Crittografare dispositivi Windows con BitLocker usando Intune

Usa Microsoft Intune per configurare la crittografia BitLocker nei dispositivi che eseguono Windows e Crittografia dei dati personali nei dispositivi che eseguono Windows 11 versione 22H2 o successiva. Questo articolo illustra gli scenari di crittografia BitLocker standard e crittografia BitLocker invisibile all'utente.

Importante

Il 14 ottobre 2025 Windows 10 ha raggiunto la fine del supporto e non riceverà aggiornamenti relativi alla qualità e alle funzionalità. Windows 10 è una versione consentita in Intune. I dispositivi che eseguono questa versione possono comunque registrarsi in Intune e usare funzionalità idonee, ma la funzionalità non sarà garantita e può variare.

Consiglio

Alcune impostazioni per BitLocker richiedono che il dispositivo abbia un TPM supportato.

Scenari di crittografia BitLocker

Intune supporta due approcci principali di crittografia BitLocker:

• Crittografia di BitLocker Standard: gli utenti potrebbero visualizzare richieste e possono interagire con il processo di crittografia. Offre flessibilità per la selezione del tipo di crittografia e la gestione delle chiavi di ripristino dirette dall'utente.

• Crittografia BitLocker invisibile all'utente : crittografia automatica senza interazione dell'utente o privilegi amministrativi richiesti nel dispositivo. Ideale per le organizzazioni che desiderano garantire che tutti i dispositivi gestiti siano crittografati senza dipendere dall'azione dell'utente finale.

Consiglio

Intune fornisce un report di crittografia predefinito che presenta dettagli sullo stato di crittografia dei dispositivi in tutti i dispositivi gestiti. Dopo la crittografia di un dispositivo Windows con BitLocker da parte di Intune, è possibile visualizzare e gestire le chiavi di ripristino di BitLocker quando si visualizza il report di crittografia.

Prerequisiti

Licenze ed edizioni di Windows

Per le edizioni di Windows che supportano la gestione di BitLocker, vedere i requisiti di edizione e licenza di Windows nella documentazione di Windows.

Controlli di accesso in base ai ruoli

Per gestire BitLocker in Intune, è necessario assegnare a un account un ruolo Controllo di accesso in base al ruolo di Intune che includa l'autorizzazione Attività remote con il diritto Ruota BitLockerKeys (anteprima) impostato su Sì.

È possibile aggiungere questa autorizzazione ai ruoli di controllo degli accessi in base al ruolo personalizzati o usare uno dei ruoli di controllo degli accessi in base al ruolo predefiniti seguenti:

• Operatore help desk
• Endpoint Security Administrator

Pianificazione del ripristino

Prima di abilitare BitLocker, comprendere e pianificare le opzioni di ripristino che soddisfano le esigenze dell'organizzazione. Per altre informazioni, vedi Panoramica del ripristino di BitLocker nella documentazione sulla sicurezza di Windows.

Tipi di criteri per la crittografia BitLocker

Scegliere uno dei tipi di criteri di Intune seguenti per configurare la crittografia BitLocker:

Criteri di sicurezza degli endpoint (scelta consigliata)

Sicurezza degli > endpoint I criteri di crittografia del disco forniscono una configurazione mirata e specifica per la sicurezza di BitLocker:

• Profilo BitLocker - Impostazioni dedicate per la configurazione della crittografia BitLocker. Per altre informazioni, vedere CSP BitLocker.
• Profilo Crittografia dati personali : configurare Crittografia dei dati personali per la crittografia a livello di file che funziona insieme a BitLocker per una sicurezza a più livelli. Per altre informazioni, vedere CSP di Crittografia dei dati personali.

Criteri di configurazione dei dispositivi

Configurazione > del dispositivo Il profilo di Endpoint Protection include le impostazioni di BitLocker come parte di una più ampia configurazione di Endpoint Protection. Visualizza le impostazioni disponibili in BitLocker nei profili di Endpoint Protection.

