Intune'u Kullanarak BitLocker'ı Etkinleştirme ve Yapılandırma: Adım Adım Kılavuz

Bu yazıda size Intune kullanarak BitLocker'ı nasıl etkinleştireceğinizi ve yapılandıracağınızı göstereceğim. Windows 10 veya 11 çalıştıran cihazlarda BitLocker sürücü şifrelemesini yapılandırmak için Microsoft Intune'u kullanabilirsiniz. Kılavuzda, Windows cihazları için Intune kullanılarak BitLocker'ın nasıl dağıtılacağı açıklanmaktadır.

Intune'da BitLocker Sürücü Şifrelemesi, işletim sistemiyle entegre olan ve veri hırsızlığı veya kaybolan, çalınan veya uygunsuz bir şekilde hizmet dışı bırakılan bilgisayarlardan kaynaklanan risklere maruz kalma tehditlerini ele alan bir veri koruma özelliğidir.

Şifreleme, cihazınızdaki verilerin korunmasına yardımcı olur, böylece bu verilere yalnızca yetkisi olan kişiler erişebilir. BitLocker, Windows 10 ve Windows 11 çalıştıran cihazlarda mevcuttur. Bitlocker'ı TPM olmadan da etkinleştirebilirsiniz.

Bitlocker şifrelemesi, Windows 10 ve Windows 11 cihazlarda Grup İlkesi, Yapılandırma Yöneticisi ve Microsoft Intune gibi birden çok yöntem kullanılarak etkinleştirilebilir. Bağımsız bilgisayarlarda Bitlocker şifrelemesini manuel olarak açabilirsiniz.

Not: BitLocker'ı bir cihazda otomatik ve sessizce etkinleştirmek için bir BitLocker politikası yapılandırabilirsiniz. Bu, BitLocker'ın son kullanıcıya herhangi bir kullanıcı arayüzü sunmadan, söz konusu kullanıcı cihazda yerel Yönetici olmasa bile başarılı bir şekilde etkinleştirildiği anlamına gelir. Uç nokta güvenlik diski şifreleme ilkesindeki BitLocker profilini veya bir aygıt yapılandırma ilkesindeki uç nokta koruma şablonunu kullanabilirsiniz.

BitLocker Intune Önkoşulları

Intune için BitLocker, Windows 10 ve Windows 11 çalıştıran cihazlarda kullanılabilir. Intune kullanarak Bitlocker'ı etkinleştirmek için aşağıdaki önkoşulların yerinde olması gerekir:

1. Geçerli bir Microsoft Endpoint Manager (Intune) lisansına ihtiyacınız olacak.
2. Cihazların Azure AD veya Hibrit Azure AD'ye katılmış olması gerekir.
3. Cihazlar, McAfee Disk Encryption gibi üçüncü taraf disk şifreleme araçlarıyla şifrelenmemelidir. Cihazlar zaten başka çözümlerle şifrelenmişse Intune kullanarak BitLocker'ı dağıtmadan önce bunların şifresini tamamen çözmeniz gerekir.
4. Uç cihazlarda sürüm 1.2 veya üzeri bir TPM çipi bulunmalıdır (TPM 2.0 önemle tavsiye edilir).
5. BIOS'un UEFI'ye ayarlanması gerekir.
6. Intune'da BitLocker'ı yönetmek için hesabınızın geçerli Intune rol tabanlı erişim denetimi (RBAC) izinlerine sahip olması gerekir.

Intune kullanarak Bitlocker'ı Yapılandırma ve Dağıtma Yöntemleri

Intune, iki yöntemi kullanarak BitLocker ilkesini yapılandırmanıza ve dağıtmanıza olanak tanır:

1. BitLocker için bir cihaz yapılandırma profili oluşturun ve bunu cihazlara dağıtın.
2. BitLocker için bir uç nokta güvenlik politikası oluşturun, yapılandırın ve cihazlara dağıtın.

