製品ドキュメント
XenMobile® Server
PDFを表示

BitLockerデバイスポリシー

April 16, 2026
寄稿者: 
C

Windows 10およびWindows 11には、BitLockerと呼ばれるディスク暗号化機能が含まれており、紛失または盗難されたWindowsデバイスへの不正アクセスからファイルとシステムを保護する追加の保護を提供します。さらに保護を強化するには、BitLockerをTrusted Platform Module (TPM) チップバージョン1.2以降と組み合わせて使用できます。TPMチップは、暗号化操作を処理し、暗号鍵の生成、保存、および使用制限を行います。

Windows 10ビルド1703以降、MDMポリシーでBitLockerを制御できるようになりました。XenMobile®のBitLockerデバイスポリシーを使用して、Windows 10およびWindows 11デバイスのBitLockerウィザードで利用可能な設定を構成します。たとえば、BitLockerが有効になっているデバイスでは、BitLockerは、起動時にドライブのロックを解除する方法、回復キーをバックアップする方法、および固定ドライブのロックを解除する方法をユーザーに促すことができます。BitLockerデバイスポリシー設定では、以下の項目も構成します。

  • TPMチップのないデバイスでBitLockerを有効にする。
  • BitLockerインターフェイスに回復オプションを表示する。
  • BitLockerが有効になっていない場合に、固定ドライブまたはリムーバブルドライブへの書き込みアクセスを拒否する。

注記:

デバイスでBitLocker暗号化が開始された後、更新されたBitLockerデバイスポリシーを展開しても、後でデバイスのBitLocker設定を変更することはできません。

このポリシーを追加または構成するには、［構成］>［デバイスポリシー］ に移動します。詳しくは、「デバイスポリシー」を参照してください。

要件

  • BitLockerデバイスポリシーには、Windows 10またはWindows 11 Enterpriseエディションが必要です。

  • BitLockerデバイスポリシーを展開する前に、BitLockerを使用するための環境を準備してください。BitLockerのシステム要件やセットアップなど、Microsoftからの詳細情報については、「BitLocker」およびそのノード配下の記事を参照してください。

Windowsデスクトップおよびタブレットの設定

デバイスポリシー構成画面の画像

  • デバイスの暗号化を要求: WindowsデスクトップまたはタブレットでBitLocker暗号化を有効にするようユーザーに促すかどうかを決定します。［On］ の場合、登録完了後にデバイスにメッセージが表示され、企業がデバイスの暗号化を要求していることを示します。［Off］ の場合、ユーザーはプロンプト表示されず、BitLockerはポリシー設定を使用します。デフォルトは ［Off］ です。

  • 暗号化方式の構成: 特定のドライブの種類に使用する暗号化方式を決定します。［Off］ の場合、BitLockerウィザードはドライブの種類に使用する暗号化方式をユーザーに促します。すべてのドライブの暗号化方式はデフォルトでXTS-AES 128ビットです。リムーバブルドライブの暗号化方式はデフォルトでAES-CBC 128ビットです。［On］ の場合、BitLockerはポリシーで指定された暗号化方式を使用します。［On］ の場合、［オペレーティングシステムドライブ］、［固定ドライブ］、および ［リムーバブルドライブ］ の追加設定が表示されます。各ドライブの種類にデフォルトの暗号化方式を選択します。デフォルトは ［Off］ です。

  • 起動時の追加認証を要求: デバイスの起動時に必要な追加認証を指定します。また、TPMチップのないデバイスでBitLockerを許可するかどうかも指定します。［Off］ の場合、TPMのないデバイスはBitLocker暗号化を使用できません。TPMについて詳しくは、Microsoftの記事「Trusted Platform Module Technology Overview」を参照してください。［On］ の場合、以下の追加設定が表示されます。デフォルトは ［Off］ です。

    • TPMチップのないデバイスでのBitLockerをブロック: TPMチップのないデバイスでは、BitLockerはユーザーにロック解除パスワードまたは起動キーの作成を要求します。起動キーはUSBドライブに保存され、ユーザーは起動前にデバイスに接続する必要があります。ロック解除パスワードは最低8文字です。デフォルトは ［Off］ です。

    • TPM起動: TPM搭載デバイスには、TPMのみ、TPM + PIN、TPM + キー、TPM + PIN + キーの4つのロック解除モードがあります。TPM起動はTPMのみモード用であり、暗号鍵はTPMチップに保存されます。このモードでは、ユーザーが追加のロック解除データを提供する必要はありません。ユーザーデバイスは、TPMチップからの暗号鍵を使用して、再起動時に自動的にロック解除されます。デフォルトは ［Allow TPM］ です。

    • TPM起動PIN: この設定はTPM + PINロック解除モードです。PINは最大20桁です。［最小PIN長］ 設定を使用して、最小PIN長を指定します。ユーザーはBitLockerセットアップ中にPINを構成し、デバイス起動時にPINを提供します。

