BitLocker nie działa w środowisku domenowym

BitLocker niedziałający w środowisku domenowym wymaga sprawdzenia zasad grupy (GPO) regulujących szyfrowanie dysków oraz tego, czy klucze odzyskiwania są poprawnie zapisywane w Active Directory.

Czym jest problem z działaniem BitLockera w środowisku domenowym

Komunikat „BitLocker nie działa w środowisku domenowym” nie musi oznaczać uszkodzenia samego dysku ani awarii systemu Windows. Zwykle wskazuje na niezgodność pomiędzy lokalną konfiguracją komputera, zasadami bezpieczeństwa narzuconymi przez domenę oraz sposobem przechowywania klucza odzyskiwania. BitLocker korzysta z kilku elementów jednocześnie: ustawień systemowych, zasad grupy, modułu TPM, konta użytkownika i usług katalogowych. Jeżeli jeden z tych składników jest nieprawidłowo skonfigurowany, szyfrowanie może nie dać się uruchomić, może zatrzymywać się podczas konfiguracji albo może wymagać klucza odzyskiwania przy każdym uruchomieniu komputera.

W środowisku domenowym szczególne znaczenie ma sposób zarządzania kluczami. Administrator może wymagać, aby klucz odzyskiwania był zapisywany w usłudze Active Directory, zanim szyfrowanie zostanie rozpoczęte. Jeżeli komputer nie może skontaktować się z kontrolerem domeny, konto urządzenia nie ma odpowiednich uprawnień lub zasady grupy nie zezwalają na zapis klucza, procedura może zakończyć się błędem. Podobny skutek występuje wtedy, gdy komputer został odłączony od domeny, przywrócono wcześniejszy obraz systemu albo zmieniono płytę główną i stan modułu TPM przestał odpowiadać wcześniejszej konfiguracji.

Warto odróżnić problem z uruchomieniem szyfrowania od problemu z dostępem do już zaszyfrowanego woluminu. W pierwszym przypadku analizuje się ustawienia polityk i gotowość urządzenia. W drugim konieczne może być odnalezienie właściwego klucza odzyskiwania, sprawdzenie tożsamości komputera w domenie oraz ustalenie, czy nie doszło do zmiany sprzętowej lub resetu zabezpieczeń TPM.

Kontekst techniczny i porównanie z komputerem poza domeną - BitLocker nie działa w środowisku domenowym

Na komputerze używanym poza domeną BitLocker może być skonfigurowany według ustawień lokalnych, a klucz odzyskiwania może zostać zapisany na koncie użytkownika, nośniku USB albo w pliku. W środowisku domenowym sposób działania jest zazwyczaj bardziej sformalizowany. Zasady grupy mogą określać dozwolone moduły ochrony, wymaganie kodu PIN, sposób używania modułu TPM, możliwość szyfrowania dysków wymiennych oraz miejsce przechowywania informacji potrzebnych do odzyskania dostępu.

Podstawowym obszarem kontroli są zasady grupy związane z szyfrowaniem dysków systemowych, dysków stałych i nośników wymiennych. Należy sprawdzić, czy nie występuje konflikt pomiędzy ustawieniami skonfigurowanymi na poziomie domeny a lokalnymi zasadami bezpieczeństwa. Czasem komputer otrzymuje kilka polityk o podobnym zakresie, a końcowy efekt zależy od kolejności ich zastosowania, dziedziczenia jednostek organizacyjnych i filtrów zabezpieczeń. Sama obecność ustawienia w edytorze zasad nie przesądza jeszcze o tym, że jest ono skutecznie zastosowane na konkretnym urządzeniu.

Drugim ważnym elementem jest moduł TPM. Powinien być wykryty przez system, zainicjalizowany i pozostawać w stanie zgodnym z oczekiwanym mechanizmem ochrony. Ostrzeżenie dotyczące TPM może pojawić się po aktualizacji firmware, zmianie ustawień UEFI, wymianie płyty głównej lub wyczyszczeniu modułu. Nie powinno się go resetować bez wcześniejszego potwierdzenia, że dostępny jest klucz odzyskiwania. Wyczyszczenie TPM może spowodować utratę możliwości automatycznego odblokowania dysku.

Znaczenie ma również stan połączenia z domeną. Komputer może być widoczny lokalnie, a jednocześnie nie mieć prawidłowej relacji zaufania z domeną. W takiej sytuacji pobranie zasad może być niepełne, zapis klucza może się nie powieść, a polecenia administracyjne mogą zwracać komunikaty sugerujące problem z uprawnieniami. Przed modyfikacją konfiguracji należy ustalić, czy urządzenie może rozwiązać nazwę kontrolera domeny, uzyskać poprawny czas oraz uwierzytelnić się przy użyciu konta komputera.

