Sdílet prostřednictvím

ochrana nástroje manage-bde

Spravuje metody ochrany používané pro šifrovací klíč nástroje BitLocker.

Syntaxe

manage-bde -protectors [{-get|-add|-delete|-disable|-enable|-adbackup|-aadbackup}] <drive> [-computername <name>] [{-?|/?}] [{-help|-h}]

Parametry

Parametr Popis
-dostat Zobrazí všechny metody ochrany klíčů povolené na jednotce a poskytují jejich typ a identifikátor (ID).
-přidat Přidá metody ochrany klíčů podle specifikace pomocí dalších parametrů -add.
-vymazat Odstraní metody ochrany klíčů používané nástrojem BitLocker. Všechny ochrany klíčů budou odebrány z jednotky, pokud nepovinný -delete parametry se použijí k určení ochrany, které se mají odstranit. Po odstranění poslední ochrany na jednotce je ochrana BitLockeru na jednotce zakázaná, aby se zajistilo, že přístup k datům neztratí neúmyslně.
-vypnout Zakáže ochranu, která umožní každému přístup k šifrovaným datům tím, že šifrovací klíč zpřístupní nezabezpečený na jednotce. Neodeberou se žádné ochrany klíčů. Ochrana bude obnovena při příštím spuštění Systému Windows, pokud nepovinný -disable parametry se použijí k určení počtu restartování.
-zapnout Umožňuje ochranu odebráním nezabezpečeného šifrovacího klíče z jednotky. Vynutí se všechny nakonfigurované ochrany klíčů na jednotce.
-adbackup Zálohuje informace o obnovení pro jednotku zadanou ve službě Active Directory Domain Services (AD DS). Připojte parametr -id a zadejte ID konkrétního obnovovacího klíče, který se má zálohovat. Je vyžadován parametr -id.
-aadbackup Zálohuje všechny informace o obnovení pro jednotku zadanou pro ID Microsoft Entra. Připojte parametr -id a zadejte ID konkrétního obnovovacího klíče, který se má zálohovat. Je vyžadován parametr -id.
<drive> Představuje písmeno jednotky následované dvojtečku.
-název_počítače Určuje, že manage-bde.exe se použije k úpravě ochrany BitLockeru na jiném počítači. Můžete také použít -cn jako zkrácenou verzi tohoto příkazu.
<name> Představuje název počítače, na kterém chcete upravit ochranu nástrojem BitLocker. Mezi přijaté hodnoty patří název netBIOS počítače a IP adresa počítače.
-? nebo/? Zobrazí stručnou nápovědu na příkazovém řádku.
-help nebo -h Zobrazí úplnou nápovědu na příkazovém řádku.

Další parametry -add

Parametr -add může také použít tyto platné další parametry.

