Intuneで簡単！WindowsデバイスにBitLockerを適用する手順と確認方法

Windows デバイスのセキュリティを高める基本の対策の1つが、ディスクの暗号化です。BitLocker でドライブを暗号化しておけば、デバイスを紛失したり盗まれたりしても、ディスクの中身を読まれるリスクを大きく減らせます。

この記事では、Microsoft Intune のエンドポイント セキュリティから Windows デバイスに BitLocker を適用し、暗号化の進み方、回復キーの保存、ポリシーの適用状況までを確かめます。

概要

BitLocker は Windows に組み込まれたディスク暗号化の機能で、OS ドライブやデータ ドライブを暗号化して、不正なアクセスからデータを守ります。Intune を使えば、BitLocker の設定を多数のデバイスにまとめて配信し、状態や回復キーを一か所で管理できます。

検証の構成

Entra 参加し Intune に登録した Windows 11 のデバイス「Win11-3」を使います。ポリシーは「セキュリティ適用グループ」に割り当て、Win11-3 をこのグループのメンバーにしています。BitLocker の設定は、構成プロファイルでもできますが、今回はエンドポイント セキュリティの「ディスクの暗号化」ポリシーを使います。

ディスクの暗号化ポリシーを作る

プロファイルを作成する

Microsoft Intune 管理センター（https://intune.microsoft.com/）で、エンドポイント セキュリティ ›› ディスクの暗号化 を開き、「ポリシーの作成」をクリックします。プラットフォームとプロファイルを選び、「作成」をクリックします。名前は「ディスク暗号化」にしました。

現在のドキュメントでは、プラットフォームは「Windows」と案内されています。「構成設定」は、大きく「BitLocker」と「管理用テンプレート」の2つに分かれています。

BitLocker の設定

「BitLocker」では、暗号化を必須にするかどうかと、ユーザーへの確認の有無を決めます。サイレント暗号化にするには、上の2つの設定が必要です。

Entra 参加のデバイスでサイレントに暗号化した場合、回復キーは暗号化のときに Entra ID へ自動でバックアップされます。

管理用テンプレート（暗号化方式と OS ドライブ）

「管理用テンプレート」の Windows コンポーネント ›› BitLocker ドライブ暗号化 では、ドライブの種類ごとの暗号化方式を決めます。「Choose drive encryption method and cipher strength」を Enabled にすると、3つのドライブの暗号化方式を選べるようになります。今回は、どれも既定値のままにしました。

続けて オペレーティング システム ドライブ で、OS ドライブの暗号化の種類と、起動時の認証を設定します。

「使用領域のみ」の暗号化は、データが書き込まれている領域だけを暗号化するので、ディスク全体を暗号化するより早く終わります。この設定をしない場合、サイレント暗号化では、モダン スタンバイ対応のデバイスは使用領域のみ、非対応のデバイスはディスク全体が暗号化されます。

「固定データ ドライブ」と「リムーバブル データ ドライブ」の設定もありますが、今回は構成せずに「次へ」をクリックします。

割り当てと作成

「スコープ タグ」は何も設定せず、「次へ」をクリックします。「割り当て」で「グループの追加」をクリックし、「セキュリティ適用グループ」を選んで「選択」をクリックします。

「確認および作成」で名前と構成設定（BitLocker、管理用テンプレート）を確認し、「作成」をクリックします。ディスクの暗号化の一覧に、ポリシーが登録されます。

動作確認

適用前の状態とデバイスの同期

適用前の Win11-3 では、BitLocker は有効になっていません（コントロール パネルの BitLocker ドライブ暗号化で「C: BitLocker が無効です」と表示されていました）。

ポリシーを早く反映させるため、Intune 管理センターの デバイス ›› すべてのデバイス で Win11-3 を開き、「同期」をクリックして、確認のメッセージで「はい」をクリックします。

manage-bde で暗号化の進み方を見る

しばらくしてから、Win11-3 で manage-bde -status を実行して、暗号化の状態を確認しました。管理者として起動したコマンド プロンプトか PowerShell で実行します。

PS C:\Users\（伏せています）> manage-bde -statusBitLocker ドライブ暗号化: 構成ツール Version 10.0.22621ボリューム C: [][OS ボリューム]    サイズ: 79.09 GB    BitLocker のバージョン: 2.01    変換状態: 暗号化を実行中です    暗号化された割合: 63.2%    暗号化の方法: XTS-AES 1282    保護状態: 保護はオフです    ロック状態: ロック解除    識別子フィールド: 不明    キーの保護機能:        数字パスワード        TPM

しばらくすると、暗号化が完了しました。

PS C:\Users\（伏せています）> manage-bde -statusBitLocker ドライブ暗号化: 構成ツール Version 10.0.22621ボリューム C: [][OS ボリューム]    サイズ: 79.09 GB    BitLocker のバージョン: 2.03    変換状態: 使用領域のみ暗号化    暗号化された割合: 100.0%4    暗号化の方法: XTS-AES 1285    保護状態: 保護はオンです    ロック状態: ロック解除    識別子フィールド: 不明6    キーの保護機能:        数字パスワード        TPM

Windows の画面でも確認できます。設定 ›› プライバシーとセキュリティ ›› Windows セキュリティ ›› デバイスのセキュリティ ›› BitLocker ドライブ暗号化を管理する を開くと、「C: BitLocker が有効です」と表示されました。

回復キーを確認する

回復キーは Intune 管理センターから確認できます。デバイス ›› Windows の一覧で Win11-3 を開き、モニター ›› 回復キー をクリックして、「回復キーの表示」をクリックします。

回復キーを表示するには、Entra ID のクラウド デバイス管理者、ヘルプデスク管理者、グローバル管理者のロールなど、BitLocker キーを読み取る権限が必要です。回復キーは、Entra 管理センターのデバイスの画面や、Intune の暗号化レポート（デバイス ›› モニター ›› 暗号化レポート）からも確認できます。

適用状況を確認する

Intune 管理センターで エンドポイント セキュリティ ›› ディスクの暗号化 を開き、作成したポリシー「ディスク暗号化」をクリックします。「デバイスとユーザーのチェックイン状態」で「成功」がカウントされていることを確認し、「レポートの表示」をクリックすると、対象のデバイスが表示されます。

ポリシーが「成功」でも、暗号化そのものが終わったとは限りません。デバイスごとの暗号化の状態は、デバイス ›› モニター ›› 暗号化レポート で確認できます。

うまくいかないときの確認ポイント

まとめ

Intune のディスク暗号化ポリシーを使えば、ユーザーに操作を求めずに BitLocker を有効にし、回復キーを Entra ID で管理できます。サイレント暗号化の条件と起動時の認証の設定を押さえておけば、多数のデバイスにもまとめて展開できます。

関連記事：Intune – LAPS(ローカル管理者パスワードの管理）の適用　動作確認／IntuneとMicrosoft Defenderで攻撃面縮小（ASR）を実現する手順と検証方法