MBAM 1.0 グループ ポリシー要件の計画
適用対象: Microsoft BitLocker Administration and Monitoring 1.0
Microsoft BitLocker Administration and Monitoring (MBAM) クライアントの管理には、適用するカスタム グループ ポリシー設定が必要です。 このトピックでは、MBAM を使用して会社の BitLocker ドライブ暗号化を管理する際に、利用できるグループ ポリシー オブジェクト (GPO) のポリシー オプションについて説明します。
重要
MBAM は、Windows BitLocker ドライブ暗号化に既定の GPO 設定を使用しません。 既定の設定が有効な場合、競合する動作の原因となる可能性があります。 MBAM を有効にして BitLocker を管理するには、MBAM グループ ポリシー テンプレートをインストールしてから、GPO ポリシー設定を定義する必要があります。
MBAM グループ ポリシーをインストールすると、MBAM を有効にして会社の BitLocker 暗号化を管理するために、利用可能なカスタム MBAM GPO ポリシー設定の表示と変更ができるようになります。 MBAM グループ ポリシー テンプレートは、グループ ポリシー管理コンソール (GPMC) または高度なグループ ポリシーの管理 (AGPM) MDOP テクノロジを実行可能なコンピューターに、インストールする必要があります。 次に、適用可能な GPO を編集するために、GPMC か AGPM を開いてから、次の GPO ノードに移動します。 コンピューターの構成\管理用テンプレート\Windows コンポーネント\MDOP MBAM (BitLocker Management)
MDOP MBAM (BitLocker Management) GPO ノードには、4 つのグローバル ポリシー設定と 4 つの子 GPO 設定ノードがそれぞれ含まれます。 4 つの GPO グローバル ポリシー設定は、 クライアントの管理、固定ドライブ、オペレーティング システム ドライブ、およびリムーバブル ドライブです。 次のセクションでは、MBAM GPO ポリシー設定の要件計画に役立つ、ポリシー定義と推奨ポリシーを説明します。
注意
MBAM を有効にして BitLocker 暗号化を管理するための最小推奨 GPO 設定の構成の詳細については、「Edit MBAM 1.0 GPO 設定の編集方法」を参照してください。
グローバル ポリシー定義
このセクションでは、MBAM グローバル ポリシー定義について説明します。これらのポリシー定義は、次の GPO ノードにあります。 コンピューターの構成\管理用テンプレート\Windows コンポーネント\MDOP MBAM (BitLocker Management)
| ポリシー名 | 概要と推奨ポリシー設定 |
|---|---|
ドライブの暗号化方法と暗号強度を選択する |
推奨構成: 未構成 特定の暗号化方法と暗号強度を使用するために、このポリシーを構成します。 このポリシーが構成されていないと、BitLocker は、既定の暗号化方法である AES 128 ビット キーとディフューザー、またはセットアップ スクリプトが指定した暗号化方法を使用します。 |
再起動時にメモリを上書きしない |
推奨構成: 未構成 再起動の際に、メモリ上の BitLocker の機密情報を上書きせずに再起動のパフォーマンスを向上させるために、このポリシーを構成します。 このポリシーが構成されていないと、コンピューターの再起動時に BitLocker の機密情報がメモリから削除されます。 |
スマート カード証明書の使用規則の準拠を検証する |
推奨構成: 未構成 スマートカード証明書ベースの BitLocker の保護を使用するために、このポリシーを構成します。 このポリシーが構成されていないと、証明書の指定に、既定のオブジェクト ID である 1.3.6.1.4.1.311.67.1.1 が使用されます。 |
組織固有の識別子を使用する |
推奨構成: 未構成 証明書ベースのデータ回復エージェント、または BitLocker To Go リーダーを使用するために、このポリシーを構成します。 このポリシーが構成されていないと、識別フィールドは使用されません。 会社がより高度なセキュリティ対策を要求している場合は、識別フィールドを構成して、このフィールドに設定されているすべての USB デバイスがこのグループ ポリシー設定に沿っているか確認することができます。 |
クライアントの管理ポリシー定義
このセクションでは、MBAM のクライアントの管理ポリシー定義について説明します。これらのポリシー定義は、次の GPO ノードにあります。 コンピューターの構成\管理用テンプレート\Windows コンポーネント\MDOP MBAM (BitLocker Management) \ クライアントの管理
| ポリシー名 | 概要と推奨ポリシー設定 |
|---|---|
