Habilite y configure BitLocker usando Intune: una guía paso a paso

En esta publicación, le mostraré cómo habilitar y configurar BitLocker usando Intune. Puede usar Microsoft Intune para configurar el cifrado de unidad BitLocker en dispositivos que ejecutan Windows 10 u 11. El manual explica cómo implementar BitLocker usando Intune para dispositivos Windows.

BitLocker Drive Encryption en Intune es una característica de protección de datos que se integra con el sistema operativo y aborda las amenazas de robo o exposición de datos provenientes de computadoras perdidas, robadas o desmanteladas de manera inapropiada.

El cifrado ayuda a proteger los datos de su dispositivo, por lo que solo pueden acceder a ellos personas que tengan autorización. BitLocker está disponible en dispositivos que ejecutan Windows 10 y Windows 11. También puede habilitar Bitlocker sin TPM.

El cifrado Bitlocker se puede habilitar en dispositivos con Windows 10 y Windows 11 mediante varios métodos, como la Política de grupo, el Administrador de configuración y Microsoft Intune. En computadoras independientes, puede activar manualmente el cifrado Bitlocker.

Nota: Puede configurar una política de BitLocker para habilitar BitLocker de forma automática y silenciosa en un dispositivo. Eso significa que BitLocker se habilita correctamente sin presentar ninguna interfaz de usuario al usuario final, incluso cuando ese usuario no es un administrador local en el dispositivo. Puede usar el perfil de BitLocker de una política de cifrado de disco de seguridad de punto final o la plantilla de protección de punto final de una política de configuración de dispositivo.

Requisitos previos de BitLocker Intune

BitLocker para Intune está disponible en dispositivos que ejecutan Windows 10 y Windows 11. Para habilitar Bitlocker usando Intune se requieren los siguientes requisitos previos:

Necesitará una licencia válida de Microsoft Endpoint Manager (Intune).
Los dispositivos deben estar unidos a Azure AD o Azure AD híbrido.
Los dispositivos no se deben cifrar con herramientas de cifrado de disco de terceros, como McAfee Disk Encryption. Si los dispositivos ya están cifrados con otras soluciones, primero deberá descifrarlos por completo antes de implementar BitLocker mediante Intune.
Los dispositivos finales deben tener un chip TPM de versión 1.2 o superior (se recomienda encarecidamente TPM 2.0).
El BIOS debe estar configurado en UEFI.
Para administrar BitLocker en Intune, su cuenta debe tener los permisos de control de acceso basado en roles (RBAC) de Intune aplicables.

Métodos para configurar e implementar Bitlocker usando Intune

Intune le permite configurar e implementar la política de BitLocker mediante dos métodos:

Cree un perfil de configuración de dispositivo para BitLocker e impleméntelo en los dispositivos.
Cree una política de seguridad de endpoints para BitLocker, configúrela e impleméntela en los dispositivos.

Puede utilizar cualquiera de los procedimientos anteriores para crear el tipo de póliza que prefiera. El enfoque recomendado es crear una directiva de seguridad de punto final y configurar BitLocker mediante Intune para dispositivos Windows.

Configuración requerida para habilitar BitLocker de forma silenciosa mediante Intune

Según el tipo de política que utilice, puede habilitar BitLocker de forma silenciosa mediante Intune:

Política de cifrado de disco de Endpoint Security: configure las siguientes opciones en el perfil de BitLocker:
- Ocultar mensaje sobre cifrado de terceros=Sí.
- Permitir que los usuarios estándar habiliten el cifrado durante el piloto automático=Sí.
- Requerir creación de archivo de clave=Bloqueado o Permitido.
Política de configuración del dispositivo BitLocker: configure las siguientes opciones en la plantilla de protección de endpoints o en un perfil de configuración personalizado:
- Advertencia para otro cifrado de disco=Bloquear.
- Permitir que los usuarios estándar habiliten el cifrado durante Unirse a Azure AD=Permitir.

Habilite y configure Bitlocker usando Intune

Ahora veremos cómo usar Intune para activar, configurar e implementar Bitlocker. Esto configurará el cifrado de la unidad BitLocker en dispositivos que ejecutan Windows 10 u 11. Los pasos de alto nivel para habilitar y configurar Bitlocker usando Intune son los siguientes:

Habilite Bitlocker usando Intune
Crear perfil de configuración para Bitlocker en Intune
Configurar la política de Bitlocker usando Intune
Supervisar el estado de cifrado de Bitlocker

Paso 1: crear una política de BitLocker en Intune

En este paso, crearemos una nueva política de seguridad de endpoints para Bitlocker en Intune con los siguientes pasos:

Inicie sesión en el centro de administración de Microsoft Endpoint Manager (Centro de administración de Intune).
Navegue hasta el nodo Endpoint Security y en Administrar, seleccione Disk Encryption.
Para crear una nueva política, seleccione Crear política.

