Aktivieren von BitLocker mithilfe von MBAM als Teil einer Windows-Bereitstellung

In diesem Artikel wird erläutert, wie Sie BitLocker auf dem Computer eines Benutzers mithilfe von Microsoft BitLocker Administration and Monitoring (MBAM) als Teil Ihres Windows-Imageerstellungs- und -Bereitstellungsprozesses aktivieren.

Voraussetzungen

• Ein vorhandener Windows-Imagebereitstellungsprozess – Microsoft Deployment Toolkit (MDT), Microsoft System Center Configuration Manager oder ein anderes Imageerstellungstool oder -prozess – muss vorhanden sein.

• TPM muss im BIOS aktiviert und für das Betriebssystem sichtbar sein.

• Die MBAM-Serverinfrastruktur muss vorhanden und zugänglich sein.

• Die für BitLocker erforderliche Systempartition muss erstellt werden.

• Der Computer muss während der Imageerstellung in die Domäne eingebunden werden, bevor MBAM BitLocker vollständig aktiviert.

So aktivieren Sie BitLocker mit MBAM 2.5 SP1 als Teil einer Windows-Bereitstellung

Aktivieren von BitLocker während der Windows-Bereitstellung mit dem Invoke-MbamClientDeployment.ps1 PowerShell-Skript

In MBAM 2.5 SP1 wird zum Aktivieren von BitLocker während einer Windows-Bereitstellung das Invoke-MbamClientDeployment.ps1 PowerShell-Skript empfohlen.

• Das Invoke-MbamClientDeployment.ps1 Skript erzwingt BitLocker während des Imageerstellungsprozesses. Wenn die BitLocker-Richtlinie dies erfordert, fordert der MBAM-Agent den Domänenbenutzer sofort auf, eine PIN oder ein Kennwort zu erstellen, wenn sich der Domänenbenutzer nach der Imageerstellung zum ersten Mal anmeldet.

• Einfache Verwendung mit MDT, System Center Configuration Manager oder eigenständigen Imaging-Prozessen

• Kompatibel mit PowerShell 2.0 oder höher

• Verschlüsseln des Betriebssystemvolumes mit TPM-Schlüsselschutz

• Vollständige Unterstützung der BitLocker-Vorabbereitstellung

• Optionales Verschlüsseln von FDDs

• Escrow TPM OwnerAuth

  • Für Windows 7 muss MBAM besitzer des TPM sein, damit escrow erfolgt.
  • Für Windows 8.1, Windows 10 RTM und Windows 10 Version 1511 wird der Hinterlegung von TPM OwnerAuth unterstützt.
  • Für Windows 10, Version 1607 oder höher, kann nur Windows den Besitz des TPM übernehmen. Wenn das TPM bereitgestellt wird, behält Windows das TPM-Besitzerkennwort nicht bei. Weitere Informationen finden Sie unter TPM-Besitzerkennwort.

• Escrow-Wiederherstellungsschlüssel und Wiederherstellungsschlüsselpakete

• Sofortiges Melden des Verschlüsselungsstatus

• Neue WMI-Anbieter

• Detaillierte Protokollierung

• Robuste Fehlerbehandlung

Sie können das Invoke-MbamClientDeployment.ps1 Skript von MBAM-Clientbereitstellungsskripts herunterladen. Dieser Download ist das Hauptskript, das Ihr Bereitstellungssystem aufruft, um die BitLocker-Laufwerkverschlüsselung zu konfigurieren und Wiederherstellungsschlüssel mit dem MBAM-Server aufzuzeichnen.

WMI-Bereitstellungsmethoden für MBAM

Um die Aktivierung von BitLocker mithilfe des Invoke-MbamClientDeployment.ps1 PowerShell-Skripts zu unterstützen, enthält MBAM 2.5 SP1 die folgenden WMI-Methoden:

MBAM_Machine WMI-Klasse

• PrepareTpmAndEscrowOwnerAuth: Liest die TPM-OwnerAuth und sendet sie mithilfe des MBAM-Wiederherstellungsdiensts an die MBAM-Wiederherstellungsdatenbank. Wenn das TPM nicht im Besitz ist und die automatische Bereitstellung nicht aktiviert ist, generiert es eine TPM-Besitzerauthentifizierung und übernimmt den Besitz. Wenn ein Fehler auftritt, wird ein Fehlercode zur Problembehandlung zurückgegeben.

