Intune – ディスク暗号化（BitLocker）をデバイスに適用　動作確認 | hirota.noの技術ブログ〜 It's all over the network.

WindowsデバイスにBitLockerを設定することで、ディスク暗号化されます。そのため、デバイスを紛失したり盗まれたりした際の情報漏洩リスクを軽減します。

この記事では、Intuneを用いてWindowsデバイスのディスクをBitLockerで暗号化する手順とその動作を確認します。

Intuneでは、構成プロファイルを用いた設定もできますが、今回は、「エンドポイントセキュリティ」の「ディスクの暗号化」プロファイルを用いた手順を確認します。

ディスクの暗号化設定

「Microsoft Intune 管理センター（https://intune.microsoft.com/）」より、「エンドポイントセキュリティ」をクリックします。

「管理する」>>「ディスク暗号化」をクリックします。

「ポリシーの作成」をクリックします。

プラットフォームに「Windows10以降」、プロファイルに「BitLocker」を選択し、「作成」をクリックします。

任意の名前（今回は「ディスク暗号化」）を設定し、「次へ」をクリックします。

次の「構成設定」では、設定項目が大きく、「BitLocker」と「管理用テンプレート」に分かれます。

ディスクの暗号化を必須にする：BitLockerを有効にしますので、「有効」にします。
他のディスク暗号化の警告を許可する：「無効」にすることで、サイレントに暗号化が行われます。また、回復キーがMicrosoft Entra に保存されます。
標準ユーザの暗号化を許可する：ログインしているユーザーが管理者でない場合でも、BitLockerを有効にすることができます。「有効」に設定します。
回復パスワードローテーションの構成：パスワード使用後のローテーションの有無を設定します。今回は、Entra ID参加しているデバイスに対して、BitLockerを有効にするため、「Azure AD参加済みデバイスに対して更新をオンにする」を選択します。

「Windows コンポーネント」>>「BitLockerドライブ暗号化」では、暗号化方式を設定します。

Choose drive encryption method and cipher strength (Windows 10 [ Version 1511] and later)：暗号化方法の構成の選択の有無を指定します。ここでは、Enabled（有効）にしてみます。すると、3項目に対して、暗号化方式を指定できます。
Select the encryption method for fixed data drives：固定データドライブの暗号化に対する暗号化方式を指定します。ここでは、デフォルトとします。
Select the encryption method for removable data drives：リムーバブルデータドライブの暗号化に対する暗号化方式を指定します。ここでは、デフォルトとします。
Select the encryption method for operating system drives：OSドライブの暗号化に対する暗号化方式を指定します。ここでは、デフォルトとします。

次にオペレーティングシステムドライブの暗号化について、設定します。

Enforce drive encryption type on operating system drive：BitLockerの暗号化を強制したいので、Enabled（有効）にします。
Select the encryption type：Used Space Only encryption（使用中のスペースのみ暗号化）を選択します。

「起動時の追加認証（Require additional authentication at startup）」をEnabled（有効）に設定します。