Salut à tous, c'est Florian d'IT Connect, aujourd'hui je vais vous expliquer comment
activer et configurer BitLocker sur des appareils Windows 10 ou Windows 11 à l'aide d'une stratégie
Microsoft Intune, ce qui va nous permettre d'automatiser le déploiement de la fonctionnalit�
BitLocker dont l'objectif est de chiffrer les disques des ordinateurs, c'est à dire que l'on
va pouvoir chiffrer le disque où le système d'exploitation Windows est installé, ce qui va
permettre de protéger les données qui sont stockées sur ce disque, mais on va pouvoir aussi faire en
sorte de chiffrer les autres disques et aussi de préparer la configuration pour permettre
éventuellement de chiffrer des périphériques de stockage amovibles. Alors dans la première
partie de la vidéo je vais évoquer les différents prérequis puisque notre objectif aujourd'hui ça
va être de mettre en place BitLocker de manière à l'activer, le configurer de manière automatique
et silencieuse, c'est à dire qu'il n'y aura aucune interaction à prévoir de la part de vos
utilisateurs, donc il y aura la partie prérequis et puis après nous partirons dans une phase de
démo où l'on va configurer pas à pas la stratégie et puis nous verrons ce que ça donne en pratique
sur une machine Windows 11. Alors si le programme vous plaît n'hésitez pas à regarder la suite de
la vidéo, mais avant cela pensez à vous abonner à la chaîne YouTube IT-Connect
Commençons par évoquer les prérequis que vous pouvez retrouver également sur le site officiel
de Microsoft. Alors tout d'abord en ce qui concerne la version Windows, il faudra soit du Windows 10
version 18.03 ou version 18.09 ou du Windows 11, en fait tout dépend si l'utilisateur qui
utilise la machine est administrateur local ou non du PC, comme on peut le voir ici, même si nous
après nous ferons en sorte d'autoriser un utilisateur qui n'est pas administrateur local �
activer BitLocker, ce qui fait que notre stratégie pourra être appliquée sans aucun problème et
BitLocker pourra se configurer en totale autonomie. Ensuite votre appareil Windows doit être intégr�
dans EntraEDI ou Azure AD pour reprendre l'ancien nom, c'est à dire qu'il doit être joint en tant
qu'appareil Microsoft EntraJoint, c'est à dire directement joint dans EntraEDI ou alors en mode
HybridJoint, c'est à dire que c'est un appareil qui est remonté dans EntraEDI en mode hybride par
l'intermédiaire d'une synchronisation Active Directory. Bien entendu la machine doit être aussi inscrite dans Intune. Ensuite au niveau configuration en tant que tel des appareils
on va avoir comme prérequis la présence d'un module TPM soit du 1.2 soit du 2.0, le 2.0 étant
mieux et c'est aussi un prérequis de Windows 11. Pourquoi le module TPM en tant que prérequis
puisqu'on peut configurer BitLocker avec un code PIN ? C'est parce que notre objectif est
vraiment de faire une activation et une configuration de manière silencieuse. Le
fait d'avoir un module TPM va nous permettre de s'appuyer sur ce composant matériel
pour toute la configuration et le stockage des clés de chiffrement notamment. C'est pour ça que
c'est important d'avoir un module TPM. Ensuite on a le mode UEFI natif qui doit être activé
on ne doit pas être en mode Legacy. Enfin le disque que l'on va chiffrer avec BitLocker ne
doit pas être déjà chiffré avec une solution tierce. Voilà pour les prérequis, je vous mettrai
dans la description de la vidéo différents liens dont le lien vers la documentation Microsoft
puisque au delà de présenter les prérequis, ça va aussi vous permettre d'obtenir des informations
détaillées supplémentaires par rapport aux paramètres de stratégie que l'on va configurer
dès maintenant. Me voici connecté sur le portail d'administration Microsoft Intune. Pour configurer
BitLocker avec Intune, nous avons deux possibilités. Soit on va dans la partie Appareils
Configuration, on crée une nouvelle stratégie. Au niveau de la plateforme, on prend Windows 10
on prend le modèle qui s'appelle Endpoint Protection. C'est la première méthode
