À propos de MBAM 2.5 SP1
MBAM 2.5 SP1 fournit une interface d’administration simplifiée pour le chiffrement de lecteur BitLocker. BitLocker offre une protection renforcée contre le vol de données ou l’exposition des données pour les ordinateurs perdus ou volés. BitLocker chiffre toutes les données stockées sur le système d’exploitation Windows et les lecteurs et lecteurs de données configurés.
Vue d’ensemble de MBAM
MBAM 2.5 SP1 offre les fonctionnalités suivantes :
Permet aux administrateurs d’automatiser le processus de chiffrement des volumes sur les ordinateurs clients de l’entreprise.
Permet aux responsables de la sécurité de déterminer rapidement l’état de conformité des ordinateurs individuels ou même de l’entreprise elle-même.
Fournit des rapports centralisés et une gestion du matériel avec Microsoft System Center Configuration Manager.
Réduit la charge de travail sur le support technique pour aider les utilisateurs finaux avec les demandes de code confidentiel BitLocker et de clé de récupération.
Permet aux utilisateurs finaux de récupérer des appareils chiffrés indépendamment à l’aide du portail Self-Service.
Permet aux agents de sécurité d’auditer facilement l’accès pour récupérer les informations clés.
Permet aux utilisateurs de Windows Entreprise de continuer à travailler n’importe où avec l’assurance que leurs données d’entreprise sont protégées.
MBAM applique les options de stratégie de chiffrement BitLocker que vous définissez pour votre entreprise, surveille la conformité des ordinateurs clients avec ces stratégies et signale les status de chiffrement des ordinateurs de l’entreprise et des ordinateurs individuels. En outre, MBAM vous permet d’accéder aux informations de la clé de récupération lorsque les utilisateurs oublient leur code confidentiel ou leur mot de passe, ou lorsque leurs enregistrements DE BIOS ou de démarrage changent.
Les groupes suivants peuvent être intéressés par l’utilisation de MBAM pour gérer BitLocker :
Administrateurs, professionnels de la sécurité informatique et responsables de la conformité chargés de veiller à ce que les données confidentielles ne soient pas divulguées sans autorisation
Administrateurs responsables de la sécurité informatique dans les filiales ou les bureaux distants
Administrateurs responsables des ordinateurs clients exécutant Windows
Remarque
BitLocker n’est pas expliqué en détail dans cette documentation MBAM. Pour plus d’informations, consultez Vue d’ensemble du chiffrement de lecteur BitLocker.
Nouveautés de MBAM 2.5 SP1
Cette section décrit les nouvelles fonctionnalités de MBAM 2.5 SP1.
Langues nouvellement prises en charge pour le client MBAM 2.5 SP1
Les langues supplémentaires suivantes sont désormais prises en charge dans MBAM 2.5 SP1 pour le client MBAM uniquement, y compris le portail Self-Service :
Tchèque (République tchèque) cs-CZ
Danois (Danemark) da-DK
Néerlandais (Pays-Bas) nl-NL
Finnois (Finlande) fi-FI
Grec (Grèce) el-GR
Hongrois (Hongrie) hu-HU
Norvégien, Bokmål (Norvège) nb-NO
Polonais (Pologne) pl-PL
Portugais (Portugal) pt-PT
Slovaque (Slovaquie) sk-SK
Slovène (Slovénie) sl-SI
Suédois (Suède) sv-SE
Turc (Türkiye) tr-TR
Pour obtenir la liste de toutes les langues prises en charge pour le client et le serveur dans MBAM 2.5 et MBAM 2.5 SP1, consultez Configurations prises en charge par MBAM 2.5.
Prise en charge de Windows 10
MBAM 2.5 SP1 ajoute la prise en charge des Windows 11, des Windows 10 et des Windows Server 2016, en plus des logiciels pris en charge dans les versions antérieures de MBAM.
Windows 10 est pris en charge dans MBAM 2.5 et MBAM 2.5 SP1.
Prise en charge de Microsoft SQL Server 2014 SP1
MBAM 2.5 SP1 ajoute la prise en charge de Microsoft SQL Server 2014 SP1, en plus des logiciels pris en charge dans les versions antérieures de MBAM.
