Ativar o controle de criptografia de disco criptografa a unidade em todos os dispositivos-alvo e escrows a chave de recuperação, para que você possa acessar uma máquina sem depender da pessoa que a usou. Ele cobre totalmente o macOS e o Windows. O Linux é uma história diferente, e a diferença importa antes de você prometer qualquer coisa.

Recurso/Função

Visão Geral

Dispositivos móveis não precisam de nada de você: Apple e Android criptografam seus dispositivos sozinhos, e não há configuração a ser gerenciada. O trabalho está nas três plataformas de desktop, e apenas duas delas podem ser corrigidas após o fato.

Como usar — macOS

1. Ative o controle de criptografia de disco e selecione os dispositivos.
2. O FileVault é ativado.
3. A criptografia entra em vigor após a próxima reinicialização, não imediatamente.
4. A chave de recuperação é escrows dentro de 24 horas após essa reinicialização.

A diferença entre "ativado" e "criptografado" é uma reinicialização, e a diferença entre "criptografado" e "você tem a chave" pode levar até um dia. Um Mac que aparece como não compatível na mesma tarde em que você ativou o controle geralmente está apenas aguardando o funcionário reiniciar.

Como usar — Windows

1. Ative o controle e selecione os dispositivos.
2. O BitLocker é ativado.
3. Sem reinicialização necessária.
4. A chave é armazenada assim que a criptografia é ativada.

O Windows é o mais direto. Se não criptografar, a edição é a primeira coisa a verificar: Windows Home não tem BitLocker.

Linux: deve ser feito na instalação

O Linux não tem como criptografar um disco após o sistema operacional ser instalado. Adicionar criptografia depois significa uma reinstalação completa. Portanto, no Linux, o controle não impõe nada — ele coleta.

Como o fluxo realmente se parece:

1. O funcionário criptografa o disco com LUKS enquanto instala o sistema operacional. Este é o passo que não pode ser recuperado depois.
2. Uma vez que o dispositivo esteja registrado, o agente mostra ao funcionário um banner pedindo para escrows a chave de recuperação.
3. Eles clicam em Criar chave e inserem a frase secreta LUKS que já definiram.
4. Uma nova frase secreta de recuperação é gerada e armazenada no servidor.

Note quem faz o que: o escrows acontece através do agente no dispositivo, não do seu lado. Você não pode acioná-lo por eles.

Como usar — alterar ou desligar

Abra o controle em MDM > Controles para editar ou desativá-lo. Desativar interrompe a aplicação; não descriptografa nada. Dispositivos já criptografados permanecem criptografados, que é quase sempre o que você deseja, mas isso significa que desligar o controle não é uma forma de desfazê-lo.

Dicas e Melhores Práticas

• Incorpore a reinicialização no rollout no macOS. Anuncie, dê um prazo e espere que sua lista de conformidade pareça ruim por um ou dois dias. Não é desvio.
• Verifique as edições do Windows antes de ativar qualquer coisa. Cada dispositivo Home na frota é um problema de criptografia de disco que nenhuma configuração resolverá.
• No Linux, a conversa acontece no momento da imagem, não na inscrição. Uma vez que a máquina seja construída sem criptografia, suas únicas opções são uma reinstalação ou uma exceção.
• Verifique se a chave chegou, não se o controle está ativado. Um disco criptografado sem chave escrows é pior do que inútil no dia em que alguém sai.
• Não desative o controle para resolver um problema. O dispositivo permanece criptografado e você perde a aplicação.

Solução de Problemas e FAQ

Solução de Problemas

Um Mac mostra o controle aplicado, mas não está criptografado. Ele não reiniciou. O FileVault entra em vigor na próxima inicialização.

Um Mac está criptografado, mas não há chave de recuperação. O escrows pode levar até 24 horas após essa reinicialização. Se um dia completo se passou, verifique se o dispositivo está sincronizando.

Um dispositivo Windows não criptografa. Quase sempre Windows Home, que não tem BitLocker. Atualize a edição ou aceite a exceção.

Um dispositivo Linux não relata chave de recuperação. O funcionário ainda não usou o banner em seu dispositivo. Ele precisa deles e da sua frase secreta LUKS existente — você não pode fazer isso por eles.

A criptografia permaneceu ativa após desativar o controle. Esperado. Desativar interrompe a aplicação, não reverte o que já foi feito.

FAQ

1. Precisamos fazer algo em telefones e tablets?
   Não. Ambas as plataformas se criptografam e não expõem nada para gerenciar.
2. Podemos criptografar uma máquina Linux que já está em uso?
   Não sem reinstalar o sistema operacional. Essa é uma limitação do Linux, não do produto.
3. Onde vivem as chaves de recuperação?
   Escrows no servidor, recuperáveis por um administrador sem envolver o funcionário.
4. Ativar isso interrompe o trabalho de alguém?
   No Windows, não. No macOS, precisa de uma reinicialização. No Linux, o funcionário precisa clicar no banner de escrows uma vez.

Artigos Relacionados

• Suporte à Plataforma
• Visão Geral da Conformidade
• Configurar MDM no Linux
• Limpar dispositivos