    • TPM起動キー: この設定はTPM + キーロック解除モードです。起動キーはUSBまたはその他のリムーバブルドライブに保存され、ユーザーは起動前にデバイスに接続する必要があります。

    • TPM起動キーとPIN: この設定はTPM + PIN + キーロック解除モードです。

      ロック解除が成功すると、オペレーティングシステムの読み込みが開始されます。ロック解除が失敗すると、デバイスは回復モードに入ります。

  • 最小PIN長: TPM起動PINの最小長です。デフォルトは 6 です。

  • OSドライブの回復を構成: ロック解除手順が失敗した場合、BitLockerは構成された回復キーをユーザーに促します。この設定は、ロック解除パスワードまたはUSB起動キーを持っていない場合にユーザーが利用できるオペレーティングシステムドライブの回復オプションを構成します。デフォルトは ［Off］ です。

    • 証明書ベースのデータ回復エージェントを許可: 証明書ベースのデータ回復エージェントを許可するかどうかを指定します。グループポリシー管理コンソール (GPMC) またはローカルグループポリシーエディターにある公開キーポリシーからデータ回復エージェントを追加します。データ回復エージェントについて詳しくは、Microsoftの記事「BitLocker Group Policy settings」を参照してください。デフォルトは ［Off］ です。

    • OSドライブ回復用の48ビット回復パスワードを作成: ユーザーが回復パスワードを使用することを許可または要求するかどうかを指定します。BitLockerはパスワードを生成し、ファイルまたはMicrosoftクラウドアカウントに保存します。デフォルトは ［Allow 48-digit password］ です。

    • 256ビット回復キーを作成: ユーザーが回復キーを使用することを許可または要求するかどうかを指定します。回復キーはBEKファイルであり、USBドライブに保存されます。デフォルトは ［Allow 256-bit recovery key］ です。

    • OSドライブの回復オプションを非表示: BitLockerインターフェイスに回復オプションを表示または非表示にするかどうかを指定します。［On］ の場合、BitLockerインターフェイスには回復オプションが表示されません。その場合、デバイスをActive Directoryに登録し、回復オプションをActive Directoryに保存し、［回復情報をAD DSに保存］ を ［On］ に設定します。デフォルトは ［Off］ です。

    • 回復情報をAD DSに保存: 回復オプションをActive Directory Domain Servicesに保存するかどうかを指定します。デフォルトは ［Off］ です。

    • AD DSに保存された回復情報を構成: BitLocker回復パスワード、または回復パスワードとキーパッケージをActive Directory Domain Servicesに保存するかどうかを指定します。キーパッケージを保存することで、物理的に破損したドライブからデータを回復できます。デフォルトは ［Backup recovery password］ です。

    • 回復情報をAD DSに保存後にBitLockerを有効化: デバイスがドメイン接続されており、BitLocker回復情報のActive Directoryへのバックアップが成功しない限り、ユーザーがBitLockerを有効にすることを防ぐかどうかを指定します。［On］ の場合、BitLockerを開始する前にデバイスがドメインに参加している必要があります。デフォルトは ［Off］ です。

  • プレブート回復メッセージとURLをカスタマイズ: BitLockerが回復画面にカスタマイズされたメッセージとURLを表示するかどうかを指定します。［On］ の場合、［デフォルトの回復メッセージとURLを使用］、［空の回復メッセージとURLを使用］、［カスタム回復メッセージを使用］、および ［カスタム回復URLを使用］ の追加設定が表示されます。［Off］ の場合、デフォルトの回復メッセージとURLが表示されます。デフォルトは ［Off］ です。

  • 固定ドライブの回復を構成: BitLockerで暗号化された固定ドライブのユーザーに対する回復オプションを構成します。BitLockerは、固定ドライブの暗号化に関するメッセージをユーザーに表示しません。起動時にドライブのロックを解除するには、ユーザーはパスワードまたはスマートカードを提供します。このポリシーには含まれていない起動時のロック解除設定は、ユーザーが固定ドライブでBitLocker暗号化を有効にしたときにBitLockerインターフェイスに表示されます。関連設定について詳しくは、このリストの前の ［OSドライブの回復を構成］ を参照してください。デフォルトは ［Off］ です。

  • BitLockerを使用していない固定ドライブへの書き込みアクセスをブロック: ［On］ の場合、ユーザーはBitLockerで暗号化されている場合にのみ固定ドライブに書き込むことができます。デフォルトは ［Off］ です。

  • BitLockerを使用していないリムーバブルドライブへの書き込みアクセスをブロック: ［On］ の場合、ユーザーはBitLockerで暗号化されている場合にのみリムーバブルドライブに書き込むことができます。この設定は、組織が他の組織のリムーバブルドライブへの書き込みアクセスを許可するかどうかに応じて構成します。デフォルトは ［Off］ です。

  • その他のディスク暗号化のプロンプト: デバイス上のその他のディスク暗号化に関する警告プロンプトを無効にできます。デフォルトは ［Off］ です。

BitLockerデバイスポリシー
April 16, 2026
寄稿者: 
C
April 16, 2026
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.