如何配置MBAM的加密策略？

MBAM加密策略配置详解

一、MBAM策略配置基础

1. 访问MBAM管理控制台

1. 在MBAM服务器上打开"Microsoft BitLocker Administration and Monitoring"控制台
2. 导航至"BitLocker策略管理"节点

2. 基本策略配置路径

MBAM控制台 > 管理 > BitLocker策略管理 > 操作系统驱动器/固定数据驱动器/可移动数据驱动器

二、操作系统驱动器策略配置

1. 加密要求设置

<!-- 示例GPO策略配置 -->
<Policy xsi:type="OperatingSystemDrivePolicy">
  <EncryptionMethod>4</EncryptionMethod>  <!-- AES-256 -->
  <RequireEncryption>true</RequireEncryption>
  <AllowSecureBootForIntegrity>true</AllowSecureBootForIntegrity>
</Policy>

2. 启动认证选项

• TPM专用：仅使用TPM芯片验证
• TPM + PIN（推荐企业配置）：

  # 设置最小PIN长度
  Set-MBAMPolicy -OSMinPINLength 6
  

• TPM + 启动密钥：需要USB密钥
• TPM + PIN + 启动密钥（最高安全）

3. 恢复选项配置

# 配置恢复密码策略
Set-MBAMPolicy -OSRecoveryPasswordRotation 30  # 30天轮换
Set-MBAMPolicy -OSHideRecoveryPage $false      # 显示恢复选项

三、固定数据驱动器策略

1. 基本加密设置

<Policy xsi:type="FixedDrivePolicy">
  <RequireEncryption>true</RequireEncryption>
  <EncryptionMethod>3</EncryptionMethod>  <!-- AES-128 -->
  <AllowWriteAccessToUnencryptedDrive>false</AllowWriteAccessToUnencryptedDrive>
</Policy>

2. 自动解锁配置

# 启用自动解锁（需OS驱动器已加密）
Set-MBAMPolicy -FixedDriveAutoUnlockEnabled $true

四、可移动驱动器策略

1. 写入控制策略

# 配置可移动驱动器策略
Set-MBAMPolicy -RemovableDriveDenyWriteAccess $true
Set-MBAMPolicy -RemovableDriveRequireEncryption $true

2. 例外配置

<!-- 允许特定厂商设备写入 -->
<Exemptions>
  <VendorId>0x1234</VendorId>
  <ProductId>0x5678</ProductId>
</Exemptions>

五、高级策略配置

1. 加密强度设置

算法代码	加密方法	适用场景
3	AES-128 (默认)	普通数据
4	AES-256	敏感数据
6	XTS-AES-128	Win10 1511+
7	XTS-AES-256	高安全要求

2. 组策略部署

1. 配置完成后生成策略包
2. 通过GPO部署到目标OU：

   gpupdate /force  # 客户端强制刷新策略
   

3. 策略验证命令

# 检查客户端策略应用状态
Get-MBAMClientPolicy -Verbose

# 验证加密状态
Manage-bde -status

六、合规性策略配置

1. 加密期限设置

# 设置新设备必须在7天内完成加密
Set-MBAMPolicy -EncryptionComplianceDeadline 7

2. 不合规处理

<NonCompliance>
  <GracePeriod>24</GracePeriod>  <!-- 24小时宽限期 -->
  <RemediationAction>2</RemediationAction>  <!-- 自动修复 -->
</NonCompliance>

七、企业最佳实践配置

1. 分层策略配置：

   • 高管设备：TPM+PIN+AES-256
   • 普通员工：TPM+AES-128
   • 访客设备：仅可移动驱动器控制

2. 密钥轮换策略：

   # 每90天轮换恢复密码
   Set-MBAMPolicy -OSRecoveryPasswordRotation 90
   Set-MBAMPolicy -FixedDriveRecoveryPasswordRotation 90
   

3. 与Intune集成（混合环境）：

   # 启用云策略同步
   Set-MBAMPolicy -CloudIntegrationEnabled $true
   

重要提示：策略更改后，客户端可能需要重启或等待策略刷新周期（默认90分钟）才能生效。对于关键系统，建议先在测试OU验证策略效果再推广到生产环境。