Configureer validatieprofiel voor TPM platform voor op BIOS gebaseerde configuraties van firmware

Met deze beleidsinstelling kunt u aangeven hoe de versleutelingssleutel van BitLocker wordt beveiligd door de TPM-beveiligingshardware (Trusted Platform Module) van de computer. Deze beleidsinstelling is niet van toepassing als de computer geen compatibele TPM heeft of als BitLocker al is ingeschakeld met TPM-beveiliging.

Belangrijk: dit groepsbeleid geldt alleen voor computers met BIOS-configuraties of op computers met UEFI-firmware met een ingeschakelde Compatibility Service Module (CSM). Computers met een systeemeigen configuratie voor UEFI-firmware bewaren andere waarden in de Platform Configuration Registers (PCR's). Gebruik de groepsbeleidinstelling "Profiel configureren voor TPM-platformvalidatie voor systeemeigen UEFI firmware configuraties" om het TPM PCR-profiel voor computers met systeemeigen UEFI firmware te configureren.

Als u deze beleidsinstelling inschakelt voordat BitLocker wordt ingeschakeld, kunt u de opstartonderdelen configureren die door de TPM worden gevalideerd voordat er toegang wordt verleend tot het door BitLocker versleutelde systeemstation. Als zich wijzigingen voordoen in een of meer van deze onderdelen terwijl de BitLocker-beveiliging van kracht is, wordt de versleutelingssleutel voor het ontgrendelen van het station niet vrijgegeven en wordt de herstelconsole van BitLocker weergegeven en moet het herstelwachtwoord of de hersleutel worden ingevoerd om toegang te krijgen tot het station.

Als u deze beleidsinstelling uitschakelt of niet configureert, gebruikt BitLocker het standaardprofiel voor platformvalidatie of het profiel voor platformvalidatie dat is opgegeven in het installatiescript. Een validatieprofiel voor een platform bestaat uit een set Platform Configuration Register (PCR) indices van 0 tot23. Het standaardprofiel voor platformvalidatie beveiligt de versleutelingssleutel tegen wijzigingen van de CRTM (Core Root of Trust of Measurement), het BIOS en platformuitbreidingen (PCR 0), de code voor optie-ROM (PCR 2), de MBR-code (Master Boot Record) (PCR 4), de NTFS-opstartsector (PCR 8), het NTFS-opstartblok (PCR 9), Boot Manager (PCR 10) en BitLocker-toegangsbeheer (PCR 11).

Waarschuwing: als u een ander profiel voor platformvalidatie gebruikt dan het standaardprofiel, heeft dit gevolgen voor de beveiliging en het beheer van de computer. De gevoeligheid van BitLocker ten aanzien van platformaanpassingen (onbevoegd of bevoegd) neemt af of toe, afhankelijk van het uitsluiten of opnemen (respectievelijk) van de PCR's.