Nota

Limitazioni del Catalogo delle impostazioni: Il Catalogo delle impostazioni non include i necessari controlli di autenticazione all'avvio del TPM necessari per l'abilitazione affidabile di BitLocker senza intervento dell'utente. Usare la sicurezza degli endpoint o i criteri di configurazione dei dispositivi per gli scenari di BitLocker.

Configurare la crittografia di BitLocker standard

La crittografia Standard di BitLocker consente l'interazione dell'utente e offre flessibilità per la configurazione della crittografia.

Creare criteri di sicurezza degli endpoint

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Seleziona Sicurezza> endpoint: Crittografia> discoCrea criteri.

3. Impostare le opzioni seguenti:

   • Piattaforma: Windows
   • Profilo: Scegliere BitLocker o Crittografia dati personali

   

4. Nella pagina Impostazioni di configurazione configurare le impostazioni per BitLocker in base alle esigenze aziendali:

   • Configurare i metodi di crittografia per il sistema operativo, le unità fisse e rimovibili.
   • Impostare le opzioni di ripristino (requisiti della password e delle chiavi).
   • Configurare l'autenticazione di avvio del TPM in base alle esigenze.

   Seleziona Avanti.

5. Nella pagina Ambito (Tag) scegliere Seleziona tag di ambito per aprire il riquadro Seleziona tag per assegnare tag di ambito al profilo.

   Selezionare Avanti per continuare.

6. Nella pagina Assegnazioni selezionare i gruppi che ricevono il profilo. Per altre informazioni sull'assegnazione di profili, vedere Assegnare profili utente e dispositivo.

   Seleziona Avanti.

7. Al termine, nella pagina Rivedi e crea scegliere Crea. Il nuovo profilo viene visualizzato nell'elenco quando si seleziona il tipo di criterio per il profilo creato.

Consiglio

Gli eventi di modifica del PIN prima dell'avvio di Bitlocker vengono registrati nel Visualizzatore eventi in Microsoft-Windows-Bitlocker-API/Gestione e categoria Attività di modifica PIN Bitlocker con ID evento 789.

Creare criteri di configurazione del dispositivo

Consiglio

La procedura seguente configura BitLocker tramite un modello di configurazione del dispositivo per la protezione degli endpoint. Per configurare la crittografia dei dati personali, usare il catalogo delle impostazioni di configurazione del dispositivo e la categoria Crittografia dei dati personali.

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Seleziona i dispositivi> Gestiscila configurazione>dei dispositivi> Nella scheda Criteri selezionare Crea.

3. Impostare le opzioni seguenti:

   • Piattaforma: Windows 10 e versioni successive
   • Tipo di profilo: selezionare Modelli>Endpoint Protection e quindi selezionare Crea.

   

4. Nella pagina Impostazioni di configurazione espandere Crittografia Windows e configurare le impostazioni di BitLocker in base alle esigenze aziendali.

   

   Se si vuole abilitare BitLocker automaticamente, vedere Configurare la crittografia BitLocker invisibile all'utente in questo articolo per i prerequisiti aggiuntivi e le configurazioni delle impostazioni specifiche da usare.

5. Selezionare Avanti per continuare.

6. Completare la configurazione di altre impostazioni in base alle esigenze dell'organizzazione.

7. Completa il processo di creazione dei criteri assegnandoli ai gruppi di dispositivi appropriati e salva il profilo.

Configurare la crittografia BitLocker invisibile all'utente

La crittografia BitLocker automatica crittografa automaticamente i dispositivi senza interazione dell'utente, offrendo un'esperienza di crittografia senza interruzioni per gli ambienti gestiti.

