Configuración del algoritmo de cifrado de BitLocker para dispositivos Windows Autopilot

BitLocker cifra automáticamente las unidades internas durante la configuración rápida (OOBE) para los dispositivos que admiten el modo de espera moderno o cumplen con la Especificación de prueba de seguridad de hardware (HSTI). De forma predeterminada, BitLocker usa el espacio usado de 128 bits XTS-AES solo para el cifrado automático.

Con Windows Autopilot, se puede configurar la configuración del cifrado de BitLocker para aplicarla antes de que se inicie el cifrado automático. Esta configuración garantiza que el algoritmo o tipo de cifrado predeterminado no se aplique automáticamente. Un dispositivo que recibe esta configuración después del cifrado automáticamente debe descifrarse antes de cambiar el algoritmo de cifrado.

Algoritmo de cifrado

BitLocker usa el algoritmo de cifrado de BitLocker especificado cuando BitLocker se habilita por primera vez. Durante Windows Autopilot, BitLocker se habilitará después de la parte de configuración del dispositivo de la página de estado de inscripción. Están disponibles los siguientes algoritmos de cifrado:

  • AES-CBC de 128 bits.
  • AES-CBC de 256 bits.
  • XTS-AES de 128 bits (predeterminado).
  • XTS-AES de 256 bits.

Para obtener más información sobre los algoritmos de cifrado recomendados para usar, consulte Proveedor de servicios de configuración (CSP) de BitLocker.

Cifrado de disco completo vs. solo espacio usado

Hay dos tipos de cifrado: disco completo o solo espacio usado. La configuración de la habilitación silenciosa y la compatibilidad de hardware para el modo de espera moderno determinan automáticamente el tipo de cifrado utilizado. El tipo de cifrado usado se puede aplicar mediante la configuración de SystemDrivesEncryptionType . Al igual que el algoritmo de cifrado, BitLocker usa el tipo de cifrado cuando BitLocker se habilita por primera vez. Para obtener más información sobre el comportamiento esperado del tipo de cifrado, vea Administrar la directiva de BitLocker.

Configurar una directiva de BitLocker para dispositivos Windows Autopilot

Para asegurarte de que tanto el algoritmo de cifrado de BitLocker deseado como el cifrado se establecen antes de que se produzca el cifrado automático para dispositivos Windows Autopilot, sigue estos pasos:

  1. Inicie sesión en el Centro de administración de Microsoft Intune.

  2. En la pantalla Inicio , seleccione Seguridad de punto de conexión en el panel izquierdo.

  3. En el cuadro de diálogo Seguridad | , expanda Administrar y, a continuación, seleccione Cifrado de discos.

  4. En el cuadro de diálogo Seguridad | Pantalla de cifrado de disco . Seleccione + Crear directiva.

  5. En la página Crear un perfil que se abre:

    1. En Plataforma, selecciona Windows.

    2. En Perfil, selecciona BitLocker.

    3. Seleccione el botón Crear.

  6. En la página Aspectos básicos de la pantalla Crear directiva , escriba un nombre y una descripción opcional y, a continuación, seleccione el botón Siguiente .

  7. En la página Opciones de configuración, configure las distintas opciones de BitLocker como desee, incluido el método de cifrado y la configuración de tipode cifrado y cifrado:

    • Método de cifrado y cifrado

      1. Expande la sección Cifrado de unidad BitLocker .

      2. En Elegir método de cifrado de unidad e intensidad de cifrado, seleccione Habilitado.

      3. Para cada uno de los tipos de unidad (unidades de datos fijas, unidad del sistema operativo, unidades de datos extraíbles), seleccione el método de cifrado y el cifrado deseados en el menú desplegable. El valor predeterminado para cada tipo es XTS-AES de 128 bits.

    • Tipo de cifrado

      1. Expanda la sección Unidades de sistema operativo .

      2. Para Exigir el tipo de cifrado de unidad en unidades de sistema operativo, selecciona Habilitado.

      3. Para Seleccionar el tipo de cifrado de unidad, selecciona el tipo de cifrado deseado, ya sea Cifrado completo o Cifrado de solo espacio usado, en el menú desplegable. El valor predeterminado es Permitir que el usuario elija.

    Una vez que todas las opciones de BitLocker estén configuradas como se desee, selecciona el botón Siguiente .

  8. En la página Etiquetas de ámbito , selecciona el botón Siguiente .

    Nota:

    Las etiquetas de ámbito son opcionales. Si es necesario especificar una etiqueta de ámbito personalizada, hazlo en esta página. Para obtener más información sobre las etiquetas de ámbito, consulte Usar el control de acceso basado en roles y las etiquetas de ámbito para TI distribuida.

  9. En la página Tareas , use el cuadro de búsqueda Buscar por nombre de grupo... para buscar y agregar el grupo de dispositivos Windows Autopilot. Una vez que el grupo de dispositivos de Windows Autopilot se haya agregado y aparezca en Grupo, asegúrese de que Tipo de destino esté establecido en Incluir y, a continuación, seleccione el botón Siguiente . Para obtener más información acerca de cómo asignar una directiva, consulte Asignar directivas en Microsoft Intune.

    Importante

    Asegúrese de que el grupo de dispositivos de Windows Autopilot seleccionado en este paso sea un grupo de dispositivos y no un grupo de usuarios.

  10. En la página Revisar + crear , revisa la configuración para comprobar que están configuradas como quieras y, a continuación, selecciona el botón Guardar .

  11. Configura y asigna una página de estado de inscripción (ESP) para el dispositivo Windows Autopilot. Si no está habilitada una ESP, la directiva de BitLocker no se aplicará antes de que se inicie el cifrado. Para obtener más información, consulte uno de los siguientes artículos:

Contenido relacionado

  • Se actualizó por última vez el