manage-bde -protectors -add [<drive>] [-forceupgrade] [-recoverypassword <numericalpassword>] [-recoverykey <pathtoexternalkeydirectory>]
[-startupkey <pathtoexternalkeydirectory>] [-certificate {-cf <pathtocertificatefile>|-ct <certificatethumbprint>}] [-tpm] [-tpmandpin]
[-tpmandstartupkey <pathtoexternalkeydirectory>] [-tpmandpinandstartupkey <pathtoexternalkeydirectory>] [-password][-adaccountorgroup <securityidentifier> [-computername <name>]
[{-?|/?}] [{-help|-h}]
Parametr Popis
<drive> Představuje písmeno jednotky následované dvojtečku.
-heslo pro obnovení Přidá číselnou ochranu heslem. Můžete také použít -rp jako zkrácenou verzi tohoto příkazu.
<numericalpassword> Představuje heslo pro obnovení.
-klíč zotavení Přidá ochranu externího klíče pro obnovení. Můžete také použít -rk jako zkrácenou verzi tohoto příkazu.
<pathtoexternalkeydirectory> Představuje cestu k adresáři k obnovovacímu klíči.
-spouštěcí klíč Přidá ochranu externího klíče pro spuštění. Můžete také použít -sk jako zkrácenou verzi tohoto příkazu.
<pathtoexternalkeydirectory> Představuje cestu k adresáři ke spouštěcímu klíči.
-certifikát Přidá ochranu veřejného klíče pro datovou jednotku. Můžete také použít -cert jako zkrácenou verzi tohoto příkazu.
-viz Určuje, že soubor certifikátu se použije k poskytnutí certifikátu veřejného klíče.
<pathtocertificatefile> Představuje cestu k adresáři k souboru certifikátu.
-Ct Určuje, že kryptografický otisk certifikátu se použije k identifikaci certifikátu veřejného klíče.
<certificatethumbprint> Určuje hodnotu vlastnosti kryptografického otisku certifikátu, který chcete použít. Například hodnota kryptografického otisku certifikátu 9 09 50 2d d8 2a e4 14 33 e6 f8 38 86 b0 0d 42 77 a3 2a 7b by měla být zadána jako a909502dd82ae41433e6f83886b0d4277a32a7b.
-tpmandpin Přidá ochranu čipu TPM (Trusted Platform Module) a osobní identifikační číslo (PIN) pro jednotku operačního systému. Můžete také použít -tp jako zkrácenou verzi tohoto příkazu.
-tpmandstartupkey Přidá ochranu čipem TPM a spouštěcím klíčem pro jednotku operačního systému. Můžete také použít -tsk jako zkrácenou verzi tohoto příkazu.
-tpmandpinandspouštěcí klíč Přidá pro jednotku operačního systému ochranu čipem TPM, PIN kódem a spouštěcím klíčem. Můžete také použít -tpsk jako zkrácenou verzi tohoto příkazu.
-heslo Přidá ochranu heslem pro datovou jednotku. Můžete také použít -pw jako zkrácenou verzi tohoto příkazu.
-skupina reklamních tabulek Přidá pro svazek ochranu identity založenou na identifikátoru zabezpečení (SID). Můžete také použít -sid jako zkrácenou verzi tohoto příkazu. DŮLEŽITÉ: Ve výchozím nastavení nemůžete vzdáleně přidat ochranu ADaccountorgroup pomocí rozhraní WMI nebo manage-bde. Pokud vaše nasazení vyžaduje možnost přidat tuto ochranu vzdáleně, musíte povolit omezené delegování.
-název_počítače Určuje, že nástroj manage-bde se používá k úpravě ochrany BitLockeru na jiném počítači. Můžete také použít -cn jako zkrácenou verzi tohoto příkazu.
<name> Představuje název počítače, na kterém chcete upravit ochranu nástrojem BitLocker. Mezi přijaté hodnoty patří název netBIOS počítače a IP adresa počítače.
-? nebo/? Zobrazí stručnou nápovědu na příkazovém řádku.
-help nebo -h Zobrazí úplnou nápovědu na příkazovém řádku.

