Windows 展開の一部として MBAM を使用して BitLocker を有効にする方法

このトピックでは、Windows イメージングと展開プロセスの一部として MBAM を使用して、エンド ユーザーのコンピューターで BitLocker を有効にする方法について説明します。 再起動時 (インストール フェーズが終了した後) にドライブのロックを解除できないことを示す黒い画面が表示される場合は、「Windows 10 バージョン 1511 で BitLocker を事前プロビジョニングする」を使用している場合は、「Windows と Configuration Manager のセットアップ」の手順の後に以前のバージョンの Windows が起動しないに関するページを参照してください。

前提 条件：

• 既存の Windows イメージ展開プロセス (Microsoft Deployment Toolkit (MDT)、Microsoft System Center Configuration Manager、またはその他のイメージング ツールまたはプロセス) を配置する必要があります

• BIOS で TPM を有効にし、OS に表示する必要があります

• MBAM サーバー インフラストラクチャは、所定の場所にあり、アクセス可能である必要があります

• BitLocker で必要なシステム パーティションを作成する必要があります

• MBAM で BitLocker が完全に有効になる前に、マシンがイメージング中にドメインに参加している必要があります

Windows 展開の一部として MBAM 2.5 SP1 を使用して BitLocker を有効にするには

1. MBAM 2.5 SP1 では、Windows 展開中に BitLocker を有効にすることをお勧めします。これは、 Invoke-MbamClientDeployment.ps1 PowerShell スクリプトを使用することです。

   • Invoke-MbamClientDeployment.ps1 スクリプトでは、イメージング プロセス中に BitLocker が適用されます。 BitLocker ポリシーで必要な場合、MBAM エージェントは、イメージ化後にドメイン ユーザーが最初にログオンしたときに、ドメイン ユーザーに PIN またはパスワードの作成をすぐに求めます。

   • MDT、System Center Configuration Manager、またはスタンドアロン イメージング プロセスで使いやすい

   • PowerShell 2.0 以降と互換性がある

   • TPM キー 保護機能を使用して OS ボリュームを暗号化する

   • BitLocker の事前プロビジョニングを完全にサポート

   • 必要に応じて FDD を暗号化する

   • Escrow TPM OwnerAuth Windows 7 の場合、エスクローを実行するには MBAM が TPM を所有している必要があります。 Windows 8.1、Windows 10 RTM、Windows 10 バージョン 1511 では、TPM OwnerAuth のエスクローがサポートされています。 Windows 10 バージョン 1607 以降の場合、TPM の所有権を取得できるのは Windows のみです。 さらに、Windows は TPM をプロビジョニングするときに TPM 所有者パスワードを保持しません。 詳細については、「 TPM 所有者パスワード 」を参照してください。

   • Escrow 回復キーと回復キー パッケージ

   • 暗号化の状態を直ちに報告する

   • 新しい WMI プロバイダー

   • 詳細なログ記録

   • 堅牢なエラー処理

   Invoke-MbamClientDeployment.ps1 スクリプトは、ダウンロード センター Microsoft.com からダウンロードできます。 これは、デプロイ システムが呼び出して BitLocker ドライブの暗号化を構成し、MBAM サーバーで回復キーを記録するメイン スクリプトです。

   MBAM の WMI 展開方法: 次の WMI メソッドが MBAM 2.5 SP1 に追加され、 Invoke-MbamClientDeployment.ps1 PowerShell スクリプトを使用した BitLocker の有効化がサポートされています。

   MBAM_MACHINE WMI クラスPrepareTpmAndEscrowOwnerAuth: TPM OwnerAuth を読み取り、MBAM 回復サービスを使用して MBAM 回復データベースに送信します。 TPM が所有されておらず、自動プロビジョニングがオンでない場合は、TPM OwnerAuth が生成され、所有権が取得されます。 失敗した場合は、トラブルシューティングのためにエラー コードが返されます。

   手記 Windows 10 バージョン 1607 以降の場合、TPM の所有権を取得できるのは Windows のみです。 さらに、Windows は TPM をプロビジョニングするときに TPM 所有者パスワードを保持しません。 詳細については、「 TPM 所有者パスワード 」を参照してください。

一般的なエラー メッセージの一覧を次に示します。

ReportStatus: ボリュームのコンプライアンス状態を読み取り、MBAM 状態レポート サービスを使用して MBAM コンプライアンス状態データベースに送信します。 状態には、暗号強度、保護機能の種類、保護機能の状態、暗号化状態が含まれます。 失敗した場合は、トラブルシューティングのためにエラー コードが返されます。

一般的なエラー メッセージの一覧を次に示します。

MBAM_VOLUME WMI クラスEscrowRecoveryKey: ボリュームの回復数値パスワードとキー パッケージを読み取り、MBAM 回復サービスを使用して MBAM 回復データベースに送信します。 失敗した場合は、トラブルシューティングのためにエラー コードが返されます。

