既存端末を調べたらBitLocker自体は有効になっているのに、GPOにもIntuneにもローカルGPOにも該当する管理ポリシーが見当たらない——という「管理元不明のBitLocker」に遭遇することがあります。この記事では、そこからIntuneでBitLocker管理を新規導入する際の注意点をまとめます。
よくある初期状態
レジストリ(FVE関連キー)には値が入っており、BitLocker自体は有効です。しかしGPOの適用結果(gpresult等)を見ても該当ポリシーがなく、Intune(MDM)側にもディスク暗号化ポリシーが存在しません。つまり、過去の初期セットアップ時などに手動またはローカルGPOで一時的に有効化されたまま、管理側の設定が失われている状態です。
新規ポリシー作成時に決めるべきこと
1つ目は暗号化方式(128bitか256bit)をどちらに統一するかです。既存端末がすでにBitLocker暗号化済みの場合、その端末の暗号化方式と新しく作るポリシーの方式が食い違うと、Intune側でコンプライアンスエラー表示になります(実害はなく表示上のエラーであることが多いですが、運用上は気になる表示です)。新規ポリシー導入時点で、既存端末の暗号化方式に合わせるか、新方式に全台揃える(再暗号化が必要)かを最初に決めておくと後の手戻りが減ります。
2つ目はスタートアップ認証(TPMのみかTPM+PINか)です。TPM+PIN必須化はセキュリティ上望ましい一方、現場のユーザー対応コストが上がります。まずはTPMのみで運用を開始し、後からPIN必須化を検討する進め方が現実的です。
3つ目は回復パスワードのローテーションです。有効にしておくと、回復キーが一度使われた後に自動で新しいキーへ更新されます。特に理由がなければ有効化しておくのが無難です。
ロールアウトの進め方
いきなり全台配信するのではなく、まず自分の端末など少数でテストしてから対象グループを広げるのが安全です。特にAutopilot経由の新規キッティング端末と、既存の手動セットアップ済み端末とでは、初期状態(暗号化方式やTPM状態)が異なることが多いため、両方のパターンでテストしておくと安心です。
まとめ
「BitLockerは有効だが管理元不明」という状態は、Intune管理下でのポリシー新規作成の良いきっかけです。暗号化方式の統一方針だけ最初に決めておけば、後からのエラー表示や再暗号化の手戻りをかなり減らせます。
コメント