跳至主内容

加密

在 加密 策略部分中，您可以控制终端上的加密设置。

该 加密模块 通过利用 BitLocker （Windows系统）、 FileVault 以及 diskutil 命令行工具（macOS系统）来管理终端的全盘加密。

GravityZone 能够提供以下优势：

  • 设备丢失或被盗时数据仍受保护。

  • 通过采用微软和苹果全面支持的推荐加密标准，为全球最流行的计算机平台提供广泛保护。

  • 由于采用原生加密工具，对终端性能影响极小。

注意

该模块适用于：

  • 工作站版Windows

  • 服务器版Windows

  • macOS

加密模块运行以下解决方案：

  • Windows终端（含可信平台模块TPM）上的BitLocker 1.2及更高版本，适用于启动卷和非启动卷。

  • Windows终端（不含TPM）上的BitLocker 1.2及更高版本，适用于启动卷和非启动卷。

  • macOS终端上的FileVault，适用于启动卷。

  • macOS终端上的diskutil，适用于非启动卷。

有关加密模块支持的操作系统列表，请参阅 GravityZone 要求。

注意

该功能的可用性和运行情况可能因当前套餐包含的许可证而异。

激活

要使用全盘加密功能，首先需确保该功能已在GravityZone产品中激活，随后在策略设置中进行配置。

GravityZone 全盘加密是需要基于许可证密钥激活的功能。请前往 配置 > 许可证 输入许可证密钥。要检查全盘加密的可用性，请打开策略设置或创建新安装包，查看 加密 是否出现在模块列表中。

配置

要在 控制中心 管理终端加密，请点击 加密管理 在 加密 > 常规 页面启用该功能。只要此设置处于激活状态，终端用户将无法本地管理加密，其所有操作将被取消或回滚。

注意

禁用此设置将使终端卷保持当前状态（加密或未加密），用户将能够在其计算机上管理加密。

注意

本主题涵盖 全盘加密 从 GravityZone 控制台角度的设置。有关终端加密解密流程、最佳实践和用例的详细信息，请参阅 GravityZone 全盘加密 常见问题解答 。另请参见 要求部分 关于 全盘加密 .

policies_encyption_o_48267_en.png

要管理加密和解密过程，有两种选项可用：

  • 解密 – 当策略在终端上激活时，解密卷并保持其未加密状态。

  • 加密 – 当策略在终端上激活时，加密卷并保持其加密状态。

    在加密选项下，您可以选择复选框 如果可信平台模块（TPM）处于活动状态，则不要求输入加密密码 。此设置在具有TPM的Windows终端上提供加密，无需用户输入加密密码。

GravityZone 支持在Windows和macOS上使用128位和256位密钥的AES（高级加密标准）加密方法。实际使用的加密算法取决于各操作系统配置。

注意

GravityZone 可检测并管理通过BitLocker、FileVault和diskutil手动加密的卷。要开始管理这些卷，安全代理将提示终端用户更改其恢复密钥。若使用其他加密解决方案，必须在应用 GravityZone 策略前解密这些卷。

加密卷

加密卷步骤：

  1. 点击 加密管理 开关以启用该功能。

  2. 选择 加密 选项。

策略在终端生效后即开始加密过程，Windows和Mac存在一些特殊性。

注意

加密和解密仅通过设备类型策略管理。基于规则的策略无法管理卷加密。

  • Windows平台

    默认情况下，安全代理将提示用户配置密码以启动加密。若机器具备有效TPM模块，安全代理将提示用户配置个人识别码（PIN）以启动加密。

    Full_disk_encryption_password_48267.png

    用户每次启动终端时，需在预启动认证界面输入此阶段配置的密码或PIN。

    注意

    安全代理允许您通过BitLocker组策略（GPO）设置配置PIN复杂度要求及用户修改PIN的权限。

    若需在不要求终端用户提供密码的情况下启动加密，请启用复选框 若可信平台模块（TPM）已激活，则无需预启动密码 。此设置适用于配备TPM和UEFI的Windows终端。

    当复选框 若可信平台模块（TPM）已激活，则无需预启动密码 被启用时：

    • 未加密终端情况：

      • 加密过程无需输入密码即可进行。

      • 启动机器时不会出现预启动认证界面。

    • 在启用密码加密的终端设备上：

      • 密码将被移除。

      • 卷仍保持加密状态。

    • 在未加密或已加密但未检测到/未启用TPM的终端设备上：

      • 系统会提示用户输入加密密码。

      • 启动机器时将出现预启动认证界面。

    当复选框 若可信平台模块（TPM）处于活动状态，则不要求预启动密码 被禁用时：

    • 用户必须输入加密密码。

    • 卷仍保持加密状态。

  • 在Mac设备上

    对启动卷进行加密时，安全代理将提示用户输入系统凭据。

    对非启动卷进行加密时，安全代理将提示用户设置加密密码。每次启动计算机时都需要此密码解锁非启动卷。若计算机有多个非启动卷，用户需为每个卷单独设置加密密码。

    注意

    加密模块会绕过macOS的静默模式。因此即使您在终端生效策略中禁用通知，用户仍会在相关情况下收到操作提示。

解密卷

解密终端设备上的卷：

  1. 点击 加密管理 开关以启用该功能。

  2. 选择 解密 选项。

策略在终端生效后即开始解密流程，Windows和Mac系统存在特定差异。

  • 在Windows系统上

    解密过程无需用户交互。

  • 在Mac系统上

    对于启动卷，用户必须输入系统凭据。对于非启动卷，用户需输入加密过程中配置的密码。

若终端用户忘记加密密码，则需要恢复密钥来解锁设备。有关获取恢复密钥的详细信息，请参阅 使用加密卷恢复管理器 .

注意

若加密模块过期，将无法从 GravityZone 获取恢复密钥，且加密驱动器将无法访问。强烈建议在模块到期前解密所有驱动器以避免数据丢失。

排除分区

您可通过添加特定驱动器盘符、分区标签与名称及分区GUID，为Windows终端创建加密排除列表。操作系统所在分区不可被排除。

注意

在macOS上， Bitdefender 仅支持对启动分区和本地分区（非卷）进行加密。因此无需对外接硬盘、U盘等设备设置排除项。

创建分区加密排除规则：

  1. 勾选 排除项 复选框。

  2. 在 类型 下拉菜单中选择分区标识方式。

  3. 在 排除项 字段中输入需排除分区的标识符。格式如下：

    • 对于 驱动器盘符 ，输入盘符加冒号，例如 D: .

    • 对于 标签/名称 ，输入驱动器标签，例如 工作 .

    • 对于 GUID ，输入以下格式的分区GUID： \\?\Volume{6a2d53fe-c79a-11e1-b189-806e6f6e6963}\ .

      提示

      要在Windows中查找卷GUID，请使用 mountvol 命令（无需任何参数）。

  4. 点击 Add.png 添加 将排除项加入列表。

编辑排除项：

  1. 打开内联菜单。

    policies_encyption_inline_menu_cp_48267_en.png

  2. 点击 编辑排除项 .

  3. 进行修改。

  4. 点击 ok-icon.png 确认图标以保存更改。

    或点击 delete_gray_icon.png 取消图标关闭编辑字段（不保存更改）。

删除排除项：打开内联菜单并点击 删除 .

本节 :