一般的なエラー メッセージの一覧を次に示します。

2. Microsoft Deployment Toolkit (MDT) と PowerShell を使用して MBAM をデプロイする

   1. MDT で、新しいデプロイ共有を作成するか、既存のデプロイ共有を開きます。

      手記Invoke-MbamClientDeployment.ps1 PowerShell スクリプトは、任意のイメージング プロセスまたはツールで使用できます。 このセクションでは、MDT を使用して統合する方法を示しますが、手順は他のプロセスやツールとの統合に似ています。

      注意 BitLocker 事前プロビジョニング (WinPE) を使用していて、TPM 所有者の承認値を維持する場合は、インストールが完全なオペレーティング システムに再起動する直前に、WinPE で SaveWinPETpmOwnerAuth.wsf スクリプトを追加する必要があります。 このスクリプトを使用しない場合、再起動時に TPM 所有者の承認値が失われます。

   2. Invoke-MbamClientDeployment.ps1を <DeploymentShare>\Scripts にコピーします。 事前プロビジョニングを使用している場合は、SaveWinPETpmOwnerAuth.wsf ファイルを <DeploymentShare>\Scripts にコピーします。

   3. デプロイ共有の [アプリケーション] ノードに MBAM 2.5 SP1 クライアント アプリケーションを追加します。

      1. [アプリケーション] ノード の [ 新しいアプリケーション] をクリックします。

      2. [ ソース ファイルを含むアプリケーション] を選択します。 [次へ] をクリックします。

      3. [ アプリケーション名] に「MBAM 2.5 SP1 クライアント」と入力します。 [次へ] をクリックします。

      4. MBAMClientSetup-<Version>.msiを含むディレクトリを参照します。 [次へ] をクリックします。

      5. 作成するディレクトリとして「MBAM 2.5 SP1 Client」と入力します。 [次へ] をクリックします。

      6. コマンド ラインに「 msiexec /i MBAMClientSetup-<Version>.msi /quiet 」と入力します。 [次へ] をクリックします。

      7. 残りの既定値をそのまま使用して、新しいアプリケーション ウィザードを完了します。

   4. MDT で、展開共有の名前を右クリックし、[ プロパティ] をクリックします。 [ ルール ] タブをクリックします。次の行を追加します。

      SkipBitLocker=YES``BDEInstall=TPM``BDEInstallSuppress=NO``BDEWaitForEncryption=YES

      [OK] をクリックしてウィンドウを閉じます。

   5. [タスク シーケンス] ノードで、Windows 展開に使用する既存のタスク シーケンスを編集します。 必要に応じて、[タスク シーケンス] ノードを右クリックし、[新しいタスク シーケンス ] を選択してウィザードを完了することで、 新しいタスク シーケンスを作成できます。

      選択した タスク シーケンスの [タスク シーケンス ] タブで、次の手順を実行します。

      1. [プレインストール] フォルダーで、使用領域のみを暗号化する WinPE で BitLocker を有効にする場合は、省略可能なタスク [BitLocker (オフライン)] を有効にします。

      2. 事前プロビジョニングを使用するときに TPM OwnerAuth を保持し、後で MBAM でエスクローできるようにするには、次の操作を行います。

         1. オペレーティング システムのインストール手順を見つける

         2. その後に新しい コマンド ラインの実行 ステップを追加する

         3. [TPM OwnerAuth を永続化する] ステップに名前を付けます

         4. コマンド ラインを cscript.exe "%SCRIPTROOT%/SaveWinPETpmOwnerAuth.wsf"注: Windows 10 バージョン 1607 以降の場合、Windows のみが TPM の所有権を取得できます。 さらに、Windows は TPM をプロビジョニングするときに TPM 所有者パスワードを保持しません。 詳細については、「 TPM 所有者パスワード 」を参照してください。

      3. [状態の復元] フォルダーで、[BitLocker を有効にする] タスクを削除します。

      4. [カスタム タスク] の [状態の復元] フォルダーで、新しい [アプリケーションのインストール] タスクを作成し、[MBAM エージェントのインストール] という名前を付けます。 [ 単一アプリケーションのインストール ] ラジオ ボタンをクリックし、先ほど作成した MBAM 2.5 SP1 クライアント アプリケーションを参照します。

      5. [ 状態の復元 ] フォルダーの [ カスタム タスク] で、次の設定を使用して (MBAM 2.5 SP1 クライアント アプリケーション ステップの後に) 新しい PowerShell スクリプトの実行 タスクを作成します (環境に応じてパラメーターを更新します)。