  Hinweis

  Für Windows 10, Version 1607 oder höher, kann nur Windows den Besitz des TPM übernehmen. Darüber hinaus behält Windows das TPM-Besitzerkennwort bei der Bereitstellung des TPM nicht bei. Weitere Informationen finden Sie unter TPM-Besitzerkennwort.

  Parameter	Beschreibung
  RecoveryServiceEndPoint	Eine Zeichenfolge, die den MBAM-Wiederherstellungsdienstendpunkt angibt.

  Im Folgenden finden Sie eine Liste häufig auftretender Fehlermeldungen:

  Allgemeine Rückgabewerte	Fehlermeldung
  S_OK 0 (0x0)	Die Methode war erfolgreich.
  MBAM_E_TPM_NOT_PRESENT 2147746304 (0x80040200)	TPM ist auf dem Computer nicht vorhanden oder in der BIOS-Konfiguration deaktiviert.
  MBAM_E_TPM_INCORRECT_STATE 2147746305 (0x80040201)	TPM befindet sich nicht im richtigen Zustand (aktiviert, aktiviert und Besitzerinstallation zulässig).
  MBAM_E_TPM_AUTO_PROVISIONING_PENDING 2147746306 (0x80040202)	MBAM kann den Besitz von TPM nicht übernehmen, da die automatische Bereitstellung aussteht. Versuchen Sie es nach Abschluss der automatischen Bereitstellung erneut.
  MBAM_E_TPM_OWNERAUTH_READFAIL 2147746307 (0x80040203)	MBAM kann den TPM-Besitzerautorisierungswert nicht lesen. Der Wert kann nach einem erfolgreichen Treuhand-Vorgang entfernt werden. Wenn unter Windows 7 andere Besitzer des TPM sind, kann MBAM den Wert nicht lesen.
  MBAM_E_REBOOT_REQUIRED 2147746308 (0x80040204)	Der Computer muss neu gestartet werden, um TPM auf den richtigen Zustand festzulegen. Möglicherweise müssen Sie den Computer manuell neu starten.
  MBAM_E_SHUTDOWN_REQUIRED 2147746309 (0x80040205)	Der Computer muss heruntergefahren und wieder eingeschaltet werden, um TPM auf den richtigen Zustand festzulegen. Möglicherweise müssen Sie den Computer manuell neu starten.
  WS_E_ENDPOINT_ACCESS_DENIED 2151481349 (0x803D0005)	Der Remoteendpunkt hat den Zugriff verweigert.
  WS_E_ENDPOINT_NOT_FOUND 2151481357 (0x803D000D)	Der Remoteendpunkt ist nicht vorhanden oder konnte nicht gefunden werden.
  **WS_E_ENDPOINT_FAILURE 2151481357 (0x803D000F)	Der Remoteendpunkt konnte die Anforderung nicht verarbeiten.
  WS_E_ENDPOINT_UNREACHABLE 2151481360 (0x803D0010)	Der Remoteendpunkt war nicht erreichbar.
  WS_E_ENDPOINT_FAULT_RECEIVED 2151481363 (0x803D0013)	Eine Nachricht, die einen Fehler enthält, wurde vom Remoteendpunkt empfangen. Stellen Sie sicher, dass Sie eine Verbindung mit dem richtigen Dienstendpunkt herstellen.
  WS_E_INVALID_ENDPOINT_URL 2151481376 (0x803D0020)	Die Endpunktadressen-URL ist ungültig. Die URL muss mit http oder httpsbeginnen.

• ReportStatus: Liest den Konformitätsstatus des Volumes und sendet ihn mithilfe des MBAM-Statusberichtsdiensts an die MBAM-Konformitätsstatusdatenbank. Der Status umfasst Verschlüsselungsstärke, Schutzvorrichtungstyp, Schutzvorrichtungsstatus und Verschlüsselungsstatus. Wenn ein Fehler auftritt, wird ein Fehlercode zur Problembehandlung zurückgegeben.