Prerequisiti per la crittografia invisibile all'utente

Requisiti dei dispositivi

Un dispositivo deve soddisfare le condizioni seguenti per l'abilitazione automatica di BitLocker:

• Sistema operativo:

  • Se gli utenti finali accedono come amministratori: Windows 10 versione 1803 o successiva oppure Windows 11
  • Se gli utenti finali accedono come utenti standard: Windows 10 versione 1809 o successiva oppure Windows 11

• Configurazione del dispositivo:

  • Microsoft Entra ha aderito o Microsoft Entra ibrido ha aderito
  • TPM (Trusted Platform Module) 1.2 o versione successiva
  • Modalità BIOS UEFI nativa
  • Avvio protetto abilitato
  • Ambiente ripristino Windows (WinRE) configurato e disponibile

Nota

Quando BitLocker è abilitato automaticamente, il sistema usa automaticamente la crittografia completa del disco nei dispositivi standby non moderni e la crittografia solo dello spazio nei dispositivi standby moderni. Il tipo di crittografia dipende dalle funzionalità hardware e non può essere personalizzato per gli scenari di crittografia invisibile all'utente.

Per altre informazioni sullo standby moderno, vedi Che cos'è lo standby moderno nella documentazione hardware di Windows.

Importante

Prima di distribuire i criteri di BitLocker invisibile all'utente, eseguire una valutazione approfondita dell'ambiente:

• Identificare il software di crittografia esistente - Utilizzare gli strumenti di inventario o individuazione dei dispositivi per identificare i dispositivi con crittografia di terze parti (McAfee, Symantec, Check Point, ecc.).
• Pianificare la strategia di migrazione - Sviluppare procedure per rimuovere in modo sicuro la crittografia esistente prima della distribuzione di BitLocker.
• Test in gruppi pilota : convalidare il comportamento di BitLocker invisibile all'utente su dispositivi rappresentativi prima della distribuzione su larga scala.
• Preparare le procedure di rollback : avere piani di ripristino e rollback pronti in caso di conflitti di crittografia.

I criteri di BitLocker automatico ignorano gli avvisi dell'utente sulla crittografia esistente, rendendo la valutazione pre-distribuzione fondamentale per evitare la perdita di dati.

Impostazioni necessarie per la crittografia invisibile all'utente

Configurare le impostazioni seguenti in base al tipo di criterio scelto:

Criteri di sicurezza degli endpoint per BitLocker invisibile all'utente

Per i criteri di crittografia del disco di Endpoint Security, configurare queste impostazioni nel profilo BitLocker:

• Richiedi crittografia dispositivo = Abilitato

• Consenti avviso per altre crittografie = del discoDisabilitato

  

Avviso

L'impostazione di Consenti avviso per la crittografia di altri dischi su Disabilitato significa che BitLocker procede con la crittografia anche quando viene rilevato un altro software di crittografia del disco. Questo può portare a:

• Perdita di dati da metodi di crittografia in conflitto
• Instabilità del sistema ed errori di avvio
• Scenari di ripristino complessi con più livelli di crittografia

Prima di distribuire i criteri di BitLocker automatico, assicurarsi che nell'ambiente non sia installato software di crittografia di terze parti. Prendere in considerazione l'uso dei report di inventario dei dispositivi per identificare i dispositivi con il software di crittografia esistente.

Importante

Dopo aver impostato Consenti avviso per la crittografia di altri dischi su Disabilitato, diventa disponibile un'altra impostazione:

• Consenti crittografia = utente Standardabilitata

Questa impostazione è necessaria se i dispositivi sono usati da utenti standard (non amministratori). Consente il funzionamento del criterio RequireDeviceEncryption anche quando l'utente attualmente connesso è un utente standard.

Oltre alle impostazioni necessarie, valuta la possibilità di configurare la rotazione delle password di ripristino per abilitare la rotazione automatica delle password di ripristino.

