Windows juhend: Kuidas kasutada Microsoft BitLocker Administration and Monitoring-t: Difference between revisions

From ICO wiki
Jump to navigationJump to search
 
(43 intermediate revisions by the same user not shown)
Line 1: Line 1:
= Mis on Microsoft Bitlocker Administration and Monitoring =
= Mis on Microsoft Bitlocker Administration and Monitoring =
Microsoft Bitlocker Administration and Monitoring (MBAM)pakub lihtsalt hallatava kasutajaliidese Bitlockeri kasutamiseks. MBAM laseb haldajal valida Bitlockeri krüpteerimise reegleid vastavalt organisatsiooni vajadustele, et kooskõlastada asutuse arvutitete reeglite ja teavitada serverile, kui asutuse arvuti krüpteerimise seisundiga on toiminud mingi lubamatu muudatus. Lisaks sellele saab MBAM-i abil pääseda ligi taastus võtmele, isegi siis kui arvuti kasutaja on oma PIN koodi ära unustanud, või kui tema BIOS või bootimis mälus on toimunud mingisugune muudatus.
Microsoft Bitlocker Administration and Monitoring (MBAM) pakub lihtsalt hallatava kasutajaliidese Bitlockeri kasutamiseks. MBAM laseb haldajal valida Bitlockeri krüpteerimise reegleid vastavalt organisatsiooni vajadustele, et kooskõlastada asutuse arvutitete reeglite ja teavitada serverile, kui asutuse arvuti krüpteerimise seisundiga on toiminud mingi lubamatu muudatus. Lisaks sellele saab MBAM-i abil pääseda ligi taastus võtmele, isegi siis kui arvuti kasutaja on oma PIN koodi ära unustanud, või kui tema BIOS või bootimis mälus on toimunud mingisugune muudatus.
[http://technet.microsoft.com/en-us/library/hh831507.aspx]
 
= Eesmärk =
= Eesmärk =
Organisatsioonid üle maailma kasutavad Bitlocker Drive Encryption ja Bitlocker To Go, et kaitsta enda olulisi andmeid, kuna suurtes organisatsioonides ja firmades on palju arvuteid siis paljud suur firmad kasutavad Bitlocker Administration and Monitoringut (MBAM), et muuta Bitlockeri haldamine hõlpsamaks. Firma administraatoril on kõikide arvutite Bitlockeri andmed serveris olemas. Kui mõni töötaja unustab oma PIN koodi ära saab hõlpsasti kõvaketta lukust lahti teha, kuid kui puuduks selline süsteem siis võib jääda väga vajalikest andmedest ilma.
Organisatsioonid üle maailma kasutavad Bitlocker Drive Encryption ja Bitlocker To Go, et kaitsta enda olulisi andmeid, kuna suurtes organisatsioonides ja firmades on palju arvuteid siis paljud suur firmad kasutavad Bitlocker Administration and Monitoringut (MBAM), et muuta Bitlockeri haldamine hõlpsamaks. Firma administraatoril on kõikide arvutite Bitlockeri andmed serveris olemas. Kui mõni töötaja unustab oma PIN koodi ära saab hõlpsasti kõvaketta lukust lahti teha, kuid kui puuduks selline süsteem siis võib jääda väga vajalikest andmedest ilma.
[http://www.microsoft.com/en-us/windows/enterprise/products-and-technologies/mdop/mbam.aspx]
= Nõudmised =
= Nõudmised =
===Server===
===Server===
Line 54: Line 58:
MBAM Kliendi operatsioonisüsteem:
MBAM Kliendi operatsioonisüsteem:


Operating System Edition Service Pack System Architecture
Windows 7 Enterprise Edition x86 or x64
 
Windows 7 Enterprise Edition None, SP1 x86 or x64


Windows 7 Ultimate Edition None, SP1 x86 or x64
Windows 7 Ultimate Edition x86 or x64


• Trusted Platform Module (TPM) v1.2  
• Trusted Platform Module (TPM) v1.2  


• TPM peab olema sisse lülitatud arvuti BIOS-is. Selle kohta saab rohkem informatsiooni BIOS-i dokumentatsioonist.
• TPM peab olema sisse lülitatud arvuti BIOS-is. Selle kohta saab rohkem informatsiooni arvuti BIOS-i dokumentatsioonist.
[http://ahmedhusseinonline.com/2011/07/mbam-step-by-step-bitlocker-administration-and-monitoring/]


=Serveri Installeerimine =
=Serveri Installeerimine =
Line 97: Line 100:


Soovitatav on kasutada 3 arvuti konfiguratsiooni.
Soovitatav on kasutada 3 arvuti konfiguratsiooni.


