Come abilitare BitLocker utilizzando i Criteri di gruppo (GPO)
GPO BitLocker consente agli amministratori IT di configurare centralmente la crittografia BitLocker per le unità del sistema operativo, le unità di dati fisse e le unità rimovibili in tutti gli ambienti Windows gestiti. Anziché abilitare manualmente la crittografia su ogni singolo computer, gli amministratori possono utilizzare Impostazioni dei criteri di gruppo di BitLocker per definire l'autenticazione all'avvio, i metodi di crittografia, le opzioni di ripristino e i requisiti di backup di Active Directory.
Questa guida passo passo spiega dove trovare il Impostazioni GPO di BitLocker, come abilitare BitLocker tramite GPO, come distribuire BitLocker sui computer membri del dominio e come archiviare le password di ripristino in Active Directory. Imparerete inoltre come verificare il corretto funzionamento del criterio applicato e come risolvere gli errori più comuni relativi ai criteri di gruppo di BitLocker.
Se un Chiave di recupero BitLocker non è possibile individuarlo tramite Active Directory, un account Microsoft, un file di testo salvato o un'altra posizione di backup standard, Magic Recovery Key può aiutare a cercare nei sistemi Windows accessibili le informazioni di ripristino di BitLocker già presenti. Non è in grado di ricreare una chiave di ripristino smarrita né di decrittografare un'unità protetta da BitLocker senza credenziali di ripristino valide.
Supporta Windows 7/8/10/11 e Windows Server
Indice dei contenuti
Che cos'è BitLocker?
BitLocker è la funzione di crittografia integrata di Microsoft per i sistemi operativi Windows. Protegge i dati crittografando intere unità, rendendole illeggibili senza un'adeguata autenticazione.
Le caratteristiche principali di BitLocker includono:
- Crittografia completa dell'unità utilizzando algoritmi avanzati come AES
- Protezione contro l'accesso offline e il furto del dispositivo
- Integrazione con TPM (Trusted Platform Module)
- Supporto per sistema operativo, unità fisse e rimovibili
Poiché Microsoft ha integrato BitLocker direttamente in Windows, molti utenti vi fanno affidamento sia in ambienti personali che aziendali. Se combinato con strumenti di gestione centralizzati, diventa ancora più potente.
Che cos’è il GPO di BitLocker e come funziona?
GPO BitLocker si riferisce alle impostazioni dei Criteri di gruppo utilizzate per controllare il funzionamento della crittografia dell'unità BitLocker sui dispositivi Windows. Gli amministratori possono utilizzare questi criteri per standardizzare l'autenticazione all'avvio, i metodi di crittografia, la creazione della password di ripristino, le restrizioni di accesso all'unità e il backup della chiave di ripristino.
In un ambiente Active Directory, i criteri di gruppo di BitLocker vengono normalmente configurati tramite la Console di gestione dei criteri di gruppo e associati a un’unità organizzativa contenente i computer di destinazione. Nelle edizioni autonome di Windows supportate, è possibile configurare impostazioni simili anche tramite l’Editor dei criteri di gruppo locali, eseguendo gpedit.msc.
Il percorso principale dei criteri di gruppo di BitLocker è:
Configurazione del computer > Criteri > Modelli amministrativi > Componenti di Windows > Crittografia unità BitLocker
Le impostazioni sono suddivise in unità del sistema operativo, unità di dati fisse e unità di dati rimovibili, consentendo agli amministratori di configurare requisiti di sicurezza diversi per ciascun tipo di unità.
Perché utilizzare BitLocker GPO in un ambiente aziendale?
Utilizzo Criteri di gruppo BitLocker offre chiari vantaggi rispetto all'abilitazione manuale di BitLocker su ogni dispositivo.
Vantaggi principali
- Controllo centralizzato sulle impostazioni di crittografia
- Applicazione automatica dei criteri tra i vari dipartimenti
- Backup della chiave di ripristino via Active Directory
- Miglioramento della conformità con gli standard di sicurezza
In base all'esperienza reale, le organizzazioni che si affidano alla crittografia manuale spesso devono fare i conti con impostazioni incoerenti e chiavi di ripristino perse. I Criteri di gruppo riducono significativamente questi rischi standardizzando la gestione della crittografia.
Prerequisiti per l'implementazione di BitLocker tramite GPO
Prima di applicare BitLocker tramite Criteri di gruppo, verificare che siano soddisfatti i seguenti requisiti:
- Versione di Windows supportata: La crittografia dell'unità BitLocker è disponibile nelle edizioni Windows Pro, Enterprise ed Education, nonché nelle edizioni supportate di Windows Server. L'edizione Windows Home non offre l'interfaccia completa di gestione della crittografia dell'unità BitLocker.
