Bitlocker Verschlüsselung skriptgesteuert starten?

[todde_hb 4]

Hallo zusammen,

 

habe gerade ein Problem, Bitlocker scriptgesteuert zu starten. Lt. diversen Beiträgen, die ich im Netz gefunden habe, sollte es ja ganz leicht sein, entweder per Scheduled Task und dort die nötigen Parameter eingeben. Aber mein Win 10 Testclient ignoriert das komplett. Im Eventviewer wird nichts dazu angezeigt. Habe den Task zuerst bei "Logon" ausführen lassen, danach bei "System Startup" und dann noch zu einer bestimmten Uhrzeit. Schaue ich per RSOP, dann wird die Richtlinie auch erst gar nicht angezeigt, obwohl andere Einstelllungen aus der gleichen GPO wirken. Zu finden sind die Scheduled Tasks ja unter "Computer Configuration->Preferences->Control Panel Settings->Scheduled Tasks" Dort als Programm "c:\windows\system32\manage-bde" ausgewählt und als Argument" -on c: -RecoveryPassword". Nix passiert beim Client.

 

Nehme ich noch den Befehl und packe ihn im Sysvol in ein Skript und lasse es in der Computerkonfiguration als Startupscript laufen passiert auch nichts. Das wundert mich doch nun sehr. Im Log ist rein gar nichts zu sehen.

 

Was läuft da falsch?

 

Ciao, todde_hb

 

 

 

 

bearbeitet 31. Juli 2018 von todde_hb

[zahni 554]

Denke mal darüber nach:

 

Zitat

The following example illustrates enabling BitLocker on drive C with the option of a recovery password. The recovery password will be generated by BitLocker and displayed on the screen so that you can record it.

https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/manage-bde

 

Der einzige  mit  bekannte Weg  das zu automatisieren ist ein TPM-Chip und das Speicher der Recovery-Daten im AD. In allen anderen Fällen will der den Recovery-Key extern sichern.

 

 

 

[todde_hb 4]

@zahni

 

TPM ist vorhanden, zumindest vTPM, da der Testclient eine Win 10 VM ist. Per GPO habe ich eingestellt, dass der RecoveryKey im AD gesichert wird ( siehe Screenshots). Es sollte eigentlich funktionieren, zumal dies in diversen Howtos auch so beschrieben wird.

[todde_hb 4]

Habs jetzt hinbekommen. Habe das Script nicht mit der Computerkonfiguration per GPO verlinkt, sondern unter UserConfiguration. Jetzt wird es nach dem Login ausgeführt und nach einem erneuten Neustart wird die HDD verschlüsselt.

[Sunny61 806]

Aber nur weil der User Admin ist, sobald das ein 'normaler' User ist, schlägt das fehl.

[todde_hb 4]

vor 6 Stunden schrieb Sunny61:

Aber nur weil der User Admin ist, sobald das ein 'normaler' User ist, schlägt das fehl.

Mist. Kann man das umgehen? 

[MurdocX 949]

vor 49 Minuten schrieb todde_hb:

Mist. Kann man das umgehen? 

Muss es unbedingt über eine Gruppenrichtlinen-Skript sein? Du könntest dich remote auf den Computer verbinden, um Bitlocker zu aktivieren.

[Sunny61 806]

Probier es im Userkontext laufen zu lassen, dafür aber SYSTEM als ausführender Benutzer eintragen.