BitLocker Şifreleme Politikalarının Intune Üzerinden Merkezi Yönetimi

Mert Ozsoy7 gün önce

0 95 6 dakika okuma süresi

BitLocker’ı tek tek cihazlarda elle açmak, recovery key’i kullanıcıdan isteyip Excel’e yazmak ya da hangi cihazın şifrelendiğini emin olamamak, dizüstü bilgisayar sayısı belli bir noktayı geçtikten sonra sürdürülebilir bir yöntem olmaktan çıkıyor. Intune tarafında BitLocker’ı politika ile zorunlu kılmak, kullanıcı hiçbir şey yapmadan cihazı şifrelemek ve recovery key’i otomatik olarak Microsoft Entra ID’ye yedeklemek mümkün. Bu yazıda bunu nasıl kurduğumu, hangi ayarların birbirine bağımlı olduğunu ve pratikte nerede takılındığını anlatıyorum.

Recovery key’lerin Entra ID tarafında nasıl saklandığı, key protector mimarisi ve escrow sürecinin arka planı ayrı ve daha derin bir konu; burada odak noktası policy’yi doğru kurmak, silent encryption’ı çalışır hale getirmek ve günlük yönetimi (izleme, rotasyon, sorun giderme) pratik şekilde yapmak.

Intune’da BitLocker İçin Hangi Politika Tipini Kullanmalı?

BitLocker’ı üç farklı yerden yapılandırmak mümkün: Endpoint security > Disk encryption policy, Device configuration > Endpoint protection template ve Settings Catalog. Üçü de sonuçta aynı BitLocker CSP node’larına yazıyor ama pratik farkları var.

Ben BitLocker için Endpoint security > Disk encryption policy’sini tercih ediyorum. Bu profil sadece şifreleme ile ilgili ayarları içeriyor, gereksiz ayar karmaşasına girmiyor ve BitLocker CSP’nin tüm önemli node’larını kapsıyor. Device configuration tarafındaki Endpoint protection template’i de aynı işi görüyor, farkı BitLocker dışındaki başka endpoint protection ayarlarını da (Windows Defender Exploit Guard gibi) aynı profil içinde barındırması.

Settings Catalog üzerinden de BitLocker ayarlarına erişebilirsiniz ama burada bir sınır var: TPM startup authentication ile ilgili kritik ayarlar Settings Catalog’da güvenilir biçimde yönetilemiyor. Silent encryption kuracaksanız Settings Catalog’u BitLocker için ana profil olarak kullanmayın; Endpoint security veya Device configuration profillerinden birini seçin.

Standart BitLocker Politikası Oluşturma

Intune admin center > Endpoint security > Disk encryption > Create Policy yolundan Platform olarak Windows, Profile olarak BitLocker seçin. Configuration settings sayfasında OS drive, fixed drive ve removable drive için ayrı ayrı şifreleme yöntemi seçebilir, recovery seçeneklerini ve TPM startup authentication gereksinimlerini belirleyebilirsiniz.

Bu profil standart (interactive) senaryo için kuruluyor; kullanıcı ilk oturum açtığında BitLocker sihirbazını görüyor, recovery key’in nereye yedekleneceğini seçebiliyor. Assignments sayfasında hedef cihaz grubunu seçip profili oluşturduğunuzda, gruptaki cihazlarda BitLocker sihirbazı bir sonraki check-in’de tetikleniyor.

Sessiz (Silent) BitLocker Şifrelemesi

Kullanıcıya hiçbir prompt göstermeden, local admin yetkisi gerektirmeden cihazı arka planda şifrelemek istiyorsanız aradığınız şey silent encryption. Autopilot ile devreye alınan cihazlarda bu genellikle tercih edilen yöntem; kullanıcı ESP’yi geçip masaüstüne düştüğünde cihaz zaten şifrelenmiş oluyor.

Burada üç farklı terimi birbirinden ayırmak gerekiyor. Automatic encryption, cihaz Microsoft Entra’ya katılırken Windows’un kendiliğinden devreye soktuğu, modern standby veya HSTI uyumlu donanımlarda çalışan varsayılan mekanizma; ayrı bir policy gerektirmiyor. Silent encryption ise Intune’un BitLocker CSP ayarları üzerinden kullanıcı etkileşimini bilinçli olarak bastırdığı senaryo. Interactive ise klasik, kullanıcının BitLocker sihirbazını gördüğü senaryo. Bu yazıda asıl anlatılan silent encryption.

Silent Encryption İçin Cihaz Gereksinimleri

Bir cihazın silent BitLocker için uygun olması için şunları sağlaması gerekiyor:

Kullanıcı Administrator olarak oturum açıyorsa Windows 10 1803 veya üzeri, ya da Windows 11.
Kullanıcı Standard User ise Windows 10 1809 veya üzeri, ya da Windows 11.
Cihaz Microsoft Entra joined veya Microsoft Entra hybrid joined olmalı.
TPM 1.2 veya üzeri, native UEFI BIOS modu.
Secure Boot açık.
Windows Recovery Environment (WinRE) yapılandırılmış ve erişilebilir olmalı.