- Appartenenza al dominio: I computer devono essere aggiunti ad Active Directory quando si utilizza un oggetto Criteri di gruppo (GPO) di dominio. Per i computer autonomi, gli amministratori possono utilizzare i Criteri di gruppo locali, ove supportati.
- Console di gestione dei criteri di gruppo: Installare GPMC sulla workstation di gestione o sul server Windows utilizzato per creare e collegare il criterio.
- Stato TPM: TPM 2.0 è consigliato per le moderne installazioni di Windows. Verificare che il TPM sia abilitato, inizializzato e pronto eseguendo
tpm.msc. - Avvio sicuro: Abilitare l'avvio sicuro (Secure Boot) quando è richiesta un'installazione automatica o basata su TPM.
- Autorizzazioni di Active Directory: Verificare che gli account dei computer possano scrivere le informazioni di ripristino di BitLocker nei corrispondenti oggetti computer di AD DS.
- Unità organizzativa pilota: Testare il GPO di BitLocker su un'unità organizzativa (OU) di piccole dimensioni prima di applicarlo ai computer di produzione.
- Processo di recupero: Verificare che gli amministratori autorizzati siano in grado di individuare e recuperare le password di ripristino prima di avviare un'implementazione su larga scala.
Come abilitare BitLocker tramite GPO, passo dopo passo
1: Creare e collegare un oggetto GPO dedicato a BitLocker
Aperto Gestione dei criteri di gruppo correndo
gpmc.msc. Fare clic con il tasto destro del mouse sull'unità organizzativa (OU) "pilota" che contiene i computer di destinazione e selezionare Crea un oggetto GPO in questo dominio e collegalo qui.Assegna alla politica un nome descrittivo, ad esempio:
BitLocker – Linee guida di base per client WindowsL'utilizzo di un GPO dedicato semplifica il collaudo, la risoluzione dei problemi, la verifica e il ripristino delle impostazioni di BitLocker senza influire sui criteri di sicurezza non correlati.
2: Aprire le impostazioni dei criteri di gruppo di BitLocker
Modifica il nuovo oggetto GPO e vai a:
Configurazione del computer > Criteri > Modelli amministrativi > Componenti di Windows > Crittografia unità BitLockerIn questa sezione, configurare criteri distinti per:
- Unità del sistema operativo
- Unità dati fisse
- Unità dati rimovibili
3: Configurazione dell'autenticazione all'avvio
Aperto:
Unità del sistema operativo > Richiedi autenticazione aggiuntiva all'avvioImpostare la politica su Abilitato.
Seleziona il sistema di protezione all'avvio più adatto alle tue esigenze di sicurezza:
- Solo TPM: Adatto per un'installazione silenziosa con un'interazione minima da parte dell'utente.
- TPM + PIN: Aggiunge l'autenticazione pre-avvio per i dispositivi a rischio più elevato.
- Chiave di avvio: Utilizza un dispositivo USB contenente la chiave di avvio.
- In assenza di un TPM compatibile: Attivare questa opzione solo quando è necessario garantire la compatibilità con hardware meno recente.
Evitare di specificare contemporaneamente più opzioni di avvio incompatibili, poiché requisiti di autenticazione in conflitto possono causare un errore di policy.
4: Scegliere il metodo di crittografia dell'unità
Andare a:
Crittografia dell'unità BitLocker > Scegliere il metodo di crittografia dell'unità e il livello di sicurezza dell'algoritmo di crittografiaAttivare il criterio e selezionare uno standard di crittografia coerente per l'organizzazione. Per i sistemi operativi Windows attuali e le unità fisse, utilizzare XTS-AES a 128 bit o XTS-AES a 256 bit in base ai requisiti di conformità, prestazioni e sicurezza.
Si raccomanda di evitare di combinare metodi di crittografia diversi all’interno di gruppi di dispositivi simili, a meno che non sussista un requisito specifico di compatibilità.
5: Eseguire il backup delle chiavi di ripristino di BitLocker su Active Directory
Andare a:
Unità del sistema operativo > Scegliere come recuperare le unità del sistema operativo protette da BitLockerImpostare la politica su Abilitato, quindi configurare le seguenti opzioni:
- Richiedere o consentire una password di recupero di 48 cifre.
- Abilitazione Salvare le informazioni di ripristino di BitLocker in Active Directory Domain Services.
- Selezionare Password di ripristino del backup e pacchetto di chiavi quando l'organizzazione richiede entrambe le cose.