Installeerimise algus:
Installeerimise algus:
Line 102: Line 106:
[[File:Bitlocker1.png]]
[[File:Bitlocker1.png]]


Esmalt tuleb läbi lugeda litsents tingimused ning nõustuda (accept).
Esmalt tuleb läbi lugeda litsentsi tingimused ning nõustuda (accept).


[[File:Bitlocker2.png]]
[[File:Bitlocker2.png]]


Selle juhendi läbimiseks kasutame me ühe arvuti konfiguratsiooni, mis reaalsuses on soovitatav vaid testimis eesmärkidel.
Selle juhendi läbimiseks kasutame me ühe arvuti konfiguratsiooni, mis on soovitatav vaid testimis eesmärkidel.


[[File:Bitlocker3.png]]
[[File:Bitlocker3.png]]


Järgnevalt kontrollib installer kas kõik vajalikud komponendid serveri installerimiseks on olemas
Järgnevalt kontrollib installer kas kõik vajalikud komponendid on serveris installeeritud.


[[File:Bitlocker4.png]]
[[File:Bitlocker4.png]]
Line 118: Line 122:
[[File:Bitlocker5.png]]
[[File:Bitlocker5.png]]


Valige riistvara ja taastus andmebaas
Valige riistvara ja taastus andmebaas.


[[File:Bitlocker6.png]]
[[File:Bitlocker6.png]]


Compliance audit andmebaas
Järgmisena valige Compliance audit-i andmebaas, kuna me installeerime kõik MBAM-i komponendid sellele serverile siis peab ka andmebaas asuma samas serveris.


[[File:Bitlocker7.png]]
[[File:Bitlocker7.png]]


Valige server kuhu rapordid esitatakse
Valige server kuhu rapordid esitatakse, kuna me kasutame ühe serveri konfiguratsiooni, siis selleks on see sama server.


[[File:Bitlocker8.png]]
[[File:Bitlocker8.png]]


Järgmisena peate seadistama MBAM-i veebilehe
Järgmisena peate seadistama MBAM-i veebis põhineva kontroll paneeli, tänu sellele saab ligi MBAM-ile väljaspool serverit.


[[File:Bitlocker9.png]]
[[File:Bitlocker9.png]]
Line 142: Line 146:
[[File:Bitlocker11.png]]
[[File:Bitlocker11.png]]


Kui kõik eelnev tehtud, võib hakata programmi installeerima.
Kui kõik eelnev tehtud, saab installer edukalt alustada oma installeermis toimingutega.


[[File:Bitlocker12.png]]
[[File:Bitlocker12.png]]
Line 149: Line 153:


[[File:Bitlocker13.png]]
[[File:Bitlocker13.png]]
(Pildid puudu)


=Kasutajagruppide loomine =
[http://ahmedhusseinonline.com/2011/07/mbam-step-by-step-bitlocker-administration-and-monitoring/]
 
Loome süsteemi järgnevad kasutajagrupid:
 
[[File:Bitlocker14.png]]
 
 
 
 
Assign administrative users to groups in Active Directory Domain Services.
Add security groups to the roles for MBAM on the Microsoft BitLocker Administration and Monitoring server for the respective features.
MBAM System Administrators have access to all Microsoft BitLocker Administration and Monitoring features in the MBAM Management Console
MBAM Hardware Users have access to the Hardware Compatibility features in the MBAM Management Console
MBAM Helpdesk Users have access to the Manage TPM and Drive Recovery options in the MBAM Management Console, but must fill in all fields when they use either option
MBAM Report Users have access to the Compliance and Audit reports in the MBAM Management Console
MBAM Advanced Helpdesk Uses have access to the Manage TPM and Drive Recovery options in the MBAM Management Console but are not required to fill in all fields when they use either option


=Kliendi installeerimine =
=Kliendi installeerimine =
Kliendi installeerimiseks kasutame GPO-d ja konfiguratsioon saabub läbi grupi poliiside




1) Võtke lahti Microsoft BitLocker Administration and Monitoring kliendi installifailid: MBAMClient-64bit.msi ja MBAMClient-32bit.msi, mis on kaasas MBAMi tarkvaraga.


