Configurare BitLocker sui dispositivi Windows 10 o Windows 11

Versioni supportate per questa funzionalità: Frontline Starter e Frontline Standard; Business Plus; Enterprise Standard ed Enterprise Plus; Education Standard, Education Plus ed Endpoint Education Upgrade; Enterprise Essentials e Enterprise Essentials Plus; Cloud Identity Premium.  Confronta la tua versione

In qualità di amministratore, puoi specificare in che modo i dispositivi Microsoft Windows 10 o Windows 11 registrati nella gestione dei dispositivi Windows sono criptati. Le impostazioni che scegli vengono applicate se sul dispositivo è attiva la crittografia dell'unità BitLocker. Le impostazioni più comuni da configurare sono:

• Crittografia unità
• Ulteriore autenticazione di avvio
• Opzioni di recupero per il preavvio
• Crittografia delle unità fisse
• Opzioni di recupero per le unità fisse
• Crittografia delle unità rimovibili

Prima di iniziare 

Per applicare queste impostazioni, è necessario che i dispositivi siano registrati nella gestione dei dispositivi Windows. Scopri di più

Configura crittografia unità BitLocker

1. Accedi alla Console di amministrazione Google.

   Accedi utilizzando l'account amministratore (che non termina con @gmail.com).

2. Nella Console di amministrazione, vai al Menu   Dispositivi Dispositivi mobili ed endpoint Impostazioni Windows ,
3. Fai clic su Impostazioni di BitLocker.
4. (Facoltativo) Per applicare l'impostazione a un reparto o a un team, seleziona un'unità organizzativa a lato Mostrami come fare
5. In Crittografia unità, seleziona Abilitata dall'elenco.
6. Configura le opzioni (apri tutto):

   Crittografia unità

   • Opzione di crittografia per le unità di sistema: seleziona il metodo di crittografia e il livello di codifica della chiave per le unità del sistema operativo.
   • Ulteriore autenticazione di avvio: seleziona se BitLocker richiede un'autenticazione aggiuntiva a ogni avvio del computer e se è in uso un modulo TPM (Trusted Platform Module). Se l'opzione è abilitata, puoi configurare quanto segue:
     • Consenti BitLocker senza TPM compatibile: seleziona la casella per richiedere una password o un'unità USB per l'avvio.
     • Configura avvio TPM senza PIN o chiave: puoi richiedere TPM come autenticazione di avvio anziché un PIN o una chiave.
     • PIN di avvio TPM: puoi richiedere l'inserimento di un PIN di 6-20 cifre prima dell'avvio. Puoi anche configurare la lunghezza minima del PIN.
     • Chiave di avvio TPM: puoi richiedere agli utenti di autenticarsi con una chiave di avvio TPM per accedere a un'unità. Una chiave di avvio è una chiave USB contenente le informazioni necessarie per criptare l'unità. Quando la chiave USB viene inserita nel dispositivo, l'accesso all'unità viene autenticato e l'unità diventa accessibile.
     • PIN e chiave di avvio TPM: puoi richiedere sia una chiave di avvio che un PIN.
   • Opzioni di recupero per il pre-avvio: abilita queste opzioni per configurare il messaggio di recupero o personalizzare l'URL visualizzato nella schermata di recupero della chiave di pre-avvio quando l'unità del sistema operativo è bloccata.
   • Opzioni di recupero per le unità di sistema: abilita queste opzioni per consentire agli utenti di recuperare i dati dalle unità del sistema operativo protette da BitLocker. Se l'opzione è abilitata, puoi configurare quanto segue:
     • Consenti agente di recupero dati: gli agenti di recupero dati sono persone i cui certificati di infrastruttura a chiave pubblica (PKI) vengono utilizzati per creare una protezione con chiave BitLocker. Se autorizzate, queste persone possono utilizzare le proprie credenziali dell'infrastruttura a chiave pubblica per sbloccare le unità protette da BitLocker.
     • Password di recupero di 48 cifre: specifica se gli utenti sono autorizzati, obbligati o non autorizzati a generare una password di recupero di 48 cifre.
     • Codice di recupero a 256 bit: specifica se gli utenti sono autorizzati, obbligati o non autorizzati a generare un codice di recupero a 256 bit.
     • Nascondi le opzioni di recupero dalla configurazione guidata di BitLocker: seleziona la casella per impedire agli utenti di specificare le opzioni di recupero quando attivano BitLocker.
     • Salva le informazioni di recupero di BitLocker nei servizi di dominio di Active Directory: quando l'opzione è selezionata, puoi scegliere quali informazioni di recupero di BitLocker archiviare in Active Directory. Puoi selezionare Esegui il backup del pacchetto chiave e della password di recupero oppure Esegui il backup solo della password di recupero. Se l'opzione è abilitata, puoi configurare quanto segue:
       • Non abilitare BitLocker finché le informazioni di recupero non sono archiviate in Active Directory: seleziona la casella per consentire agli utenti di attivare BitLocker solo se il computer è connesso al dominio e se la copia di backup delle informazioni di recupero di BitLocker in Active Directory viene eseguita correttamente.

