הגדרת BitLocker במכשירי Windows 10 או Windows 11

התכונה הזו נתמכת במהדורות הבאות: Frontline Starter,‏ Frontline Standard ו-Frontline Plus,‏ Business Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard,‏ Education Plus ו-Endpoint Education Upgrade,‏ Enterprise Essentials ו-Enterprise Essentials Plus,‏ Cloud Identity Premium. השוואה בין המהדורות

אדמינים יכולים לקבוע איך מוצפנים מכשירי Microsoft Windows 10 או 11 שרשומים לניהול מכשירי Windows. ההגדרות שתבחרו ייכנסו לתוקף אם ההצפנה של כונן BitLocker מופעלת במכשיר. ההגדרות הנפוצות ביותר שצריך להגדיר הן:

  • הצפנת כונן
  • אימות נוסף בהפעלה
  • אפשרויות שחזור לפני הפעלה
  • הצפנת כוננים קבועים
  • אפשרויות של שחזור כוננים קבועים
  • הצפנת כוננים נשלפים

לפני שמתחילים

כדי שההגדרות האלה יחולו, המכשירים צריכים להיות רשומים לניהול מכשירי Windows. מידע נוסף

הגדרת הצפנת הכונן באמצעות BitLocker

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז ניידים ונקודות קצה ואז הגדרות ואז Windows.

    כדי לעשות את זה צריך הרשאת אדמין לניהול מכשירים ניידים.

  2. לוחצים על הגדרות BitLocker.
  3. (אופציונלי) כדי להחיל את ההגדרה רק על מחלקה או על צוות, בצד, בוחרים יחידה ארגונית.
  4. בקטע הצפנה ב-Drive, בוחרים באפשרות מופעלת מתוך רשימת הפריטים.
  5. מגדירים את האפשרויות:

    הצפנת כונן

    • אפשרות הצפנה לכונני מערכת – בוחרים את שיטת ההצפנה ואת חוזק מפתח ההצפנה לכונני מערכת ההפעלה.
    • אימות נוסף בהפעלה – בוחרים אם BitLocker ידרוש אימות נוסף בכל פעם שהמחשב מופעל, ומציינים אם משתמשים ב-Trusted Platform Module‏ (TPM). כשמפעילים את ההגדרה, אפשר להגדיר את האפשרויות הבאות:
      • מותר להשתמש ב-BitLocker ללא TPM תואם – מסמנים את התיבה כדי לדרוש סיסמה או כונן USB להפעלה.
      • הגדרת הפעלה באמצעות TPM וללא צורך בקוד אימות או מפתח – אתם יכולים לדרוש שימוש ב-TPM לצורך אימות בזמן ההפעלה במקום קוד אימות או מפתח.
      • קוד אימות להפעלת TPM – אתם יכולים לדרוש הזנה של קוד אימות בן 6 עד 20 ספרות לפני ההפעלה. אפשר גם להגדיר את האורך המינימלי של קוד האימות.
      • מפתח הפעלת TPM – אתם יכולים לדרוש מהמשתמשים לבצע אימות באמצעות מפתח הפעלת TPM כדי לגשת לכונן. מפתח הפעלה הוא מפתח USB עם המידע להצפנת הכונן. כשמכניסים את מפתח ה-USB למכשיר, מתבצע אימות של הגישה לכונן והכונן נגיש.
      • מפתח הפעלה וקוד אימות ל-TPM – אתם יכולים לדרוש גם מפתח הפעלה וגם קוד אימות.
    • אפשרויות שחזור קדם-הפעלה – מפעילים את האפשרות הזו כדי להגדיר את הודעת השחזור או להתאים אישית את כתובת ה-URL שמופיעה במסך טרום-הפעלה לשחזור מפתחות, כשהכונן של מערכת ההפעלה נעול.
    • אפשרויות שחזור לכונני מערכת – מפעילים את האפשרות הזו כדי להגדיר אפשרויות למשתמשים לשחזור נתונים מכונני מערכת הפעלה שמוגנים באמצעות BitLocker. כשמפעילים את ההגדרה, אפשר להגדיר את האפשרויות הבאות:
      • הפעלת סוכן לשחזור נתונים – סוכנים לשחזור נתונים הם אנשים שהאישורים שלהם בתשתית של מפתח ציבורי (PKI) משמשים ליצירת מגן למפתחות ב-BitLocker. אם מותר להם, הם יכולים להשתמש בפרטי הכניסה ל-PKI שלהם כדי לבטל את הנעילה של הכוננים המוגנים ב-BitLocker.
      • יש לציין סיסמת שחזור באורך 48 ספרות – בוחרים אם המשתמשים יכולים ליצור סיסמת שחזור באורך 48 ספרות, אם הם חייבים לעשות זאת או אם הם לא יכולים לעשות זאת.
      • מפתח שחזור באורך 256 ביט – בוחרים אם המשתמשים יכולים, חייבים או לא יכולים ליצור מפתח שחזור באורך 256 ביט.
      • הסתרת אפשרויות השחזור מאשף ההגדרה של BitLocker – מסמנים את התיבה כדי למנוע מהמשתמשים להגדיר אפשרויות שחזור כשהם מפעילים את BitLocker.
      • שמירת פרטי השחזור של BitLocker בשירותי הדומיין של Active Directory – אם מסמנים את התיבה הזו, אפשר לבחור אילו פרטי שחזור של BitLocker יישמרו ב-Active Directory. אתם יכולים לבחור באפשרות 'גיבוי של צמד הסיסמה והמפתח לשחזור' או באפשרות 'גיבוי רק של הסיסמה לשחזור'. כשמפעילים את ההגדרה, אפשר להגדיר את האפשרויות הבאות:
        • לפני הפעלת BitLocker, יש לאחסן את פרטי השחזור ב-Active Directory – מסמנים את התיבה כדי למנוע מהמשתמשים להפעיל את BitLocker אלא אם המחשב מחובר לדומיין והגיבוי של פרטי השחזור ב-BitLocker ל-Active Directory מצליח.