2) Kasutage  Microsoft System Center Configuration Manager-i et paigaldada kliendi tarkvara soovitud arvutitele.


MBAMClient-32bit.msi
3) Seadistage seadmed või grupi poliisid, et jooksutada kliendi installeri faili. Pärast seda, kui klient on installeeritud, loeb see automaatselt serveri grupi poliise ja seadmeid, selle jaoks peavad need olema samas domeenis.
MBAMClient-64bit.msi
[http://blogs.windows.com/windows/b/springboard/archive/2011/06/27/getting-started-with-microsoft-bitlocker-administration-and-monitoring-mbam.aspx]


=Operatsioonid MBAM-il =
=Operatsioonid MBAM-il =
Line 186: Line 175:
Et teha kindlaks, BitLocker krüpteerimine olekut kaotatud arvutites:
Et teha kindlaks, BitLocker krüpteerimine olekut kaotatud arvutites:


1) Avage veebibrauser ja navigeerige BitLocker Administration and Monitoring juhtimis konsooli.  
1) Avage veebibrauser ja navigeerige BitLocker Administration and Monitoring juhtimis konsooli.


Märkus: vaikimisi on juhtimis konsooli aadress  http:// <arvutinimi>.
'''Märkus: vaikimisi on juhtimis konsooli aadress  http:// <arvutinimi>.'''


2) Valige "Report"  navigeerimispaanil ja seejärel valige Computer Compliance Report. Kasutage otsingufiltreid, et kitsendada otsingutulemusi , kuna suurtes firmades ja organisatsioonides võib olla väga palju arvuteid. Kui aga sisestada kindla arvuti andmed mis on kadunud siis saab tulemuse kiirelt kätte..
2) Valige "Report"  navigeerimispaanil ja seejärel valige Computer Compliance Report. Kasutage otsingufiltreid, et kitsendada otsingutulemusi, kuna suurtes firmades ja organisatsioonides võib olla väga palju arvuteid. Kui aga sisestada kindla arvuti andmed mis on kadunud siis saab tulemuse kiirelt kätte.


3) Leitud tulemusi näidatakse allpool. Valige seejärel käsk mida soovite teha kaotatud seadme puhul.
3) Leitud tulemusi näidatakse allpool. Valige seejärel käsk mida soovite teha kaotatud seadme puhul.


===Kuidas taastada krüpteeritud ketast===
===Kuidas taastata seadet TPM Lockout-ist===
 
 
 
 
 
The Encrypted Drive Recovery features of Microsoft BitLocker Administration and Monitoring (MBAM) ensure the capture and storage of data and availability of tools required to access a BitLocker-protected volume when BitLocker goes into recovery mode, is moved, or becomes corrupted. Use the following procedures to recover a BitLocker-protected drive.
To Recover a Locked Drive
 
The Encrypted Drive Recovery features of Microsoft BitLocker Administration and Monitoring ensure the capture and storage of data and availability of tools required to access a BitLocker-protected volume when BitLocker goes into recovery mode. A BitLocker-protected volume goes into recovery mode when a PIN or password is lost or forgotten, or when the Trusted Module Platform (TPM) chip detects changes to the BIOS or startup files of a computer.
Use this procedure to access the centralized key recovery data system that can provide a recovery password, as long as a recovery password ID and associated user identifier are supplied.
Open a web browser and navigate to the Microsoft BitLocker Administration and Monitoring website.
In the navigation pane, click Drive Recovery. This opens the “Recover access to an encrypted drive” webpage.
Enter the Window Logon domain and user name of the user to view recovery information and the first eight digits of the recovery key ID to receive a list of possible matching recovery keys or the entire recovery key ID to receive the exact recovery key. Select one of the predefined options in the Reason for Drive Unlock drop-down list, and then click Submit.
Note
If you are an MBAM Advanced Helpdesk user, the user domain and user ID entries are not required.
Microsoft BitLocker Administration and Monitoring returns the following:
An error message if no matching recovery password is found
Multiple possible matches if the user has multiple matching recovery passwords
The recovery password and recovery package for the submitted user
Note
If you are recovering a damaged drive, the recovery package option provides BitLocker with critical information necessary to attempt to recover the drive.
After the recovery password and recovery package are retrieved, the recovery password is displayed. To copy the password, click Copy Key, and then paste the recovery password into an email message. Or, to save the recovery password to a file, click Save.
When the user types the recovery password into the system or uses the recovery package, the drive is unlocked.
To Recover a Moved Drive
 