  Parameter	Beschreibung
  ReportingServiceEndPoint	Eine Zeichenfolge, die den MBAM-Statusberichtsdienstendpunkt angibt.

  Im Folgenden finden Sie eine Liste häufig auftretender Fehlermeldungen:

  Allgemeine Rückgabewerte	Fehlermeldung
  S_OK 0 (0x0)	Die Methode war erfolgreich.
  WS_E_ENDPOINT_ACCESS_DENIED 2151481349 (0x803D0005)	Der Remoteendpunkt hat den Zugriff verweigert.
  WS_E_ENDPOINT_NOT_FOUND 2151481357 (0x803D000D)	Der Remoteendpunkt ist nicht vorhanden oder konnte nicht gefunden werden.
  WS_E_ENDPOINT_FAILURE 2151481357 (0x803D000F)	Der Remoteendpunkt konnte die Anforderung nicht verarbeiten.
  WS_E_ENDPOINT_UNREACHABLE 2151481360 (0x803D0010)	Der Remoteendpunkt war nicht erreichbar.
  WS_E_ENDPOINT_FAULT_RECEIVED 2151481363 (0x803D0013)	Eine Nachricht, die einen Fehler enthält, wurde vom Remoteendpunkt empfangen. Stellen Sie sicher, dass Sie eine Verbindung mit dem richtigen Dienstendpunkt herstellen.
  WS_E_INVALID_ENDPOINT_URL 2151481376 (0x803D0020)	Die Endpunktadressen-URL ist ungültig. Die URL muss mit http oder httpsbeginnen.

MBAM_Volume WMI-Klasse

• EscrowRecoveryKey: Liest das numerische Wiederherstellungskennwort und das Schlüsselpaket des Volumes und sendet sie mithilfe des MBAM-Wiederherstellungsdiensts an die MBAM-Wiederherstellungsdatenbank. Wenn ein Fehler auftritt, wird ein Fehlercode zur Problembehandlung zurückgegeben.

  Parameter	Beschreibung
  RecoveryServiceEndPoint	Eine Zeichenfolge, die den MBAM-Wiederherstellungsdienstendpunkt angibt.

  Im Folgenden finden Sie eine Liste häufig auftretender Fehlermeldungen:

  Allgemeine Rückgabewerte	Fehlermeldung
  S_OK 0 (0x0)	Die Methode war erfolgreich.
  FVE_E_LOCKED_VOLUME 2150694912 (0x80310000)	Das Volume ist gesperrt.
  FVE_E_PROTECTOR_NOT_FOUND 2150694963 (0x80310033)	Für das Volume wurde keine numerische Kennwortschutzvorrichtung gefunden.
  WS_E_ENDPOINT_ACCESS_DENIED 2151481349 (0x803D0005)	Der Remoteendpunkt hat den Zugriff verweigert.
  WS_E_ENDPOINT_NOT_FOUND 2151481357 (0x803D000D)	Der Remoteendpunkt ist nicht vorhanden oder konnte nicht gefunden werden.
  WS_E_ENDPOINT_FAILURE 2151481357 (0x803D000F)	Der Remoteendpunkt konnte die Anforderung nicht verarbeiten.
  WS_E_ENDPOINT_UNREACHABLE 2151481360 (0x803D0010)	Der Remoteendpunkt war nicht erreichbar.
  WS_E_ENDPOINT_FAULT_RECEIVED 2151481363 (0x803D0013)	Eine Nachricht, die einen Fehler enthält, wurde vom Remoteendpunkt empfangen. Stellen Sie sicher, dass Sie eine Verbindung mit dem richtigen Dienstendpunkt herstellen.
  WS_E_INVALID_ENDPOINT_URL 2151481376 (0x803D0020)	Die Endpunktadressen-URL ist ungültig. Die URL muss mit http oder httpsbeginnen.