Criteri di configurazione del dispositivo per BitLocker invisibile all'utente

Per i criteri di Endpoint Protection di configurazione del dispositivo, configurare queste impostazioni nel modello di Endpoint Protection :

• Avviso per altre crittografie = del discoBlocco
• Consenti agli utenti standard di abilitare la crittografia durante l'aggiunta = a Microsoft EntraConsenti
• Creazione della chiave = di ripristino da parte dell'utenteConsenti o non consenti la chiave di ripristino a 256 bit
• Creazione della password = di ripristino da parte dell'utenteConsenti o richiedi una password di ripristino a 48 cifre

Avviso

L'impostazione di Avviso per altre crittografie dischi su Blocca elimina gli avvisi sul software di crittografia esistente e consente a BitLocker di procedere automaticamente. Ciò crea gli stessi rischi descritti per i criteri di sicurezza degli endpoint. Verificare che l'ambiente sia privo di crittografia di terze parti prima della distribuzione.

Autenticazione di avvio del TPM per la crittografia automatica

Per il funzionamento di BitLocker automatico, i dispositivi non devono richiedere un PIN di avvio TPM o una chiave di avvio perché richiedono l'interazione dell'utente.

Configurare le impostazioni TPM

Configurare le impostazioni di autenticazione all'avvio del TPM per impedire l'interazione dell'utente:

Criteri di sicurezza degli endpoint : nel profilo BitLocker in Unità del sistema operativo, impostare prima Richiedi autenticazione aggiuntiva all'avvio su Abilitato. Una volta abilitate, le seguenti impostazioni TPM diventano disponibili:

• Configurare il PIN = di avvio del TPMNon consentire l'avvio PIN con TPM
• Configurare la chiave = di avvio del TPMNon consentire la chiave di avvio con TPM
• Configurare la chiave di avvio e il PIN = del TPMNon consentire la chiave di avvio e il PIN con TPM
• Configurare l'avvio del = TPMConsenti TPM o Richiedi TPM

Criteri di configurazione del dispositivo - Nel modello di Endpoint Protection in crittografia di Windows:

• Avvio = TPM compatibileConsenti TPM o Richiedi TPM
• PIN = di avvio TPM compatibileNon consentire l'avvio PIN con TPM
• Chiave = di avvio TPM compatibileNon consentire la chiave di avvio con TPM
• Chiave di avvio e PIN = TPM compatibiliNon consentire la chiave di avvio e il PIN con TPM

Avviso

Controlla i criteri che consentono l'uso di una chiave o un PIN di avvio TPM. Ad esempio, la baseline di sicurezza per Microsoft Defender può abilitare TPM startup PIN e chiave per impostazione predefinita, bloccando così l'abilitazione invisibile all'utente. Esaminare le configurazioni di base per eventuali conflitti e riconfigurare o escludere i dispositivi in base alle esigenze.

Comportamento del tipo di crittografia

Il tipo di crittografia (solo disco intero o solo spazio usato) è determinato dai seguenti dettagli:

1. Funzionalità hardware - Indica se il dispositivo supporta lo standby moderno.
2. Configurazione della crittografia invisibile all'utente : indica se l'abilitazione invisibile all'utente è configurata.
3. Impostazione SystemDrivesEncryptionType: se configurata in modo esplicito.

Comportamento predefinito

Quando SystemDrivesEncryptionType non è configurato:

• Dispositivi in standby moderni con crittografia invisibile all'utente = crittografia solo dello spazio usato.
• Dispositivi standby non moderni con crittografia automatica = crittografia completa del disco.
• Crittografia Standard (non invisibile all'utente) = l'utente può scegliere o definita dai criteri.

Verificare le funzionalità del dispositivo

Per verificare se un dispositivo supporta lo standby moderno, esegui da un prompt dei comandi:

powercfg /a

Con funzionalità di standby moderno: mostra la rete in standby (S0 Low Power Idle) Connected è disponibile. Non moderno In grado di eseguire lo standby: mostra lo standby (S0 Low Power Idle) La rete connessa non è supportata.