MBAM サービスを構成する |
推奨構成: 有効
|
ハードウェアの互換性をチェックする |
推奨構成: 有効 このポリシー設定で、MBAM クライアント コンピューターのドライブの BitLocker による保護を有効にする前に、ハードウェアの互換性の確認を管理します。 古いコンピューターや、トラステッド プラットフォーム モジュール (TPM) チップをサポートしないコンピューターが会社にある場合は、このポリシー オプションを有効にします。 これらのいずれかの基準が当てはまる場合は、ハードウェアの互換性の確認を有効にして、MBAM が BitLocer をサポートするコンピューター モデルのみに適用されるように確認します。 組織のすべてのコンピューターが BitLocker をサポートしている場合は、ハードウェアの互換性を展開する必要がなく、このポリシーを 構成されていません に設定することができます。 このポリシーを有効にすると、ポリシーがコンピューター ドライブの BitLocker による保護を有効にするまで、コンピューターのモデルがハードウェアの互換性リストに対して、24 時間に 1 度確認されます。 注意 このポリシー設定を有効にする前に、MBAM サービスを構成するポリシー オプションの MBAM 回復とハードウェア サービスのエンドポイント 設定が構成されているか確認してください。 このポリシー設定が無効、あるいは構成されていない場合、コンピューター モデルは、ハードウェアの互換性リストに対して確認されません。 |
ユーザーの除外ポリシーを構成する |
推奨構成: 未構成 このポリシー設定では、BitLocker 暗号化からの除外の要求でユーザーに案内するサイト アドレス、電子メール アドレス、または電話番号を構成します。 このポリシー設定を有効にして、Web サイトのアドレス、電子メール アドレス、または電話番号を提供すると、ユーザーに、BitLocker による保護からの除外の申し込み方法を説明するダイアログが表示されます。 ユーザーの BitLocker 暗号化除外を有効にする方法の詳細については、「ユーザーの BitLocker 暗号化の除外を管理する方法」を参照してください。 このポリシー設定が無効、あるいは構成されていない場合、除外の要求の申し込み方法についての説明は、ユーザーに表示されません。 注意 ユーザーの除外は、ユーザー別に管理されます。コンピューター別ではありません。 複数のユーザーが同じコンピューターにログオンし、除外されていないユーザーがひとりいると、そのコンピューターは暗号化されます。 |
固定ドライブのポリシー定義
このセクションでは、MBAM の固定ドライブのポリシー定義について説明します。これらのポリシー定義は、次の GPO ノードにあります。 コンピューターの構成\管理用テンプレート\Windows コンポーネント\MDOP MBAM (BitLocker Management) \ 固定ドライブ
| ポリシー名 | 概要と推奨ポリシー設定 |
|---|---|
固定データ ドライブの暗号化設定 |
推奨構成: [有効]。オペレーティング システム ボリュームの暗号化が必要な場合は、[固定データドライブの自動ロック解除を有効にする] チェック ボックスを選択します。 このポリシー設定で、固定ドライブを暗号化するかしないかを管理します。 このポリシーを有効にした場合は、固定データ ドライブのパスワードの使用を構成するポリシーを無効にしないでください。 [固定データドライブの自動ロック解除を有効にする] チェック ボックスがオンになっていると、オペレーティング システム ボリュームを暗号化する必要があります。 このポリシー設定が有効になっていると、ユーザーは、すべての固定ドライブを BitLocker で保護するように要求され、ドライブが暗号化されます。 このポリシーが構成されていない、あるいは無効な場合は、ユーザーは、固定ドライブを BitLocker で保護するように要求されません。 このポリシーを無効にすると、MBAM エージェントが、すべての暗号化されている固定ドライブの暗号化を解除します。 オペレーティング システム ボリュームの暗号化が必要なければ、[固定データドライブの自動ロック解除を有効にする] チェック ボックスをオフにします。 |
BitLocker で保護されていない固定ドライブへの書き込みアクセスを拒否する |
推奨構成: 未構成 このポリシー設定は、コンピューターの固定ドライブに BitLocer による保護が必要な場合に、書き込み可能にするかを決定します。 このポリシー設定は、BitLocker をオンにすると適用されます。 このポリシーが構成されていないと、コンピューターのすべての固定ドライブが、読み取り/書き込み権限とともにマウントされます。 |
BitLocker で保護されている固定データ ドライブに Windows の以前のバージョンからアクセス可能にする |