Bereitstellen von MBAM mithilfe von Microsoft Deployment Toolkit (MDT) und PowerShell

1. Erstellen Sie in MDT eine neue Bereitstellungsfreigabe, oder öffnen Sie eine vorhandene Bereitstellungsfreigabe.

   Hinweis

   Sie können das Invoke-MbamClientDeployment.ps1 PowerShell-Skript mit jedem Imageerstellungsprozess oder -tool verwenden. In diesem Abschnitt wird gezeigt, wie sie mithilfe von MDT integriert wird, aber die Schritte ähneln denen der Integration in andere Prozesse oder Tools.

   Achtung

   Wenn Sie die BitLocker-Vorabbereitstellung in Windows PE verwenden und den Tpm-Besitzerautorisierungswert beibehalten möchten, müssen Sie das SaveWinPETpmOwnerAuth.wsf Skript in Windows PE unmittelbar hinzufügen, bevor die Installation im vollständigen Betriebssystem neu gestartet wird. Wenn Sie dieses Skript nicht verwenden, verlieren Sie beim Neustart den Autorisierungswert des TPM-Besitzers.

2. Kopieren Sie Invoke-MbamClientDeployment.ps1 in <DeploymentShare>\Scripts. Wenn Sie die Vorabbereitstellung verwenden, kopieren Sie die SaveWinPETpmOwnerAuth.wsf Datei in <DeploymentShare>\Scripts.

3. Fügen Sie die MBAM 2.5 SP1-Clientanwendung dem Knoten Anwendungen in der Bereitstellungsfreigabe hinzu.

   1. Wählen Sie unter dem Knoten Anwendungen die Option Neue Anwendung aus.
   2. Wählen Sie Anwendung mit Quelldateien aus. Wählen Sie Weiter aus.
   3. Geben Sie unter Anwendungsname "MBAM 2.5 SP1 Client" ein. Wählen Sie Weiter aus.
   4. Navigieren Sie zu dem Verzeichnis, das enthält MBAMClientSetup-<Version>.msi. Wählen Sie Weiter aus.
   5. Geben Sie "MBAM 2.5 SP1 Client" als zu erstellende Verzeichnis ein. Wählen Sie Weiter aus.
   6. Geben Sie msiexec /i MBAMClientSetup-<Version>.msi /quiet in der Befehlszeile ein. Wählen Sie Weiter aus.
   7. Übernehmen Sie die verbleibenden Standardwerte, um den Assistenten für neue Anwendungen abzuschließen.

4. Klicken Sie in MDT mit der rechten Maustaste auf den Namen der Bereitstellungsfreigabe, und wählen Sie Eigenschaften aus. Wählen Sie die Registerkarte Regeln aus. Fügen Sie die folgenden Zeilen hinzu:

   SkipBitLocker=YES``BDEInstall=TPM``BDEInstallSuppress=NO``BDEWaitForEncryption=YES

   Wählen Sie OK aus, um das Fenster zu schließen.

5. Bearbeiten Sie unter dem Knoten Tasksequenzen eine vorhandene Tasksequenz, die für die Windows-Bereitstellung verwendet wird. Wenn Sie möchten, können Sie eine neue Tasksequenz erstellen, indem Sie mit der rechten Maustaste auf den Knoten Tasksequenzen klicken, neue Tasksequenz auswählen und den Assistenten abschließen.

   Führen Sie auf der Registerkarte Tasksequenz der ausgewählten Tasksequenz die folgenden Schritte aus:

   1. Aktivieren Sie unter dem Ordner Preinstall (Preinstall ) die optionale Aufgabe Enable BitLocker (Offline), wenn BitLocker in WinPE aktiviert sein soll, wodurch nur belegter Speicherplatz verschlüsselt wird.

   2. Gehen Sie wie folgt vor, um TPM OwnerAuth bei der Verwendung der Vorbereitstellung beizubehalten und MBAM die Spätere Befüllung zu ermöglichen:

      1. Suchen des Schritts "Betriebssystem installieren "

      2. Hinzufügen eines neuen Schritts "Befehlszeile ausführen " danach

      3. Nennen Sie den Schritt Persist TPM OwnerAuth

      4. Legen Sie die Befehlszeile auf fest. cscript.exe "%SCRIPTROOT%/SaveWinPETpmOwnerAuth.wsf"

         Hinweis

         Für Windows 10, Version 1607 oder höher, kann nur Windows den Besitz des TPM übernehmen. Bei der Bereitstellung des TPM behält Windows das TPM-Besitzerkennwort nicht bei. Weitere Informationen finden Sie unter TPM-Besitzerkennwort.