Tercih ettiğiniz politika türünü oluşturmak için yukarıdaki prosedürlerden herhangi birini kullanabilirsiniz. Önerilen yaklaşım, bir uç nokta güvenlik ilkesi oluşturmak ve BitLocker'ı Windows cihazları için Intune kullanarak yapılandırmaktır.

Intune kullanarak BitLocker'ı sessizce etkinleştirmek için gerekli ayarlar

Kullandığınız ilke türüne bağlı olarak Intune'u kullanarak BitLocker'ı sessizce etkinleştirebilirsiniz:

• Uç nokta güvenliği disk şifreleme politikası: BitLocker profilinde aşağıdaki ayarları yapılandırın:

  • Üçüncü taraf şifrelemeyle ilgili istemi gizle=Evet.
  • Otomatik pilot sırasında standart kullanıcıların şifrelemeyi etkinleştirmesine izin ver=Evet.
  • Anahtar Dosya Oluşturulmasını Gerektir=Engellendi veya İzin Verildi.

• BitLocker Cihaz yapılandırma politikası: Uç nokta koruma şablonunda veya özel ayarlar profilinde aşağıdaki ayarları yapılandırın:

  • Diğer disk şifrelemesi için uyarı=Engelle.
  • Azure AD Katılımı=İzin Ver sırasında standart kullanıcıların şifrelemeyi etkinleştirmesine izin ver.

Intune'u kullanarak Bitlocker'ı Etkinleştirme ve Yapılandırma

Şimdi Bitlocker'ı açmak, kurmak ve dağıtmak için Intune'u nasıl kullanacağımıza bakacağız. Bu, Windows 10 veya 11 çalıştıran cihazlarda BitLocker sürücü şifrelemesini yapılandıracaktır. Intune kullanarak Bitlocker'ı etkinleştirmeye ve yapılandırmaya yönelik üst düzey adımlar aşağıdaki gibidir:

• Intune'u kullanarak Bitlocker'ı etkinleştirme
• Intune'da Bitlocker için yapılandırma profili oluşturma
• Intune'u kullanarak Bitlocker Politikasını Yapılandırma
• Bitlocker Şifreleme Durumunu İzleyin

1. Adım: Intune'da BitLocker İlkesi Oluşturun

Bu adımda aşağıdaki adımlarla Intune'da Bitlocker için yeni bir uç nokta güvenlik politikası oluşturacağız:

• Microsoft Endpoint Manager yönetim merkezinde (Intune Admin Center) oturum açın.
• Uç Nokta Güvenliği düğümüne gidin ve Yönet altında Disk Şifreleme'yi seçin.
• Yeni bir politika oluşturmak için Politika Oluştur'u seçin.

Profil oluştur penceresinde aşağıdaki seçenekleri seçin:

• Platform: Windows 10 ve üzeri
• Profil: BitLocker

Oluştur'u tıklayın.

Profil Oluştur sayfasının Temel Bilgiler sekmesinde, Bitlocker politikasının adını ve kısa bir açıklamayı girin. Örneğin, aşağıdaki ayrıntıları belirtebilirsiniz:

• Ad: Intune'u kullanarak Bitlocker'ı Etkinleştirin ve Yapılandırın.
• Açıklama: BitLocker için bir uç nokta güvenlik politikası oluşturun.

İleri'yi tıklayın.

2. Adım: Bitlocker'ı Intune kullanarak yapılandırma

Bu adımda size Intune'da Bitlocker politika ayarlarının nasıl yapılandırılacağını göstereceğim. BitLocker Yapılandırma Ayarları'na ulaştığınızda yapılandırabileceğiniz çeşitli ayarlar vardır. Her BitLocker ayarını etkinleştirip yapılandırmanıza gerek olmadığını belirtmek isterim. İşletmenin ihtiyaçlarına göre ayarların yapılandırılması gerekir. Ancak Intune'u kullanarak BitLocker'ı etkinleştirip yapılandırdığınızda izleyebileceğiniz en iyi uygulamaları ele alacağım.

