Dans l’article précédent je présentais BitLocker Network Unlock, son principe de fonctionnement et la préparation du poste client Windows 8 avec un firmware UEFI compatible. Je vais m’intéresser maintenant à l’installation de l’infrastructure nécessaire.
Je suis donc parti de la documentation suivante :
BitLocker: How to enable Network Unlock http://technet.microsoft.com/en-us/library/jj574173.aspx
Cette documentation est à peu près complète et m’a largement suffit. Toutefois certains détails ne correspondent pas exactement à ce que l’on rencontre sur le produit, j’ai donc décidé de documenter la procédure que j’ai suivie, en espérant que cela en débloquera certains, ou servira de référence par la suite. Pour résumer la procédure, voici les étapes à suivre, en trois parties : préparation, installation de l’infrastructure et tests.
Préparation (décrite dans l’article précédent) :
Installation de l’infrastructure :
Test sur le client :
Nous avons déjà traité la première partie et le casse-tête du matériel et de l’UEFI dans l’article précédent. Voyons donc maintenant ce qu’il en est de l’infrastructure.
Une fois le client prêt, passons à l’installation de l’infrastructure nécessaire. La première étape consiste à installer le nouveau serveur qui va héberger le service Network Unlock.
Install-WindowsFeature WDS-Deployment
Get-Service WDSServer
Install-WindowsFeature BitLocker-NetworkUnlock
Les prochaines étapes concernent le certificat. Celui-ci sera avec sa clé privée sur le serveur WDS/BitLocker Network Unlock, et déployé sur tous les clients par une stratégie de groupe. Mais en premier lieu il faut créer le modèle de certificat avec le plus grand soin, car toutes les options de ce modèle comptent pour que cela fonctionne.
La documentation en ligne suggère la possibilité d’utiliser un certificat autosigné, en l’absence d’une PKI. Je désapprouve totalement cette pratique, et recommande fortement la mise en œuvre d’une PKI, même sur une maquette de démo. En supposant donc que la PKI est opérationnelle, commençons par créer le modèle de certificat.
Sur le serveur hébergeant l’autorité de certification (dans mon cas, le contrôleur de domaine dc.demo1.local) :
A partir de là il s’agit de personnaliser le nouveau modèle dans la fenêtre affichée, en allant successivement sur plusieurs de ses onglets.
Une fois le modèle de certificat enregistré, il faut l’ajouter à l’autorité de certification :
Nous pouvons maintenant générer et installer le certificat qui sera utilisé sur notre démo.
Sur le serveur WDS / BitLocker Network Unlock :
Sur le serveur de l’autorité de certification, ouvrir la console de l’autorité de certification (certsrv.msc) et valider la demande de certificat :
De retour sur le serveur WDS / BitLocker Network Unlock, toujours dans la console certmgr.msc
Exporter le certificat dans un fichier .pfx avec sa clé privée :
Recommencer l’opération en exportant le certificat cette fois dans un fichier .cer sans sa clé privée :
Lorsque nous avons fait la requête du certificat, celui-ci a été stocké dans le magasin de l’utilisateur qui a fait l’opération. Or ce certificat doit être déployé dans un emplacement spécifique du magasin machine du serveur. C’est pourquoi nous allons importer le fichier .pfx créé précédemment à l’emplacement adéquat. Pour ce faire, sur le serveur :
Une fois cette importation confirmée, la configuration du serveur WDS est terminée.
L’étape suivante consiste à déployer le certificat du serveur WDS vers les postes clients. Cela est nécessaire pour que les clients ajoutent le protecteur de type Network lors de l’activation de BitLocker.
Le déploiement se fait par une stratégie de groupe :
A ce stade, il ne reste qu’à configurer BitLocker. Toujours dans l’éditeur de stratégie de groupe sur la stratégie qui s’applique aux postes clients, dans Computer Configuration – Policies – Administrative Templates – Windows Components – BitLocker Drive Encryption – Operating System Drives, configurer les stratégies suivantes :
A ce stade tout est prêt, en principe, pour tester la fonctionnalité. La difficulté est que toutes les étapes précédentes sont critiques pour le succès de l’opération : il faut donc être prêt à ce que tout ne fonctionne pas comme prévu au premier essai…
1ère étape du test : chiffrer le volume C: du client, configuré comme indiqué dans l’article précédent. Avant de lancer le chiffrement, il faut vérifier que les stratégies de groupes sont appliquées, en exécutant une commande gpupdate /force. Si la configuration de BitLocker est correcte, le protecteur TPM+PIN doit être obligatoire. Une fois le chiffrement lancé ou terminé, vous pouvez vérifier que tout s’est bien passé en listant les protecteurs de clé sur le volume C:. Si le protecteur Network est présent, c’est gagné ! Sinon, il y a un souci au niveau du certificat du serveur WDS, ou du modèle de certificat utilisé.
Pour vérifier les protecteurs de clé sur le volume C:, exécuter la commande manage-bde.exe -protectors -get c: dans une ligne de commande avec des privilèges élevés. Le résultat doit ressembler à ceci :
Cette première étape ne dépend pas de la configuration UEFI du poste client. Elle ne dépend pour l’instant que de la configuration de l’infrastructure et surtout du certificat du serveur WDS.
La deuxième étape, par contre, nécessite le bon fonctionnement du firmware UEFI du client, et de son option DHCP.
2ème étape du test : démarrer le client sur le réseau et hors du réseau du domaine. Pour être sûr du test, il faut éteindre complètement le client, et le démarrer hors du réseau de test. Dans ce cas, le PIN BitLocker doit être demandé, c’est normal.
Puis, éteindre à nouveau le client, brancher le client sur le même réseau Ethernet que le serveur WDS et que le reste des serveurs du domaine, puis démarrer le poste. Si Windows démarre sans demander le PIN BitLocker, c’est gagné. S’il demande le PIN, il y a un souci avec la fonctionnalité. Il convient alors de vérifier la configuration UEFI et de faire éventuellement une capture réseau sur le serveur WDS lors du démarrage du client.
Voir également les informations sur le troubleshooting vers la fin de l’article http://technet.microsoft.com/en-us/library/jj574173.aspx.
Si vous testez cette fonctionnalité et rencontrez des problèmes n’hésitez pas à m’en faire part dans les commentaires.
Et pour finir, n’oubliez pas de télécharger la version d’évaluation de Windows Server 2012, vous gagnerez peut-être un ebook : http://aka.ms/jeveuxwindows2012.