מה בדיוק הדרישה?
לפני שכותבים שורת קוד אחת, כדאי לברר מה רוצים להשיג:
- לוודא שהמפתח של כל מחשב נשמר ב-Entra ID. זו הדרישה הנכונה. המפתח נשמר על אובייקט המחשב, הגישה אליו לפי הרשאות, וכל צפייה בו מתועדת.
- לאסוף את כל המפתחות לקובץ או לתיקייה. לא מומלץ. זה יוצר מקום אחד שבו כל מפתחות ההצפנה של הארגון מרוכזים, ובדרך כלל בלי בקרת גישה אמיתית.
למה למחשבים מסוימים אין מפתח ב-Entra?
- ההצפנה הופעלה לפני שהמחשב נכנס לניהול ב-Intune, או ידנית על ידי המשתמש.
- מדיניות ה-BitLocker לא הוחלה על המחשב.
- הסיבה שהכי קל לפספס: המחשב במצב Microsoft Entra registered.
מחשבים במצב Entra registered לא יקבלו את המדיניות
פרופיל BitLocker ב-Intune מיועד למחשבים במצב Entra joined או Entra hybrid joined. גם Remediations רצים רק על מחשבים במצב Entra joined או hybrid joined, ולכן על מחשב במצב registered המפתח לא יעלה, לא משנה כמה פעמים מריצים את הסקריפט.
אצל הלקוח לא מעט מחשבים היו במצב הזה. מה עשינו:
- פילטר ב-Intune: החלנו את הסקריפט רק על מחשבים במצב joined או hybrid joined, כדי לא להפעיל אותו סתם על מחשבים שהוא לא יכול לתקן.
- מחשבים במצב registered: ממליצים להוציא אותם מניהול ולצרף אותם מחדש כמו שצריך. אם מדובר במחשב פרטי, מוציאים אותו מהיקף ניהול ה-BitLocker.
התהליך: קודם מודדים, אחר כך מתקנים
- סקריפט זיהוי בלבד. מפיצים דרך Intune Remediations סקריפט שבודק בכל מחשב אם יש לו מפתח שחזור והאם הוא נשמר ב-Entra. בשלב הזה הוא לא משנה כלום, רק מראה את גודל הבעיה. ל-Remediations נדרש רישיון Windows Enterprise E3/E5 (כלול ב-Microsoft 365 F3/E3/E5), Windows Education A3/A5 או Windows VDA למשתמש, ו-Business Premium לא ברשימה של מיקרוסופט. בלי אחד מהרישיונות האלה מפיצים את אותו סקריפט בדרך אחרת, למשל כ-platform script ב-Intune.
- סקריפט תיקון בסביבת בדיקות. הסקריפט מעלה ל-Entra את המפתח הקיים, בעזרת הפקודה BackupToAAD-BitLockerKeyProtector. הפקודה שומרת מגן מפתח מסוג סיסמת שחזור לפי המזהה שלו, ולכן הסקריפט צריך קודם למצוא את המגן הזה (או להוסיף אחד). בודקים אותו קודם על מחשב בדיקות.
- הפצה הדרגתית. מפעילים את התיקון רק על המחשבים שבפילטר, ובודקים את התוצאות אחרי שבוע.
- אימות. בודקים בדוח ההצפנה של Intune ובכרטיס המחשב ב-Entra שהמפתח מופיע.
טיפים מהשטח
- תמיד מחשב בדיקות קודם. זה מה שגם הלקוח ביקש, ובצדק.
- סקריפט ישן הוא לא סקריפט בדוק. שיפצנו את הסקריפט שהיה לנו לפני שהפצנו אותו.
- לבדוק מי יכול לראות מפתחות: בעל המחשב והתפקידים Cloud Device Administrator, Helpdesk Administrator, Intune Administrator, Security Administrator ו-Security Reader. כדאי לשמור על רשימה קצרה, לעקוב אחרי הצפיות ביומן הביקורת, ולשקול את ההגדרה ב-Entra שמונעת ממשתמשים רגילים לשחזר את המפתח של המחשב שלהם.
עוד על הגדרות האבטחה של מחשבים ב-Intune כתבנו במדריך ל-Security Baselines ב-Intune. מפתח שחזור הוא גם חלק מהיכולת להחזיר מחשב לעבודה מהר, ועל זה כתבנו בשחזור מחשב עם Windows Backup for Organizations. את ניהול המכשירים כולו אנחנו מגדירים בפרויקטי אבטחת מידע ב-Microsoft 365.
איפה רואים את מפתח השחזור של מחשב?
ב-Entra ID או ב-Intune, בכרטיס המחשב. ב-Entra פותחים את המחשב ובוחרים Show Recovery Key; כל צפייה נרשמת ביומן הביקורת (קטגוריית KeyManagement).
למה הסקריפט לא עובד על חלק מהמחשבים?
כנראה הם במצב Entra registered. צריך לצרף אותם מחדש או להוציא אותם מההיקף.
אפשר פשוט לייצא את כל המפתחות לקובץ?
טכנית כן, אבל זה יוצר נקודת סיכון אחת. עדיף לוודא שכל מפתח נשמר ב-Entra.
ומה עם מחשבי Mac?
ב-Mac ההצפנה היא FileVault, ומפתח השחזור נשמר ב-Intune. כתבנו על זה בהחלפת מפתחות FileVault.
יש לכם מחשבים מוצפנים בלי מפתח בענן? נבדוק את זה איתכם.
דברו איתנו