    הצפנת כוננים קבועים

    • הצפנת כוננים קבועים – אם מפעילים את ההגדרה הזו, הכוננים הקבועים צריכים להיות מוצפנים לפני שהם מקבלים גישת כתיבה. כשמפעילים את ההגדרה, אפשר להגדיר את האפשרויות הבאות:
      • הצפנה של כוננים קבועים – בוחרים את שיטת ההצפנה ואת חוזק מפתח ההצפנה לכוננים קבועים.
      • אפשרויות של שחזור כוננים קבועים – מפעילים את האפשרות הזו כדי להגדיר אפשרויות למשתמשים לשחזור נתונים מכוננים קבועים שמוגנים באמצעות BitLocker. כשמפעילים את ההגדרה, אפשר להגדיר את האפשרויות הבאות:
        • הפעלת סוכן לשחזור נתונים – סוכנים לשחזור נתונים הם אנשים שהאישורים שלהם בתשתית של מפתח ציבורי (PKI) משמשים ליצירת מגן למפתחות ב-BitLocker. אם מותר להם, הם יכולים להשתמש בפרטי הכניסה ל-PKI שלהם כדי לבטל את הנעילה של הכוננים המוגנים ב-BitLocker.
        • סיסמת שחזור בת 48 ספרות – בוחרים אם המשתמשים יכולים ליצור סיסמת שחזור בת 48 ספרות, אם הם נדרשים לעשות זאת או אם הם לא יכולים לעשות זאת.
        • מפתח שחזור באורך 256 ביט – בוחרים אם המשתמשים יכולים, חייבים או לא יכולים ליצור מפתח שחזור באורך 256 ביט.
        • הסתרת אפשרויות השחזור מאשף ההגדרה של BitLocker – מסמנים את התיבה כדי למנוע מהמשתמשים להגדיר אפשרויות שחזור כשהם מפעילים את BitLocker.
        • שמירת פרטי השחזור של BitLocker בשירותי הדומיין של Active Directory – אם מסמנים את התיבה הזו, אפשר לבחור אילו פרטי שחזור של BitLocker יישמרו ב-Active Directory. אתם יכולים לבחור באפשרות 'גיבוי של צמד הסיסמה והמפתח לשחזור' או באפשרות 'גיבוי רק של הסיסמה לשחזור'. כשמפעילים את ההגדרה, אפשר להגדיר את האפשרויות הבאות:
          • לפני הפעלת BitLocker, יש לאחסן את פרטי השחזור ב-Active Directory – מסמנים את התיבה כדי למנוע מהמשתמשים להפעיל את BitLocker אלא אם המחשב מחובר לדומיין והגיבוי של פרטי השחזור ב-BitLocker ל-Active Directory מצליח.

    הצפנת כוננים נשלפים

    • הצפנת כוננים נשלפים – מפעילים את ההגדרה כדי לדרוש שכל הכוננים הנשלפים יוצפנו לפני שניתנת להם גישת כתיבה. כשמפעילים את ההגדרה, אפשר להגדיר את האפשרויות הבאות:
      • הצפנה לכוננים נשלפים – בוחרים את אלגוריתם ההצפנה ואת חוזק מפתח ההצפנה לכוננים נשלפים.
      • שלילה של גישת הכתיבה למכשירים שהוגדרו בארגון אחר – אם מסמנים את התיבה הזו, רק כוננים עם שדות זיהוי שתואמים את שדות הזיהוי שבמחשב יקבלו גישת כתיבה. השדות האלה מוגדרים על ידי המדיניות הקבוצתית של הארגון.
  6. לוחצים על שמירה. לחלופין, אפשר ללחוץ על שינוי מברירת המחדל לגבי יחידה ארגונית מסוימת.

    אם מאוחר יותר רוצים לשחזר את הערך שעבר בירושה, לוחצים על ירושה.

השינויים ייכנסו לתוקף תוך 24 שעות, ובדרך כלל תוך זמן קצר בהרבה. מידע נוסף

הגדרת הצפנת כונן ל'לא הוגדר'

אם בוחרים באפשרות לא הוגדר עבור הצפנה של Drive, מדיניות BitLocker שהגדרתם במסוף Admin לא נאכפת יותר. במכשירי המשתמשים, המדיניות חוזרת להגדרה שהייתה לה לפני כן. אם המשתמש הצפין את המכשיר, לא יבוצעו שינויים במכשיר או בנתונים שבו.

השבתה של הצפנת הכונן באמצעות BitLocker

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז ניידים ונקודות קצה ואז הגדרות ואז Windows.

    כדי לעשות את זה צריך הרשאת אדמין לניהול מכשירים ניידים.

  2. לוחצים על הגדרות BitLocker.
  3. אם רוצים להשבית פרופיל רק לחלק מהמשתמשים, בוחרים יחידה ארגונית מהרשימה בצד ימין. אחרת, היא חלה על כולם.
  4. בקטע הצפנה ב-Drive, בוחרים באפשרות מושבת מתוך רשימת הפריטים.
  5. לוחצים על שמירה. לחלופין, אפשר ללחוץ על שינוי מברירת המחדל לגבי יחידה ארגונית מסוימת.

    אם מאוחר יותר רוצים לשחזר את הערך שעבר בירושה, לוחצים על ירושה.


‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.