Intune'da BitLocker Temel Ayarlarını Yapılandırma

Bitlocker'ın yapılandırma ayarları sekmesinde gördüğünüz ilk ayarlar temel ayarlardır. Bunlar, BitLocker'ın sessiz etkinleştirilmesini ve uygulanmasını yapılandırmanıza olanak tanır. Her ayarı inceleyeceğiz ve her ayarın amacını ve etkinleştirip etkinleştirmemeniz gerektiğini açıklayacağım.

• İşletim sistemi ve sabit veri sürücüleri için tam disk şifrelemeyi etkinleştirin: Evet'i seçin. Bu, BitLocker kullanımını zorunlu kılacaktır.
• Depolama kartlarının şifrelenmesini gerektir (yalnızca mobil): Yapılandırılmamış'ı seçin. Bu ayar Evet olarak ayarlandığında, mobil cihazlar için depolama kartlarında şifreleme gerekli olacaktır. Yapılandırılmadı olarak ayarlandığında ayar, depolama kartı şifrelemesini gerektirmeyen işletim sistemi varsayılanına geri döner. Bu ayar yalnızca Windows Mobile ve Mobile Enterprise SKU cihazları için geçerlidir.
• Üçüncü taraf şifrelemeyle ilgili istemi gizle: Evet'i seçin. Zaten üçüncü taraf bir şifreleme ürünü tarafından şifrelenmiş bir sistemde Intune'u kullanarak BitLocker'ı etkinleştiriyorsanız bu, cihazı kullanılamaz hale getirebilir. McAfee Disk Encryption gibi üçüncü taraf şifrelemenin yüklü veya etkin olduğu bir cihazda BitLocker'ı asla etkinleştirmemeniz önemle tavsiye edilir. Bu ayar Evet olarak ayarlandığında bu uyarı istemi bastırılır. YAPILANDIRILMADI olarak ayarlandığında, ayar, kullanıcıları üçüncü taraf şifreleme konusunda uyaracak olan varsayılana geri döner.
• Standart kullanıcıların Otomatik Pilot sırasında şifrelemeyi etkinleştirmesine izin ver: Evet'i seçin. Evet olarak ayarlandığında, Azure Active Directory Katılımı (AADJ) sessiz etkinleştirme senaryoları sırasında kullanıcıların Intune kullanarak BitLocker'ı etkinleştirmek için yerel yönetici olmaları gerekmez. Yapılandırılmadı olarak ayarlandığında, BitLocker'ı etkinleştirmek için yerel yönetici erişimi gerektiren ayar istemci varsayılanı olarak bırakılacaktır.
• İstemci odaklı kurtarma parolası rotasyonunu yapılandırma: "Azure AD ve Hibrit bağlantılı cihazlarda rotasyonu etkinleştir seçeneğini seçin. Bunu Yapılandırılmadı olarak ayarlarsanız bu, istemcide açıklandığında istemcinin BitLocker kurtarma anahtarlarını döndürmeyeceği anlamına gelir. Azure AD'ye katılan cihazlar için Anahtar yönlendirme etkin olarak ayarlamak, AADJ cihazları için anahtar yönlendirmeye izin verecektir. Azure AD'ye katılmış cihazlar ve Hibrit'e katılmış cihazlar için Anahtar yönlendirme etkin olarak ayarlamak, AADJ veya Hibrit'e katılmış cihazlar için anahtar rotasyonuna izin verecektir.

Intune'da BitLocker Sabit Sürücü Ayarlarını Yapılandırma

BitLocker sabit sürücü ayarları, aygıtların sahip olabileceği ek dahili diskler için geçerlidir. Bunun bir örneği, ana diskteki ayrı bölümler veya bir masaüstü veya dizüstü bilgisayara takılan ayrı bir ikinci disk olabilir.