MBAM n’est plus fourni avec msi distinct
À compter de MBAM 2.5 SP1, un msi distinct n’est plus inclus dans le produit MBAM. Toutefois, vous pouvez extraire le MSI du fichier exécutable (.exe) inclus dans le produit.
MBAM peut séquestrer les mots de passe OwnerAuth sans posséder le module de plateforme sécurisée
Auparavant, si MBAM ne possédait pas le TPM, l’objet OwnerAuth du module de plateforme sécurisée ne pouvait pas être mis sous séquestre dans la base de données MBAM. Pour configurer MBAM pour qu’il soit propriétaire du module de plateforme sécurisée et pour stocker les mots de passe, vous devez désactiver l’approvisionnement automatique du module de plateforme sécurisée et effacer le module de plateforme sécurisée sur l’ordinateur client.
Dans Windows 8 et versions ultérieures, MBAM 2.5 SP1 peut désormais séquestrer les mots de passe OwnerAuth sans posséder le TPM. Lors du démarrage du service, MBAM interroge pour voir si le module TPM est déjà détenu et, le cas échéant, il demande les mots de passe du système d’exploitation. Les mots de passe sont ensuite mis sous séquestre dans la base de données MBAM. En outre, stratégie de groupe devez être défini pour empêcher la suppression locale de OwnerAuth.
Dans Windows 7, MBAM doit être propriétaire du module de plateforme sécurisée (TPM) pour supprimer automatiquement les informations Propriétaire du module de plateforme sécurisée (TPM) dans la base de données MBAM. Si MBAM n’est pas propriétaire du module TPM et que la sauvegarde Active Directory (AD) du module de plateforme sécurisée est configurée via stratégie de groupe, vous devez utiliser les applets de commande d’importation de données MBAM Active Directory (AD) pour copier le TPM OwnerAuth d’AD dans la base de données MBAM. Il s’agit de cinq nouvelles applets de commande PowerShell qui préremplir les bases de données MBAM avec les informations de récupération de volume et de propriétaire TPM stockées dans Active Directory.
Pour plus d’informations, consultez Considérations relatives à la sécurité de MBAM 2.5.
MBAM peut déverrouiller automatiquement le module de plateforme sécurisée après un verrouillage
Sur les ordinateurs exécutant TPM 1.2, vous pouvez désormais configurer MBAM pour déverrouiller automatiquement le module de plateforme sécurisée en cas de verrouillage. Si la fonctionnalité de réinitialisation automatique du verrouillage TPM est activée, MBAM peut détecter qu’un utilisateur est verrouillé, puis obtenir le mot de passe OwnerAuth à partir de la base de données MBAM pour déverrouiller automatiquement le module de plateforme sécurisée pour l’utilisateur.
Cette fonctionnalité doit être activée côté serveur et dans stratégie de groupe côté client. Pour plus d’informations, consultez Considérations relatives à la sécurité de MBAM 2.5.
Prise en charge des protecteurs de mot de passe numériques BitLocker conformes à FIPS
Dans MBAM 2.5, la prise en charge des clés de récupération BitLocker compatibles FIPS (Federal Information Processing Standard) a été ajoutée sur les appareils exécutant le système d’exploitation Windows 8.1. Toutefois, Windows n’a pas implémenté de clés de récupération compatibles FIPS dans Windows 7. Par conséquent, les appareils Windows 7 et Windows 8 ont toujours besoin d’un protecteur d’agent de récupération de données (DRA) pour la récupération.
L’équipe Windows a rétroporté des clés de récupération compatibles FIPS avec un correctif logiciel, et MBAM 2.5 SP1 a également ajouté la prise en charge de ces clés.
Remarque
Les ordinateurs clients qui exécutent le système d’exploitation Windows 8 nécessitent toujours un protecteur DRA, car le correctif logiciel n’a pas été rétroporté sur ce système d’exploitation. Consultez package de correctif logiciel 2 pour l’administration et la surveillance BitLocker 2.5 pour télécharger et installer le correctif logiciel BitLocker pour les ordinateurs Windows 7 et Windows 8. Pour plus d’informations sur DRA, consultez Utilisation d’agents de récupération de données avec BitLocker.