 
 
When you move an operating system drive that is encrypted by usingMicrosoft BitLocker Administration and Monitoring, the drive will not accept the PIN used in previous computer because of the change to the Trusted Platform Module (TPM) chip. You will need a way to obtain the recovery key ID to retrieve the recovery password in order to use the moved drive. Use the following procedure to recover a drive that has moved.
Start the computer that contains the moved drive in Windows recovery environment (WinRE) mode, or start the computer by using Microsoft Diagnostic and Recovery Tool 6.5 (MS DaRT).
As soon as the computer has been started with WinRE or MS DaRT, MBAM will treat the moved operating system drive as a data drive. MBAM will then display the drive’s recovery password ID and ask for the recovery password.
Note
In some cases, you may click I forget the PIN during the startup process and enter the recovery mode. This also displays the recovery key ID.
Use the recovery key ID to retrieve the recovery password and unlock the drive from the MBAM console website.
If the moved drive was configured to use a TPM chip on the original computer, you must take additional steps after unlocking the drive and completing the start process. In WinRE mode, open a command prompt and use the ‘manage-bde’ tool to decrypt the drive, this is the only way to remove the TPM plus PIN protector without the original TPM chip.
As soon as this is completed, start the system normally. The MBAM agent will now enforce the policy to encrypt the drive with the new computer’s TPM plus PIN.
To Recover a Corrupted Drive
 
 
 
To recover a corrupted drive protected by BitLocker, a Microsoft BitLocker Administration and Monitoring help desk user will need to create a recovery key package file. This package file can then be copied to the computer that contains the corrupted drive, and then used to recover the drive. Use the following procedure for the steps needed to do this.
To create the recovery key package necessary to recover a corrupted drive, start a web browser and open the MBAM console webpage.
Select Drive Recovery from the left-side navigation pane. Enter the user’s domain name, user name, reason for unlocking the drive, and the user’s recovery password ID.
Note
If you are a member of the Help Desk Administrators role, you do not have to enter the user’s domain name or user name.
Click Submit. The recovery key will be displayed.
Click Save and then select Recovery Key Package. The recovery key package will be created on your computer.
Copy the recovery key package to the computer that has the corrupted drive.
Open an elevated command prompt. To do this, click Start and type cmd in the Search programs and files box. Rightclick cmd.exe and select Run as Administrator.
At the command prompt, type the following:
repair-bde <fixed drive> <corrupted drive> -kp <location of keypackage> -rp <recovery password>
Note
Replace <fixed drive> with an available hard disk drive that has free space equal to or larger than the data on the corrupted drive. Data on the corrupted drive is recovered and moved to the specified hard disk drive.
 
===Kuidas taastuda TPM Lockout-ist===




Line 268: Line 204:


6) Kasutaja avab TPM Managment konsooli ja sealt valib Reset TPM Lockout ja seejärel sisestab TPM PIN koodi.
6) Kasutaja avab TPM Managment konsooli ja sealt valib Reset TPM Lockout ja seejärel sisestab TPM PIN koodi.


===Kuidas kasutada MBAM kliendi juht paneeli===
===Kuidas kasutada MBAM kliendi juht paneeli===
Line 276: Line 213:
Et avada MBAM kliendi kontrol paneeli tuleb teha läbi järgnevad sammud:
Et avada MBAM kliendi kontrol paneeli tuleb teha läbi järgnevad sammud:


1) Avada Control Panel.
'''1) Avada Control Panel.'''
   