Verificare il tipo di crittografia

Per controllare il tipo di crittografia corrente, esegui da un prompt dei comandi con privilegi elevati:

manage-bde -status c:

Il campo "Stato conversione" mostra solo lo spazio usato, crittografato o completamente crittografato.

Per visualizzare informazioni sui dispositivi che ricevono i criteri di BitLocker, vedere Monitoraggio crittografia disco.

Controllare il tipo di crittografia con il Catalogo impostazioni

Per modificare il tipo di crittografia del disco tra la crittografia completa del disco e la crittografia solo dello spazio usato, usa l'impostazione Applica il tipo di crittografia unità alle unità del sistema operativo in Catalogo delle impostazioni:

1. Creare un criterio del catalogo impostazioni
2. Passa a Componenti di Windows Crittografia>>unità BitLockerUnità del sistema operativo
3. Selezionare e impostare Applica il tipo di crittografia unità sulle unità del sistema operativo su Abilitato per aggiungere Selezionare il tipo di crittografia: (Dispositivo). Quindi configura Selezionare il tipo di crittografia: (Dispositivo) per la crittografia completa o la crittografia solo spazio usato.

Crittografia dati personali (PDE)

Crittografia dei dati personali fornisce la crittografia a livello di file che integra BitLocker:

La crittografia dei dati personali è diversa da BitLocker in quanto crittografa i file anziché interi volumi e dischi. La funzionalità Crittografia dei dati personali viene usata in aggiunta ad altri metodi di crittografia, ad esempio BitLocker. A differenza di BitLocker che rilascia le chiavi di crittografia dei dati all'avvio, Crittografia dei dati personali non rilascia le chiavi di crittografia dei dati fino a quando un utente non accede usando Windows Hello for Business.

• Crittografia dei dati personali crittografa i file anziché interi volumi e dischi.
• Funziona insieme a BitLocker per la sicurezza a più livelli: Crittografia dei dati personali non sostituisce BitLocker.
• Per rilasciare le chiavi di crittografia è necessario l'accesso a Windows Hello for Business.
• Disponibile in Windows 11 22H2 o versione successiva.

Per altre informazioni, vedere CSP di Crittografia dei dati personali.

Per configurare Crittografia dei dati personali, usare:

• Criteri di sicurezza degli endpoint con il profilo Crittografia dati personali .
• Catalogo impostazioni con la categoria Crittografia dei dati personali.

Monitorare e gestire BitLocker

Visualizzare lo stato di crittografia

1. Nell'interfaccia di amministrazione di Microsoft Intune, selezionare il report Devices>Monitor>Encryption.

2. Esaminare lo stato di crittografia dei dispositivi che hanno ricevuto criteri BitLocker.

3. Accedere alle chiavi di ripristino di BitLocker e alle informazioni sulla conformità dei dispositivi.

Gestione delle chiavi di ripristino

Visualizzare le chiavi di ripristino per i dispositivi gestiti da Intune

Intune fornisce l'accesso al nodo Microsoft Entra per BitLocker in modo da poter visualizzare gli ID delle chiavi di BitLocker e le chiavi di ripristino per i dispositivi Windows dall'interfaccia di amministrazione di Microsoft Intune.

Per visualizzare le chiavi di ripristino:

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.
2. Seleziona i dispositivi>Tutti i dispositivi.
3. Selezionare un dispositivo dall'elenco e quindi in Monitoraggio selezionare Chiavi di ripristino.
4. Seleziona Mostra chiave di ripristino. Questo genera una voce di log di controllo nell'attività "KeyManagement".

Quando le chiavi sono disponibili in Microsoft Entra ID, vengono visualizzate le seguenti informazioni:

• ID chiave BitLocker
• Chiave di ripristino di BitLocker
• Tipo di unità

Quando le chiavi non sono in Microsoft Entra ID, Intune visualizza Nessuna chiave BitLocker trovata per questo dispositivo.