   3. Löschen Sie im Ordner Zustandswiederherstellung die Aufgabe BitLocker aktivieren .

   4. Erstellen Sie im Ordner Zustandswiederherstellung unter Benutzerdefinierte Aufgaben eine neue Aufgabe Anwendung installieren , und nennen Sie sie Install MBAM Agent. Wählen Sie das Optionsfeld Einzelne Anwendung installieren aus, und navigieren Sie zur zuvor erstellten MBAM 2.5 SP1-Clientanwendung.

   5. Erstellen Sie im Ordner Zustandswiederherstellung unter Benutzerdefinierte Aufgaben eine neue Aufgabe PowerShell-Skript ausführen (nach dem Schritt MBAM 2.5 SP1-Clientanwendung) mit den folgenden Einstellungen (aktualisieren Sie die Parameter entsprechend Ihrer Umgebung):

      • Name: Konfigurieren von BitLocker für MBAM

      • PowerShell-Skript: Invoke-MbamClientDeployment.ps1

      • Parameter:

        Parameter	Anforderung	Beschreibung
        -RecoveryServiceEndpoint	Erforderlich	MBAM-Wiederherstellungsdienstendpunkt.
        -StatusReportingServiceEndpoint	Optional	MBAM-Statusberichtsdienstendpunkt.
        -EncryptionMethod	Optional	Verschlüsselungsmethode (Standard: AES 128).
        -EncryptAndEscrowDataVolume	Schalter	Geben Sie an, um Datenvolumes zu verschlüsseln und Wiederherstellungsschlüssel für Das Datenvolume zu erstellen.
        -WaitForEncryptionToComplete	Schalter	Geben Sie an, dass auf den Abschluss der Verschlüsselung gewartet werden soll.
        -DoNotResumeSuspendedEncryption	Schalter	Geben Sie an, dass das Bereitstellungsskript die angehaltene Verschlüsselung nicht fortsetzen wird.
        -IgnoreEscrowOwnerAuthFailure	Schalter	Geben Sie an, dass ein TPM-Fehler beim Besitzer-Authentifizierungs-Escrow ignoriert werden soll. Es sollte in Szenarien verwendet werden, in denen MBAM die TPM-Besitzerauthentifizierung nicht lesen kann. Beispielsweise, wenn die automatische TPM-Bereitstellung aktiviert ist.
        -IgnoreEscrowRecoveryKeyFailure	Schalter	Geben Sie an, um einen Fehler des Volumewiederherstellungsschlüssels zu ignorieren.
        -IgnoreReportStatusFailure	Schalter	Geben Sie an, um statusberichterstattungsfehler zu ignorieren.

So aktivieren Sie BitLocker mit MBAM 2.5 oder früher als Teil einer Windows-Bereitstellung

1. Installieren Sie den MBAM-Client. Anweisungen finden Sie unter Bereitstellen des MBAM-Clients über eine Befehlszeile.

2. Einbinden des Computers zu einer Domäne (empfohlen).

   • Wenn der Computer nicht mit einer Domäne verknüpft ist, wird das Wiederherstellungskennwort nicht im MBAM Key Recovery-Dienst gespeichert. Standardmäßig lässt MBAM die Verschlüsselung nur zu, wenn der Wiederherstellungsschlüssel gespeichert werden kann.

   • Wenn ein Computer im Wiederherstellungsmodus gestartet wird, bevor der Wiederherstellungsschlüssel auf dem MBAM-Server gespeichert wird, ist keine Wiederherstellungsmethode verfügbar, und für den Computer muss ein Reimaging durchgeführt werden.

3. Öffnen Sie eine Eingabeaufforderung als Administrator, und beenden Sie den MBAM-Dienst.

