Bitlocker-Wiederherstellungs-Agent

 

Microsoft hat mit Windows Vista die Bitlocker-Laufwerksverschlüsselung eingeführt.

Bei Einsatz von Verschlüsselungstechnologien ist es empfehlenswert für den Fall, das der normale Weg zum Entschlüsseln der Daten oder Laufwerke nicht funktioniert, einen Weg bereitzustellen, die Daten wiederherzustellen. Bitlocker bietet mehrere Wege. Einer ist im Unternehmensnetzwerk der Wiederherstellungsagent. Um einen Bitlocker-Wiederherstellungs-Agenten in einen Netzwerk mit AD DS einzurichten, muss ein Zertifikat für den entsprechenden Benutzer erstellt und dieses auf die Computer verteilt werden.

 

In den administrativen Vorlagen der Gruppenrichtlinie muss die Unternehmens ID konfiguriert sein.

 

b_dra_01.jpg

 

Die Konfiguration des BitLocker Wiederherstellungs-Agenten lässt sich in vier Schritte unterteilen

 

Vorbereiten der PKI zur Bereitstellung der Zertifikatvorlage

Bereitstellen der Zertifikatvorlage für den Bitlocker-Wiederherstellungs-Agenten

Zertifikat registrieren und exportieren

Erstellen des Bitlocker-Wiederherstellungs-Agenten

 

 

Vorbereiten der PKI zur Bereitstellung der Zertifikatvorlage

 

 

Um die benötigten Anwendungsrichtlinien für die Zertifikatvorlagen zur Verfügung zu haben, muss das Feature BitLocker-Laufwerksverschlüsselung auf dem Domänencontroller, der die Betriebsmasterrolle Schemamaster ausführt, installiert werden.

 

Klicken Sie im Server-Manager auf Verwalten > Rollen und Features hinzufügen. Wählen Sie > Rollenbasierte oder featurebasierte  Installation. Wählen Sie den Server aus. Klicken Sie auf der Seite Rollen auf > Weiter.

 

b_dra_001.jpg

 

Wähle Sie auf der Seite Features das Feature > BitLocker-Laufwerksverschlüsselung. Bestätigen Sie die Installation der zusätzlichen Features > Features hinzufügen.

 

 

Bereitstellen der Zertifikatvorlage für den Bitlocker-Wiederherstellungs-Agenten

 

 

Nachdem die Installation abgeschlossen und der Server neu gestartet wurde, erstellen Sie eine Zertifikatvorlage für den BitLocker-Wiederherstellungs-Agent. Öffnen Sie die Konsole Zertifizierungsstelle. Klicken Sie mit der rechten Maustaste auf > Zertifikatvorlagen.

 

b_dra_002.jpg

 

Klicken Sie auf > Verwalten.

 

Die Konsole Zertifikatvorlagen wird geöffnet.

 

Klicken Sie mit der rechten Maustaste auf die Zertifikatvorlage > Key Recovery Agent

 

 

b_dra_003.jpg

Klicken Sie auf > Vorlage duplizieren

 

b_dra_004.jpg

 

Auf der Karteikarte Allgemein vergeben Sie einen Namen für die Vorlage und konfigurieren sie die Gültigkeitsdauer des Zertifikats.

 

b_dra_005.jpg

 

Auf der Karteikarte Erweiterungen markieren Sie Anwendungsrichtlinien und klicken auf > Bearbeiten. Wählen Sie die beiden BitLocker-Richtlinien aus.

 

b_dra_006.jpg

 

Auf der Karteikarte Ausstellungsvoraussetzungen deaktivieren Sie die Option Genehmigung von Zertifikatverwaltung der Zertifizierungsstelle.

 

b_dra_007.jpg

 

Auf der Karteikarte Sicherheit legen Sie fest, wer ein Zertifikat auf Basis dieser Zertifikatvorlage registrieren darf.

 

Anschließend wird die Zertifikatvorlage aktiviert.

 

b_dra008.jpg

 

Klicken Sie in der Konsole Zertifizierungsstelle mit der rechten Maustaste auf Zerifikatvorlagen > Neu > Auszustellende Zertifikatvorlage.