Pour activer la conformité FIPS dans votre organization, vous devez configurer les paramètres de stratégie de groupe FIPS (Federal Information Processing Standard). Pour obtenir des instructions de configuration, consultez Paramètres de stratégie de groupe BitLocker.
Personnaliser le message de récupération préalable au démarrage et l’URL avec le nouveau paramètre stratégie de groupe
Un nouveau paramètre stratégie de groupe, Configurer le message et l’URL de récupération de prédémarreur, vous permet de configurer un message de récupération personnalisé ou de spécifier une URL qui s’affiche ensuite sur l’écran de récupération BitLocker avant démarrage lorsque le lecteur du système d’exploitation est verrouillé. Ce paramètre est disponible uniquement sur les ordinateurs clients exécutant Windows 11 et Windows 10.
Si vous activez ce paramètre de stratégie, vous pouvez sélectionner l’une des options suivantes pour le message de récupération préalable au démarrage :
Utiliser un message de récupération personnalisé : sélectionnez cette option pour inclure un message personnalisé dans l’écran de récupération BitLocker préalable au démarrage.
Utiliser une URL de récupération personnalisée : sélectionnez cette option pour remplacer l’URL par défaut affichée dans l’écran de récupération BitLocker avant le démarrage.
Utiliser le message et l’URL de récupération par défaut : sélectionnez cette option pour afficher le message et l’URL de récupération BitLocker par défaut dans l’écran de récupération BitLocker préalable au démarrage. Si vous avez précédemment configuré un message ou une URL de récupération personnalisé et que vous souhaitez revenir au message par défaut, vous devez activer cette stratégie et sélectionner cette option.
Le nouveau paramètre stratégie de groupe se trouve dans le nœud GPO suivant : Stratégies de configuration>> ordinateurModèles> d’administrationComposants> WindowsMDOP MBAM (Gestion BitLocker)>Lecteur de système d’exploitation. Pour plus d’informations, consultez Planning for MBAM 2.5 stratégie de groupe Requirements.
MBAM a ajouté la prise en charge du chiffrement de l’espace utilisé
Dans MBAM 2.5 SP1, si vous activez le chiffrement de l’espace utilisé via BitLocker stratégie de groupe, le client MBAM l’honore.
Ce paramètre stratégie de groupe est appelé Appliquer le type de chiffrement de lecteur sur les lecteurs de système d’exploitation et se trouve dans le nœud de l’objet de stratégie de groupe suivant : Configuration> ordinateurModèles d’administration>Composants Windows Lecteurs>du système d’exploitationchiffrement> de lecteur BitLocker. Si vous activez cette stratégie et sélectionnez le type de chiffrement Chiffrement de l’espace utilisé uniquement, MBAM respecte la stratégie et BitLocker chiffre uniquement l’espace disque utilisé sur le volume.
Pour plus d’informations, consultez Planning for MBAM 2.5 stratégie de groupe Requirements.
Prise en charge du client MBAM pour les disques durs chiffrés
MBAM prend en charge BitLocker sur les disques durs chiffrés qui répondent aux exigences de spécification TCG pour Opal ainsi qu’aux normes IEEE 1667. Lorsque BitLocker est activé sur ces appareils, il génère des clés et effectue des fonctions de gestion sur le lecteur chiffré. Pour plus d’informations, consultez Disque dur chiffré .
La configuration de la délégation n’est plus nécessaire lors de l’inscription des noms de service
La configuration requise de la délégation contrainte pour les SPN que vous inscrivez pour le compte du pool d’applications n’est plus nécessaire dans MBAM 2.5 SP1. Toutefois, cela reste obligatoire pour MBAM 2.5.
Activer BitLocker à l’aide de MBAM dans le cadre d’un déploiement Windows
Dans MBAM 2.5 SP1, vous pouvez utiliser un script PowerShell pour configurer le chiffrement de lecteur BitLocker et les clés de récupération d’entiercement sur le serveur MBAM.
Pour plus d’informations, consultez Guide pratique pour activer BitLocker à l’aide de MBAM dans le cadre d’un déploiement Windows
Self-Service portail peut être personnalisé à l’aide de PowerShell ou de l’Assistant Personnalisation du fournisseur de services partagés
À partir de MBAM 2.5 SP1, le portail Self-Service peut être configuré à l’aide de l’Assistant Personnalisation ainsi qu’à l’aide de PowerShell. Consultez Guide pratique pour configurer les applications web MBAM 2.5.
