Sie verwalten Windows Server 2019-Dateiserver in einer AD DS-Domäne. Die Sicherheitsrichtlinie erfordert BitLocker für OS-Volumes mit TPM-basiertem Schutz und einer Start-PIN. Die Compliance erfordert außerdem, dass Wiederherstellungsinformationen automatisch in AD DS gesichert werden, bevor BitLocker aktiviert wird. Die Server verfügen über TPM 2.0. Was sollten Sie konfigurieren, um beide Anforderungen zu erfüllen? Wählen Sie zwei Aktionen aus.

Um TPM-basierten Schutz mit einer Start-PIN zu erzwingen, müssen Sie die Gruppenrichtlinieneinstellung "Zusätzliche Authentifizierung beim Start erforderlich" aktivieren und "TPM + PIN" zulassen. Dies stellt sicher, dass Benutzer eine PIN eingeben müssen, um das Betriebssystem zu starten, zusätzlich zur TPM-Validierung. Um die automatische Sicherung der Wiederherstellungsinformationen in AD DS vor der BitLocker-Aktivierung zu gewährleisten, müssen Sie die Gruppenrichtlinieneinstellung "Auswählen, wie BitLocker-geschützte Betriebssystemlaufwerke wiederhergestellt werden können" konfigurieren. Dort aktivieren Sie die Optionen "BitLocker-Wiederherstellungsinformationen für Betriebssystemlaufwerke in AD DS speichern" und "BitLocker erst aktivieren, wenn Wiederherstellungsinformationen gespeichert sind". Die Option "BitLocker Network Unlock" umgeht die PIN und erfüllt somit nicht die Anforderung. Die Verwendung von nur TPM-Schutz ohne PIN erfüllt ebenfalls nicht die Anforderung einer Start-PIN. Das Speichern von Wiederherstellungsschlüsseln in Azure AD erfüllt nicht die Anforderung, diese in AD DS zu sichern.