4. Legen Sie den Dienst auf Manuell oder Bei Bedarf fest, indem Sie die folgenden Befehle eingeben:

   net stop mbamagent

   sc config mbamagent start= demand

5. Legen Sie die Registrierungswerte so fest, dass der MBAM-Client die Gruppenrichtlinieneinstellungen ignoriert und stattdessen die Verschlüsselung so festlegt, dass die Windows-Bereitstellung auf diesem Clientcomputer gestartet wird.

   Achtung

   In diesem Schritt wird beschrieben, wie Sie die Windows-Registrierung ändern. Die falsche Verwendung des Registrierungs-Editors kann schwerwiegende Probleme verursachen, die eine Neuinstallation von Windows erfordern können. Wir können nicht garantieren, dass Probleme, die sich aus der falschen Verwendung des Registrierungs-Editors ergeben, behoben werden können. Verwenden Sie den Registrierungs-Editor auf eigenes Risiko.

   1. Legen Sie das TPM für die reine Betriebssystemverschlüsselung fest, führen Sie Regedit.exe aus, und importieren Sie dann die Registrierungsschlüsselvorlage aus C:\Program Files\Microsoft\MDOP MBAM\MBAMDeploymentKeyTemplate.reg.

   2. Wechseln Sie Regedit.exe zu HKLM\SOFTWARE\Microsoft\MBAM, und konfigurieren Sie die Einstellungen, die in der folgenden Tabelle aufgeführt sind.

      Hinweis

      Hier können Sie Gruppenrichtlinieneinstellungen oder Registrierungswerte für MBAM festlegen. Diese Einstellungen setzen zuvor festgelegte Werte außer Kraft.

      Registrierungseintrag	Konfigurationseinstellungen
      DeploymentTime	0 = Aus 1 = Richtlinieneinstellungen für die Bereitstellungszeit verwenden (Standard): Verwenden Sie diese Einstellung, um die Verschlüsselung zu dem Zeitpunkt zu aktivieren, zu dem Windows auf dem Clientcomputer bereitgestellt wird.
      UseKeyRecoveryService	0 = Kein Schlüsseltresor verwenden. Die nächsten beiden Registrierungseinträge sind in diesem Fall nicht erforderlich. 1 = Schlüsseltresor im Schlüsselwiederherstellungssystem verwenden (Standard) Diese Einstellung wird empfohlen, sodass MBAM die Wiederherstellungsschlüssel speichern kann. Der Computer muss mit dem MBAM Key Recovery-Dienst kommunizieren können. Vergewissern Sie sich, dass der Computer mit dem Dienst kommunizieren kann, bevor Sie fortfahren.
      KeyRecoveryOptions	0 = Nur Wiederherstellungsschlüssel hochgeladen 1 = Wiederherstellungsschlüssel und Wiederherstellungspaket für Schlüssel hochgeladen (Standard)
      KeyRecoveryServiceEndPoint	Legen Sie diesen Wert auf die URL für den Server fest, https://<computer name>/MBAMRecoveryAndHardwareService/CoreService.svcauf dem der Key Recovery-Dienst ausgeführt wird, z. B. .

6. Der MBAM-Client startet das System während der MBAM-Clientbereitstellung neu. Wenn Sie für diesen Neustart bereit sind, führen Sie den folgenden Befehl an einer Eingabeaufforderung als Administrator aus:

   net start mbamagent

7. Wenn die Computer neu gestartet werden und sie vom BIOS aufgefordert werden, akzeptieren Sie die TPM-Änderung.

8. Wenn Sie bereit sind, die Verschlüsselung zu starten, öffnen Sie während der Imageerstellung für das Windows-Clientbetriebssystem eine Eingabeaufforderung als Administrator, und geben Sie die folgenden Befehle ein, um den Start auf Automatisch festzulegen und den MBAM-Client-Agent neu zu starten:

   sc config mbamagent start= auto

   net start mbamagent

9. Um die Werte der Umgehungsregistrierung zu löschen, führen Sie Regedit.exe aus, und wechseln Sie zum HKLM\SOFTWARE\Microsoft Registrierungseintrag. Klicken Sie mit der rechten Maustaste auf den MBAM-Knoten , und wählen Sie dann Löschen aus.

Verwandte Artikel

Bereitstellen des MBAM 2.5-Clients

Planen der Bereitstellung von MBAM 2.5-Clients