Comment activer et configurer BitLocker à l'aide de Microsoft Intune

Commencez par vous connecter au centre d'administration Microsoft Intune où vous configurerez les politiques BitLocker. C'est l'emplacement centralisé pour toutes les configurations de sécurité des points de terminaison.

Ouvrez votre navigateur web et accédez à https://endpoint.microsoft.com. Connectez-vous avec vos identifiants d'administrateur qui ont les permissions de configuration des appareils Intune.

Une fois connecté, naviguez vers Sécurité des points de terminaison dans le volet de navigation de gauche, puis sélectionnez Chiffrement de disque. Cette section contient toutes les politiques liées au chiffrement pour vos appareils gérés.

Vérification : Vous devriez voir la page d'aperçu du chiffrement de disque avec des options pour créer de nouvelles politiques et voir celles existantes. Si vous ne voyez pas ces options, vérifiez que votre compte dispose des permissions Intune nécessaires.

Créez une politique BitLocker dédiée en utilisant la méthode recommandée de sécurité des points de terminaison. Cette approche offre une interface simplifiée spécialement conçue pour la gestion du chiffrement.

Cliquez sur Créer une politique dans la section Chiffrement de disque. Dans l'assistant de création de politique :

• Définissez Plateforme sur Windows 10 et versions ultérieures
• Définissez Profil sur BitLocker
• Cliquez sur Créer

Dans l'onglet Informations de base, configurez les éléments suivants :

Nom : EndpointSecurity-BitLocker-Production
Description : Politique de chiffrement BitLocker pour les appareils Windows 10/11 avec activation silencieuse

Cliquez sur Suivant pour passer aux paramètres de configuration.

Vérification : L'assistant de création de politique devrait passer à l'onglet Paramètres de configuration, affichant des options spécifiques à BitLocker.

Configurez les paramètres essentiels de BitLocker qui permettent le chiffrement silencieux sans interaction de l'utilisateur. Ces paramètres sont cruciaux pour les déploiements en entreprise où vous souhaitez que le chiffrement se fasse automatiquement.

Dans la section Paramètres de configuration, configurez ces options clés :

Options BitLocker :

Exiger le chiffrement de l'appareil : Activé
Autoriser l'avertissement pour le chiffrement d'autres disques : Désactivé
Autoriser les utilisateurs standard à activer le chiffrement lors de la jonction Entra ID : Activé

Lecteurs du système d'exploitation :

Activer silencieusement BitLocker sur les appareils avec TPM : Activé
Méthode de chiffrement pour les lecteurs du système d'exploitation : XTS-AES 256 bits
Longueur minimale du code PIN : 6 (si authentification par code PIN)
Configurer la rotation du mot de passe de récupération : Activé

Lecteurs de données fixes :

Méthode de chiffrement pour les lecteurs de données fixes : XTS-AES 256 bits
Refuser l'accès en écriture aux lecteurs fixes non protégés par BitLocker : Activé

La méthode de chiffrement XTS-AES 256 bits offre la sécurité la plus forte tout en maintenant de bonnes performances sur le matériel moderne.

Vérification : Survolez les icônes d'information à côté de chaque paramètre pour voir des explications détaillées de ce que fait chaque option.

Configurez une gestion appropriée des clés de récupération pour garantir que les utilisateurs peuvent récupérer leurs données s'ils oublient leurs mots de passe ou rencontrent des problèmes matériels. Les clés de récupération sont automatiquement stockées dans Microsoft Entra ID.

Configurez ces paramètres de récupération dans la même section Paramètres de configuration :

Options de récupération pour les lecteurs du système d'exploitation :
- Configurer la rotation du mot de passe de récupération : Activé
- Fréquence de rotation : 180 jours
- Enregistrer les informations de récupération BitLocker dans Azure Active Directory : Activé
- Informations de récupération à stocker : Mots de passe de récupération et packages de clés
- Autoriser le stockage des informations de récupération avant d'activer BitLocker : Requis

Pour une sécurité supplémentaire, configurez ces options de récupération avancées :

Masquer les options de récupération lors de la configuration de BitLocker : Activé
Activer le stockage des informations de récupération avant d'activer BitLocker : Requis
Bloquer l'utilisation de l'agent de récupération de données basé sur un certificat : Activé

Ces paramètres garantissent que les clés de récupération sont stockées en toute sécurité dans le cloud avant le début du chiffrement, évitant ainsi les scénarios de verrouillage.