   
2) Juhtpaneelist valige Süsteem ja turve.  
'''2) Juhtpaneelist valige Süsteem ja turve.'''


3) Topeltklõpsake BitLocker Encryption Options.
'''3) Topeltklõpsake BitLocker Encryption Options.'''


Seal näeb nimekirja kõikidest kõvaketastest arvutis ja saab nende krüptimisolekuid kontrollida, lisaks on võimalus hallata oma PIN-koodi või parooli. Samuti saab sealt avada lukustatud kõvaketast või taotleda erandit BitLockeri mitte kasutamiseks kui kasutajale ja arvutile on vabastamise poliitika lubatud. BitLockeri  juhtpaneel võimaldab ka mitte-administraatori kasutajatel hallata oma PIN-koodi või parooli. Valides Halda PIN, palutakse kasutajal sisestada nii praegune PIN kui ka uus PIN (lisaks kinnitades uus PIN-koods).
Seal näeb nimekirja kõikidest kõvaketastest arvutis ja saab nende krüptimisolekuid kontrollida, lisaks on võimalus hallata oma PIN-koodi või parooli. Samuti saab sealt avada lukustatud kõvaketast või taotleda erandit BitLockeri mitte kasutamiseks kui kasutajale ja arvutile on vabastamise poliitika lubatud. BitLockeri  juhtpaneel võimaldab ka mitte-administraatori kasutajatel hallata oma PIN-koodi või parooli. Valides Halda PIN, palutakse kasutajal sisestada nii praegune PIN kui ka uus PIN (lisaks kinnitades uus PIN-koods).
Kui soov on hallata oma parooli, valige Unlock Drive ja sisestage oma praegune parool. Niipea kui muundur on lukustamata, valige Taasta salasõna, et muuta oma kehtivat salasõna.
Kui soov on hallata oma parooli, valige Unlock Drive ja sisestage oma praegune parool. Niipea kui muundur on lukustamata, valige Taasta salasõna, et muuta oma kehtivat salasõna.


===Kuidas kasutada Powershelli administreerides MBAM-i===
Microsoft Bitlocker Administration and monitoring pakub järgnevaid käske, mida administraator saab kasutada Windows Powershellis. Administraatorid saavad kasutada (cmdlets), et täita mõningaid käske command line-il, mitte MBAM konsoolis. Nende cmdletide abil saavad administraatorid automatiseerida tüüpilisi MBAM käske. Järgnevalt toon välja olulisemad käsud.
'''Add-MbamHardwareType'''
Käsklus lisab uue riistvara mudeli MBAM-i riistvara inventuuri ja saab täpsustada kas riistvara on toetatud või mitte toetatud ketta krüpteerimiseks Bitlockeri abil.
'''Get-MbamBitLockerRecoveryKey'''
Käsklus küsib MBAM-ilt taastus võtme, et kasutajad saaksid vabastada krüpteeritud ketta lukust.
'''Get-MbamHardwareType'''
Käsklus tagastab informatsiooni MBAM-i riistavara inventuuri, kus on kirjas kas inventuuris olevad riistvara mudelitel on Bitlockeri krüpteerimis tugi.
'''Get-MbamTPMOwnerPassword'''
Käsklus pakub abi kasutajatele kelle TPM on neid süsteemist välja lukustanud ja enam ei võta vastu nende PIN koodi. Omanik sisestab TPM parooli ning selle abil saavad kasutajad hallata oma TPM süsteemi.
'''Install-Mbam'''
Käsklus installeerib MBAM-i funktsioonid.
'''Remove-MbamHardwareType'''
Eemaldab riistavara mudelid süsteemi inventuurist
'''Set-MbamHardwareType'''
Käsklus laseb administraatoril määrata inventuuris, millised mudelid töötavad Bitlockeriga ja millised mitte.
'''Uninstall-Mbam'''
Käsklus eemaldab MBAM-i ja kõik selle funktsioonid.
[http://onlinehelp.microsoft.com/en-us/mdop/hh285664.aspx]
=Kasutatud kirjandus=
* http://ahmedhusseinonline.com/2011/07/mbam-step-by-step-bitlocker-administration-and-monitoring/
* http://onlinehelp.microsoft.com/en-us/mdop/gg703313.aspx
* http://windowsteamblog.com/windows/b/springboard/archive/2011/06/27/getting-started-with-microsoft-bitlocker-administration-and-monitoring-mbam.aspx
* http://technet.microsoft.com/en-us/video/microsoft-bitlocker-administration-and-monitoring-mbam.aspx
* http://technet.microsoft.com/en-us/library/hh831507.aspx


