הגדרת BitLocker במכשירי Windows 10 או Windows 11

התכונה הזו נתמכת במהדורות הבאות: Frontline Starter, ‏Frontline Standard ו-Frontline Plus, ‏Business Plus, ‏Enterprise Standard ו-Enterprise Plus, ‏Education Standard, ‏Education Plus ו-Endpoint Education Upgrade, ‏Enterprise Essentials ו-Enterprise Essentials Plus, ‏Cloud Identity Premium. השוואה בין המהדורות

אדמינים יכולים לקבוע איך להצפין מכשירי Microsoft Windows 10 או 11 שרשומים לניהול מכשירי Windows. ההגדרות שתבחרו ייכנסו לתוקף אם הצפנת הכונן באמצעות BitLocker מופעלת במכשיר. ההגדרות הנפוצות ביותר הן:

  • הצפנת כונן
  • אימות נוסף בהפעלה
  • אפשרויות שחזור קדם-הפעלה
  • הצפנת כוננים קבועים
  • אפשרויות של שחזור כוננים קבועים
  • הצפנת כוננים נשלפים

לפני שמתחילים

כדי שההגדרות האלה יחולו, צריך לרשום את המכשירים בניהול מכשירי Windows. מידע נוסף

הגדרת הצפנת הכונן באמצעות BitLocker

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז ניידים ונקודות קצה ואז הגדרות ואז Windows.

    כדי לעשות את זה צריך הרשאת אדמין לניהול מכשירים ניידים.

  2. לוחצים על הגדרות BitLocker.
  3. (אופציונלי) כדי להחיל את ההגדרה רק על מחלקה או על צוות, בצד, בוחרים יחידה ארגונית.
  4. בקטע הצפנת כונן, בוחרים באפשרות מופעל מרשימת הפריטים.
  5. מגדירים את האפשרויות:

    הצפנת כונן

    • אפשרויות הצפנה עבור כונני מערכת – בוחרים את שיטת ההצפנה ואת חוזק מפתח ההצפנה לכונני מערכת ההפעלה.
    • אימות נוסף בהפעלה – בוחרים אם BitLocker ידרוש אימות נוסף בכל פעם שהמחשב מופעל, ומציינים אם משתמשים ב-Trusted Platform Module ‏ (TPM). כשההגדרה מופעלת, אפשר להגדיר את האפשרויות הבאות:
      • מותר להשתמש ב-BitLocker ללא TPM תואם – מסמנים את התיבה כדי לדרוש סיסמה או כונן USB להפעלה.
      • ניתן להגדיר הפעלה באמצעות TPM וללא צורך בקוד אימות או מפתח – אפשר לדרוש TPM לצורך אימות בזמן ההפעלה במקום קוד אימות או מפתח.
      • קוד אימות להפעלה של TPM – אתם יכולים לדרוש הזנה של קוד אימות באורך 6 עד 20 ספרות לפני ההפעלה. אפשר גם להגדיר את האורך המינימלי של קוד האימות.
      • מפתח הפעלה של TPM – אתם יכולים לדרוש מהמשתמשים לאמת את הזהות שלהם באמצעות מפתח הפעלה של TPM כדי לגשת לכונן. מפתח הפעלה הוא מפתח USB עם המידע להצפנת הכונן. כשמכניסים את מפתח ה-USB למכשיר, מתבצע אימות של הגישה לכונן ואפשר לגשת אליו.
      • מפתח הפעלה וקוד אימות ל-TPM – אתם יכולים לדרוש גם מפתח הפעלה וגם קוד אימות.
    • אפשרויות שחזור קדם-הפעלה – הפעילו את ההגדרה הזו כדי להגדיר את הודעת השחזור או להתאים אישית את כתובת ה-URL שמופיעה במסך שחזור המפתחות לפני ההפעלה, כשהכונן של מערכת ההפעלה נעול.
    • אפשרויות שחזור לכונני מערכת – הפעלה של הגדרת אפשרויות למשתמשים כדי לשחזר נתונים מכונני מערכת הפעלה המוגנים באמצעות BitLocker. כשההגדרה מופעלת, אפשר להגדיר את האפשרויות הבאות:
      • הפעלת סוכן לשחזור נתונים – סוכנים לשחזור נתונים הם אנשים המחזיקים באישור "תשתית של מפתח ציבורי (PKI)", שמשמש ליצירת מגן למפתחות ב-BitLocker. כשהאפשרות הזו מופעלת, האנשים האלה יכולים להשתמש בפרטי הכניסה ל-PKI שלהם כדי לבטל את הנעילה של הכוננים המוגנים ב-BitLocker.
      • יש לציין סיסמת שחזור באורך 48 ספרות – בוחרים אם המשתמשים יכולים, חייבים או לא יכולים ליצור סיסמת שחזור באורך 48 ספרות.
      • מפתח שחזור באורך 256-ביט – בוחרים אם המשתמשים יכולים, נדרשים או לא יכולים ליצור מפתח שחזור באורך 256-ביט.
      • הסתרת אפשרויות השחזור מאשף ההגדרה של BitLocker – מסמנים את התיבה כדי למנוע מהמשתמשים להגדיר את אפשרויות השחזור כשהם מפעילים את BitLocker.
      • שמירת פרטי השחזור של BitLocker בשירותי הדומיין של Active Directory – כשמסמנים את האפשרות הזו, אפשר לבחור אילו פרטי שחזור של BitLocker לאחסן ב-Active Directory. אתם יכולים לבחור באפשרות "גיבוי של צמד הסיסמה והמפתח לשחזור" או באפשרות "גיבוי רק של הסיסמה לשחזור". כשההגדרה מופעלת, אפשר להגדיר את האפשרויות הבאות:
        • לפני הפעלת BitLocker, יש לאחסן את פרטי השחזור ב-Active Directory – מסמנים את התיבה כדי למנוע מהמשתמשים להפעיל את BitLocker, אלא אם המחשב מחובר לדומיין והגיבוי של פרטי השחזור של BitLocker ל-Active Directory הצליח.