Vérification : La politique doit montrer toutes les options de récupération configurées. Vous pouvez vérifier que les clés de récupération sont stockées en vérifiant les propriétés de l'appareil dans Entra ID après le déploiement.

Attribuez votre politique BitLocker à des groupes spécifiques d'appareils ou d'utilisateurs. Une attribution correcte des groupes garantit que la politique ne se déploie qu'aux appareils prévus et évite les conflits.

Cliquez sur Suivant pour atteindre la section Balises de portée. Si vous utilisez des balises de portée pour l'administration basée sur les rôles, attribuez les balises appropriées. Sinon, cliquez sur Suivant pour continuer.

Dans l'onglet Affectations, configurez vos groupes cibles :

1. Cliquez sur Ajouter des groupes sous Groupes inclus
2. Recherchez et sélectionnez vos groupes d'appareils cibles (par exemple, "Windows-Workstations" ou "Finance-Laptops")
3. Cliquez sur Sélectionner

Pour les tests, commencez par un petit groupe pilote :

Groupes inclus : BitLocker-Pilot-Devices (10-20 appareils)
Groupes exclus : BitLocker-Exceptions (appareils qui ne doivent pas être chiffrés)

Vous pouvez attribuer à la fois à des groupes d'utilisateurs et à des groupes d'appareils. Les groupes d'appareils sont généralement préférés pour les politiques de chiffrement car ils garantissent une application cohérente quel que soit l'utilisateur connecté.

Vérification : La section Affectations doit afficher vos groupes sélectionnés avec les paramètres d'inclusion/exclusion corrects.

Complétez le processus de création de la stratégie et déployez-la sur vos appareils sélectionnés. Cette étape finale active le chiffrement BitLocker sur vos points de terminaison gérés.

Dans l'onglet Révision + création, examinez attentivement tous vos paramètres de configuration :

• Nom et description de la stratégie
• Plateforme et type de profil (Windows 10 et versions ultérieures, BitLocker)
• Tous les paramètres de configuration que vous avez définis
• Affectations de groupes cibles

Si tout semble correct, cliquez sur Créer pour déployer la stratégie.

Après la création, la stratégie apparaîtra dans votre liste de stratégies de chiffrement de disque avec un statut "Déploiement" ou "Actif".

Surveillez le déploiement initial en naviguant vers Appareils > Surveiller > Rapport de chiffrement. Ce rapport montre :

Statut de chiffrement de l'appareil :
- Chiffré : Appareils avec BitLocker activé avec succès
- Prêt : Appareils qui répondent aux exigences mais dont le chiffrement n'a pas commencé
- Non applicable : Appareils qui ne prennent pas en charge BitLocker
- Erreur : Appareils avec des échecs de déploiement

Vérification : Vérifiez le rapport de chiffrement dans les 24 heures. Les appareils devraient afficher le statut "Prêt" initialement, puis passer à "Chiffré" à mesure que le processus se termine.

Confirmez que BitLocker est correctement déployé et fonctionne sur vos appareils cibles. Cette étape de vérification garantit que la politique a fonctionné correctement et que le chiffrement est actif.

Sur un appareil cible, ouvrez l'invite de commande en tant qu'administrateur et exécutez :

manage-bde -status

Vous devriez voir une sortie similaire à :

BitLocker Drive Encryption: Configuration Tool version 10.0.22000
Copyright (C) 2013 Microsoft Corporation. Tous droits réservés.

