5
Bitlocker und Admin-Rechte
Hi,
wir sind aktuell dabei, den Rollout von Bitlocker auf unseren 50 Clients (Windows 10) zu planen.
Bei den Tests ist uns dabei aufgefallen, dass ein normaler User das Bitlocker Passwort nicht zurücksetzen kann, wenn das alte Passwort vergessen wurde.
Um das Passwort mit dem Recovery-Key neu zu setzen, sind Admin-Rechte erforderlich, welche der User halt nicht hat.
Normale Passwort-Änderungen sind für den User möglich, es geht nur um den Passwort-Vergessen-Prozess.
Wir sind nun auf der Suche nach einer dieser folgenden Lösungen:
a) Bitlocker so zu beeinflussen, dass der User das Passwort neu setzen kann, ohne Admin-Rechte zu benötigen.
b) Ein bestimmtes Programm / Script unter Windows als normaler User mit Admin-Rechten auszuführen (wie unter Unix mit sudo)
c) Evtl. gibt es auch ein kleines 3rd Party Admin-Tool für Bitlocker (nicht so komplex wie MBAM)?
Jemand eine Idee?
Danke.
wir sind aktuell dabei, den Rollout von Bitlocker auf unseren 50 Clients (Windows 10) zu planen.
Bei den Tests ist uns dabei aufgefallen, dass ein normaler User das Bitlocker Passwort nicht zurücksetzen kann, wenn das alte Passwort vergessen wurde.
Um das Passwort mit dem Recovery-Key neu zu setzen, sind Admin-Rechte erforderlich, welche der User halt nicht hat.
Normale Passwort-Änderungen sind für den User möglich, es geht nur um den Passwort-Vergessen-Prozess.
Wir sind nun auf der Suche nach einer dieser folgenden Lösungen:
a) Bitlocker so zu beeinflussen, dass der User das Passwort neu setzen kann, ohne Admin-Rechte zu benötigen.
b) Ein bestimmtes Programm / Script unter Windows als normaler User mit Admin-Rechten auszuführen (wie unter Unix mit sudo)
c) Evtl. gibt es auch ein kleines 3rd Party Admin-Tool für Bitlocker (nicht so komplex wie MBAM)?
Jemand eine Idee?
Danke.
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 305215
Url: https://administrator.de/contentid/305215
Ausgedruckt am: 22.11.2024 um 07:11 Uhr
5 Kommentare
Neuester Kommentar
Hi.
Wir nutzen BL firmenweit seit einigen Jahren.
Eine Frage vorab: wie stellst Du dir denn den Kennwortwechsel vor? Ohne Kennwort kannst Du das Gerät doch nicht einmal mounten, du kannst ein Kennwort jedoch nur bei gemountetem Gerät ändern - das beobachtete Verhalten ist nur logisch.
Wenn ein Nutzer sein Kennwort vergisst, muss eh ein Admin das Gerät starten - und dann kann er auch gleich mit dem Nutzer zusammen die Änderung durchführen.
Das beantworte bitte zunächst. Ich kann Dir auch a,b und c beantworten, sehe aber zunächst mal gar keinen Sinn darin.
Ich schätze, Du gedenkst, dem Nutzer den Recoverykey mitzuteilen - das sollte man nicht tun. In Notfällen (Nutzer ist on the road), kannst Du das natürlich machen und dann verstehe ich auch, warum Du dann das Kennwort ändern möchtest.
Es ginge so: du lässt den Nutzer sein Kennwort in eine Datei eintragen oder übergibst es einem Skript. Das Skript arbeitet mit manage-bde oder Powershell und löscht den Kennwortprotektor und setzt das neue Kennwort. Das Skript wird von einem Task gestartet, der mit hohen Rechten arbeitet und man muss den Nutzer berechtigen, diesen Task zu starten.
Wir nutzen BL firmenweit seit einigen Jahren.
