Je beheert Windows Server 2019-bestandsservers in een AD DS-domein. Het beveiligingsbeleid vereist BitLocker voor OS-volumes met TPM-gebaseerde bescherming en een opstart-PIN. Naleving vereist ook dat herstelinformatie automatisch wordt geback-upt naar AD DS voordat BitLocker wordt ingeschakeld. Servers hebben TPM 2.0. Wat moet je configureren om aan beide vereisten te voldoen? Kies twee acties.

Om aan de vereiste voor TPM-gebaseerde bescherming met een opstart-PIN te voldoen, moet je in een Groepsbeleidsobject (GPO) de instelling 'Require additional authentication at startup' inschakelen en de optie 'TPM + PIN' selecteren. Dit zorgt ervoor dat BitLocker een PIN vereist naast de TPM voor authenticatie bij het opstarten. Om te voldoen aan de vereiste dat herstelinformatie automatisch naar AD DS wordt geback-upt voordat BitLocker wordt ingeschakeld, moet je in hetzelfde GPO, onder 'Choose how BitLocker-protected operating system drives can be recovered', de opties 'Save BitLocker recovery information to AD DS for operating system drives' en 'Do not enable BitLocker until recovery information is stored' inschakelen. Dit garandeert dat de herstelinformatie veilig in AD DS wordt opgeslagen voordat de versleuteling begint. De optie om BitLocker Network Unlock in te schakelen is niet relevant voor de gestelde vereisten, aangezien de vraag specifiek vraagt om een opstart-PIN. Het gebruik van alleen TPM-beveiliging zonder PIN voldoet niet aan de vereiste voor een opstart-PIN. Het opslaan van herstelsleutels in Azure AD voldoet niet aan de vereiste om ze in AD DS op te slaan.