Další parametry -delete

manage-bde -protectors -delete <drive> [-type {recoverypassword|externalkey|certificate|tpm|tpmandstartupkey|tpmandpin|tpmandpinandstartupkey|Password|Identity}]
[-id <keyprotectorID>] [-computername <name>] [{-?|/?}] [{-help|-h}]
Parametr Popis
<drive> Představuje písmeno jednotky následované dvojtečku.
-typ Identifikuje ochranu klíčů, která se má odstranit. Můžete také použít -t jako zkrácenou verzi tohoto příkazu.
Heslo pro obnovení Určuje, že by se měly odstranit všechny ochrany heslem pro obnovení.
Externí klíč Určuje, že všechny ochrany externích klíčů přidružené k jednotce by se měly odstranit.
certifikát Určuje, že by se měly odstranit všechny ochrany klíče certifikátu přidružené k jednotce.
čip tpm Určuje, že by se měly odstranit všechny ochrany klíčů pouze TPM přidružené k jednotce.
Tpmandstartupkey Určuje, že by se měly odstranit všechny ochrany klíče založené na čipu TPM a spouštěcím klíčem přidružené k jednotce.
tpmandpin Určuje, že by se měly odstranit všechny ochrany klíčů založené na čipu TPM a PIN kódu přidružené k jednotce.
tpmandpinandstartupkey Určuje, že by se měly odstranit všechny ochrany klíče založené na čipu TPM, PIN a spouštěcím klíči přidružené k jednotce.
Heslo Určuje, že by se měly odstranit všechny ochrany heslem přidružené k jednotce.
identita Určuje, že by se měly odstranit všechny ochrany klíčů identit přidružené k jednotce.
-ID Identifikuje ochranu klíče k odstranění pomocí identifikátoru klíče. Tento parametr je alternativní možností parametru -type.
<keyprotectorID> Identifikuje ochranu jednotlivých klíčů na jednotce, která se má odstranit. ID ochrany klíčů se dají zobrazit pomocí příkazu manage-bde -protectors -get.
-název_počítače Určuje, že manage-bde.exe se použije k úpravě ochrany BitLockeru na jiném počítači. Můžete také použít -cn jako zkrácenou verzi tohoto příkazu.
<name> Představuje název počítače, na kterém chcete upravit ochranu nástrojem BitLocker. Mezi přijaté hodnoty patří název netBIOS počítače a IP adresa počítače.
-? nebo/? Zobrazí stručnou nápovědu na příkazovém řádku.
-help nebo -h Zobrazí úplnou nápovědu na příkazovém řádku.

Další parametry -disable

manage-bde -protectors -disable <drive> [-rebootcount <integer 0 - 15>] [-computername <name>] [{-?|/?}] [{-help|-h}]
Parametr Popis
<drive> Představuje písmeno jednotky následované dvojtečku.
počet restartů Určuje, že byla pozastavena ochrana svazku operačního systému a bude pokračovat po restartování systému Windows, kolikrát byl zadán v parametru rebootcount. Zadejte 0 k pozastavení ochrany po neomezenou dobu. Pokud tento parametr není zadaný, ochrana bitlockeru se po restartování Systému Windows automaticky obnoví. Můžete také použít -rc jako zkrácenou verzi tohoto příkazu.
-název_počítače Určuje, že manage-bde.exe se použije k úpravě ochrany BitLockeru na jiném počítači. Můžete také použít -cn jako zkrácenou verzi tohoto příkazu.
<name> Představuje název počítače, na kterém chcete upravit ochranu nástrojem BitLocker. Mezi přijaté hodnoty patří název netBIOS počítače a IP adresa počítače.
-? nebo/? Zobrazí stručnou nápovědu na příkazovém řádku.
-help nebo -h Zobrazí úplnou nápovědu na příkazovém řádku.

Příklady

Pokud chcete přidat ochranu pomocí klíče certifikátu identifikované souborem certifikátu, na jednotku E zadejte:

manage-bde -protectors -add E: -certificate -cf c:\File Folder\Filename.cer

Pokud chcete přidat adaccountorgroup ochranu klíčem identifikovanou doménou a uživatelským jménem, na jednotku E zadejte:

manage-bde -protectors -add E: -sid DOMAIN\user

Chcete-li zakázat ochranu, dokud se počítač nerestartuje 3krát, zadejte:

manage-bde -protectors -disable C: -rc 3

Pokud chcete odstranit všechny ochrany klíčů založené na čipu TPM a spouštěcích klíčích na jednotce C, zadejte:

manage-bde -protectors -delete C: -type tpmandstartupkey

Pokud chcete zobrazit seznam všech ochrany klíčů pro jednotku C, zadejte:

manage-bde -protectors -get C:

Pokud chcete zálohovat všechny informace o obnovení pro jednotku C do AD DS, zadejte (kde -id je ID konkrétní ochrany klíče, která se má zálohovat):

manage-bde -protectors -adbackup C: -id '{00000000-0000-0000-0000-000000000000}'