    הצפנת כוננים קבועים

    • הצפנת כוננים קבועים – הפעילו את ההגדרה הזו כדי לדרוש שהכוננים הקבועים יוצפנו לפני שהם מקבלים גישת כתיבה. כשההגדרה מופעלת, אפשר להגדיר את האפשרויות הבאות:
      • הצפנת כוננים קבועים – בוחרים את שיטת ההצפנה ואת חוזק מפתח ההצפנה לכוננים קבועים.
      • אפשרויות של שחזור כוננים קבועים – הפעלה של הגדרת אפשרויות למשתמשים כדי לשחזר נתונים מכוננים קבועים שמוגנים באמצעות BitLocker. כשההגדרה מופעלת, אפשר להגדיר את האפשרויות הבאות:
        • הפעלת סוכן לשחזור נתונים – סוכנים לשחזור נתונים הם אנשים המחזיקים באישור "תשתית של מפתח ציבורי (PKI)", שמשמש ליצירת מגן למפתחות ב-BitLocker. כשהאפשרות הזו מופעלת, האנשים האלה יכולים להשתמש בפרטי הכניסה ל-PKI שלהם כדי לבטל את הנעילה של הכוננים המוגנים ב-BitLocker.
        • סיסמת שחזור בת 48 ספרות – בוחרים אם המשתמשים יכולים, נדרשים או לא יכולים ליצור סיסמת שחזור בת 48 ספרות.
        • מפתח שחזור באורך 256-ביט – בוחרים אם המשתמשים יכולים, נדרשים או לא יכולים ליצור מפתח שחזור באורך 256-ביט.
        • הסתרת אפשרויות השחזור מאשף ההגדרה של BitLocker – מסמנים את התיבה כדי למנוע מהמשתמשים להגדיר את אפשרויות השחזור כשהם מפעילים את BitLocker.
        • שמירת פרטי השחזור של BitLocker בשירותי הדומיין של Active Directory – כשמסמנים את האפשרות הזו, אפשר לבחור אילו פרטי שחזור של BitLocker לאחסן ב-Active Directory. אתם יכולים לבחור באפשרות "גיבוי של צמד הסיסמה והמפתח לשחזור" או באפשרות "גיבוי רק של הסיסמה לשחזור". כשההגדרה מופעלת, אפשר להגדיר את הפרטים הבאים:
          • לפני הפעלת BitLocker, יש לאחסן את פרטי השחזור ב-Active Directory – מסמנים את התיבה כדי למנוע מהמשתמשים להפעיל את BitLocker, אלא אם המחשב מחובר לדומיין והגיבוי של פרטי השחזור של BitLocker ל-Active Directory הצליח.

    הצפנת כונן נשלף

    • הצפנת כוננים נשלפים – הפעילו את ההגדרה הזו כדי לדרוש שכל הכוננים הנשלפים יוצפנו לפני שהם מקבלים גישת כתיבה. כשההגדרה מופעלת, אפשר להגדיר את האפשרויות הבאות:
      • הצפנה לכוננים נשלפים – בחירת אלגוריתם ההצפנה ואורך מפתח ההצפנה לכוננים נשלפים.
      • שלילה של גישת הכתיבה למכשירים שהוגדרו בארגון אחר – כשהאפשרות הזו מסומנת, רק כוננים עם שדות זיהוי שתואמים את שדות הזיהוי שבמחשב יקבלו גישת כתיבה. השדות האלה מוגדרים במדיניות הקבוצתית של הארגון.
  6. לוחצים על שמירה. אפשר גם ללחוץ על שינוי מברירת המחדל לגבי יחידה ארגונית מסוימת.

    אם מאוחר יותר רוצים לשחזר את הערך שעבר בירושה, לוחצים על ירושה.

השינויים ייכנסו לתוקף תוך 24 שעות, ובדרך כלל תוך זמן קצר בהרבה. מידע נוסף

מגדירים את הצפנת הכונן כ"לא מוגדרת"

אם בוחרים באפשרות לא מוגדר בקטע הצפנת כונן, מדיניות BitLocker שהגדרתם במסוף Admin לא נאכפת יותר. במכשירי המשתמשים, המדיניות חוזרת להגדרה שהייתה לה לפני כן. אם המשתמש הצפין את המכשיר, לא יבוצעו שינויים במכשיר או בנתונים שבו.

השבתת הצפנת הכונן באמצעות BitLocker

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז ניידים ונקודות קצה ואז הגדרות ואז Windows.

    כדי לעשות את זה צריך הרשאת אדמין לניהול מכשירים ניידים.

  2. לוחצים על הגדרות BitLocker.
  3. אם רוצים להשבית פרופיל רק לחלק מהמשתמשים, בוחרים יחידה ארגונית מהרשימה שמימין. אחרת, היא חלה על כולם.
  4. בקטע הצפנת Drive, בוחרים באפשרות מושבת מרשימת הפריטים.
  5. לוחצים על שמירה. אפשר גם ללחוץ על שינוי מברירת המחדל לגבי יחידה ארגונית מסוימת.

    אם מאוחר יותר רוצים לשחזר את הערך שעבר בירושה, לוחצים על ירושה.


‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.