mais ce n'est pas celle qui est recommandée. Celle qui est recommandée, c'est d'aller dans Sécurité du point de terminaison et dans Chiffrement de disques. Nous allons pouvoir
créer une nouvelle stratégie. On va ensuite choisir la plateforme Windows 10 et ultérieure
on va sélectionner le profil BitLocker. On va ensuite faire créer. On va devoir créer cette
stratégie. On retrouve un assistant assez traditionnel dans Intune. Tout d'abord, il faut nommer cette stratégie. Voici un exemple. On va passer à la suite et on va devoir configurer
les paramètres de configuration. On a deux grandes sections à cet endroit. La partie
BitLocker où c'est vraiment les paramètres globaux de BitLocker, savoir si on veut exiger ou non le
chiffrement des appareils. Ensuite, dans le modèle d'administration, ce sont un ensemble
de paramètres. On va voir qu'il y en a vraiment beaucoup, qui vont nous permettre de configurer
les algorithmes de chiffrement pour BitLocker, mais aussi de configurer BitLocker d'une certaine
manière pour les lecteurs du système d'exploitation, pour les lecteurs fixes et pour les lecteurs
amovibles. Vraiment pour les différents types de disques. On va passer l'ensemble de ces paramètres
en revue de manière à pouvoir configurer BitLocker. On va commencer tout d'abord par
la partie BitLocker qui est ici. Exiger le chiffrement des appareils, on va l'activer
Notre objectif, c'est vraiment de forcer, d'activer, de configurer BitLocker sur les
appareils que l'on va cibler avec cette stratégie par la suite. Nous allons désactiver les
notifications qui sont évoquées là, de manière à pouvoir activer ce paramètre important, autoriser
le chiffrement utilisateur standard. Ce qui veut dire qu'un utilisateur qui n'est pas administrateur
pourra chiffrer le disque. Ce qui va faire que notre configuration va pouvoir fonctionner de
manière automatique, même si l'utilisateur n'est pas administrateur de son appareil. C'est un petit
détail qui a son importance. On a un autre paramètre qui nous permet éventuellement de
définir comment on veut configurer la rotation du mot de passe de récupération au niveau de cet
appareil. Nous allons le laisser en non configuré, ce qui veut dire qu'il y aura déjà une rotation
qui sera faite pour les appareils qui sont joints directement dans IntraEdit, mais aussi pour les
appareils en hybride. Voilà pour cette première partie que l'on va replier. On va passer maintenant
sur la partie modèle d'administration. Nous allons passer en revue l'ensemble des paramètres
dans l'ordre. Déjà au tout début, on nous propose de configurer les différents algorithmes de
chiffrement. Ici on va faire activer, ce qui va nous permettre de choisir la méthode de
chiffrement pour les lecteurs fixe, pour les lecteurs amovibles et pour les lecteurs du
système d'exploitation. Que va-t-on choisir ici ? Microsoft nous recommande l'XTS AES pour les
lecteurs fixes et du système d'exploitation. On pourra passer sur 256 bits comme ceci. Pour les
lecteurs amovibles, on reste sur de l'AES CBC, que l'on va pouvoir passer en 256 bits également
Une fois que l'on a fait ça, on va pouvoir passer à la suite des paramètres. Pour les lecteurs du
système d'exploitation, on nous demande si on veut activer le chiffrement sur les lecteurs de type
Operating System, donc système d'exploitation. On va activer cela. Quel type de chiffrement on
veut utiliser ? Soit on est sur le chiffrement complet, c'est-à-dire que BitLocker va chiffrer
dès le départ l'intégralité du disque, ou soit on va chiffrer uniquement l'espace disque utilisé
Nous allons prendre cette méthode-là, en gros c'est plus rapide, ce qui veut dire qu'on va
chiffrer uniquement l'espace disque qui est déjà consommé sur chaque appareil et pas forcément le
disque complet. Parce que si on prend le disque complet, ça va être beaucoup plus long dès le
départ, même s'il y a très peu de données sur le disque. Il vaut mieux prendre ça et les données
seront chiffrées au fur et à mesure. Nous allons ensuite activer ce paramètre de manière à pouvoir
configurer le TPM comme un prérequis. Nous, on veut vraiment que le TPM soit un prérequis
pour que ce soit fait de manière automatique et silencieuse, j'insiste là-dessus. Ensuite