Her bir Sabit Sürücü Ayarını sırasıyla inceleyelim:

• BitLocker sabit sürücü politikası: Bu politika ayarı, şifreleme yöntemini ve şifre gücünü kontrol etmek için kullanılır. Bu politikanın değerleri, BitLocker'ın şifreleme için kullandığı şifrenin gücünü belirler.
• Sabit sürücü kurtarma: Bu ayar, gerekli başlangıç anahtarı bilgileri olmadığında BitLocker korumalı sabit veri sürücülerinin nasıl kurtarılacağını kontrol eder.
• Kurtarma anahtarı dosyası oluşturma: Bunu Gerektir olarak ayarlamak, BitLocker başlatma sırasında 48 basamaklı bir kurtarma parolası oluşturur ve BitLocker kurtarma bilgilerini Azure Active Directory'ye kaydet ilkesi etkin olarak ayarlanmışsa bunu Azure AD'ye gönderir.
• BitLocker kurtarma paketini yapılandırın: Bunu Gerektir olarak ayarlamak, BitLocker başlatma sırasında 48 basamaklı bir kurtarma parolası oluşturur ve BitLocker kurtarma bilgilerini Azure Active Directory'ye kaydet ilkesi etkin olarak ayarlanmışsa bunu Azure AD'ye gönderir.
• Cihazın kurtarma bilgilerini Azure AD'ye yedeklemesini zorunlu kılın: Bunu Zorunlu olarak ayarlamak, BitLocker başlatma sırasında 48 basamaklı bir kurtarma parolası oluşturur ve BitLocker kurtarma bilgilerini Azure Active Directory'ye kaydet ilkesi etkinse bunu Azure AD'ye gönderir. etkinleştirecek şekilde ayarlayın.
• Kurtarma parolası oluşturma: Bunu İzin Ver olarak ayarlamak, BitLocker başlatma sırasında 48 basamaklı bir kurtarma parolası oluşturacak ve BitLocker kurtarma bilgilerini Azure Active Directory'ye kaydetme politikası varsa bunu Azure AD'ye gönderecektir. etkinleştirecek şekilde ayarlanmıştır. Bunu Gerektir olarak ayarlamak, BitLocker başlatma sırasında 48 basamaklı bir kurtarma parolası oluşturur ve BitLocker kurtarma bilgilerini Azure Active Directory'ye kaydet ilkesi etkinleştirilecek şekilde ayarlanmışsa bunu Azure AD'ye gönderir.
• BitLocker kurulumu sırasında kurtarma seçeneklerini gizle: Bunu Evet olarak ayarlamak, son kullanıcının BitLocker kurulum sihirbazı sırasında kurtarma anahtarlarını yazdırmak gibi ekstra kurtarma seçeneklerini seçmesini engeller. Bunu yapılandırılmamış olarak ayarlamak, kullanıcının ekstra kurtarma seçeneklerine erişmesine olanak tanır.
• Kurtarma sonrası bilgilerin saklanması için BitLocker'ı etkinleştirin: Bunu Evet olarak ayarladığınızda, BitLocker kurtarma bilgileri Active Directory Etki Alanı Hizmetleri'ne kaydedilecektir.
• Sertifika tabanlı veri kurtarma aracısının (DRA) kullanımını engelle: Bunu Evet olarak ayarlamak, BitLocker etkin sürücüleri kurtarmak için Veri Kurtarma Aracısı (DRA) kullanma yeteneğini engeller. Bunu "Yapılandırılmamış" olarak ayarlamak DRA kullanımının ayarlanmasına olanak tanır. DRA kurulumu, DRA aracısını ve sertifikalarını dağıtmak için kurumsal bir PKI ve Grup İlkesi Nesneleri gerektirir.
• BitLocker tarafından korunmayan sabit veri sürücülerine yazma erişimini engelle: Evet olarak ayarlandığında, Windows, BitLocker tarafından korunmayan sabit sürücülere hiçbir veri yazılmasına izin vermez. Sabit sürücü şifrelenmemişse, kullanıcının yazma erişimi verilmeden önce sürücü için BitLocker kurulum sihirbazını tamamlaması gerekir. Bunu "Yapılandırılmamış" olarak ayarlamak, verilerin şifrelenmemiş sabit sürücülere yazılmasına olanak tanır.
• Sabit veri sürücüleri için şifreleme yöntemini yapılandırın: AES 256bit XTS şifreleme yöntemini seçin. Bu ayar, sabit veri sürücüsü diskleri için istediğiniz şifreleme yöntemini seçmenizi sağlar. XTS-AES 128-bit, Windows'un varsayılan şifreleme yöntemidir ve önerilen değerdir.