- Abilitazione Non attivare BitLocker finché le informazioni di ripristino non sono state salvate in AD DS per le unità del sistema operativo.
Ripetere la configurazione di ripristino corrispondente in Unità dati fisse e Unità dati rimovibili se tali tipi di unità sono inclusi nella distribuzione.
6: Applicare l'oggetto GPO e avviare la crittografia
Su un computer di prova, apri il Prompt dei comandi come amministratore ed esegui:
gpupdate /forceRiavviare il computer se la politica di autenticazione all'avvio lo richiede.
Successivamente, verificare che la politica sia stata applicata prima di avviare la crittografia. A seconda dell'ambiente di implementazione, la crittografia può essere avviata tramite:
- PowerShell e
Abilita BitLockergestire-bde- Microsoft Configuration Manager
- Una piattaforma per la gestione degli endpoint
- Uno script PowerShell avviato automaticamente o pianificato
L'applicazione di un oggetto di politica di gruppo (GPO) BitLocker configura il comportamento richiesto, ma potrebbe comunque essere necessaria un'azione di distribuzione per avviare la crittografia su un'unità esistente non crittografata.
7: Verifica della distribuzione degli oggetti GPO di BitLocker
Esegui il seguente comando per verificare lo stato della crittografia:
gestisci-bde -statoPer verificare che il GPO sia stato applicato, eseguire:
gpresult /h C:\gpresult.htmlApri il report generato e verifica che il GPO di BitLocker desiderato compaia tra i criteri applicati al computer.
Infine, aprire l'oggetto del computer di destinazione in "Utenti e computer di Active Directory" e verificare che le informazioni di ripristino di BitLocker siano presenti prima di espandere la distribuzione.
Impostazioni GPO consigliate per BitLocker
| Impostazione GPO di BitLocker | Valori di riferimento suggeriti | Scopo |
|---|---|---|
| Richiedi un'autenticazione aggiuntiva all'avvio | TPM solo per l'installazione automatica; TPM + PIN per i dispositivi a rischio più elevato | Gestisce l'autenticazione pre-avvio |
| Scegliere il metodo di crittografia del disco e il livello di sicurezza della crittografia | Standardizzare XTS-AES a 128 o 256 bit in base alle esigenze aziendali | Impedisce l'uso di metodi di crittografia non coerenti |
| Applicare il tipo di crittografia alle unità del sistema operativo | Solo spazio utilizzato per i dispositivi appena configurati; crittografia completa per le unità riutilizzate | Determina la percentuale di spazio su disco da crittografare inizialmente |
| Scegliere in che modo è possibile ripristinare le unità del sistema operativo protette da BitLocker | Abilita la password di ripristino e il backup di AD DS | Garantisce che i dispositivi crittografati rimangano recuperabili |
| Non attivare BitLocker finché le informazioni di ripristino non sono state salvate in AD DS | Abilitato per le implementazioni su dominio | Impedisce la crittografia finché il backup della chiave non viene completato con successo |
| Scegli come è possibile ripristinare le unità fisse protette da BitLocker | Rispettare la politica aziendale in materia di ripristino delle unità del sistema operativo | Protegge le unità interne secondarie |
| Negare l'accesso in scrittura alle unità fisse non protette da BitLocker | Attivare solo dopo aver effettuato i test pilota | Applica la crittografia alle unità disco dedicate ai dati |
| Negare l'accesso in scrittura alle unità rimovibili non protette da BitLocker | Applicare in conformità con la politica sui supporti rimovibili | Impedisce la scrittura di dati su chiavette USB non crittografate |
Non esiste un'unica configurazione GPO di BitLocker adatta a tutte le organizzazioni. L'autenticazione, il livello di sicurezza dell'algoritmo di crittografia, le restrizioni relative alle unità rimovibili e le impostazioni di ripristino devono essere selezionate in base al tipo di dispositivo, ai requisiti di conformità, alla capacità di assistenza tecnica e al modello di minaccia dell'organizzazione.
Il GPO di BitLocker avvia automaticamente la crittografia?
Un oggetto GPO di BitLocker definisce principalmente i requisiti di crittografia, autenticazione e ripristino che un dispositivo deve soddisfare. L'avvio automatico della crittografia dipende dall'edizione di Windows, dallo stato del dispositivo, dalla compatibilità hardware, dallo stato attuale della crittografia e dal metodo di distribuzione utilizzato.
In un'implementazione aziendale controllata, gli amministratori non devono dare per scontato che la semplice creazione e associazione di un GPO sia sufficiente a crittografare tutti i dispositivi esistenti. È necessario prima applicare e verificare il criterio, quindi utilizzare PowerShell, gestire-bde, Configuration Manager o un altro strumento di gestione approvato per attivare la crittografia ove necessario.