===How to Administer MBAM Using PowerShell===
* http://www.microsoft.com/en-us/windows/enterprise/products-and-technologies/mdop/mbam.aspx


Microsoft BitLocker Administration and Monitoring (MBAM) provides the following set of Windows PowerShell cmdlets. Administrators can use these cmdlets to perform various MBAM server tasks from the command line rather than from the MBAM console. These cmdlets let administrators automate typical MBAM tasks.
* http://www.windowsitpro.com/article/security/microsoft-bitlocker-administration-monitoring-141818


Microsoft Bitlocker Administration and monitoring pakub võimalust administreerida
* http://blogs.technet.com/b/mdop/archive/2011/02/09/coming-to-mdop-microsoft-bitlocker-administration-and-monitoring.aspx

Latest revision as of 23:51, 14 October 2012

Mis on Microsoft Bitlocker Administration and Monitoring

Microsoft Bitlocker Administration and Monitoring (MBAM) pakub lihtsalt hallatava kasutajaliidese Bitlockeri kasutamiseks. MBAM laseb haldajal valida Bitlockeri krüpteerimise reegleid vastavalt organisatsiooni vajadustele, et kooskõlastada asutuse arvutitete reeglite ja teavitada serverile, kui asutuse arvuti krüpteerimise seisundiga on toiminud mingi lubamatu muudatus. Lisaks sellele saab MBAM-i abil pääseda ligi taastus võtmele, isegi siis kui arvuti kasutaja on oma PIN koodi ära unustanud, või kui tema BIOS või bootimis mälus on toimunud mingisugune muudatus. [1]

Eesmärk

Organisatsioonid üle maailma kasutavad Bitlocker Drive Encryption ja Bitlocker To Go, et kaitsta enda olulisi andmeid, kuna suurtes organisatsioonides ja firmades on palju arvuteid siis paljud suur firmad kasutavad Bitlocker Administration and Monitoringut (MBAM), et muuta Bitlockeri haldamine hõlpsamaks. Firma administraatoril on kõikide arvutite Bitlockeri andmed serveris olemas. Kui mõni töötaja unustab oma PIN koodi ära saab hõlpsasti kõvaketta lukust lahti teha, kuid kui puuduks selline süsteem siis võib jääda väga vajalikest andmedest ilma. [2]

Nõudmised

Server

Serveri operatsiooni süsteem: Windows Server 2008 sp2 või uuem.

Et kasutada Bitlockeri Administreerimist ja monitoorimist on vajalik, et serveril oleks installeeritud järgmised serveri rollid ja funktsioonid:

• Windows Server Web Server Role

• Web Server Role Services

Common HTTP Features:

• Static Content

• Default Document

Application Development:

• ASP.NET

• .NET Extensibility

• ISAPI Extensions

• ISAPI Filters Security:

• Windows Authentication

• Request Filtering

• Windows Server Features

• .NET Framework 3.5.1 features

• .NET Framework 3.5.1

• WCF Activation

• HTTP Activation

• Windows Process Activation Service

• Process Model

• .NET Environment Configuration APIs

Klient

MBAM Kliendi operatsioonisüsteem:

Windows 7 Enterprise Edition x86 or x64

Windows 7 Ultimate Edition x86 or x64

• Trusted Platform Module (TPM) v1.2

• TPM peab olema sisse lülitatud arvuti BIOS-is. Selle kohta saab rohkem informatsiooni arvuti BIOS-i dokumentatsioonist. [3]

Serveri Installeerimine

Bitlockeri Administreerimine ja monitoorimise installeerimiseks on kolm varianti:

1)Ühe arvuti konfiguratsioon:

Kõik MBAM-i vajalikud funktsioonid installeritakse ühe serveri peale, see konfiguratsioon on toetatud, kuid soovitatud vaid testimis eesmärkidel.

