Миграция с MBAM
Относится к Configuration Manager (Current Branch)
Если в настоящее время вы используете Майкрософт администрирование и мониторинг BitLocker (MBAM), вы можете легко перенести управление в Configuration Manager. При развертывании политик управления BitLocker в Configuration Manager клиенты автоматически сменяют ключи и передают их в службу восстановления Configuration Manager.
Важно!
При переходе с автономного MBAM на Configuration Manager управление BitLocker, если вам требуются существующие функции автономного MBAM, не используйте автономные серверы ИЛИ компоненты MBAM с Configuration Manager управления BitLocker. При повторном использовании этих серверов автономный MBAM перестанет работать, когда Configuration Manager управление BitLocker установит свои компоненты на этих серверах. Не запускайте скрипт MBAMWebSiteInstaller.ps1 для настройки порталов BitLocker на автономных серверах MBAM. При настройке Configuration Manager управления BitLocker используйте отдельные серверы.
Групповая политика
Если для автономного MBAM существует параметр групповой политики, он переопределит эквивалентный параметр, предпринятую Configuration Manager. Автономный MBAM использует групповую политику домена, а Configuration Manager задает локальные политики для управления BitLocker. Политики домена переопределяют локальные Configuration Manager политики управления BitLocker. Если автономная политика домена MBAM не соответствует политике Configuration Manager, управление BitLocker Configuration Manager завершится ошибкой. Например, если групповая политика домена задает автономный сервер MBAM для служб восстановления ключей, Configuration Manager управление BitLocker не может задать тот же параметр для своей службы восстановления. Это приводит к тому, что клиенты не сообщают о своих ключах восстановления в службу восстановления управления BitLocker Configuration Manager.
Не устанавливайте групповую политику для параметра, который Configuration Manager управление BitLocker уже указывает. Задайте только групповые политики для параметров, которые в настоящее время не существуют в Configuration Manager управления BitLocker. Configuration Manager имеет четность функций с автономным MBAM. В большинстве случаев не должно быть причин задавать политики групп домена для настройки политик BitLocker. Чтобы предотвратить конфликты и проблемы, избегайте использования групповых политик для BitLocker. Настройте все параметры с помощью политик управления BitLocker Configuration Manager.
Хэш паролей доверенного платформенного модуля
Предыдущие клиенты MBAM не передают хэш пароля доверенного платформенного модуля в Configuration Manager. Клиент отправляет хэш пароля доверенного платформенного модуля только один раз.
Если вам нужно перенести эти сведения в службу восстановления Configuration Manager, очистите TPM на устройстве. После перезапуска он отправляет новый хэш пароля доверенного платформенного модуля в службу восстановления.
Примечание.
Передача хэша паролей доверенного платформенного модуля в основном относится к версиям Windows до Windows 10. Windows 10 или более поздней версии по умолчанию не сохраняет хэш пароля доверенного платформенного модуля, поэтому эти устройства обычно не передают его. Дополнительные сведения см. в разделе Сведения о пароле владельца доверенного платформенного модуля.
Повторное шифрование
Configuration Manager не выполняет повторное шифрование дисков, которые уже защищены с помощью шифрования диска BitLocker. При развертывании политики управления BitLocker, которая не соответствует текущей защите диска, она будет считаться несоответствующей. Диск по-прежнему защищен.
Например, вы использовали MBAM для шифрования диска с помощью алгоритма шифрования AES-XTS 128, но для политики Configuration Manager требуется AES-XTS 256. Диск не соответствует политике, даже если диск зашифрован.
Чтобы обойти это поведение, сначала отключите BitLocker на устройстве. Затем разверните новую политику с новыми параметрами.