         • 名前: MBAM 用に BitLocker を構成する

         • PowerShell スクリプト: Invoke-MbamClientDeployment.ps1

         • パラメーター：

           -RecoveryServiceEndpoint	必須	MBAM 回復サービス エンドポイント
           -StatusReportingServiceEndpoint	省略可能	MBAM 状態レポート サービス エンドポイント
           -EncryptionMethod	省略可能	暗号化方法 (既定値: AES 128)
           -EncryptAndEscrowDataVolume	スイッチ	データ ボリュームとエスクロー データ ボリューム回復キーを暗号化する場合に指定します
           -WaitForEncryptionToComplete	スイッチ	暗号化が完了するまで待機するように指定します
           -DoNotResumeSuspendedEncryption	スイッチ	デプロイ スクリプトが一時停止された暗号化を再開しないように指定する
           -IgnoreEscrowOwnerAuthFailure	スイッチ	TPM 所有者認証エスクローエラーを無視するように指定します。 これは、TPM の自動プロビジョニングが有効になっている場合など、MBAM が TPM 所有者認証を読み取ることができないシナリオで使用する必要があります
           -IgnoreEscrowRecoveryKeyFailure	スイッチ	ボリューム回復キーエスクローエラーを無視するように指定します
           -IgnoreReportStatusFailure	スイッチ	状態レポートエラーを無視するように指定します

Windows 展開の一部として MBAM 2.5 以前を使用して BitLocker を有効にするには

1. MBAM クライアントをインストールします。 手順については、「 コマンド ラインを使用して MBAM クライアントをデプロイする方法」を参照してください。

2. コンピューターをドメインに参加させる (推奨)。

   • コンピューターがドメインに参加していない場合、回復パスワードは MBAM Key Recovery サービスに格納されません。 既定では、MBAM では、回復キーを格納できない限り、暗号化の実行は許可されません。

   • 回復キーが MBAM サーバーに格納される前にコンピューターが回復モードで起動する場合、回復方法は使用できません。コンピューターを再イメージ化する必要があります。

3. 管理者としてコマンド プロンプトを開き、MBAM サービスを停止します。

4. 次のコマンドを入力して、サービスを [手動] または [オンデマンド ] に設定します。

   net stop mbamagent

   sc config mbamagent start= demand

5. MBAM クライアントがグループ ポリシー設定を無視するようにレジストリ値を設定し、代わりに、Windows がそのクライアント コンピューターに展開された時刻に暗号化を設定します。

   注意 この手順では、Windows レジストリを変更する方法について説明します。 レジストリ エディターを誤って使用すると、Windows を再インストールする必要がある重大な問題が発生する可能性があります。 レジストリ エディターの誤った使用に起因する問題を解決できることを保証することはできません。 レジストリ エディターは自己責任で使用してください。

   1. オペレーティング システムのみの暗号化に TPM を設定し、Regedit.exe を実行し、C:\Program Files\Microsoft\MDOP MBAM\MBAMDeploymentKeyTemplate.reg からレジストリ キー テンプレートをインポートします。

   2. Regedit.exe で、HKLM\SOFTWARE\Microsoft\MBAM に移動し、次の表に示す設定を構成します。

      手記 MBAM に関連するグループ ポリシー設定またはレジストリ値は、こちらで設定できます。 これらの設定は、以前に設定した値をオーバーライドします。

      レジストリ エントリの構成設定

      DeploymentTime

      0 = Off

      1 = 展開時間ポリシー設定を使用します (既定値) – この設定を使用して、Windows がクライアント コンピューターに展開されるときに暗号化を有効にします。

      UseKeyRecoveryService

      0 = キー エスクローを使用しないでください (この場合、次の 2 つのレジストリ エントリは必要ありません)

      1 = Key Recovery システムでキー エスクローを使用する (既定値)

      これは、MBAM が回復キーを格納できるようにする推奨設定です。 コンピューターは MBAM Key Recovery サービスと通信できる必要があります。 続行する前に、コンピューターがサービスと通信できることを確認します。

      KeyRecoveryOptions

      0 = 回復キーのアップロードのみ

      1 = 回復キーとキー回復パッケージをアップロードする (既定値)

      KeyRecoveryServiceEndPoint

      この値を、Key Recovery サービスを実行しているサーバーの URL (たとえば、http://<コンピューター名>/MBAMRecoveryAndHardwareService/CoreService.svc) に設定します。

6. MBAM クライアントは、MBAM クライアントのデプロイ中にシステムを再起動します。 この再起動の準備ができたら、管理者としてコマンド プロンプトで次のコマンドを実行します。

   net start mbamagent

7. コンピューターが再起動し、BIOS からメッセージが表示されたら、TPM の変更を受け入れます。

8. Windows クライアント オペレーティング システムのイメージング プロセス中に、暗号化を開始する準備ができたら、管理者としてコマンド プロンプトを開き、次のコマンドを入力して、開始を [自動] に設定し、MBAM クライアント エージェントを再起動します。

   sc config mbamagent start= auto

   net start mbamagent

9. バイパス レジストリ値を削除するには、Regedit.exe を実行し、HKLM\SOFTWARE\Microsoft レジストリ エントリに移動します。 MBAM ノードを右クリックし、[削除] をクリックします。

関連トピック

MBAM 2.5 クライアントの展開

MBAM 2.5 クライアントの展開計画

MBAM の提案はありますか?

• MBAM の問題については、 MBAM TechNet フォーラムを使用してください。