En la ventana Crear un perfil, seleccione las siguientes opciones:

Plataforma: Windows 10 y posterior
Perfil: BitLocker

Haga clic en Crear.

En la pestaña Conceptos básicos de la página Crear perfil, ingrese el nombre de la política de Bitlocker y una breve descripción. Por ejemplo, puede especificar los siguientes detalles:

Nombre: habilite y configure Bitlocker mediante Intune.
Descripción: cree una política de seguridad de endpoints para BitLocker.

Haga clic en Siguiente.

Paso 2: configurar Bitlocker usando Intune

En este paso, le mostraré cómo configurar las políticas de Bitlocker en Intune. Hay varias opciones que puede configurar una vez que llegue a Configuración de BitLocker. Me gustaría señalar que no es necesario habilitar y configurar todas las opciones de BitLocker. Según las necesidades del negocio se deben configurar los ajustes. Sin embargo, cubriré las mejores prácticas que puede seguir al habilitar y configurar BitLocker usando Intune.

Configurar los ajustes básicos de BitLocker en Intune

El primer conjunto de configuraciones que ve en la pestaña de configuraciones de Bitlocker son las configuraciones básicas. Estos le permiten configurar la habilitación silenciosa y la aplicación de BitLocker. Revisaremos cada configuración y le explicaré el propósito de cada configuración y si debe habilitarla o no.

Habilitar cifrado de disco completo para sistemas operativos y unidades de datos fijas: seleccione Sí. Esto impondrá el uso de BitLocker.
Requerir que las tarjetas de almacenamiento estén cifradas (solo móviles): seleccione No configurado. Cuando esta configuración se establece en Sí, se requerirá el cifrado en las tarjetas de almacenamiento para los dispositivos móviles. Cuando se configura como no configurado, la configuración volverá al valor predeterminado del sistema operativo, que no requiere cifrado de la tarjeta de almacenamiento. Esta configuración solo se aplica a dispositivos SKU Windows Mobile y Mobile Enterprise.
Ocultar mensaje sobre cifrado de terceros: seleccione Sí. Si habilita BitLocker mediante Intune en un sistema que ya ha sido cifrado mediante un producto de cifrado de terceros, es posible que el dispositivo quede inutilizable. Se recomienda encarecidamente no habilitar nunca BitLocker en un dispositivo que tenga instalado o habilitado cifrado de terceros, como McAfee Disk Encryption. Cuando esta configuración se establece en Sí, se suprimirá este mensaje de advertencia. Cuando se establece en NO CONFIGURADO, la configuración volverá a la predeterminada, que es advertir a los usuarios sobre el cifrado de terceros.
Permitir que los usuarios estándar habiliten el cifrado durante el piloto automático: seleccione Sí. Cuando se establece en Sí, durante los escenarios de habilitación silenciosa de unión a Azure Active Directory (AADJ), los usuarios no necesitan ser administradores locales para habilitar BitLocker mediante Intune. Cuando se configura como no configurado, la configuración se dejará como predeterminada del cliente, que requiere acceso de administrador local para habilitar BitLocker.
Configurar la rotación de contraseñas de recuperación impulsada por el cliente: seleccione la opción "Habilitar la rotación en Azure AD y dispositivos unidos a híbridos". Si configura esto como No configurado, significa que el cliente no rotará las claves de recuperación de BitLocker cuando se revelen en el cliente. Configurarlo en Rotación de claves habilitada para dispositivos unidos a Azure AD permitirá la rotación de claves para dispositivos AADJ. Configurarlo en Rotación de claves habilitada para dispositivos unidos a Azure AD y dispositivos unidos a híbridos permitirá la rotación de claves para dispositivos unidos a AADJ o híbridos.

Configurar los ajustes de la unidad fija BitLocker en Intune

La configuración fija del controlador BitLocker se aplica a los discos internos adicionales que puedan tener los dispositivos. Un ejemplo de esto pueden ser particiones separadas en el disco principal o un segundo disco separado instalado en una computadora de escritorio o portátil.