 

b_dra_009.jpg

 

Wählen Sie die neue Zertifikatvorlage > OK

 

 

Zertifikat registrieren und exportieren

 

 

Nun kann das Zertifikat des zukünftige Wiederherstellungs-Agent registriert und exportiert werden. Dazu melden Sie sich mit den entsprechenden Anmeldeinformationen an einem Computer an.

 

b_dra_010.jpg

 

Öffnen Sie die MMC und fügen das Snap-in Zertifikate hinzu.

 

b_dra_010a.jpg

 

Klicken Sie auf > Zertifikate - Aktueller Benutzer > Eigene Zertifikate. Mit der rechten Maustaste auf > Zertifikate > Alle Aufgaben > Neues Zertifikat anfordern

 

Im Assistenten klicken Sie zweimal auf > Weiter  bis die verfügbaren Zertifikate angezeigt werden.

 

b_dra_011.jpg

 

Hier wählen Sie das Zertifikat für den BitLocker-Wiederherstellungs-Agent aus und klicken auf > Registrieren.

 

b_dra_012.jpg

 

 Nach erfolgreicher Registrierung des Zertifikates klicken Sie auf > Fertig stellen

 

Das neue Zertifikat muss in zwei Dateien exportiert werden. Für die Erstellung des Wiederherstellungs-Agenten wird eine *.cer Datei benötigt, für die Bestätigung der Identität des Wiederherstellungs-Agenten eine *.pfx Datei. Diese Datei sollte sicher verwahrt werden, und nur für die Dauer der Wiederherstellung von Laufwerken auf dem Computer des Wiederherstellungs-Agenten importiert werden.

 

Um das Zertifikat zu exportieren klicken Sie mit der rechten Maustaste auf das > Zertifikat > Alle Aufgaben > Exportieren

 

b_dra_013.jpg

 

 

Auf der Startseite des Zertifikatexport-Assistent klicken Sie auf > Weiter

 

b_dra_014.jpg

 

Sie wählen aus ob der private Schlüssel exportiert werden soll. Wählen Sie > Nein, privaten Schlüssel nicht exportieren bestimmen Sie auch den Dateityp. Es können Dateien des Typ's *.cer oder *.p7b erstellt werden, die nur den öffentlichen Schlüssel des Zertifikates enthalten.

 

b_dra_015.jpg

 

Ändern Sie die Auswahl nicht, klicken Sie > Weiter

 

b_dra_016.jpg

 

Klicken Sie auf Durchsuchen, geben Sie den Speicherpfad und Namen der Datei an > Weiter

 

Auf der Übersichtsseite klicken Sie auf > Fertig stellen.

 

b_dra_016.jpg

 

Nach erfolgreichem Export klicken Sie auf > OK

 

Um die *.pfx Datei zu erstellen, starten Sie den Zertifikatexport-Assistent noch einmal.

 

b_dra_018.jpg

 

Wählen Sie diesmal > Ja, privaten Schlüssel exportieren , klicken Sie auf > Weiter

 

b_dra_020.jpg

 

Zusätzlich müssen Sie ein Kennwort für die Datei angeben, der weitere Ablauf entspricht der *.cer Datei.

 

Die *.cer Datei muss nun auf dem Domänencontroller bereitgestellt werden, die *.pfx Datei sollte an einem sicheren Ort verwahrt werden.

 

 

Erstellen des Bitlocker-Wiederherstellungs-Agenten

 

 

Mit der *.cer Datei wird der BitLocker Wiederherstellungs-Agent erstellt.

 

Öffnen Sie die Gruppenrichtlinienverwaltung. Klicken Sie auf > Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Richtlinien für öffentliche Schlüssel

 

b_dra_020.jpg

 

Klicken Sie mit der rechten Maustaste auf > BitLocker-Laufwerksverschlüsselung > Datenwiederherstellungs-Agent hinzufügen

 

b_dra_025.jpg

 

Klicken Sie auf > Ordner durchsuchen, wählen Sie die *.cer Datei aus, klicken Sie auf > Öffnen.

 

b_dra_024.jpg

 

Klicken Sie auf > Weiter

 

b_dra_026.jpg

 

Der BitLocker Wiederherstellungs-Agent ist erstellt.