Skip to main content
この Library Item は Windows コンピュータで利用できます
BitLocker Library Item を使用すると、Windows コンピュータで BitLocker 暗号化の設定を構成および強制できます。BitLocker はフルディスク暗号化を提供して保存データを保護するため、デバイスを紛失したり盗難にあったりした場合でも、機密情報にアクセスされることはありません。 一部の構成オプションには、Microsoft Entra 参加済みのコンピュータが必要です。設定は、全般、System (OS) drives、Fixed (internal) drives、Removable (external) drives に分かれています。
BitLocker の構成と要件の詳細については、Microsoft の BitLocker ドキュメントを参照してください。

​
BitLocker Library Item を作成する

この Library Item を Iru Endpoint Library に追加するには、Library の概要の記事に記載されている手順に従ってください。
1

Library に移動する

Library に移動し、Library Item を追加 を選択します。
2

BitLocker を選択する

BitLocker を検索して選択します。
3

Library Item に名前を付ける

Library Item に 名前 を付けます。
4

Blueprint に割り当てる

1 つ以上の Blueprints に割り当てます。

​
設定

​
一般

  • BitLocker 暗号化を必須にする デバイスで暗号化を強制します。
  • BitLocker を有効にするようユーザーに求める
    • 有効にすると、BitLocker をオンにするようユーザーにプロンプトが表示されます。
    Microsoft Entra 参加済みのコンピュータが必要です。
  • 識別フィールドを構成 BitLocker の識別メタデータを定義できます。

​
システム(OS)ドライブ

  • システムドライブの暗号化の種類 BitLocker で使用する暗号化方式を定義します。
  • 互換性のある TPM なしで BitLocker を許可 有効にすると、TPM のないシステムで認証に起動パスワードまたは USB ドライブが必要になります。
  • スタートアップ認証ポリシー 起動時に BitLocker が追加の認証(PIN、USB キーなど)を必要とするかどうかを制御します。
  • 拡張 PIN を許可 大文字、小文字、数字、記号、スペースを使用した拡張 PIN を許可します。
  • 標準ユーザーに BitLocker ボリューム PIN の変更を許可 標準ユーザー(デバイスの管理者権限を持たないユーザー)が、既存の PIN を知っている場合に BitLocker の PIN を変更できるようにします。
  • InstantGo または HSTI に準拠したデバイスにプリブート PIN の省略を許可 準拠しているデバイスについて、起動前認証の要件を免除します。
  • 必要な PIN の最小長 TPM 起動 PIN の最小の長さを設定します(4~20 桁、デフォルトは 6)。
  • システムドライブの回復オプションを構成 スタートアップキーがない場合の回復情報の処理方法を決定します。
  • 回復画面をカスタマイズ 必要に応じて、回復中に表示される回復メッセージまたは URL をカスタマイズします。

​
固定(内部)ドライブ

  • 固定 (内部) ドライブへの書き込みアクセスに BitLocker を必須にする 有効にすると、BitLocker で保護されていない固定ドライブは読み取り専用でマウントされます。
  • 固定 (内部) ドライブの回復オプションを構成 資格情報を利用できない場合の回復動作を定義します。

​
リムーバブル(外部)ドライブ

  • リムーバブルドライブへの BitLocker 保護の適用をユーザーに許可 ユーザーがリムーバブルドライブ用の BitLocker セットアップウィザードを実行できるようにします。
  • リムーバブルデータドライブでの BitLocker の中断と復号をユーザーに許可 メンテナンスのために、ユーザーが BitLocker の保護を一時停止または解除できるようにします。
  • リムーバブル (外部) ドライブへの書き込みアクセスに BitLocker を必須にする 有効にすると、BitLocker のないリムーバブルドライブは読み取り専用でマウントされます。

​
考慮事項

  • 厳格なポリシー(TPM の要求や書き込みアクセスの制限など)を有効にすると、BitLocker が適切に有効になるまでユーザーがドライブにアクセスできなくなる場合があります。
  • ユーザーが PIN を忘れたり回復キーを紛失したりした場合でもアクセスを回復できるように、回復構成オプションを使用してください。
  • 広く展開する前に、小規模なパイロットグループでテストすることをお勧めします。

​
回復キーの保存

回復キーは、デバイスの構成と参加状態に応じて、さまざまな場所に保存できます。
回復キーが Active Directory または Microsoft Entra ID にバックアップされている場合は、それを取得して、ロックアウトされたユーザーを支援できます。これには、ドメイン参加済みまたは Microsoft Entra 参加済みのコンピュータが必要です。
回復の支援を提供できるように、エンタープライズ環境では Active Directory や Microsoft Entra ID などの一元化されたディレクトリサービスを使用することを強くお勧めします。
回復キーは、個人の Microsoft アカウント(Outlook.com や Hotmail など)にバックアップすることもできます。この場合、回復キーにアクセスできるのはエンドユーザーのみで、管理者は取得できません。
USB に保存されたキーは、エンドユーザーが自分のデバイスを回復するために使用できますが、管理者はこれらのキーに一元的にアクセスできません。

​
ベストプラクティス

1

展開を計画する

フリート全体に展開する前に、少数のデバイスで BitLocker ポリシーをテストします。
2

回復オプションを構成する

組織のニーズとセキュリティ要件に基づいて、適切な回復キーの保存オプションをセットアップします。
3

ポリシーを文書化する

IT チームとエンドユーザー向けに、BitLocker ポリシーと回復手順を明確に文書化します。
4

コンプライアンスを監視する

デバイスが適切に暗号化され、BitLocker ポリシーに準拠していることを定期的に確認します。

​
トラブルシューティング

考えられる原因:
  • コンピュータが Microsoft Entra に参加していない(一部の機能の場合)
  • TPM が利用できないか、有効になっていない
  • ディスク容量が不足している
解決策:
  • デバイスの参加状態を確認する
  • デバイスマネージャーで TPM が利用可能か確認する
  • 十分な空きディスク容量を確保する
考えられる原因:
  • 回復キーがディレクトリサービスにバックアップされていない
  • ユーザーアカウントの問題
  • ネットワーク接続の問題
解決策:
  • 回復キーのバックアップ構成を確認する
  • ユーザーアカウントの状態を確認する
  • ディレクトリサービスへのネットワーク接続を確保する
考えられる原因:
  • 暗号化処理がまだ進行中
  • ハードウェアの制限
  • ソフトウェアの競合
解決策:
  • 暗号化が完了するまで待つ
  • デバイスのハードウェア仕様を確認する
  • インストールされているソフトウェアに競合がないか確認する
回復キーの管理については、Microsoft の BitLocker 回復ガイドを参照してください。