Problemi comuni relativi ai criteri di gruppo (GPO) di BitLocker e come risolverli
1. Il GPO di BitLocker non viene applicato
Correre:
gpresult /h C:\gpresult.htmlSe il GPO di BitLocker non compare nel report, verificare quanto segue:
- Se il computer si trova nell'unità organizzativa corretta
- Stato del collegamento GPO
- Filtraggio di sicurezza
- Filtri WMI
- Impostazioni di ereditarietà dei blocchi
- GPO con priorità più alta
- Se la politica è stata configurata in “Configurazione computer” anziché in “Configurazione utente”
2. Il GPO di BitLocker viene applicato, ma la crittografia non viene avviata
Correre:
gpupdate /forceAllora controlla:
gestisci-bde -statoSe l'unità è ancora completamente decrittografata, verificare che il TPM, l'avvio sicuro (Secure Boot) e le impostazioni di ripristino richieste siano pronte. Dopo aver verificato la conformità alle politiche, avviare la crittografia utilizzando lo script PowerShell approvato dall'organizzazione o il sistema di gestione degli endpoint.
3. “Le impostazioni dei criteri di gruppo richiedono che venga specificata una password di ripristino prima di crittografare l'unità”
Questo errore si verifica solitamente quando la politica di ripristino di BitLocker applicata richiede una password di protezione per il ripristino, ma il comando di crittografia o il processo di distribuzione non ne ha creata una.
Confermare che Scegliere in che modo è possibile ripristinare le unità del sistema operativo protette da BitLocker è abilitata. A questo punto, creare una protezione tramite password di ripristino prima di avviare la crittografia:
Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtectorEseguire il backup del protettore risultante su Active Directory con
Backup-BitLockerKeyProtector, verificare che le informazioni di ripristino siano state salvate correttamente, quindi proseguire con il processo di crittografia.
4. La chiave di ripristino di BitLocker non è stata salvata in Active Directory
Verificare che la politica di ripristino sia abilitata e che Salvare le informazioni di ripristino di BitLocker in Active Directory Domain Services è selezionato.
Vedi anche:
- Il computer è connesso al dominio
- L'account del computer dispone dei permessi necessari per scrivere le informazioni di ripristino
- L'oggetto informatico corretto è in fase di verifica
- Nessun criterio GPO o Intune in conflitto prevale sulla configurazione di ripristino
- Sull'unità è presente un sistema di protezione con password di ripristino
5. Il TPM impedisce l'attivazione di BitLocker
Correre
tpm.msce verificare che il TPM sia presente, abilitato, inizializzato e pronto all'uso. Se il TPM è disabilitato, abilitarlo nelle impostazioni BIOS o UEFI del computer.Per i dispositivi privi di un TPM compatibile, abilitare Abilita BitLocker senza un TPM compatibile sotto Richiedi un'autenticazione aggiuntiva all'avvio, e utilizzare una password supportata o una chiavetta USB di avvio. La protezione basata su TPM dovrebbe rimanere l'opzione preferita laddove sia disponibile hardware compatibile.
6. Conflitti tra GPO, criteri di gruppo locali e Intune
Utilizzo
gpresultorsop.mscper individuare la politica più efficace. Evitare di gestire le stesse impostazioni di BitLocker su più sistemi, a meno che la titolarità e la precedenza non siano chiaramente definite.I dispositivi che ricevono impostazioni GPO e di gestione cloud in conflitto potrebbero non riuscire a eseguire il backup delle chiavi di ripristino, applicare un metodo di autenticazione imprevisto o rimanere non crittografati.
Cosa succede se la chiave di ripristino di BitLocker è mancante?
Se un utente non riesce più ad accedere a un'unità protetta da BitLocker, cercare innanzitutto in Active Directory Domain Services, Microsoft Entra ID, nell'account Microsoft dell'utente, nei registri cartacei, nelle unità USB e nei file di chiave di ripristino salvati.
Magic Recovery Key può aiutare amministratori e tecnici a cercare nei sistemi Windows e nelle posizioni di archiviazione accessibili le informazioni di ripristino BitLocker esistenti. È utile quando le chiavi di ripristino sono state precedentemente salvate in locale o in un’altra posizione accessibile, ma sono difficili da individuare manualmente.
Una soluzione pratica: Magic Recovery Key
Quale problema risolve?
Magic Recovery Key aiuta gli utenti a individuare rapidamente le chiavi di ripristino BitLocker esistenti memorizzate su un sistema o su una memoria esterna, senza comandi complessi o conoscenze tecniche avanzate.
