Configureer validatieprofiel voor TPM platform voor systeemeigen UEFI configuraties van firmware

Met deze beleidsinstelling kunt u aangeven hoe de versleutelingssleutel van BitLocker wordt beveiligd door de TPM-beveiligingshardware (Trusted Platform Module) van de computer. Deze beleidsinstelling is niet van toepassing als de computer geen compatibele TPM heeft of als BitLocker al is ingeschakeld met TPM-beveiliging.

Belangrijk: dit groepsbeleid geldt alleen voor computers met een systeemeigen UEFI-firmwareconfiguratie. Computers met BIOS- of UEFI-firmware met een ingeschakelde Compatibility Service Module (CSM) bewaren andere waarden in de Platform Configuration Registers (PCR's). Gebruik de groepsbeleidsinstelling "Validatieprofiel configureren voor TPM-platform voor op BIOS gebaseerde firmwareconfiguraties" om het TPM PCR-profiel te configureren voor computers met een BIOS-configuratie of computers met UEFI-firmware met een ingeschakelde CSM.

Als u deze beleidsinstelling inschakelt voordat BitLocker wordt ingeschakeld, kunt u de opstartonderdelen configureren die door de TPM worden gevalideerd voordat er toegang wordt verleend tot het door BitLocker versleutelde systeemstation. Als zich wijzigingen voordoen in een of meer van deze onderdelen terwijl de BitLocker-beveiliging van kracht is, wordt de versleutelingssleutel voor het ontgrendelen van het station niet vrijgegeven door de TPM en wordt de herstelconsole van BitLocker weergegeven en moet het herstelwachtwoord of de herstelsleutel worden ingevoerd om toegang te krijgen tot het station.

Als u deze beleidsinstelling uitschakelt of niet configureert, gebruikt BitLocker het voor de beschikbare hardware of het profiel voor platformvalidatie dat is opgegeven in het installatiescript. Een profiel voor platformvalidatie bestaat uit een set PCR-indexen (Platform Configuration Register) van 0 tot 23.

Op pc's die Status beveiligd opstarten (PCR 7) niet ondersteunen, beveiligt het standaardprofiel voor platformvalidatie de versleutelingssleutel tegen wijzigingen aan uitvoerbare code voor de firmware van het kernsysteem (PCR 0), uitgebreide of pluggable uitvoerbare code (PCR 2), Boot Manager (PCR 4) en de toegangscode voor BitLocker (PCR 11).

Wanneer Status beveiligd opstarten (PCR7) wordt ondersteund, beveiligt het standaardprofiel voor platformvalidatie de versleutelingssleutel met behulp van Status beveiligd opstarten (PCR 7) en de toegangscode voor BitLocker (PCR 11).

Waarschuwing: als u een ander profiel voor platformvalidatie gebruikt dan het standaardprofiel, heeft dit gevolgen voor de beveiliging en het beheer van de computer. De gevoeligheid van BitLocker ten aanzien van platformaanpassingen (onbevoegd of bevoegd) neemt af of toe, afhankelijk van het uitsluiten of opnemen (respectievelijk) van de PCR's. Met name als de instelling van dit beleid met PCR 7 wordt weggelaten, wordt het groepsbeleid "Beveiligd opstarten voor integriteitsvalidatie toestaan" genegeerd, zodat wordt voorkomen dat BitLocker Beveiligd opstarten voor de integriteitsvalidatie van platform- en opstartconfiguratiegegevens (Boot Configuration Data, BCD) gebruikt. Het instellen van dit beleid kan leiden tot herstel door BitLocker wanneer de firmware wordt bijgewerkt. Als u dit beleid instelt om PCR 0 op te nemen, onderbreekt u BitLocker voordat u firmware-updates toepast.

Aanbevolen wordt om dit beleid niet te configureren, zodat Windows op basis van de beschikbare hardware op elke pc zelf het PCR-profiel kan selecteren dat voor de optimale combinatie van veiligheid en bruikbaarheid zorgt.