BitLocker İşletim Sistemi Sürücü Ayarlarını Yapılandırma

Bu bölümde Intune'da bulunan BitLocker OS sürücü ayarlarını inceleyeceğiz.

• BitLocker sistem sürücüsü politikası: Yapılandır'ı seçin.
• Başlangıç kimlik doğrulaması gerekli: Evet'i seçin.
• Uyumlu TPM başlangıcı: Gerekli'yi seçin. BitLocker için bir TPM gerektirmesi önerilir.
• Uyumlu TPM başlangıç PIN'i: Engellendi'yi seçin. BitLocker'ı Intune kullanarak sessizce etkinleştirmek istiyorsanız PIN'in devre dışı bırakılması önerilir.
• Uyumlu TPM başlangıç anahtarı: Engellendi'yi seçin.
• Uyumlu TPM başlangıç anahtarı ve PIN: Engellendi'yi seçin.
• TPM'nin uyumsuz olduğu cihazlarda BitLocker'ı devre dışı bırakın: Yapılandırılmamış'ı seçin.
• Ön yükleme öncesi kurtarma mesajını ve URL'yi etkinleştir: Özel bir kurtarma mesajının veya URL'nin istenip istenmediğini bildirmek için bu seçeneği kullanın.
• Önyükleme öncesi kurtarma URL'si: İsteğe bağlı, özel bir kurtarma mesajının veya URL'nin istenip istenmediğini bildirmek için bu seçeneği kullanın.

• Sistem sürücüsü kurtarma: Gerekli başlangıç anahtarı bilgileri olmadığında BitLocker korumalı işletim sistemi sürücülerinin nasıl kurtarılacağını kontrol edin.
• Kullanıcı tarafından kurtarma anahtarı oluşturma: Yönetici kullanıcının manuel olarak 256 bitlik bir kurtarma anahtarı dosyası oluşturmasına olanak tanıyan İzin Verildi'i seçin.
• BitLocker kurtarma paketini yapılandırın: Şifre ve Anahtar'ı seçin.
• Cihazın kurtarma bilgilerini Azure AD'ye yedeklemesini zorunlu kılın: Evet'i seçin. Kurtarma anahtarları başarıyla Azure Active Directory'ye kaydedilene kadar BitLocker etkinleştirmeyi tamamlamayacaktır.
• Kurtarma şifresi oluşturma: Gerekli'yi seçin.
• BitLocker kurulumu sırasında kurtarma seçeneklerini gizle: Evet'i seçin. Bunu Evet olarak ayarlamak, son kullanıcının BitLocker kurulum sihirbazı sırasında kurtarma anahtarlarını yazdırmak gibi ekstra kurtarma seçeneklerini seçmesini engelleyecektir.
• Kurtarma sonrasında bilgilerin saklanması için BitLocker'ı etkinleştirin: Evet'i seçin. Bunu Evet olarak ayarladığınızda BitLocker kurtarma bilgileri Active Directory Etki Alanı Hizmetlerine kaydedilecektir.
• Sertifika tabanlı veri kurtarma aracısının (DRA) kullanımını engelleyin: Yapılandırılmamış'ı seçin. Bunu "Yapılandırılmamış" olarak ayarlamak DRA kullanımının ayarlanmasına olanak tanır.
• Minimum PIN uzunluğu: Intune kullanarak Bitlocker'ı etkinleştirdiğinizde TPM + PIN gerektiğinde minimum başlangıç PIN uzunluğunu yapılandırmanıza olanak tanır.
• İşletim Sistemi sürücüleri için şifreleme yöntemini yapılandırma: AES 256bit XTS'yi seçin.

