この手順で作る状態
会社支給PCのOSドライブをBitLockerで暗号化し、回復キーをMicrosoft Entra IDへ保管します。暗号化済みという表示だけでなく、管理者が正しい回復キーを取得できることまで確認します。
展開前に確認すること
- Windows 11 Pro以上である
- Microsoft Entra参加済み、またはハイブリッド参加済み
- TPM、UEFI、セキュアブート、Windows回復環境が利用可能
- 他社製ディスク暗号化ソフトが入っていない
- BIOS更新や保守作業の予定を確認した
- 回復キー閲覧者と閲覧記録の運用を決めた
他社製暗号化ソフトが残ったままサイレント暗号化を強制すると、起動障害やデータ損失につながる可能性があります。必ず端末調査と少数試験を先に行います。
1. 試験グループを作る
PCの機種、購入年、利用部署が偏らないよう3〜5台を選びます。CAD用高性能PCと一般事務PCを最低1台ずつ含めると、差異を見つけやすくなります。
2. ディスク暗号化ポリシーを作る
- Intune管理センターを開きます。
- エンドポイントセキュリティ > ディスク暗号化 > ポリシーの作成を選びます。
- プラットフォームをWindows、プロファイルをBitLockerとします。
- デバイス暗号化、回復パスワード、回復情報の保存方針を設定します。
- 最初は試験デバイスグループだけに割り当てます。
サイレント暗号化を使う場合は、Microsoftの前提条件とTPM設定を確認します。設定カタログだけでは、サイレント有効化に必要な構成を満たせない場合があります。
3. 端末側で状態を確認する
管理者のコマンドプロンプトで次を確認します。
manage-bde -status C:暗号化率、暗号化方式、保護状態を記録します。暗号化中は電源とネットワークを確保します。
4. 回復キーを確認する
- Intune管理センターのデバイス > すべてのデバイスを開きます。
- 試験端末を選択します。
- 監視 > 回復キーを開きます。
- キーIDと回復キーが表示できることを確認します。
- 閲覧操作が監査ログへ記録されることを確認します。
5. 完了確認
- 試験端末すべてが暗号化済み
- 保護状態が有効
- Entra IDに回復キーが存在する
- ヘルプデスク担当が必要な権限だけでキーを取得できる
- BIOS更新後も正常起動した
- 非準拠・失敗端末の再対応手順がある
切り戻し
ポリシーを外すだけでは、既に暗号化されたドライブは自動的に復号されない場合があります。復号が必要なら、業務影響、電源、所要時間、回復キーの保管を確認したうえで個別に計画します。