Vantaggi principali
- Supporta Windows 7, 8, 10, 11 e Windows Server
- Interfaccia semplice e adatta ai non addetti ai lavori
- Esegue automaticamente la scansione delle posizioni più comuni
- Riduce i tempi di inattività durante le emergenze di accesso ai dati
Scenario di utilizzo nel mondo reale
Ad esempio, un tecnico IT riceve un portatile che non si avvia più correttamente. La chiave di ripristino non è presente nella documentazione e il dispositivo non è collegato al dominio. In questi casi, Magic Recovery Key offre un modo più rapido e affidabile per individuare la chiave necessaria.
Rispetto alla ricerca manuale o allo scripting, questo approccio fa risparmiare tempo e riduce il rischio di perdita dei dati.
Se siete alla ricerca di una soluzione di recupero più efficiente, Magic Recovery Key vale la pena di prendere in considerazione.
Supporta Windows 7/8/10/11 e Windows Server
Migliori pratiche per i criteri di gruppo (GPO) di BitLocker
1. Eseguire il backup delle informazioni di ripristino prima della crittografia
È necessario che le password di ripristino siano state correttamente memorizzate in AD DS prima che BitLocker inizi a crittografare un computer appartenente al dominio.
2. Testare la politica in un'unità organizzativa pilota
Applicare le nuove impostazioni dei criteri di gruppo di BitLocker a un piccolo gruppo di dispositivi rappresentativi prima di procedere alla distribuzione a livello aziendale.
3. Distinguere le politiche in base al tipo di unità
Configurare in modo indipendente le unità del sistema operativo, le unità fisse di dati e le unità rimovibili, anziché partire dal presupposto che un'unica politica sia adatta a tutte le unità.
4. Ricorrere a un’unica autorità di gestione principale
Evitare sovrapposizioni non gestite tra Criteri di gruppo, Criteri di gruppo locali, Intune, Configuration Manager e script personalizzati.
5. Standardizzare il metodo di crittografia
Scegliere un metodo di crittografia coerente per ciascuna categoria di dispositivi, al fine di semplificare la rendicontazione di conformità, la migrazione e la risoluzione dei problemi.
6. Verificare lo stato della crittografia, non solo l'applicazione delle politiche
L'applicazione corretta di un GPO non implica necessariamente che l'unità sia crittografata. Controllare entrambi gpresult output e gestisci-bde -stato.
7. Limitare l'accesso alle chiavi di ripristino
Concedere l'accesso alle chiavi di ripristino solo agli amministratori autorizzati o al personale dell'help desk e, ove possibile, effettuare controlli sul recupero delle chiavi di ripristino.
8. Verifica delle modifiche al BIOS e al firmware
Modifiche al firmware, al TPM, all'avvio sicuro (Secure Boot) o alla configurazione di avvio possono causare la visualizzazione di richieste di ripristino di BitLocker. Testare gli aggiornamenti più importanti prima di distribuirli su larga scala.
9. Mantenere una procedura di ripristino documentata
Definire in che modo gli amministratori individuano la chiave di ripristino corretta, verificano l'identità dell'utente o del dispositivo richiedente e registrano gli eventi di ripristino.
Conclusione
Abilitazione GPO BitLocker è uno dei modi più efficaci per applicare la crittografia dei dati negli ambienti Windows. Se configurato correttamente, BitLocker GPO Active Directory L'integrazione garantisce l'archiviazione sicura e la gestione centralizzata delle chiavi di ripristino.
Tuttavia, l'esperienza del mondo reale dimostra che possono verificarsi problemi di ripristino. Ecco perché una soluzione affidabile come Magic Recovery Key aggiunge un ulteriore livello di sicurezza. Colma il divario tra la gestione basata sulle politiche e le esigenze pratiche di recupero.
Sia per le aziende che per i privati, la combinazione dei Criteri di gruppo BitLocker con un sistema affidabile di Recupero BitLocker crea una strategia di protezione dei dati più completa e affidabile.
Supporta Windows 7/8/10/11 e Windows Server
Domande frequenti
Che cos'è il GPO di BitLocker?
Dove si trovano le impostazioni GPO di BitLocker?
Come si abilita BitLocker tramite GPO?
I Criteri di gruppo possono abilitare automaticamente BitLocker?
Come si fa a memorizzare una chiave di ripristino di BitLocker in Active Directory?
Quali sono le impostazioni consigliate per i criteri di gruppo (GPO) di BitLocker?
Cosa significa l'errore relativo alla password di ripristino nei Criteri di gruppo?
È possibile configurare BitLocker con gpedit su Windows Home?