Nota

Microsoft Entra ID supporta un massimo di 200 chiavi di ripristino di BitLocker per dispositivo. Se si raggiunge questo limite, la crittografia automatica non riesce a causa del backup non riuscito delle chiavi di ripristino prima di avviare la crittografia nel dispositivo.

Autorizzazioni necessarie: gli amministratori IT devono disporre dell'autorizzazione all'interno di Microsoft Entra ID per visualizzare le microsoft.directory/bitlockerKeys/key/read chiavi di ripristino di BitLocker del dispositivo. Questa autorizzazione è inclusa in questi ruoli di Microsoft Entra:

• Amministratore di dispositivi cloud
• Amministratore supporto tecnico
• Amministratore globale

Per altre informazioni sulle autorizzazioni dei ruoli di Microsoft Entra, vedere Ruoli predefiniti di Microsoft Entra.

Registrazione di controllo: vengono controllati tutti gli accessi alle chiavi di ripristino di BitLocker. Per altre informazioni, vedere Log di controllo del portale di Azure.

Importante

Se si elimina l'oggetto Intune per un dispositivo aggiunto a Microsoft Entra protetto da BitLocker, l'eliminazione attiva una sincronizzazione del dispositivo Intune e rimuove le protezioni con chiave per il volume del sistema operativo. Questo lascia BitLocker in uno stato sospeso in tale volume.

Visualizzare le chiavi di ripristino per i dispositivi collegati al tenant

Quando si usa lo scenario di collegamento di tenant, Microsoft Intune può visualizzare i dati della chiave di ripristino per i dispositivi collegati al tenant.

Requisiti:

• I siti di Gestione configurazione devono essere in esecuzione nella versione 2107 o successiva
• Per i siti che eseguono 2107, installare il KB11121541 di aggiornamento cumulativo per il supporto per i dispositivi Microsoft Entra aggiunti
• L'account di Intune deve disporre delle autorizzazioni di controllo degli accessi in base al ruolo di Intune per visualizzare le chiavi di BitLocker
• Deve essere associato a un utente locale con ruolo di raccolta di Gestione configurazione e ottenere l'autorizzazione per la chiave di ripristino di BitLocker

Per altre informazioni, vedere Configurare l'amministrazione basata sui ruoli per Gestione configurazione.

Ruotare le chiavi di ripristino di BitLocker

È possibile usare un'azione del dispositivo di Intune per ruotare in remoto la chiave di ripristino di BitLocker di un dispositivo che esegue Windows 10 versione 1909 o successiva e Windows 11.

Prerequisiti per la rotazione delle chiavi:

• I dispositivi devono eseguire Windows 10 versione 1909 o successiva oppure Windows 11

• I dispositivi aggiunti e aggiunti ibridi a Microsoft Entra devono avere la rotazione delle chiavi abilitata tramite criteri BitLocker:

  • Rotazione = delle password di ripristino basata sul clientAbilita la rotazione sui dispositivi aggiunti a Microsoft Entra o Abilita la rotazione su dispositivi aggiunti a Microsoft Entra ID e ibridi
  • Salvare le informazioni di ripristino di BitLocker in Microsoft Entra IDEnabled =
  • Archivia le informazioni di ripristino in Microsoft Entra ID prima di abilitare BitLocker = Obbligatorio

Per ruotare la chiave di ripristino di BitLocker:

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Seleziona i dispositivi>Tutti i dispositivi.

3. Seleziona un dispositivo dall'elenco.

4. Selezionare l'azione remota Rotazione tasti BitLocker . Se non è visibile, selezionare i puntini di sospensione (...) e quindi selezionare Rotazione tasti BitLocker.

   

Per altre informazioni sulle distribuzioni e sui requisiti di BitLocker, vedere il grafico di confronto delle distribuzioni di BitLocker.

Ripristino self-service

Per consentire agli utenti finali di ottenere le chiavi di ripristino senza chiamare l'helpdesk, Intune consente scenari self-service tramite l'app Portale aziendale e altri metodi.

