Cómo implementar Bitlocker mediante el catálogo de configuración de Intune 📑

En este artículo, demostraré cómo implementar Bitlocker utilizando el catálogo de configuración de Intune. Puede configurar Bitlocker con Intune utilizando el catálogo de configuración, que ofrece opciones de configuración más flexibles.

BitLocker es una función de protección de datos que se integra con el sistema operativo y aborda las amenazas de robo o exposición de datos provenientes de computadoras perdidas, robadas o desmanteladas de manera inapropiada. Proporciona la máxima protección cuando se utiliza con un Módulo de plataforma segura (TPM) versión 1.2 o versiones posteriores.

BitLocker se puede configurar en Intune para dispositivos con Windows 10 y 11 mediante uno de estos tres métodos:

• Un perfil de protección de endpoints
• Un perfil de cifrado de disco de seguridad de punto final
• Un perfil del catálogo de configuración

Los perfiles de cifrado de disco de seguridad de endpoints y de protección de endpoints utilizan el proveedor de servicios de configuración (CSP) de BitLocker para configurar el cifrado de PC y dispositivos, mientras que el perfil del catálogo de configuración utiliza una combinación de BitLocker CSP y configuraciones respaldadas por ADMX.

Microsoft recomienda implementar Bitlocker utilizando un perfil de protección de endpoints al elegir el enfoque de configuración que mejor se adapte a los requisitos de su organización. El perfil del catálogo de configuración es un sustituto viable si necesita más flexibilidad de configuración y alternativas.

Consulte la guía sobre cómo habilitar y configurar Bitlocker utilizando el perfil de cifrado de disco de seguridad del punto final. En este artículo, demostraré cómo configurar e implementar BitLocker en dispositivos con Windows 10 y 11 a través del catálogo de configuración de Intune.

• Requisitos previos para implementar Bitlocker a través del catálogo de configuración de Intune
• Configuraciones de Bitlocker adicionales disponibles en el catálogo de configuraciones de Intune
• Implementar Bitlocker mediante el catálogo de configuración de Intune
• Configuración de Bitlocker
• Configuración de cifrado de unidad Bitlocker
• Unidades del sistema operativo Bitlocker en el catálogo de configuración
• Unidades de datos fijos Bitlocker en el catálogo de configuración de Intune
• Configurar unidades de datos extraíbles a través del catálogo de configuración de Intune

Requisitos previos para implementar Bitlocker a través del catálogo de configuración de Intune

BitLocker para Intune está disponible en dispositivos que ejecutan Windows 10 y Windows 11. Para habilitar Bitlocker usando Intune se requieren los siguientes requisitos previos:

1. Necesitará una licencia válida de Microsoft Intune.
2. Los dispositivos deben estar unidos a Azure AD o a Azure AD híbrido.
3. Los dispositivos no se deben cifrar utilizando software de cifrado de disco de un tercero, como McAfee Disk Encryption. Al implementar BitLocker con Intune, debe descifrar completamente cualquier dispositivo que ya haya sido cifrado con otras tecnologías.
4. Los dispositivos finales deben tener un chip TPM de versión 1.2 o superior (se recomienda encarecidamente TPM 2.0).
5. El BIOS debe estar configurado en UEFI.
6. Para administrar BitLocker en Intune, su cuenta debe tener los permisos de control de acceso basado en roles (RBAC) de Intune aplicables.

Configuraciones de Bitlocker adicionales disponibles en el catálogo de configuraciones de Intune

Las siguientes configuraciones adicionales de Bitlocker están disponibles en el catálogo de configuraciones de Intune y no están disponibles en las otras dos políticas: seguridad de endpoints y perfiles de configuración de dispositivos.

• Permitir que los dispositivos compatibles con InstantGo o HSTI opten por no recibir PIN previo al inicio
• Permitir PIN mejorados para el inicio
• Habilite el uso de la autenticación BitLocker que requiere entrada de teclado previa al arranque en pizarras
• Aplicar el tipo de cifrado de unidad en las unidades del sistema operativo
• Seleccione el tipo de cifrado: (Dispositivo)

Implementar Bitlocker mediante el catálogo de configuración de Intune

Utilice los siguientes pasos para configurar e implementar Bitlocker con el catálogo de configuración:

• Inicie sesión en el centro de administración de Microsoft Intune.
• Vaya a Dispositivos > Dispositivos Windows > Perfiles de configuración.
• Seleccione + Crear perfil y elija Windows 10 y versiones posteriores para el catálogo Plataforma y configuración para el tipo de perfil, luego seleccione Crear.

Asigne un nombre al perfil en la pestaña Conceptos básicos del panel Crear perfil. Añade una breve descripción sobre el perfil. Haga clic en Siguiente.

En la pestaña Ajustes de configuración, seleccione +Agregar configuración.

Escriba "BitLocker" en el cuadro de búsqueda para encontrar todas las configuraciones relacionadas para configurar Bitlocker. El catálogo de configuración de Intune le brinda la flexibilidad de seleccionar qué configuraciones de BitLocker se agregan a la política.