WinRE tarafı özellikle unutulan bir nokta. WinRE devre dışıysa veya ayrı bir bölümde değilse silent encryption sessizce başarısız oluyor, cihaz encryption report’ta beklenmedik bir status ile kalıyor. Cihazda WinRE durumunu kontrol etmek için:

reagentc /info

Gerekli Politika Ayarları

Endpoint security Disk encryption policy’sinde BitLocker profili içinde şu iki ayar zorunlu:

Require Device Encryption = Enabled
Allow Warning For Other Disk Encryption = Disabled

İkinci ayar Disabled yapıldığında cihazlar Standard User olarak oturum açıyorsa Allow Standard User Encryption ayarı görünür hale geliyor, bunu da Enabled yapmanız gerekiyor. Aksi halde standard user’ların oturum açtığı cihazlarda RequireDeviceEncryption politikası uygulanamıyor.

Allow Warning For Other Disk Encryption ayarını Disabled yapmak, cihazda üçüncü parti bir şifreleme yazılımı olsa bile BitLocker’ın uyarı göstermeden devreye girmesi demek. Ortamda McAfee, Symantec veya benzeri bir disk encryption ürünü varsa bu ayarı açmadan önce cihaz envanterinden kontrol edin; aksi halde çakışan şifreleme katmanları veri kaybına ve boot sorunlarına yol açabiliyor.

TPM Startup Authentication Ayarları

Silent encryption’ın çalışması için cihazın TPM startup PIN veya startup key istememesi gerekiyor; bunlar kullanıcı etkileşimi gerektirdiği için silent akışı doğrudan kırıyor. BitLocker profilinde Require additional authentication at startup = Enabled yapıldıktan sonra şu üç ayarı Blocked bırakın:

Configure TPM startup PIN = Do not allow startup PIN with TPM
Configure TPM startup key = Do not allow startup key with TPM
Configure TPM startup key and PIN = Do not allow startup key and PIN with TPM

Configure TPM startup ayarını da Allow TPM veya Require TPM yapmanız gerekiyor. Burada gözden kaçan bir nokta var: Microsoft Defender için security baseline kullanıyorsanız, baseline varsayılan olarak TPM startup PIN veya key isteyecek şekilde gelebiliyor. Bu durumda security baseline’daki BitLocker ayarları ile Disk encryption policy’niz çelişiyor ve silent encryption çalışmıyor. Aynı cihaz grubuna atanan baseline’ları kontrol edip gerekirse BitLocker ayarlarını baseline’dan çıkarın.

Şifreleme Türü: Full Disk mi, Used Space Only mu?

Silent encryption’da şifreleme türünü elle seçemiyorsunuz; Windows bunu donanıma göre otomatik belirliyor. Modern standby destekleyen cihazlarda used space only encryption, desteklemeyenlerde ise full disk encryption uygulanıyor. Bir cihazın modern standby desteğini kontrol etmek için:

powercfg /a

Çıktıda Standby (S0 Low Power Idle) Network Connected satırı “available” görünüyorsa cihaz modern standby destekliyor demektir. Şifreleme türünü zorlamak isterseniz Settings Catalog üzerinden Windows Components > BitLocker Drive Encryption > Operating System Drives > Enforce drive encryption type on operating system drives ayarını kullanabilirsiniz; ancak bu ayar sadece BitLocker ilk kez etkinleştirilirken devreye giriyor, zaten şifrelenmiş bir sürücüde etkisi olmuyor.

Cihazda mevcut şifreleme durumunu doğrulamak için:

manage-bde -status C:

Conversion Status alanı Fully Encrypted veya Used Space Only Encrypted olarak görünüyor.

Recovery Key’lerin Microsoft Entra ID’ye Yedeklenmesi

Silent encryption’da recovery key otomatik olarak kullanıcının Microsoft Entra hesabına yedekleniyor. Fixed drive veya system drive recovery ayarlarında Require device to back up recovery information to Microsoft Entra ayarını Yes yaparsanız, yedekleme başarılı olana kadar BitLocker enablement tamamlanmıyor; bu, key’siz kalmış bir cihaz riskini ortadan kaldırdığı için önerilen ayar.

Kayıtlı key’leri görmek için Devices > All devices altından ilgili cihazı seçip Monitor > Recovery keys > Show Recovery Key yolunu izleyebilirsiniz. Bu işlem Microsoft Entra tarafında audit log’a “KeyManagement” aktivitesi olarak düşüyor. Key’i görüntülemek için gereken izin, microsoft.directory/bitlockerKeys/key/read; bu izin Cloud Device Administrator, Helpdesk Administrator ve Global Administrator rollerinde var.

Kullanıcılar kendi recovery key’lerini almak için helpdesk’i aramak zorunda değil. Company Portal uygulaması ve Entra joined cihazlar için account.microsoft.com üzerinden self-service erişim mümkün. Entra ID’deki tenant-wide toggle varsayılan olarak tüm kullanıcıların kendi cihazlarının key’ini görmesine izin veriyor; bunu kısıtlamak isterseniz Entra device settings üzerinden değiştirebilirsiniz.

