, verrà richiesta la password di decrittazione del disco prima del caricamento del sistema operativo.
|
|
|
|
|
|
|
|
Per verificare da powershell los tatus dell'encryption esiste il comando:
|
|
|
|
```powershell
|
|
PS C:\Users\cookiemonster> Get-BitLockerVolume -MountPoint C:
|
|
|
|
ComputerName: DC01
|
|
|
|
VolumeType Mount CapacityGB VolumeStatus Encryption KeyProtector AutoUnlock Protection
|
|
Point Percentage Enabled Status
|
|
---------- ----- ---------- ------------ ---------- ------------ ---------- ----------
|
|
OperatingSystem C: 63.14 FullyEncrypted 100 {Password, RecoveryPas... On
|
|
```
|
|
|
|
## Disattivazione di BitLocker
|
|
|
|
Per disattivare permanentemente BitLocker, accedere a `Manage BitLocker` e selezionare l'opzione `Turn Off BitLocker`.
|
|
|
|
|
|
|
|
## Attivazione di BitLocker tramite Group Policy
|
|
|
|
Sul Domain Controller, creare una nuova Group Policy Object, abilitando l'impostazione `Store BitLocker recovery information in Active Directory Domain Services`.
|
|
|
|
|
|
|
|
È consigliato configurare il criterio che consente l'utilizzo di BitLocker senza un TPM, come precedentemente illustrato.
|
|
|
|
Abilitare inoltre l'impostazione `Choose how BitLocker-protected operating system drives can be recovered`.
|
|
|
|
|
|
|
|
Associare infine la policy alla OU corretta. Questa configurazione garantisce che, all'attivazione di BitLocker su un client, la password di recupero e le relative recovery key vengano salvate automaticamente in Active Directory, garantendone la disponibilità per gli amministratori.
|
|
|
|
### Visualizzazione delle Recovery Key in Active Directory
|
|
|
|
Per consultare le recovery key, è necessario che la feature `BitLocker Recovery Password Viewer` sia installata e attiva sul server.
|
|
|
|
|
|
|
|
Le chiavi sono successivamente visualizzabili in `Active Directory Users and Computers`. Selezionando l'oggetto computer protetto con BitLocker, la scheda `BitLocker Recovery` mostrerà le informazioni di ripristino corrispondenti.
|
|
|
|
|