TPM phải được giới thiệu lại: Mật khẩu khôi phục mới có phải được tải lên AD không?

Bằng cách nào đó, máy của người dùng không thể đọc được mật khẩu bitlocker của chip TPM và tôi phải nhập khóa khôi phục (được lưu trong AD) để vào. Không vấn đề gì, nhưng một lần vào máy, tôi đã cố gắng tạm dừng bitlocker trên mỗi tài liệu khôi phục và nhận được thông báo lỗi về TPM không được khởi tạo. Tôi biết TPM đã được bật và kích hoạt trong BIOS, nhưng Windows vẫn khiến tôi xác định lại chip TPM và trong quá trình đó, nó đã tạo ra mật khẩu chủ sở hữu TPM mới .

Tôi thấy điều đó thật kỳ quặc bởi vì nó đã nhắc tôi lưu mật khẩu này hoặc in nó (không có tùy chọn nào không), nhưng nó không tham chiếu mật khẩu khôi phục, cũng không gửi lại mật khẩu này cho AD.

Sau khi người dùng lấy laptop của cô ấy và rời đi, tôi bắt đầu nghĩ rằng nếu mật khẩu TPM thay đổi, liệu mật khẩu phục hồi cũng thay đổi? Nếu vậy, mật khẩu khôi phục mới đó sẽ cần phải được tải lên AD, nhưng tài liệu của MS không làm rõ điều đó và không tự động sao lưu khóa khôi phục mới (nếu có) để AD tự động khi chính sách nhóm nói phải, và từ quan điểm mạng AD có thể truy cập được.

Khi BitLocker mã hóa ổ đĩa, nó sẽ giữ khóa mã hóa chính trên ổ đĩa, mặc dù không ở dạng văn bản thuần túy. Mật khẩu chủ được giữ tự mã hóa bởi "Người bảo vệ". Mỗi trong số này giữ một bản sao riêng của khóa chính vì chỉ người bảo vệ đã mã hóa nó mới có thể giải mã được bản sao đó của khóa chính.

Khi bạn có Windows mã hóa một ổ đĩa thông qua GUI, nó thường tạo ra hai bộ bảo vệ: Mật khẩu khôi phục (RP) và khóa TPM. Như đã lưu ý ở trên, chúng được lưu trữ hoàn toàn riêng biệt. Nếu bạn đã cấu hình GPO mỗi lần tạo RP, nó sẽ được lưu trong AD. Điều này là hoàn toàn tự động và nếu bạn có GPO được cấu hình, RP không thể được lưu vào đĩa mà không tải lên AD (nghĩa là không có tạo RP ngoại tuyến vì AD sẽ không khả dụng).

Tôi thực sự khuyên bạn nên bỏ GUI. Nó che đậy chức năng của BitLocker quá nhiều đối với người quản trị hệ thống và hoạt động thực tế của BitLocker thực sự không quá phức tạp. Tiện ích CLI manage-bdeđi kèm với mọi phiên bản Windows hỗ trợ BitLocker. Nó khá thẳng về phía trước, mặc dù cú pháp hơi dài dòng.

Để xem những gì ổ đĩa của máy tính xách tay đang làm ngay bây giờ chỉ cần chạy manage-bde -status C:. Đối với các sự cố TPM, sau khi mở khóa PC và khởi động Windows tôi luôn chạy manage-bde -protectors -get C:, sao chép ID cho trình bảo vệ TPM (bao gồm cả dấu ngoặc), sau đó chạy manage-bde -protectors -delete C: -id {the_id_you_copied}và cuối cùng manage-bde -protectors -add C: -tpm. Đó là 30 giây làm việc nữa, nhưng bạn biết chính xác những gì nó đang làm và chính xác nơi bạn đứng sau đó.

Tôi biết điều này đã cũ, đã đến đây để tìm kiếm thứ gì đó khác, nhưng theo kinh nghiệm của tôi, việc tự động tải lên AD sau khi thay đổi như thế không phải lúc nào cũng thành công. Tôi đã bị cắn tại nơi làm việc nhiều lần vì điều này. Sau lần thứ 2 nhận được bit, tôi quyết định kịch bản quá trình tải lên để đảm bảo nó xảy ra thay vì phụ thuộc vào quá trình tải lên tự động được cho là xảy ra. Đây là những gì tôi đã viết (BitLocker_UploadToAD.cmd):

@Echo Off
cls
SETLOCAL
for /F "tokens=*" %%a in ('c:\windows\system32\manage-bde -protectors -get c: -type recoverypassword ^| findstr "ID: " ') DO SET ID=%%a
ECHO ID FOR DRIVE C IS: %ID%
ECHO.
ECHO REMOVING COLON AND ADDING HYPHEN TO BEGINNING...
ECHO.
set ID=-%ID::=%
ECHO NEW VALUE:
ECHO %ID%
ECHO.
ECHO BACKING UP TO AD...
c:\windows\system32\manage-bde -protectors -adbackup c: %ID%
ECHO.
ECHO DONE  (PLEASE CHECK AD TO VERIFY IT WORKED)
PAUSE