on a la possibilité de configurer une clé de démarrage ou un code PIN. Nous, on ne va pas
autoriser ça, toujours dans cet objectif d'avoir une configuration automatique et silencieuse
Puisque si on autorise la création d'un code PIN, ça veut dire que l'utilisateur, au niveau de son
appareil, va devoir choisir un code PIN. Cela implique une interaction de la part de l'utilisateur
et ce n'est pas ce qu'on souhaite. Nous, on veut s'appuyer sur le TPM. Ici, on va désactiver ce
paramètre et également celui-ci, la Startup Key. En fait, c'est une clé USB qui contient les
informations pour déverrouiller le lecteur et qu'on doit donc connecter à l'appareil. Nous
on ne veut pas ça, on est focus sur la puce TPM. On va laisser ça pour le reste. Tous ces paramètres
là, c'est pareil, on va les laisser de côté. Puisque c'est lié notamment à la partie code
PIN que nous, on a désactivé. Nous allons maintenant nous intéresser à ce paramètre
Je vais descendre un petit peu et on va activer ce paramètre pour avoir accès à des informations
supplémentaires. Cela permet de cacher les options de récupération lorsque l'on va initialiser
l'assistant de BitLocker. Cela permet de masquer l'étape. De toute façon, tout sera automatique
Et on va surtout cocher cette option, puisque cela permet de dire qu'on va d'abord générer les clés
BitLocker, envoyer la clé de récupération dans Enter ID ou l'Active Directory. Une fois qu'on a
validé cette opération, Windows va s'occuper de tout ça. A partir de là, on active le chiffrement
en BitLocker sur la machine. Ce qui fait que le chiffrement en BitLocker est activé sur la
machine qu'à partir du moment où les informations de récupération ont été sauvegardées dans votre
service de gestion des identités. On va prendre ça, on va ensuite descendre et on va bien sûr
cocher cette option pour lui dire de sauvegarder les informations de récupération dans le service
des identités. C'est logique par rapport à ce qu'on a configuré avant. On va ensuite bien
sauvegarder à la fois la clé de récupération et ce qu'ils appellent le Key Package. C'est-à-dire
en fait, c'est un ensemble d'informations qui pourront nous être utiles si jamais on a un
disque BitLocker qui est corrompu. Cela facilitera la récupération des données. On va vraiment
stocker tout ça comme je l'ai pris ici. Cette clé de récupération sera sous la forme d'un code de
48 chiffres. On va bien laisser cette option-là. Ensuite, on va passer à la suite. On va devoir
s'intéresser aux lecteurs de données fixes. On pourrait même arrêter la configuration ici si
on veut simplement s'intéresser aux lecteurs de systèmes d'exploitation. Mais si on veut gérer
les autres types de lecteurs et avoir une configuration homogène pour tous les types
de lecteurs sur nos appareils Windows, cela peut être intéressant de tout configurer. On peut
activer ça pour les lecteurs de données fixes. On va prendre ce mode de chiffrement-là. On va
retrouver les paramètres qu'on a déjà configurés avant, même s'il y en a moins pour ces types de
lecteurs-là. On va retrouver ces paramètres-là et on va avoir la même logique. On va activer
BitLocker que quand la clé sera déjà sauvegardée dans l'AD. Ici, on va sauvegarder tout
La clé de récupération sera composée de 48 chiffres. Ensuite, on va sauvegarder la clé BitLocker
On va activer ça aussi. Cette option-là, on va la désactiver. Si on l'active, cela veut dire que
sur les lecteurs fixes où BitLocker n'est pas activé, on est systématiquement en lecture
seul. Ce n'est pas forcément ce que l'on souhaite. Ce n'est pas parce qu'un lecteur n'est pas chiffré qu'on va bloquer l'accès. Mais en tout cas, c'est ce paramètre qui permet de gérer ce comportement-là
On va faire la même chose pour les lecteurs de données Amovib. On va se mettre ici en activé
Et nous allons faire la même chose pour les lecteurs de données Amovib. On va passer ici
sur activé. Là, on nous dit si on veut autoriser les utilisateurs à suspendre ou à désactiver le
chiffrement sur les périphériques de stockage Amovib. On ne va pas activer ce paramètre. Mais