   Crittografia delle unità fisse

   • Crittografia delle unità fisse: consente di richiedere che le unità fisse vengano criptate prima che sia fornito l'accesso in scrittura. Se l'opzione è abilitata, puoi configurare quanto segue:
     • Crittografia per le unità fisse: seleziona il metodo di crittografia e il livello di codifica delle chiavi per le unità fisse.
     • Opzioni di recupero per le unità fisse: abilita queste opzioni per consentire agli utenti di recuperare i dati dalle unità fisse protette da BitLocker. Se l'opzione è abilitata, puoi configurare quanto segue:
       • Consenti agente di recupero dati: gli agenti di recupero dati sono persone i cui certificati di infrastruttura a chiave pubblica (PKI) vengono utilizzati per creare una protezione con chiave BitLocker. Se autorizzate, queste persone possono utilizzare le proprie credenziali dell'infrastruttura a chiave pubblica per sbloccare le unità protette da BitLocker.
       • Password di recupero di 48 cifre: specifica se gli utenti sono autorizzati, obbligati o non autorizzati a generare una password di recupero di 48 cifre.
       • Codice di recupero a 256 bit: specifica se gli utenti sono autorizzati, obbligati o non autorizzati a generare un codice di recupero a 256 bit.
       • Nascondi le opzioni di recupero dalla configurazione guidata di BitLocker: seleziona la casella per impedire agli utenti di specificare le opzioni di recupero quando attivano BitLocker.
       • Salva le informazioni di recupero di BitLocker nei servizi di dominio di Active Directory: quando l'opzione è selezionata, puoi scegliere quali informazioni di recupero di BitLocker archiviare in Active Directory. Puoi selezionare Esegui il backup del pacchetto chiave e della password di recupero oppure Esegui il backup solo della password di recupero. Se l'opzione è abilitata, puoi configurare quanto segue:
         • Non abilitare BitLocker finché le informazioni di recupero non sono archiviate in Active Directory: seleziona la casella per consentire agli utenti di attivare BitLocker solo se il computer è connesso al dominio e se la copia di backup delle informazioni di recupero di BitLocker in Active Directory viene eseguita correttamente.

   Crittografia delle unità rimovibili

   • Crittografia delle unità rimovibili: abilita questa opzione per richiedere che tutte le unità rimovibili siano criptate prima di fornire l'accesso in scrittura. Se l'opzione è abilitata, puoi configurare quanto segue:
     • Crittografia per le unità rimovibili: seleziona l'algoritmo di crittografia e la sicurezza della crittografia della chiave per le unità rimovibili. 
     • Nega l'accesso in scrittura ai dispositivi configurati in un'altra organizzazione: se l'opzione è selezionata, l'accesso in scrittura è consentito solo alle unità con campi di identificazione corrispondenti a quelli del computer. Questi campi sono definiti dai criteri di gruppo dell'organizzazione.
7. Fai clic su Salva. In alternativa, puoi fare clic su Sostituisci per unità organizzativa.

   Per ripristinare in un secondo momento il valore ereditato, fai clic su Eredita.

Le modifiche possono richiedere fino a 24 ore, ma in genere sono più rapide. Scopri di più

Imposta crittografia unità su Non configurata

Se selezioni Non configurata per Crittografia unità, il criterio di BitLocker configurato nella Console di amministrazione non viene più applicato in modo forzato. Sui dispositivi degli utenti, per il criterio viene ripristinata l'impostazione precedente. Se l'utente ha criptato il dispositivo, non vengono apportate modifiche al dispositivo o ai relativi dati.

Disattivare crittografia unità BitLocker

1. Accedi alla Console di amministrazione Google.

   Accedi utilizzando l'account amministratore (che non termina con @gmail.com).

2. Nella Console di amministrazione, vai al Menu   Dispositivi Dispositivi mobili ed endpoint Impostazioni Windows ,
3. Fai clic su Impostazioni di BitLocker.
4. Se vuoi disattivare un profilo solo per alcuni utenti, seleziona un'unità organizzativa dall'elenco a sinistra. In caso contrario, il cambiamento verrà applicato a tutti gli utenti.
5. In Crittografia unità, seleziona Disabilitata dall'elenco.
6. Fai clic su Salva. In alternativa, puoi fare clic su Sostituisci per unità organizzativa.

   Per ripristinare in un secondo momento il valore ereditato, fai clic su Eredita.

Argomenti correlati

• Attiva Gestione dei dispositivi Windows
• Registrare un dispositivo nella gestione dei dispositivi Windows

_{Google, Google Workspace e marchi e loghi correlati sono marchi di Google LLC. Tutti gli altri nomi di società e prodotti sono marchi delle rispettive società a cui sono associati.}