Le navigateur web ne s’exécute plus involontairement en tant qu’administrateur
Un problème dans MBAM 2.5 a provoqué l’ouverture des fenêtres de navigateur avec des droits d’administrateur dans l’outil d’aide dans l’outil de configuration du serveur. Ce problème est résolu dans MBAM 2.5 SP1.
Plus besoin de télécharger les fichiers JavaScript pour configurer le portail Self-Service lorsque le CDN est inaccessible
Dans MBAM 2.5 et les versions antérieures, les fichiers jQuery utilisés pour la configuration du portail Self-Service devaient être téléchargés à l’avance à partir du CDN si les clients accédant au portail Self-Service n’avaient pas accès à Internet. Dans MBAM 2.5 SP1, tous les fichiers JavaScript étant inclus dans le produit, leur téléchargement n’est pas nécessaire.
Les rapports peuvent être ouverts dans Report Builder 3.0
Dans MBAM 2.5 SP1, les rapports ont été mis à jour vers le dernier schéma de langage de définition de rapport, ce qui permet aux utilisateurs d’ouvrir et de personnaliser les rapports dans Report Builder 3.0 et de les enregistrer immédiatement sans endommager le fichier de rapport.
Nouvelles applets de commande PowerShell
Les nouvelles applets de commande PowerShell pour MBAM 2.5 SP1 vous permettent de configurer et de gérer différentes fonctionnalités MBAM, notamment les bases de données, les rapports et les applications web. Chaque fonctionnalité a une applet de commande PowerShell correspondante que vous pouvez utiliser pour activer ou désactiver des fonctionnalités, ou pour obtenir des informations sur la fonctionnalité.
Les applets de commande suivantes ont été implémentées pour MBAM 2.5 SP1 :
Write-MbamTpmInformation
Write-MbamRecoveryInformation
Read-ADTpmInformation
Read-ADRecoveryInformation
Write-MbamComputerUser
Les paramètres suivants ont été implémentés dans les applets de commande Enable-MbamWebApplication et Test-MbamWebApplication pour MBAM 2.5 SP1 :
DataMigrationAccessGroup
TpmAutoUnlock
Pour plus d’informations sur les applets de commande, consultez Considérations relatives à la sécurité MBAM 2.5 et Aide sur l’applet de commande d’administration et de surveillance Microsoft BitLocker.
L’agent MBAM détecte le mode de présentation
L’agent MBAM peut détecter quand l’ordinateur est en mode présentation et éviter d’appeler l’interface utilisateur MBAM à ce moment-là.
Service de l’agent MBAM maintenant configuré pour utiliser un démarrage différé
Après l’installation, le service définit désormais le service de l’agent MBAM pour qu’il utilise le démarrage différé, ce qui réduit le temps nécessaire au démarrage de Windows.
Les volumes de données fixes verrouillés sont désormais indiqués comme conformes
La logique de calcul de conformité pour les volumes « Données fixes verrouillées » a été modifiée pour signaler les volumes comme étant « Conformes », mais avec un état de protection et un état de chiffrement « Inconnu » et avec le détail de l’état de conformité « Le volume est verrouillé ». Auparavant, les volumes verrouillés étaient signalés comme « non conformes », un état de protection « Chiffré », un état de chiffrement « Inconnu » et un état de conformité « Une erreur inconnue ».
Comment obtenir les technologies MDOP
MBAM fait partie de Microsoft Desktop Optimization Pack (MDOP). MDOP fait partie du programme Microsoft Software Assurance. Pour plus d’informations sur le programme Microsoft Software Assurance et sur l’acquisition de MDOP, consultez Comment obtenir MDOP ?.
Notes de publication de MBAM 2.5 SP1
Pour plus d’informations et des informations de dernière heure qui ne sont pas incluses dans cette documentation, consultez Notes de publication pour MBAM 2.5 SP1.
Vous avez une suggestion pour MBAM ?
Pour les problèmes MBAM, utilisez le Forum TechNet MBAM.