par contre, on peut autoriser les utilisateurs à activer le chiffrement sur une clé USB
par exemple à l'aide de BitLocker. Là, on va faire Enable et on va ensuite reprendre cette option-là
Là, on n'a pas sur la partie lecteur de données Amovib tout ce qui est sauvegarde de la clé de
récupération dans l'Active Directory, etc. Et on retrouve enfin un dernier paramètre qui nous dit
si on veut refuser l'accès en lecture-écriture sur les périphériques Amovib où BitLocker n'est
pas activé. Donc là, on peut désactiver ce paramètre-là. Nous venons de configurer l'ensemble
des paramètres pour BitLocker dans nos stratégies. On va faire Suivant, on arrive sur la partie
balise détendue, on va passer sur Affectation. Là, on va sélectionner un groupe sur lequel on
veut appliquer cette stratégie. Moi, j'ai un groupe qui s'appelle PC Windows BitLocker qui
va me permettre déjà de tester cette stratégie avant de la déployer de manière plus massive
même si là c'est un lab. Donc, je peux me permettre de faire différents tests. Mais vraiment
je vous encourage déjà vous de votre côté à cibler un groupe avec quelques appareils pour tester
votre configuration. En fait, vous faites Suivant, on arrive à la fin, on peut réviser la
configuration et on va faire Créer. Donc là, la stratégie BitLocker a été créée bien dans la
partie Sécurité du point de terminaison, chiffrement de disques. Maintenant, la suite va être de tester
sur un poste de travail. Me voici connecté sur un poste de travail Windows 11 et on peut voir que
BitLocker n'est pas activé pour l'instant. Sur le lecteur C où le système d'exploitation est
installé, il n'y a pas de lecteur de données fixe, il n'y a pas de lecteur de données amovible sur
cette machine. C'est une machine virtuelle. Ce que je vais faire, c'est rafraîchir
synchroniser ma machine avec Intune pour récupérer ma nouvelle stratégie liée à BitLocker. On va
voir ensuite ce qui va se passer. J'ai redémarré la machine après avoir rafraîchi les stratégies
Dans la partie BitLocker, on voit bien ici un chiffrement BitLocker en cours et on nous dit
même que certains paramètres sont gérés par l'administrateur système. C'est bien notre stratégie
qui s'est déclenchée. Je n'ai absolument rien fait sur cette machine. Si je vais dans ce PC
je vois bien le logo BitLocker, comme quoi le chiffrement est activé et le lecteur est
actuellement déverrouillé. On le voit bien ici. Si on va dans l'observateur d'événements de la
machine, on va dans le journaux des applications et des services dans Microsoft Windows
vous allez retrouver un BitLocker API. Dans le journal management, vous allez pouvoir suivre
un peu, voir ce que fait BitLocker. Ce qui est intéressant, c'est l'événement avec l'ID 845
puisqu'il nous dit que la clé de récupération pour le volume C a été sauvegardée avec succès dans
Azure AD. Une fois que cette opération a été faite, et uniquement une fois qu'elle a ét�
faite, BitLocker va pouvoir se mettre en route et commencer à chiffrer notre disque. On voit bien
ici un chiffrement du volume C avec l'algorithme que l'on a choisi dans notre stratégie de
BitLocker. On voit bien que ça fonctionne parfaitement. Maintenant qu'on a vu que le
chiffrement BitLocker était actif sur cette machine, Windows est en train de chiffrer le
disque de travail. On va aller voir ce qui se passe du côté d'Intune et voir dans quelle mesure nous
pouvons suivre le déploiement de BitLocker, mais aussi comment on peut récupérer une clé de
récupération BitLocker. Tout d'abord, il faut savoir qu'à partir du portail Microsoft Intune
quand vous allez dans Appareils, vous avez le Monitor. Dans le Monitor, vous avez un ensemble
de rapports prédéfinis. Un des rapports qui est intéressant, c'est l'état du chiffrement de
l'appareil. Quand on va dessus, on va voir la liste des machines avec leur nom, leur système
la version du système, la version TPM, ce qui est intéressant. La préparation du chiffrement
ça indique si la machine est prête ou non à être chiffrée avec BitLocker. Ça ne veut pas dire
qu'elle a été chiffrée, d'ailleurs on voit bien ici l'état du chiffrement non chiffré. C'est une
