Windows Server 2016 BitLocker 및 2019 가이드

이 기본 워크플로는 다음에도 적용됩니다. Server 2016 BitLocker. 배포를 확대하기 전에 복구 절차를 확인할 수 있도록 서버 1대와 볼륨 1개로 시작하십시오.

운영 체제 드라이브 암호화

간단한 Desktop Experience 설치를 위해서는:

1. 열기 제어판 → 시스템 및 보안 → BitLocker 드라이브 암호화.
2. 운영 체제 볼륨(보통 C:)을 찾으십시오.
3. 선택 BitLocker 켜기.
4. 마법사의 안내에 따라 사용 가능한 시작 방법을 구성하십시오.
5. 이 서버 외부에 복구 자격 증명을 백업하십시오.
6. 정책에 따라 암호화 범위와 모드를 선택하십시오.
7. 시스템 검사를 활성화된 상태로 유지하고, 메시지가 표시되면 시스템을 다시 시작하십시오.

이미 데이터가 저장되어 있는 서버의 경우, 전체 볼륨 암호화는 이전에 삭제된 파일의 잔여물이 남아 있을 수 있는 여유 공간까지 포함합니다. 사용된 공간만 암호화하는 방식은 민감한 미암호화 데이터가 한 번도 저장된 적이 없는 새로운 볼륨에 적합합니다.

For Windows Server 2019 BitLocker, 조직의 정책과 이동성 요구 사항에 따라 암호화 알고리즘을 선택하십시오. 키 크기가 가장 큰 것만 배포 시 중요한 결정 요소라고 가정하지 마십시오.

서버 코어에서 PowerShell 사용

TPM이 준비된 상태의 새롭고 암호화되지 않은 C: 볼륨의 경우, 관리자는 먼저 복구 암호 보호 기능을 설정할 수 있습니다.

1. Add-BitLockerKeyProtector -MountPoint “C:” -RecoveryPasswordProtector

비공개 관리 세션에서 해당 보호자의 세부 정보를 조회하려면:

1. (Get-BitLockerVolume -MountPoint “C:”).KeyProtector |
2. Where-Object KeyProtectorType -eq “RecoveryPassword” |
3. Format-List KeyProtectorId, RecoveryPassword

복구 비밀번호를 승인된 안전한 장소에 기록해 두십시오. 이 출력 내용에는 기밀 정보가 포함되어 있으므로, 공유 로그나 스크린샷에 포함되지 않도록 주의하십시오. 보호 기능을 추가하는 것만으로는 암호화가 시작되지 않습니다.

백업을 확인한 후, TPM 기반 보호 기능을 활성화하십시오:

1. Enable-BitLocker -MountPoint “C:” -TpmProtector -EncryptionMethod XtsAes128

이 예제에서는 전체 볼륨 암호화를 사용하며 일반적인 하드웨어 확인 기능은 유지합니다. 기존 보호 기능, 도메인 정책 또는 다른 시작 요구 사항에 따라 다른 명령을 사용해야 할 수도 있습니다. Microsoft는 OS 드라이브 암호화를 활성화하기 전에 복구 옵션을 설정할 것을 권장합니다.

데이터 볼륨을 개별적으로 보호하기

C: 드라이브를 암호화한다고 해서 D: 드라이브도 자동으로 보호된다고 가정하지 마십시오. 그래픽 마법사에서 필요한 각 데이터 볼륨을 선택하고, 잠금 해제 방법을 구성한 다음, 해당 볼륨에 대한 복구 자격 증명을 저장하십시오.

실용적인 Server 2019 BitLocker 예를 들어, OS 볼륨과 별도의 문서 볼륨이 있는 파일 서버가 있습니다. 서버를 사용자에게 반환하기 전에, 재시작 후 두 볼륨 모두 잠금이 해제되는지 확인하십시오.

자동 잠금 해제는 고정된 데이터 볼륨에 대한 수작업을 줄여줄 수 있지만, 보호된 운영 체제 볼륨이 필요합니다. 자동 잠금 해제를 활성화한 경우에도 각 데이터 볼륨에 대해 별도의 복구 사본을 보관해야 합니다.