Cómo bloquear el acceso de los usuarios a las claves BitLocker en Microsoft Entra
De forma predeterminada, cuando la clave BitLocker del dispositivo de un usuario se almacena en Microsoft Entra ID, ese usuario (o el propietario del dispositivo) puede acceder a la clave BitLocker a través de su perfil de Microsoft Entra en la web.
Hay muchos argumentos a favor y en contra de permitir que un usuario acceda a su propia clave BitLocker; sin embargo, con la creciente sofisticación de los ataques contra organizaciones, mi recomendación es restringir este acceso sólo a los administradores.
En esta publicación, le mostraré cómo evitar que un usuario acceda a su propia clave BitLocker en Microsoft Entra.
¿Debo impedir que los usuarios recuperen claves de BitLocker?
La respuesta a si su organización debería permitir a los usuarios no administradores acceder a las claves de BitLocker del dispositivo que poseen se reduce a una cuestión de riesgo y practicidad.
En la práctica, ¿es probable que los usuarios no administradores necesiten acceso a sus claves de BitLocker y, en caso de que lo necesiten, incluso si saben cómo acceder a ellas, simplemente le pedirán ayuda a usted (soporte) de todos modos? Si es probable que presenten una solicitud de soporte en caso de que sea necesaria una recuperación, probablemente no valga la pena correr el riesgo adicional.
Por otro lado, el argumento en contra de permitir que los usuarios no administradores accedan a sus propias claves de BitLocker es que, debido a los métodos modernos de autenticación multifactor, el riesgo de compromiso es menor y, en ese escenario, estoy de acuerdo.
Desafortunadamente, en lo que no confío es en que los dispositivos no queden desatendidos, ni siquiera por un corto período de tiempo, ya que el atacante inteligente, que puede agarrar y agarrar mientras el dispositivo está activo, podría agarrar la computadora portátil, robar el Clave de BitLocker y listo... esto para mí anula la necesidad ocasional de que un usuario no administrador acceda a su clave de recuperación.
En general, sí, debería limitar el acceso a las claves de BitLocker solo a usuarios aprobados. Pero estoy de acuerdo con la postura de Microsoft de dejar las claves de BitLocker accesibles de forma predeterminada, ya que en un mundo perfecto sería beneficioso, pero en nuestro mundo actual no lo es.
Bloquear el acceso de los usuarios a las claves de BitLocker mediante el portal de Microsoft Entra
La forma más sencilla de garantizar que ningún usuario estándar pueda acceder a sus propias claves de BitLocker es utilizar el centro de administración de Microsoft Entra a través de la web. Siga la siguiente configuración para restringir el acceso:
1. Inicie sesión en Microsoft Entra en https://entra.microsoft.com
2. Expanda Dispositivos y seleccione Todos los dispositivos.
3. Seleccione Configuración del dispositivo.
4. Configure
Ahora que se ha habilitado esta configuración, si un usuario inicia sesión en myaccount.microsoft.com e intenta acceder a la clave BitLocker de su dispositivo, seleccionando la pestaña Dispositivo, no lo hará. podrá seleccionar el botón Ver claves de Bitlocker.
Bloquee el acceso de los usuarios a las claves de BitLocker mediante Microsoft Graph PowerShell
También puede usar Microsoft Graph PowerShell para bloquear o restringir el acceso de los usuarios a sus claves BitLocker. Para ello, deberá tener instalada la última versión del SDK de Microsoft Graph PowerShell, así como acceso a un usuario administrador global en su inquilino para obtener el permiso.
Para conocer los pasos detallados sobre cómo instalar el módulo Microsoft Graph PowerShell, consulte mi publicación: https://ourcloudnetwork.com/how-to-install-the-microsoft-graph-powershell-sdk/
Comience conectándose a Microsoft Graph PowerShell con el siguiente comando:
Connect-MgGraph -Scopes Policy.ReadWrite.AuthorizationComo la propiedad que necesitamos modificar 'allowedToReadBitlockerKeysForOwnedDevice' es una propiedad anidada, no se admiten parámetros directos, por lo que debemos guardar nuestra variable de carga útil como una tabla hash.
$body = @{
defaultUserRolePermissions = @{
allowedToReadBitlockerKeysForOwnedDevice = $false
}
}Cuando pueda usar el comando de actualización para completar la solicitud:
Update-MgBetaPolicyAuthorizationPolicy -AuthorizationPolicyId authorizationPolicy -BodyParameter $bodyUna vez que se haya ejecutado el comando, se puede utilizar el cmdlet Get-MgBetaPolicyAuthorizationPolicy para verificar que nuestra política ahora sea correcta:
Get-MgBetaPolicyAuthorizationPolicy | Select -ExpandProperty DefaultUserRolePermissionsComo puede ver en los resultados siguientes, la propiedad AllowedToReadBitlockerKeysForOwnedDevice ahora es false.