Uyumluluk Politikası ile BitLocker İlişkisi

BitLocker’ı bir uyumluluk kuralı olarak da kullanabilirsiniz. Windows compliance policy’de Device Health > Require BitLocker ayarı, Device Health Attestation servisi üzerinden BitLocker durumunu kontrol ediyor. Burada dikkat edilmesi gereken nokta şu: bu değerlendirme sadece boot zamanında ölçülüyor. Yani BitLocker şifreleme tamamlanmış olsa bile, cihazın compliant görünmesi için bir reboot gerekiyor. Kullanıcıdan “cihazım şifreli ama Intune noncompliant diyor” şikayeti geldiğinde ilk kontrol edilecek yer burası.

Şifreleme Durumunu İzleme

Devices > Manage devices > Configuration > Monitor > Device encryption status raporunda cihazların encryption readiness ve encryption status bilgilerini görebilirsiniz. Rapor Windows 1607 ve üzeri sürümleri destekliyor. Bir cihaza tıkladığınızda Status details alanı, cihazın neden encrypt edilmediğine dair somut nedenler veriyor: TPM hazır değil, recovery key backup başarısız oldu, WinRE yapılandırılmamış, OS volume unprotected gibi.

Encryption status’un Intune’a yansıması anlık değil; cihazın şifrelenmesi ve ardından Intune’a check-in yapması gerekiyor, bu da toplamda 24 saate kadar sürebiliyor. Bir cihazı test ederken hemen “compliant” görmemeniz normal, önce cihazda manage-bde ile gerçek durumu doğrulayın, sonra portalın güncellenmesini bekleyin.

BitLocker Anahtar Rotasyonu

Bir recovery key helpdesk üzerinden paylaşıldıysa veya şüpheli bir erişim durumu varsa, key’i yeniden kullanılamaz hale getirmek için Intune’dan uzaktan rotasyon yapabilirsiniz. Bu işlem Windows 10 1909 ve üzeri ile Windows 11’de destekleniyor.

Rotasyonun çalışması için Microsoft Entra joined veya hybrid joined cihazlarda BitLocker profilinde şu ayarların yapılmış olması gerekiyor:

Client-driven recovery password rotation = Enable rotation on Microsoft Entra joined devices (veya hybrid joined için ilgili seçenek)
Save BitLocker recovery information to Microsoft Entra ID = Enabled
Store recovery information in Microsoft Entra ID before enabling BitLocker = Required

Rotasyonu tetiklemek için Devices > All devices altında cihazı seçip BitLocker key rotation action’ını çalıştırın. Bu işlemi çalıştırmak için RBAC rolünüzde Remote tasks izninin altında Rotate BitLockerKeys hakkının Yes olması gerekiyor; Help Desk Operator ve Endpoint Security Administrator built-in rolleri bu izni içeriyor.

Aynı işlemi otomasyona bağlamak isterseniz Microsoft Graph üzerinden de tetikleyebilirsiniz. rotateBitLockerKeys action şu an beta endpoint altında; production script’lerinde beta API’lerin daha sık değişebileceğini göz önünde bulundurun.

Connect-MgGraph -Scopes "DeviceManagementManagedDevices.ReadWrite.All"

Invoke-MgGraphRequest -Method POST `
    -Uri "https://graph.microsoft.com/beta/deviceManagement/managedDevices/$managedDeviceId/rotateBitLockerKeys"

Sık Karşılaşılan Sorunlar

Silent encryption yapılandırdıktan sonra cihazın hâlâ kullanıcıya prompt gösterdiğini görüyorsanız, önce TPM startup PIN/key ayarlarının gerçekten Blocked olduğunu, ardından aynı cihaza atanmış başka bir profilin (özellikle security baseline) çelişen bir ayar getirip getirmediğini kontrol edin. Policy conflict detection için Devices > Configuration > ilgili profil > Device status > View conflicts yolunu kullanabilirsiniz.

Encryption report’ta “Recovery key backup failed” görüyorsanız cihazın Entra ID’ye gerçekten bağlı olup olmadığını ve ağ bağlantısını kontrol edin; recovery key backup ağ üzerinden Entra ID’ye yapılıyor, ağ yoksa şifreleme başlamıyor. Entra ID tarafında bir cihaz için tutulabilecek recovery key sayısı 200 ile sınırlı; bu limite ulaşıldıysa yeni key backup’ı başarısız olur ve silent encryption da bu yüzden devreye giremez. Eski test cihazlarında bu limite az rastlanıyor ama sık reset edilen pilot cihazlarda dikkat edilmesi gereken bir nokta.

Bir cihazın Intune object’ini sildiğinizde, o cihaz Microsoft Entra joined ve BitLocker ile korunuyorsa, silme işlemi bir device sync tetikliyor ve OS volume’ün key protector’larını kaldırıyor. Bu, BitLocker’ı o sürücüde suspended duruma düşürüyor. Cihazı retire veya wipe etmeden önce bunun beklenen bir davranış olduğunu bilmek, sonradan “neden BitLocker suspended oldu” diye araştırma yapmanızın önüne geçiyor.