Volume C: [Windows]
[Volume OS]

    Taille :              476.84 GB
    Version BitLocker :   Windows 10
    État de conversion :  Espace utilisé uniquement chiffré
    Pourcentage chiffré : 100%
    Méthode de chiffrement : XTS-AES 256
    État de protection :  Protection activée
    État de verrouillage : Déverrouillé
    Champ d'identification : Inconnu
    Protecteurs de clé :  TPM

De plus, vérifiez dans le centre d'administration Intune :

1. Accédez à Appareils > Tous les appareils
2. Sélectionnez un appareil cible
3. Vérifiez la section Chiffrement dans les propriétés de l'appareil
4. Confirmez que le statut indique "Chiffré" et que la clé de récupération est stockée

Vous pouvez également vérifier que les clés de récupération sont correctement stockées en consultant Appareils > Surveiller > Rapport de chiffrement pour un statut détaillé appareil par appareil.

Vérification : Tous les appareils cibles devraient afficher le statut "Protection activée" et "100% chiffré" dans la sortie de manage-bde.

Créez des stratégies de conformité qui imposent le chiffrement BitLocker et agissez sur les appareils non conformes. Cela garantit une conformité de sécurité continue dans votre organisation.

Accédez à Appareils > Stratégies de conformité > Créer une stratégie. Configurez ce qui suit :

Plateforme : Windows 10 et versions ultérieures
Nom : BitLocker-Compliance-Policy
Description : Imposer le chiffrement BitLocker sur tous les appareils Windows gérés

Dans la section État de l'appareil, configurez :

Exiger BitLocker : Exiger
Exiger que le démarrage sécurisé soit activé sur l'appareil : Exiger
Exiger l'intégrité du code : Exiger

Configurez des actions pour la non-conformité dans la section Actions pour la non-conformité :

Action : Marquer l'appareil comme non conforme
Planification : Immédiatement

Action : Envoyer un e-mail à l'utilisateur final
Planification : 1 jour après la non-conformité

Action : Bloquer l'accès aux ressources de l'entreprise
Planification : 7 jours après la non-conformité

Attribuez cette stratégie de conformité aux mêmes groupes que votre stratégie de chiffrement BitLocker pour garantir une application cohérente.

Vérification : Vérifiez Appareils > Surveiller > Appareils non conformes pour voir les appareils qui ne répondent pas à vos exigences BitLocker.

Abordez les problèmes les plus courants qui surviennent lors du déploiement de BitLocker via Intune. Comprendre ces problèmes vous aide à les résoudre rapidement lorsqu'ils surviennent.

Problèmes de TPM et de matériel :

Si les appareils affichent le statut "Non applicable", vérifiez la disponibilité du TPM :

tpm.msc

Solutions courantes :

• Activer le TPM dans les paramètres BIOS/UEFI
• S'assurer que le mode UEFI est activé (pas le BIOS hérité)
• Mettre à jour le firmware du TPM si vous utilisez TPM 1.2 sur Windows 11

Conflits de chiffrement préexistants :

Si un chiffrement tiers est détecté, déchiffrez d'abord le lecteur :

manage-bde -off C:

Attendez que le déchiffrement soit terminé avant d'appliquer la stratégie Intune.

Conflits de stratégie :

Vérifiez les conflits de stratégie en examinant :

• Appareils > Profils de configuration - Recherchez plusieurs stratégies de chiffrement
• Sécurité des points de terminaison > Chiffrement de disque - Assurez-vous qu'une seule stratégie BitLocker active par groupe d'appareils

Problèmes de permission d'utilisateur standard :

Pour les appareils Windows 10 antérieurs à 1809, les utilisateurs standard ne peuvent pas activer BitLocker lors de la jonction Entra ID. Solutions :

• Mettre à niveau vers Windows 10 1809 ou version ultérieure
• Utiliser des comptes administrateurs pour la configuration initiale
• Activer le paramètre "Autoriser les utilisateurs standard à activer le chiffrement lors de la jonction Entra ID"

Vérification : Après avoir appliqué les correctifs, les appareils devraient passer du statut "Erreur" ou "Non applicable" à "Prêt" puis "Chiffré" dans le rapport de chiffrement.