Opzioni di accesso self-service:

• App Portale aziendale: gli utenti possono accedere alle chiavi di ripristino di BitLocker tramite l'app Portale aziendale
• Portale Account personale: disponibile in account.microsoft.com per i dispositivi Microsoft Entra aggiunti
• Microsoft Entra ID: accesso diretto per i dispositivi aggiunti a Microsoft Entra

Controlli amministrativi per l'accesso in modalità self-service:

1. Interruttore a livello di tenant: determina se gli utenti non amministratori possono usare la funzionalità self-service per recuperare le chiavi di BitLocker:

   • Impostazione predefinita: No (consente a tutti gli utenti di recuperare le proprie chiavi)
   • Sì: impedisce agli utenti non amministratori di visualizzare le chiavi di BitLocker per i propri dispositivi
   • Configurare nelle impostazioni del dispositivo Microsoft Entra

2. Integrazione dell'accesso condizionale: Usare i criteri di accesso condizionale per richiedere dispositivi conformi per l'accesso alla chiave di ripristino di BitLocker:

   • Configurare Richiedi dispositivo conforme nei criteri di accesso condizionale
   • I dispositivi non conformi non possono accedere alle chiavi di ripristino di BitLocker
   • Le chiavi di ripristino di BitLocker vengono considerate come risorse aziendali soggette ad accesso condizionale

3. Registrazione di controllo per il self-service: Vengono registrati tutti gli accessi alla chiave di ripristino dell'utente:

   • Log di controllo di Microsoft Entra registrati nella categoria Gestione chiavi
   • Tipo di attività: Leggere la chiave BitLocker
   • Include il nome dell'entità utente e l'ID chiave
   • Per altre informazioni, vedere Log di controllo di Microsoft Entra

Risoluzione dei problemi

Problemi comuni relativi a BitLocker invisibile all'utente

Problema: BitLocker richiede l'interazione dell'utente nonostante la configurazione invisibile all'utente

• Soluzione: Verificare che il PIN di avvio del TPM o le impostazioni della chiave non siano abilitate. Verificare la presenza di criteri di base di sicurezza in conflitto.

Problema: i dispositivi non soddisfano i prerequisiti per l'abilitazione invisibile all'utente

• Soluzione: verificare che i dispositivi soddisfino tutti i prerequisiti del dispositivo, tra cui la versione TPM, la modalità UEFI e lo stato di partecipazione a Microsoft Entra.

Problema: BitLocker non riesce a crittografare automaticamente

• Soluzione: verificare la presenza di errori relativi a BitLocker nei registri eventi di Windows. Verificare che l'avvio protetto sia abilitato e che WinRE sia configurato correttamente.

Problema: I conflitti di criteri impediscono l'abilitazione invisibile all'utente

• Soluzione: utilizzare il rilevamento dei conflitti di criteri in Intune per identificare le impostazioni in conflitto tra i criteri.

Risoluzione dei problemi relativi alla chiave di ripristino

Per l'abilitazione di BitLocker automatico, viene eseguito automaticamente il backup delle chiavi di ripristino in Microsoft Entra ID quando si verifica la crittografia. Verifica:

1. I dispositivi sono stati aggiunti correttamente a Microsoft Entra (necessario per il backup automatico)
2. Nessun conflitto di criteri impedisce il processo di backup automatico
3. Il deposito della chiave di ripristino funziona tramite il report di crittografia

Passaggi successivi

• Gestire i criteri FileVault per i dispositivi macOS
• Monitorare la crittografia del disco
• Risoluzione dei problemi relativi ai criteri di BitLocker
• Problemi noti relativi ai criteri di BitLocker
• Tabella confronto distribuzione BitLocker
• Gestione di BitLocker per le aziende nella documentazione sulla sicurezza di Windows
• Panoramica di Crittografia dati personali
• Scenari self-service per gli utenti finali tramite l'app Portale aziendale