Hay cinco categorías o grupos de configuraciones que puede configurar para Bitlocker en Intune:

1. Cifrado de unidad Bitlocker
2. Unidades de datos fijas
3. Unidades del sistema operativo
4. Unidades de datos extraíbles
5. Configuración de Bitlocker

Configuración de Bitlocker

La categoría BitLocker permite el cifrado silencioso y la configuración de rotación de contraseñas de recuperación. El cifrado silencioso habilitará BitLocker en un dispositivo sin que el usuario tenga que interactuar. La limitación importante para esta configuración es que, dado que el usuario no tiene que interactuar, no se le solicitará un PIN de inicio.

Nota: No es necesario que seleccione todas las configuraciones y configure solo las que sean necesarias para su organización. Para los propósitos de esta demostración, los agregaré todos.

Una vez que haya terminado de seleccionar sus categorías, use el botón X para cerrar el panel de selección de Configuración y regresar a la pestaña Configuraciones.

Se puede configurar lo siguiente para los ajustes de Bitlocker:

• Permitir advertencia para otro cifrado de disco
• Configurar la rotación de contraseña de recuperación
• Unidades extraíbles excluidas del cifrado
• Requerir cifrado del dispositivo

Configuración de cifrado de unidad Bitlocker

Desde el catálogo de Configuración, expanda la categoría Plantillas administrativas para ver las opciones de configuración que comienzan con BitLocker Drive Encryption. Aquí puede configurar el método de cifrado y la seguridad del cifrado. En el siguiente ejemplo, he seleccionado XTS-AES de 256 bits para unidades de datos fijas y unidades de sistema operativo, y AES-CBC de 128 bits (predeterminado) para datos extraíbles. unidades.

He habilitado los identificadores únicos a modo ilustrativo, pero no los he completado. Tenga en cuenta que fuera de las plantillas administrativas, BitLocker CSP no admite la configuración de ID únicos.

Unidades del sistema operativo Bitlocker en el catálogo de configuración

Cuando configura e implementa Bitlocker mediante el catálogo de configuración de Intune, obtiene las siguientes configuraciones adicionales que no están disponibles con los otros dos métodos.

• Permitir que los dispositivos compatibles con InstantGo o HSTI opten por no recibir PIN previo al inicio
• Permitir PIN mejorados para el inicio
• Habilite el uso de la autenticación BitLocker que requiere entrada de teclado previa al arranque en pizarras
• Aplicar el tipo de cifrado de unidad en las unidades del sistema operativo
• Seleccione el tipo de cifrado: (Dispositivo)

Unidades de datos fijos Bitlocker en el catálogo de configuración de Intune

La configuración de unidades de datos fijas es similar a la configuración de seguridad de endpoints, con la excepción de Aplicar el tipo de cifrado de unidades en unidades de datos fijas y Seleccionar el tipo de cifrado (dispositivo). Esta configuración permite al administrador especificar si BitLocker debe cifrar solo el espacio utilizado o toda la unidad.

Configurar unidades de datos extraíbles a través del catálogo de configuración de Intune

Para las unidades extraíbles, encontrará la mayoría de las configuraciones similares a las políticas de protección de terminales. Sin embargo, querrá considerar los requisitos para las configuraciones Permitir a los usuarios suspender y descifrar la protección de BitLocker en unidades de datos extraíbles (dispositivo) y Aplicar el tipo de cifrado de unidades en unidades de datos extraíbles.

La siguiente captura de pantalla muestra la configuración de unidades de datos extraíbles a través del catálogo de configuración de Intune.

Una vez que haya configurado todas las configuraciones de Bitlocker a través del Catálogo de configuraciones de Intune, haga clic en Siguiente. En la pestaña Asignaciones, agregue los grupos de Azure AD en los que desea implementar la configuración de Bitlocker. Haga clic en Siguiente.

En la página Revisar + crear , encontrará todas las configuraciones de BitLocker que haya configurado. Cuando haya terminado, seleccione Crear.

Después de implementar la política de BitLocker a través de Intune, la política ahora aparece en la lista de Perfiles de configuración. También aparece una notificación confirmando que se creó la política.

Después de implementar Bitlocker mediante el catálogo de configuración de Intune, el siguiente paso es monitorear el estado de cifrado de BitLocker en los dispositivos. Puede hacerlo desde ese centro de administración de Intune. Además de eso, hay un informe de cifrado de Microsoft Intune para ver detalles sobre el estado de cifrado de un dispositivo y encontrar opciones para administrar las claves de recuperación del dispositivo.

El informe de cifrado de Microsoft Intune es un lugar central para conocer el estado de cifrado de un dispositivo y encontrar formas de administrar las claves de recuperación. Las opciones de clave de recuperación que están disponibles dependen del tipo de dispositivo que esté viendo.

Para encontrar el informe, inicie sesión en el centro de administración de Microsoft Endpoint Manager. Seleccione Dispositivos > Monitor y, luego, en Configuración, seleccione Informe de cifrado.