page que j'avais chargée avant d'appliquer la stratégie, maintenant si j'actualise cette page
c'est toujours sur non chiffré, mais au bout d'un certain temps, quand le chiffrement sera
terminé sur mes appareils, ça devrait évoluer ici. Ça vous donne vraiment l'occasion de suivre
le chiffrement, au-delà d'aller sur les machines en elles-mêmes, de regarder ce qui se passe et
de suivre l'observateur d'événement. Vous avez l'information qui remonte ici. Pour récupérer
les clés de récupération BitLocker, vous avez plusieurs possibilités, vous avez via le portail
Microsoft Enter ID, via le portail Intune, on retrouve à peu près les mêmes informations
pour les appareils dans les deux portails. Ensuite, on va aller dans Windows par exemple
dans l'appareil qui est ici, donc le premier, et je vais aller sur la gauche ici dans clé de
récupération. Dans la clé de récupération, j'ai un ID de clé, le type de lecteur, le lecteur du
système d'exploitation, et je peux cliquer sur afficher la clé de récupération, ce qui me
permet d'obtenir la clé de récupération composée de 48 chiffres, comme on peut le voir ici. Je
peux copier-coller cette clé pour éventuellement, si j'ai besoin de faire une récupération sur
cet appareil. On voit bien qu'elle a été sauvegardée directement dans le service cloud de Microsoft
Si je bascule sur le portail Entra, que je vais dans Appareils, dans tous les appareils
on a deux manières d'accéder aux clés de récupération. Soit directement ici, clé BitLocker
pré-version, donc là c'est la liste de tous les appareils, on peut faire une recherche, ou soit on clique sur un appareil et ensuite on retrouve ici, clé BitLocker pré-version
et on va retrouver les mêmes informations que l'on avait tout de suite dans le portail
Microsoft Intune. L'autre solution consiste à aller sur cette page avec son propre compte
Microsoft, c'est à dire que le propriétaire d'un appareil peut accéder lui-même aux clés
de récupération de sa machine. Sur cette page, qui est raccourcie vers mon compte périphérique
je vais retrouver la liste de mes appareils. J'ai mon appareil ici, parce que je suis le
propriétaire de cet appareil vis-à-vis du compte que j'utilise pour me connecter sur l'espace
Microsoft, et ici j'ai bien affiché les clés BitLocker, affiché la clé de récupération
et je peux moi-même en tant qu'utilisateur récupérer la clé de récupération de ma
machine. Il faut savoir aussi qu'on a cette possibilité pour récupérer une clé BitLocker
ce n'est pas forcément accessible que aux administrateurs Intune ou à ceux qui ont
suffisamment de droits pour aller lire ces informations dans Intune ou dans Entra
Voilà cette vidéo touche à sa fin, nous venons de voir comment activer et configurer BitLocker sur
des appareils Windows de façon totalement silencieuse pour les utilisateurs, c'est à dire
qu'en configurant cette stratégie à destination de Windows 10 et Windows 11, vous allez pouvoir
automatiser le déploiement de BitLocker pour chiffrer les disques de vos appareils. Le seul
prérequis et la contrainte, c'est vraiment d'avoir une puce TPM dans les appareils, mais si vous êtes
équipé de Windows 11, cette contrainte ne devrait pas forcément vous faire peur. Attention toutefois
si vous avez plutôt des machines en Windows 10 qui n'ont pas forcément de puce TPM
donc peut-être avant, essayez de faire un tour de votre parc, de votre inventaire pour faire le
point et faire un groupe dans Entra qui va contenir uniquement les machines avec de la puce TPM. Il
faudra peut-être traiter les autres de manière indépendante, ou vous allez configurer potentiellement
BitLocker sur ces machines. Malheureusement, il n'y a pas de façon très simple pour faire un
groupe dynamique ou un groupe dans Entra avec uniquement les machines qui ont des puces TPM
il y a probablement des possibilités, mais pas de façon simple avec quelques clics via le portail
Intune, ni même avec celui de Entra. J'espère que cette vidéo vous a plu, n'hésitez pas �
liker, à commenter et à partager au maximum et je vous dis à très vite ! Ciao