BitLocker Çıkarılabilir Sürücü Ayarlarını Yapılandırma

Bitlocker'ı Intune kullanarak etkinleştirip yapılandırdığınızda çıkarılabilir sürücüleri de dikkate almanız gerekebilir. Önceki yazımda Intune kullanarak çıkarılabilir depolama birimini nasıl engelleyeceğinizi gösterdim. Çıkarılabilir aygıtların kullanımına izin veriliyorsa aşağıdaki BitLocker ayarlarını yapılandırabilirsiniz.

• BitLocker çıkarılabilir sürücü politikası: Yapılandır'ı seçin.
• Çıkarılabilir veri sürücüleri için şifreleme yöntemini yapılandırın: AES 256bit XTS'yi seçin.
• BitLocker tarafından korunmayan çıkarılabilir veri sürücülerine yazma erişimini engelleyin: Yapılandırılmadı'yı seçin.
• Başka bir kuruluşta yapılandırılmış cihazlara yazma erişimini engelleyin: Yapılandırılmadı'yı seçin.

3. Adım: Intune'u kullanarak BitLocker'ı dağıtın

1. Adımda Intune'da BitLocker ilkesini oluşturduk ve 2. Adımda BitLocker ilkesi ayarlarını yapılandırdık. Bu adımda BitLocker politikasını cihazlara atayarak dağıtacağız.

Kuruluşunuz BitLocker'ı Intune ile ilk kez kuruyorsa bunu bir pilot grupla test edebilirsiniz. Uygulama başarılı olursa BitLocker ilkesini daha büyük bir cihaz grubuna genişletebilirsiniz.

Kapsam (Etiketler) sayfasında, profile kapsam etiketleri atamak üzere Etiketleri seç bölmesini açmak için Kapsam etiketlerini seçin'i seçin. Devam etmek için İleri'yi seçin.

Ödevler sayfasında bu profili alacak grupları seçin. Dahil edilen gruplar bölümünün altında Grup ekle'ye tıklayın ve BitLocker ilkesini dağıtmak istediğiniz Azure AD gruplarını seçin. İleri'yi seçin.

İncele + oluştur sayfasında, yapılandırdığınız tüm BitLocker ayarlarını bulacaksınız. İşiniz bittiğinde Oluştur'u seçin.

Intune'da BitLocker ilkesini oluşturduktan sonra ilke artık Disk Şifreleme altında görünür. Oluşturduğunuz profil için politika türünü seçtiğinizde yeni profil listede görüntülenir. Intune'da farklı cihaz grupları için birden fazla disk şifreleme ilkesine sahip olabilirsiniz.

4. Adım: Intune'da Bitlocker Şifreleme Durumunu İzleyin

Bitlocker'ı Intune kullanarak dağıttıktan sonraki adım, cihazlardaki BitLocker şifreleme durumunu izlemektir. Bunu Intune Yönetici merkezinden yapabilirsiniz. Buna ek olarak, bir cihazın şifreleme durumuyla ilgili ayrıntıları görüntülemek ve cihaz kurtarma anahtarlarını yönetme seçeneklerini bulmak için bir Microsoft Intune şifreleme raporu da bulunmaktadır.

Aşağıdaki ekran görüntüsünden hedeflediğimiz hemen hemen tüm cihazlarda Bitlocker profil atamasının başarılı olduğunu görüyoruz. Bunun bir profil atama durumu olduğunu ve disk şifreleme durumu olmadığını unutmayın.

Microsoft Intune şifreleme raporu, bir cihazın şifreleme durumu hakkında bilgi edinmek ve kurtarma anahtarlarını yönetmenin yollarını bulmak için merkezi bir yerdir. Kullanılabilen kurtarma anahtarı seçenekleri, görüntülemekte olduğunuz cihazın türüne bağlıdır. Raporu bulmak için Microsoft Endpoint Manager yönetim merkezinde oturum açın. Cihazlar > Monitör'ü seçin ve ardından Yapılandırma altında Şifreleme Raporu'nu seçin.