Eine Frage vorab: wie stellst Du dir denn den Kennwortwechsel vor? Ohne Kennwort kannst Du das Gerät doch nicht einmal mounten, du kannst ein Kennwort jedoch nur bei gemountetem Gerät ändern - das beobachtete Verhalten ist nur logisch.
Wenn ein Nutzer sein Kennwort vergisst, muss eh ein Admin das Gerät starten - und dann kann er auch gleich mit dem Nutzer zusammen die Änderung durchführen.
Das beantworte bitte zunächst. Ich kann Dir auch a,b und c beantworten, sehe aber zunächst mal gar keinen Sinn darin.
Ich schätze, Du gedenkst, dem Nutzer den Recoverykey mitzuteilen - das sollte man nicht tun. In Notfällen (Nutzer ist on the road), kannst Du das natürlich machen und dann verstehe ich auch, warum Du dann das Kennwort ändern möchtest.
Es ginge so: du lässt den Nutzer sein Kennwort in eine Datei eintragen oder übergibst es einem Skript. Das Skript arbeitet mit manage-bde oder Powershell und löscht den Kennwortprotektor und setzt das neue Kennwort. Das Skript wird von einem Task gestartet, der mit hohen Rechten arbeitet und man muss den Nutzer berechtigen, diesen Task zu starten.
Hallo zusammen,
angenommen, dem Nutzer, der sein Passwort vergessen hat, wird das Passwort mitgeteilt, da wie bereits von dir angesprochen, der User nicht immer online ist.
Welche Nachteile ergeben sich dadurch für die IT, wenn der User dieses zweite Kennwort kennt und welche Möglichkeiten gibt es, um in Sonderfällen trotzdem auf diese Methode zurückgreifen zu können, ohne dass der Nachteil auftritt?
Ohne die genauen Folgen der Recoverykeyausgabe zu kennen, würde ich momentan ein Skript verwenden, das ausgeführt wird (manuell durch den Systemadmin), sobald der entsprechende Benutzer wieder erreichbar ist (RDP, Teamviewer, direkt vor Ort) und z.B. per manage-bde den Recoverykey löscht und neu erzeugt.
angenommen, dem Nutzer, der sein Passwort vergessen hat, wird das Passwort mitgeteilt, da wie bereits von dir angesprochen, der User nicht immer online ist.
Welche Nachteile ergeben sich dadurch für die IT, wenn der User dieses zweite Kennwort kennt und welche Möglichkeiten gibt es, um in Sonderfällen trotzdem auf diese Methode zurückgreifen zu können, ohne dass der Nachteil auftritt?
Ohne die genauen Folgen der Recoverykeyausgabe zu kennen, würde ich momentan ein Skript verwenden, das ausgeführt wird (manuell durch den Systemadmin), sobald der entsprechende Benutzer wieder erreichbar ist (RDP, Teamviewer, direkt vor Ort) und z.B. per manage-bde den Recoverykey löscht und neu erzeugt.
Hi.
Der Recoverykey ermöglicht es Dir, offline an die Platte ranzugehen und Daten einzusehen, oder Dich zum lokalen Admin zu erheben (oder Hashes auszuspionieren, oder...). Auch ein Kennwort als Protektor (und nicht wie von MS empfohlen das TPM+PIN) ermöglicht das selbe, insofern ist der Nachteil nicht so groß, den er haben würde, denn es ist eh unsicher.
Der Recoverykey ermöglicht es Dir, offline an die Platte ranzugehen und Daten einzusehen, oder Dich zum lokalen Admin zu erheben (oder Hashes auszuspionieren, oder...). Auch ein Kennwort als Protektor (und nicht wie von MS empfohlen das TPM+PIN) ermöglicht das selbe, insofern ist der Nachteil nicht so groß, den er haben würde, denn es ist eh unsicher.
Quin83, kommt nun noch ein Kommentar von Dir?
Hi.
danke dir, wir hatten da einen Denkfehler drin.
danke dir, wir hatten da einen Denkfehler drin.