推奨構成: 未構成 Windows Server 2008、Windows Vista、Windows XP Service Pack 3 (SP3)、または Windows XP Service Pack 2 (SP2) を実行するコンピューターで、ファイル アロケーション テーブル (FAT) ファイル システムでフォーマットされた固定ドライブのロックの解除と表示を行うには、このポリシーを有効にします。 これらのオペレーティング システムは、BitLocer で保護されたドライブに対して書き込み権限を持ちます。 このポリシーが無効になっていると、Windows Server 2008、Windows Vista、Windows XP Service Pack 3 (SP3)、または Windows XP Service Pack 2 (SP2) を実行するコンピューターで、FAT ファイル システムでフォーマットされた固定ドライブのロックの解除することができず、コンテンツも表示できません。 |
固定データ ドライブのパスワードの使用を構成する |
推奨構成: 未構成 固定ドライブのパスワード保護を構成するには、このポリシーを有効にします。 このポリシーが構成されていないと、パスワードは既定の設定でサポートされます。既定の設定では、パスワードの複雑さの条件が含まれず、必要とされるのは 8 文字のみです。 より高度なセキュリティのために、このポリシーを有効にして、[固定データ ドライブでパスワードを必要とする] を選択して、[パスワードの複雑さの条件を満たす必要がある] を選択、必要とする [パスワードの最小文字数] を設定します。 |
BitLocker で保護されている固定ドライブの回復方法を選択する |
推奨構成: 未構成 BitLocker データ回復エージェントを有効にする場合、または BitLocker 回復情報を Active Directory ドメイン サービス (AD DS) に保存する場合は、このポリシーを構成します。 このポリシーが構成されていないと、BitLocker データ回復エージェントが許可され、回復情報のバックアップが AD DS に作成されません。MBAM は、AD DS にバックアップが作成される回復情報を必要としません。 |
オペレーティング システム ドライブのポリシー定義
このセクションでは、MBAM のオペレーティング システム ドライブのポリシー定義について説明します。これらのポリシー定義は、次の GPO ノードにあります。 コンピューターの構成\管理用テンプレート\Windows コンポーネント\MDOP MBAM (BitLocker Management) \ オペレーティング システム ドライブ
| ポリシー名 | 概要と推奨ポリシー設定 |
|---|---|
オペレーティング システム ドライブの暗号化設定 |
推奨構成: 有効 このポリシー設定は、オペレーティング システム ドライブを暗号化するかどうかを決定します。 このポリシーを構成して、次を行います。
このポリシー設定を有効にすると、ユーザーは、BitLocker を使用してオペレーティング システム ドライブのセキュリティを確認することを要求されます。 この設定が構成されていない、または無効になっていると、ユーザーは、BitLocker を使用してオペレーティング システム ドライブのセキュリティを確認することを要求されません。 このポリシーを無効にすると、MBAM エージェントが、暗号化されているオペレーティング システム ドライブの暗号化を解除します。 有効になっていると、このポリシー設定は、ユーザーに BitLocker による保護を使用してオペレーティング システムのセキュリティを確認することを要求し、ドライブが暗号化されます。 会社の暗号化要件に応じて、オペレーティング システム ドライブの保護方法を選択することができます。 より高度なセキュリティ要件のために、TPM と PIN を使用して、拡張 PIN を許可し、そして PIN の最小桁数を 8 桁に設定します。 TPM + PIN 保護を使用してこのポリシーを有効にすると、[システム]/[電源管理]/[スリープ設定] の次のポリシーを無効にすることができます。
|
TPM のプラットフォーム検証プロファイルを構成する |
推奨構成: 未構成 このポリシー設定を使用すると、コンピューターの TPM セキュリティ ハードウェアで BitLocker 暗号化キーを保護する方法を構成できます。 コンピューターに互換性のある TPM がない場合、または BitLocker で TPM 保護が既に有効にされている場合、このポリシー設定は適用されません。 このポリシーを構成していない場合、TPM には、既定のプラットフォーム検証プロファイル、またはセットアップ スクリプトで指定したプラットフォーム検証プロファイルが使用されます。 |
BitLocker で保護されているオペレーティング システム ドライブの回復方法を選択する |