2) Kolme arvuti konfiguratsioon

Serveri rollid ja lisad installeritakse järgnevalt:

• Recovery and Hardware Database, Compliance and Audit Reports, and Compliance and Audit Reports installeritakse ühele serverile

• Administration and Monitoring Server feature installeritakse teisele serverile

• Group Policy template installeeritakse serverile või kasutaja arvutisse


3) Viie arvuti konfiguratsioon

Igale arvutile installeeritakse üks funktsioon.

· Recovery and Hardware Database

· Compliance Status Database

· Compliance and Audit Reports

· Administration and Monitoring Server

· Group Policy Template is installed on a server or client computer

Soovitatav on kasutada 3 arvuti konfiguratsiooni.


Installeerimise algus:

Esmalt tuleb läbi lugeda litsentsi tingimused ning nõustuda (accept).

Selle juhendi läbimiseks kasutame me ühe arvuti konfiguratsiooni, mis on soovitatav vaid testimis eesmärkidel.

Järgnevalt kontrollib installer kas kõik vajalikud komponendid on serveris installeeritud.

Kuna hetkel toimub see kinnises keskkonnas, siis me ei krüpteeri võrku, kuid kui tegu oleks mõne firma või organisatsiooni võrguga siis peab seda kindlasti tegema.

Valige riistvara ja taastus andmebaas.

Järgmisena valige Compliance audit-i andmebaas, kuna me installeerime kõik MBAM-i komponendid sellele serverile siis peab ka andmebaas asuma samas serveris.

Valige server kuhu rapordid esitatakse, kuna me kasutame ühe serveri konfiguratsiooni, siis selleks on see sama server.

Järgmisena peate seadistama MBAM-i veebis põhineva kontroll paneeli, tänu sellele saab ligi MBAM-ile väljaspool serverit.

Kui mõni teine programm kasutab juba sellist porti, peate valima muu pordi.

Seejärel valiga kas soovite, et MBAM uuendaks ennast automaatselt või mitte.

Kui kõik eelnev tehtud, saab installer edukalt alustada oma installeermis toimingutega.

Serveri installeering on edukalt tehtud.

[4]

Kliendi installeerimine

1) Võtke lahti Microsoft BitLocker Administration and Monitoring kliendi installifailid: MBAMClient-64bit.msi ja MBAMClient-32bit.msi, mis on kaasas MBAMi tarkvaraga.

2) Kasutage Microsoft System Center Configuration Manager-i et paigaldada kliendi tarkvara soovitud arvutitele.

3) Seadistage seadmed või grupi poliisid, et jooksutada kliendi installeri faili. Pärast seda, kui klient on installeeritud, loeb see automaatselt serveri grupi poliise ja seadmeid, selle jaoks peavad need olema samas domeenis. [5]

Operatsioonid MBAM-il

Kuidas teha kindlaks kaotatud arvuti Bitlockeri krüpeerimis seisundit

Microsoft BitLocker Administration and Monitoring (MBAM) sisaldab võimalust jälgida viimast teadaolevat krüptimisolekut arvutitel, mis on kadunud või varastatud. Järgmisena selgitatakse, kuidas määrata, kas mahud arvutis on krüpteeritud, kui on kadunud või varastatud.

Et teha kindlaks, BitLocker krüpteerimine olekut kaotatud arvutites:

1) Avage veebibrauser ja navigeerige BitLocker Administration and Monitoring juhtimis konsooli.

Märkus: vaikimisi on juhtimis konsooli aadress http:// <arvutinimi>.

2) Valige "Report" navigeerimispaanil ja seejärel valige Computer Compliance Report. Kasutage otsingufiltreid, et kitsendada otsingutulemusi, kuna suurtes firmades ja organisatsioonides võib olla väga palju arvuteid. Kui aga sisestada kindla arvuti andmed mis on kadunud siis saab tulemuse kiirelt kätte.

3) Leitud tulemusi näidatakse allpool. Valige seejärel käsk mida soovite teha kaotatud seadme puhul.


Kuidas taastata seadet TPM Lockout-ist

TPM lockout** võib juhtuda, kui kasutaja sisestab vale PIN koodi liiga palju kordi.

1) Et nullida TPM lockout avage veebibrauser ja navigeerige MBAM juhtimis veebilehele.