Repasemos cada configuración fija del controlador en orden:

Política de unidad fija de BitLocker: esta configuración de política se utiliza para controlar el método de cifrado y la seguridad del cifrado. Los valores de esta política determinan la solidez del cifrado que BitLocker utiliza para el cifrado.
Recuperación de unidad fija: esta configuración controla cómo se recuperan las unidades de datos fijas protegidas con BitLocker en ausencia de la información de clave de inicio requerida.
Creación de archivo de clave de recuperación: establecer esto en Requerir generará una contraseña de recuperación de 48 dígitos durante la inicialización de BitLocker y la enviará a Azure AD si la política Guardar información de recuperación de BitLocker en Azure Active Directory está configurada para habilitar.
Configurar el paquete de recuperación de BitLocker: establecer esto en Requerir generará una contraseña de recuperación de 48 dígitos durante la inicialización de BitLocker y la enviará a Azure AD si la política Guardar información de recuperación de BitLocker en Azure Active Directory está configurada para habilitar.
Requerir que el dispositivo haga una copia de seguridad de la información de recuperación en Azure AD: configurar esto en Requerir generará una contraseña de recuperación de 48 dígitos durante la inicialización de BitLocker y la enviará a Azure AD si la política Guardar información de recuperación de BitLocker en Azure Active Directory es configurado para habilitar.
Creación de contraseña de recuperación: configurar esto en Permitir generará una contraseña de recuperación de 48 dígitos durante la inicialización de BitLocker y la enviará a Azure AD si la política guarda la información de recuperación de BitLocker en Azure Active Directory. está configurado para habilitar. Establecer esto en Requerir generará una contraseña de recuperación de 48 dígitos durante la inicialización de BitLocker y la enviará a Azure AD si la política Guardar información de recuperación de BitLocker en Azure Active Directory está configurada para habilitar.
Ocultar opciones de recuperación durante la configuración de BitLocker: configurar esto en Sí impedirá que el usuario final pueda elegir opciones de recuperación adicionales, como imprimir claves de recuperación, durante el asistente de configuración de BitLocker. Configurar esto como no configurado permitirá al usuario acceder a opciones de recuperación adicionales.
Habilite BitLocker después de la recuperación para almacenar la información: al configurar esto en Sí, la información de recuperación de BitLocker se guardará en los Servicios de dominio de Active Directory.
Bloquear el uso del agente de recuperación de datos (DRA) basado en certificado: establecer esto en Sí bloqueará la capacidad de usar el Agente de recuperación de datos (DRA) para recuperar unidades habilitadas para BitLocker. Configurarlo en “No configurado” permitirá configurar el uso de DRA. La configuración de DRA requiere una PKI empresarial y objetos de política de grupo para implementar el agente y los certificados de DRA.
Bloquear el acceso de escritura a unidades de datos fijas no protegidas por BitLocker: cuando se establece en Sí, Windows no permitirá que se escriba ningún dato en unidades fijas que no estén protegidas por BitLocker. Si una unidad fija no está cifrada, el usuario deberá completar el asistente de configuración de BitLocker para la unidad antes de que se le otorgue acceso de escritura. Establecer esto en "No configurado" permitirá que los datos se escriban en unidades fijas no cifradas.
Configurar el método de cifrado para unidades de datos fijas: seleccione el método de cifrado AES 256bit XTS. Esta configuración le permite seleccionar el método de cifrado deseado para discos de unidades de datos fijas. XTS-AES de 128 bits es el método de cifrado predeterminado de Windows y el valor recomendado.

Configurar los ajustes de la unidad del sistema operativo BitLocker

En esta sección, revisaremos la configuración de la unidad del sistema operativo BitLocker que está disponible en Intune.

Política de unidad del sistema BitLocker: seleccione Configurar.
Se requiere autenticación de inicio: seleccione Sí.
Inicio de TPM compatible: seleccione Obligatorio. Se recomienda exigir un TPM para BitLocker.
PIN de inicio de TPM compatible: seleccione Bloqueado. Se recomienda que el PIN esté deshabilitado si desea habilitar BitLocker de forma silenciosa mediante Intune.
Clave de inicio de TPM compatible: seleccione Bloqueado.
PIN y clave de inicio de TPM compatible: seleccione Bloqueado.
Deshabilite BitLocker en dispositivos donde TPM sea incompatible: seleccione No configurado.
Habilitar URL y mensaje de recuperación previo al inicio: use esta opción para declarar si desea un mensaje de recuperación o URL personalizados.
URL de recuperación previa al inicio: opcional, use esta opción para declarar si desea un mensaje de recuperación personalizado o una URL.