推奨構成: 未構成 BitLocker データ回復エージェントを有効にする場合、または BitLocker 回復情報を Active Directory ドメイン サービス (AD DS) に保存する場合は、このポリシーを構成します。 このポリシーを構成しない場合、データ回復エージェントは許可され、回復情報は AD DS にバックアップされません。 MBAM の操作では、回復情報を AD DS にバックアップする必要はありません。 |
リムーバブル ドライブのポリシー定義
このセクションでは、MBAM のリムーバブル ドライブのポリシー定義について説明します。これらのポリシー定義は、次の GPO ノードにあります。 コンピューターの構成\管理用テンプレート\Windows コンポーネント\MDOP MBAM (BitLocker Management) \ リムーバブル ドライブ
| ポリシー名 | 概要と推奨ポリシー設定 |
|---|---|
リムーバブル ドライブでの BitLocker の使用を制御する |
推奨構成: 有効 このポリシーでは、リムーバブル ドライブでの BitLocker の使用を制御します。 ユーザーがリムーバブル データ ドライブで BitLocker セットアップ ウィザードを実行できるようにするには、[ユーザーがリムーバブル データ ドライブを BitLocker で保護できるようにする] オプションを有効にします。 ユーザーがドライブから BitLocker ドライブの暗号化を解除できるようにする場合、またはメンテナンスの実行時に暗号化を一時停止する場合は、[ユーザーがリムーバブル ドライブの BitLocker を一時停止または削除できるようにする] オプションを有効にします。 このポリシーを有効にし、[ユーザーがリムーバブル データ ドライブを BitLocker で保護できるようにする] オプションをオンにすると、MBAM クライアントによってリムーバブル ドライブに関する回復情報が MBAM キー回復サーバーに保存され、ユーザーがパスワードを忘れたときにドライブを回復できるようになります。 |
BitLocker で保護されていないリムーバブル ドライブへの書き込みアクセスを拒否する |
推奨構成: 未構成 書き込みのみのアクセス許可を BitLocker で保護されたドライブに付与するには、このポリシーを有効にします。 このポリシーを有効にする場合、書き込みアクセス許可を付与する前に、コンピューターのすべてのリムーバブル データ ドライブを暗号化する必要があります。 |
BitLocker で保護されているリムーバブル データ ドライブに Windows の以前のバージョンからアクセス可能にする |
推奨構成: 未構成 Windows Server 2008、Windows Vista、Windows XP Service Pack 3 (SP3)、または Windows XP Service Pack 2 (SP2) を実行するコンピューターで、FAT ファイル システムでフォーマットされた固定ドライブのロックの解除と表示を行うには、このポリシーを有効にします。 これらのオペレーティング システムは、BitLocer で保護されたドライブに対して書き込み権限を持ちます。 このポリシーが無効になっていると、Windows Server 2008、Windows Vista、Windows XP Service Pack 3 (SP3)、または Windows XP Service Pack 2 (SP2) を実行するコンピューターで、FAT ファイル システムでフォーマットされたリムーバブル ドライブのロックの解除することができず、コンテンツも表示できません。 |
リムーバブル データ ドライブのパスワードの使用を構成する |
推奨構成: 未構成 リムーバブル ドライブのパスワード保護を構成するには、このポリシーを有効にします。 このポリシーが構成されていないと、パスワードは既定の設定でサポートされます。既定の設定では、パスワードの複雑さの条件が含まれず、必要とされるのは 8 文字のみです。 セキュリティを向上するために、このポリシーを有効にして、[リムーバブル データ ドライブでパスワードを必要とする] を選択して、[パスワードの複雑さの条件を満たす必要がある] を選択し、任意の [パスワードの最小文字数] を設定します。 |
BitLocker で保護されているリムーバブル ドライブの回復方法を選択する |
推奨構成: 未構成 BitLocker データ回復エージェントを有効にする場合、または BitLocker 回復情報を Active Directory ドメイン サービス (AD DS) に保存する場合は、このポリシーを構成します。 このポリシーを [未構成] に設定する場合、データ回復エージェントは許可され、回復情報は AD DS にバックアップされません。 MBAM の操作では、回復情報を AD DS にバックアップする必要はありません。 |
参照:
その他のリソース
-----
MDOP の詳細については TechNet ライブラリを参照してください。トラブルシューティング情報については TechNet Wiki を検索してください。また、Facebook や Twitter のフォローもお勧めします。
-----