Typowe problemy, komunikaty i błędy konfiguracji - BitLocker nie działa w środowisku domenowym

Jednym z częstszych przypadków jest brak zezwolenia na zapis klucza odzyskiwania w Active Directory. Może to wynikać z niewłaściwych uprawnień, błędnego przypisania komputera do jednostki organizacyjnej albo niezgodnej zasady grupy. Warto sprawdzić, czy dla danego typu dysku włączono wymaganie dotyczące zapisywania informacji odzyskiwania oraz czy komputer rzeczywiście otrzymał tę politykę. Pomocne bywa porównanie ustawień oczekiwanych z raportem faktycznie zastosowanych zasad.

Inny problem pojawia się po zmianie ustawień UEFI, w szczególności po wyłączeniu TPM, modyfikacji trybu uruchamiania lub zmianie konfiguracji bezpiecznego rozruchu. BitLocker może potraktować taką zmianę jako naruszenie warunków zaufanego uruchamiania i zażądać klucza odzyskiwania. Nie oznacza to automatycznie, że dane zostały uszkodzone. Jest to mechanizm ochronny, który reaguje na różnicę pomiędzy stanem zapisanym w zabezpieczeniach a aktualnym stanem urządzenia.

Problemy mogą być także związane z wersją systemu, ograniczeniami edycji Windows, brakiem wymaganych aktualizacji albo niekompatybilnym sterownikiem. Jeżeli szyfrowanie zatrzymuje się przy sprawdzaniu gotowości, należy zweryfikować układ partycji, obecność partycji rozruchowej, stan wolnego miejsca oraz ewentualne błędy systemu plików. W przypadku dysku z błędami sprzętowymi uruchamianie kolejnych operacji szyfrujących może zwiększać ryzyko utraty danych, dlatego najpierw powinno się ocenić stan nośnika i wykonać bezpieczną kopię ważnych plików, o ile dostęp do nich jest jeszcze możliwy.

Nieprawidłowe zachowanie może wynikać również z ręcznego uruchomienia szyfrowania przed zakończeniem dołączania komputera do domeny. Wtedy klucz może zostać zapisany w niewłaściwym miejscu albo nie zostać zarejestrowany zgodnie z wymaganiami organizacji. Podobne komplikacje występują po odtworzeniu systemu z kopii, zmianie nazwy komputera lub przeniesieniu urządzenia pomiędzy jednostkami organizacyjnymi. Każdy z tych przypadków wymaga ustalenia kolejności zdarzeń, ponieważ pochopne wyłączanie ochrony lub czyszczenie kluczy może utrudnić późniejsze odzyskanie dostępu.

Diagnostyka powinna obejmować komunikat wyświetlany przez system, stan ochronników BitLockera, dostępność modułu TPM, zastosowane zasady grupy, relację komputera z domeną oraz obecność klucza odzyskiwania. W zależności od sytuacji sprawdza się dzienniki zdarzeń, raport zasad, polecenia zarządzające BitLockerem i informacje o stanie zabezpieczeń urządzenia. Samo ponowne uruchomienie komputera lub wyłączenie szyfrowania może usunąć objaw tylko na krótko i nie rozwiązać przyczyny.

Kiedy warto umówić wizytę serwisową - BitLocker nie działa w środowisku domenowym

Zgłoszenie do serwisu jest uzasadnione, gdy BitLocker blokuje uruchomienie systemu, pojawia się żądanie klucza odzyskiwania, szyfrowanie nie rozpoczyna się mimo prawidłowych zasad albo komputer traci dostęp do domeny po zmianie ustawień zabezpieczeń. Szczególnej ostrożności wymaga sytuacja, w której nie wiadomo, gdzie znajduje się klucz odzyskiwania. Przed resetem TPM, zmianą ustawień UEFI lub reinstalacją systemu należy ustalić, czy klucz jest dostępny i czy można go przypisać do właściwego urządzenia.

W serwisie komputerowym można przeprowadzić rozdzielenie problemu na część sprzętową, systemową i domenową: sprawdzić stan nośnika, moduł TPM, konfigurację rozruchu, zastosowanie zasad grupy oraz komunikację z usługą katalogową. Jeżeli problem dotyczy laptopa, wykonywana jest darmowa diagnoza LAPTOPA, która pozwala określić, czy przyczyną jest konfiguracja bezpieczeństwa, błąd systemu, nieprawidłowa relacja z domeną czy zmiana sprzętowa.

Do zgłoszenia warto przygotować dokładny komunikat błędu, nazwę komputera w domenie, informację o ostatnich zmianach sprzętowych i systemowych oraz dane dotyczące sposobu przechowywania klucza odzyskiwania. Nie należy przekazywać klucza w przypadkowych wiadomościach ani wpisywać go do niezweryfikowanych narzędzi. Jeżeli komputer zawiera istotne dane, należy poinformować o tym przed rozpoczęciem działań naprawczych, aby diagnostyka nie doprowadziła do utraty dostępu do plików. W wielu przypadkach prawidłowe odtworzenie polityk i relacji z domeną pozwala przywrócić działanie BitLockera bez usuwania danych z dysku.