Recuperación de unidades del sistema: controle cómo se recuperan las unidades del sistema operativo protegidas con BitLocker en ausencia de la información de clave de inicio requerida.
Creación de clave de recuperación por parte del usuario: seleccione Permitido, lo que permite a un usuario administrador crear un archivo de clave de recuperación de 256 bits manualmente.
Configurar el paquete de recuperación de BitLocker: seleccione Contraseña y clave.
Requerir que el dispositivo haga una copia de seguridad de la información de recuperación en Azure AD: seleccione Sí. BitLocker no completará la habilitación hasta que las claves de recuperación se hayan guardado correctamente en Azure Active Directory.
Creación de contraseña de recuperación: seleccione Obligatorio.
Ocultar opciones de recuperación durante la configuración de BitLocker: seleccione Sí. Establecer esto en Sí impedirá que el usuario final pueda elegir opciones de recuperación adicionales, como imprimir claves de recuperación, durante el asistente de configuración de BitLocker.
Habilite BitLocker después de la recuperación para almacenar la información: seleccione Sí. Al configurar esto en Sí, la información de recuperación de BitLocker se guardará en los Servicios de dominio de Active Directory.
Bloquear el uso del agente de recuperación de datos (DRA) basado en certificados: seleccione No configurado. Configurarlo en “No configurado” permitirá configurar el uso de DRA.
Longitud mínima del PIN: le permite configurar la longitud mínima del PIN de inicio cuando se requiere TPM + PIN al habilitar Bitlocker mediante Intune.
Configurar el método de cifrado para unidades del sistema operativo: seleccione AES 256bit XTS.

Configurar los ajustes de la unidad extraíble BitLocker

Cuando habilita y configura Bitlocker usando Intune, es posible que también deba considerar las unidades extraíbles. En mi publicación anterior, te mostré cómo bloquear el almacenamiento extraíble usando Intune. Si se permite el uso de dispositivos extraíbles, puede configurar las siguientes configuraciones de BitLocker.

Política de unidad extraíble de BitLocker: seleccione Configurar.
Configurar el método de cifrado para unidades de datos extraíbles: seleccione AES 256 bits XTS.
Bloquear el acceso de escritura a unidades de datos extraíbles no protegidas por BitLocker: seleccione No configurado.
Bloquear el acceso de escritura a dispositivos configurados en otra organización: seleccione No configurado.

Paso 3: implementar BitLocker mediante Intune

En el paso 1, creamos la política de BitLocker en Intune y en el paso 2, configuramos las opciones de la política de BitLocker. En este paso, implementaremos la política de BitLocker asignándola a los dispositivos.

Si su organización configura BitLocker con Intune por primera vez, puede probarlo con un grupo piloto. Puede ampliar la política de BitLocker a un grupo más grande de dispositivos si la implementación es exitosa.

En la página Alcance (Etiquetas), elija Seleccionar etiquetas de alcance para abrir el panel Seleccionar etiquetas para asignar etiquetas de alcance al perfil. Seleccione Siguiente para continuar.

En la página Asignaciones, seleccione los grupos que recibirán este perfil. En la sección Grupos incluidos, haga clic en Agregar grupos y elija los grupos de Azure AD en los que desea implementar la política de BitLocker. Seleccione Siguiente.

En la página Revisar + crear, encontrará todas las configuraciones de BitLocker que haya configurado. Cuando haya terminado, seleccione Crear.

Después de crear la política de BitLocker en Intune, la política ahora aparece en Cifrado de disco. El nuevo perfil se muestra en la lista cuando selecciona el tipo de política para el perfil que creó. Puede tener varias políticas de cifrado de disco para diferentes grupos de dispositivos en Intune.

Paso 4: Supervisar el estado de cifrado de Bitlocker en Intune

Después de implementar Bitlocker con Intune, el siguiente paso es monitorear el estado de cifrado de BitLocker en los dispositivos. Puede hacerlo desde ese centro de administración de Intune. Además de eso, hay un informe de cifrado de Microsoft Intune para ver detalles sobre el estado de cifrado de un dispositivo y encontrar opciones para administrar las claves de recuperación del dispositivo.

En la captura de pantalla siguiente, vemos que la asignación del perfil de Bitlocker se realizó correctamente en casi todos los dispositivos a los que nos dirigimos. Tenga en cuenta que este es un estado de asignación de perfil y no el estado de cifrado del disco.

El informe de cifrado de Microsoft Intune es un lugar central para conocer el estado de cifrado de un dispositivo y encontrar formas de administrar las claves de recuperación. Las opciones de clave de recuperación que están disponibles dependen del tipo de dispositivo que esté viendo. Para buscar el informe, inicie sesión en el centro de administración de Microsoft Endpoint Manager. Seleccione Dispositivos > Monitor y luego, en Configuración, seleccione Informe de cifrado.