2) Vasakul navigeerimispaanil, valige Manage TPM. See avab Manage TPM lehel. Sisestage domeeni nimi, arvuti nimi ning kasutaja arvuti Windowsi sisselogimis kasutaja nimi, et saada teada TPM PIN kood.

3) Sisestage põhjus miks te nõuate TPM-i õiguste parool. Klõpsake nuppu Esita.

4) Peale esitamist Microsoft BitLocker Administration and Monitoring naaseb üks järgmistest:

4.1 Veateade, kui ei leidnud TPM-i õiguste parooli valitud arvutile.

4.2 Leitakse TPM-i õiguste parool valitud arvutile

5) Pärast seda kui näidatakse kasutaja TPM kood, saab selle ka salvestada .tpm failina.

6) Kasutaja avab TPM Managment konsooli ja sealt valib Reset TPM Lockout ja seejärel sisestab TPM PIN koodi.


Kuidas kasutada MBAM kliendi juht paneeli

Et avada MBAM kliendi kontrol paneeli tuleb teha läbi järgnevad sammud:

1) Avada Control Panel.

2) Juhtpaneelist valige Süsteem ja turve.

3) Topeltklõpsake BitLocker Encryption Options.

Seal näeb nimekirja kõikidest kõvaketastest arvutis ja saab nende krüptimisolekuid kontrollida, lisaks on võimalus hallata oma PIN-koodi või parooli. Samuti saab sealt avada lukustatud kõvaketast või taotleda erandit BitLockeri mitte kasutamiseks kui kasutajale ja arvutile on vabastamise poliitika lubatud. BitLockeri juhtpaneel võimaldab ka mitte-administraatori kasutajatel hallata oma PIN-koodi või parooli. Valides Halda PIN, palutakse kasutajal sisestada nii praegune PIN kui ka uus PIN (lisaks kinnitades uus PIN-koods). Kui soov on hallata oma parooli, valige Unlock Drive ja sisestage oma praegune parool. Niipea kui muundur on lukustamata, valige Taasta salasõna, et muuta oma kehtivat salasõna.

Kuidas kasutada Powershelli administreerides MBAM-i

Microsoft Bitlocker Administration and monitoring pakub järgnevaid käske, mida administraator saab kasutada Windows Powershellis. Administraatorid saavad kasutada (cmdlets), et täita mõningaid käske command line-il, mitte MBAM konsoolis. Nende cmdletide abil saavad administraatorid automatiseerida tüüpilisi MBAM käske. Järgnevalt toon välja olulisemad käsud.

Add-MbamHardwareType

Käsklus lisab uue riistvara mudeli MBAM-i riistvara inventuuri ja saab täpsustada kas riistvara on toetatud või mitte toetatud ketta krüpteerimiseks Bitlockeri abil.

Get-MbamBitLockerRecoveryKey

Käsklus küsib MBAM-ilt taastus võtme, et kasutajad saaksid vabastada krüpteeritud ketta lukust.

Get-MbamHardwareType

Käsklus tagastab informatsiooni MBAM-i riistavara inventuuri, kus on kirjas kas inventuuris olevad riistvara mudelitel on Bitlockeri krüpteerimis tugi.

Get-MbamTPMOwnerPassword

Käsklus pakub abi kasutajatele kelle TPM on neid süsteemist välja lukustanud ja enam ei võta vastu nende PIN koodi. Omanik sisestab TPM parooli ning selle abil saavad kasutajad hallata oma TPM süsteemi.

Install-Mbam

Käsklus installeerib MBAM-i funktsioonid.

Remove-MbamHardwareType

Eemaldab riistavara mudelid süsteemi inventuurist

Set-MbamHardwareType

Käsklus laseb administraatoril määrata inventuuris, millised mudelid töötavad Bitlockeriga ja millised mitte.

Uninstall-Mbam

Käsklus eemaldab MBAM-i ja kõik selle funktsioonid. [6]

Kasutatud kirjandus

Retrieved from "https://wiki.itcollege.ee/index.php?title=Windows_juhend:_Kuidas_kasutada_Microsoft_BitLocker_Administration_and_Monitoring-t&oldid=52574"