locked
BTG BitlockerToGo - FlashDrive mit Entsperr-Kennwort einrichten mittels PS auf Windows 7 Client RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden

    Hallo Zusammen,

    hoffe wieder hier Hilfe zu finden...

    Umfeld:

    + AD-Domain Gesamt/Domain Level Windows 2008 R2,
    + Bitlocker mittels GPO konfiguriert
    + BitlockerToGo (BTG) Einrichtung eines USB-Sticks mit einem Entsperr-Kennwort ist mittels Windows Explorer "Bitlocker aktivieren" Assistent möglich und Kennwort-ID sowie Wiederherstellungs-Kennwort werden im AD zum Computer-Objekt gespeichert

    Aufgabenbeschreibung:

    Neue USB-Sticks mit fortlaufender Seriennummer (SN) sollen mit AES256-Verschlüsselung und einem Entsperr-Kennwort ausgegeben werden. In einem PS-Script wird der Flash-Speicher formatiert und soll dann mittels "manage-bde"auf "Windows 7 Enterprise SP1 Clients" (leider noch keine neueres OS mit PS) mit BTG geschützt werden. Die Kennwort-ID und das Wiederherstellungs-Kennwort sollen wieder in AD gespeichert werden.

    Frage:

    # Variablen

$BTGVolume                         = "$($PhysicalDiskDriveLetter)"
$BTGPWD                             = "abc0123456789xyz"

manage-bde -on $BTGVolume -RecoveryPassword -EncryptionMethod aes256 -Password $BTGPWD

    I. Mit einem Kennwort hinter dem Parameter -Password erhalte ich eine Syntax-Fehlermeldung.

    II. Ohne ein Kennwort hinter dem Parameter -Password sehe ich keinen Fortschritt!?

    Nach dem Hinweis hier: 
    "Manage-bde will prompt you to enter the password after this command has been entered." 
    https://technet.microsoft.com/de-de/library/ff829873(v=ws.10).aspx müsste eine Kennwort Eingabe erfolgen?

    • Was mache ich falsch, dass ich keinen Fortschritt feststellen kann?
    • Wie kann ich ein BTG "Entsperr-Kennwort" setzen, mittels einer zuvor definierten Variable und dem CMDLET manage-bde?
    • Oder gibt es eine Möglichkeit die Bitlocker CMDLETS auf den Windows 7 Client nutzen zu können?

    Vielen Dank im Voraus, für jede Art der Unterstützung.

    Manfred Schüler

    Dienstag, 18. August 2015 14:18

Antworten

  • Question
    Anmelden
    1
    Anmelden
    Hi Manfred, nach dem Technet-Artikel zu urteilen, musst Du für -RecoveryPassword noch ein numerisches Kennwort angeben. Das Kennwort bei -Password kann stehen bleiben.

    Gruß

    Ben

    MCSA Windows 8 (.1) MCSA Windows Server 2012 (R2)

    Wenn Dir meine Antwort hilft, markiere sie bitte entsprechend als Antwort! Danke! :-)

    Hinweis: Meine Posts werden "wie besehen" ohne jedwede Gewähr bereitgestellt, da menschliche, technische und andere Fehler nicht ausgeschlossen werden können.

    Dienstag, 18. August 2015 18:40
  • Question
    Anmelden
    1
    Anmelden

    Hi Manfred,

    das mit -rp hab ich mir schon gedacht, passt. :-)

    Es scheint wohl so zu sein, dass der Parameter -Password keine direkte Passwortvorgabe akzeptiert, sondern immer zu einer Kennworteingabe auffordert. Das geht erst mit den Bitlocker-CMDlets für Powershell, die es aber für Windows 7 nicht gibt...

    Du könntest hierfür ein AutoIT-Skript basteln, das das Kennwort dann in die aufpoppende Anfrage eintippt. Dann könntest Du zumindest über Umwege eine Automatisierung erreichen können.

    Gruß

    Ben

    MCSA Windows 8 (.1) MCSA Windows Server 2012 (R2)

    Wenn Dir meine Antwort hilft, markiere sie bitte entsprechend als Antwort! Danke! :-)

    Hinweis: Meine Posts werden "wie besehen" ohne jedwede Gewähr bereitgestellt, da menschliche, technische und andere Fehler nicht ausgeschlossen werden können.

    Mittwoch, 19. August 2015 06:52
  • Question
    Anmelden
    1
    Anmelden

    Hi Manfred,

    ja, ab Windows 8 gehen auch CMDlets, aber die kannst Du nicht einfach auf den Win7-Rechner kopieren, das geht nicht... :-)

    Die CMDlets müssen ja zum lokalen System passen, da kannst auch nicht einfach welche von einem Server nehmen. Die rufen ja gewisse Funktionen auf, die auf Windows 7 so nicht vorhanden sind.

    Mit AutoIT kannst Du u.a. Fenstereingaben automatisieren. Erfordert ein wenig Einarbeitung, ist im Prinzip aber echt einfach:

    https://www.autoitscript.com/site/autoit/

    Gruß

    Ben

    MCSA Windows 8 (.1) MCSA Windows Server 2012 (R2)

    Wenn Dir meine Antwort hilft, markiere sie bitte entsprechend als Antwort! Danke! :-)

    Hinweis: Meine Posts werden "wie besehen" ohne jedwede Gewähr bereitgestellt, da menschliche, technische und andere Fehler nicht ausgeschlossen werden können.

    • Als Antwort markiert MSchueler Montag, 7. September 2015 10:48
    Freitag, 21. August 2015 11:46

Alle Antworten

  • Question
    Anmelden
    1
    Anmelden
    Hi Manfred, nach dem Technet-Artikel zu urteilen, musst Du für -RecoveryPassword noch ein numerisches Kennwort angeben. Das Kennwort bei -Password kann stehen bleiben.

    Gruß

    Ben

    MCSA Windows 8 (.1) MCSA Windows Server 2012 (R2)

    Wenn Dir meine Antwort hilft, markiere sie bitte entsprechend als Antwort! Danke! :-)

    Hinweis: Meine Posts werden "wie besehen" ohne jedwede Gewähr bereitgestellt, da menschliche, technische und andere Fehler nicht ausgeschlossen werden können.

    Dienstag, 18. August 2015 18:40
  • Question
    Anmelden
    0
    Anmelden

    Hi Ben,

    danke für deine Antwort.

    Aber ist es nicht so, dass der Schalter -RP ein Wiederherstellungs-Kennwort (RecoverPassword) automatisch generiert?
    Ich stimme dir zu, dass ich dieses auch selbst mit diesem Schalter setzen könnte, aber das Windows System selbst erstellt dieses Kennwort, vermutlich anhand der Bitlocker Einstellungen des Windows 7 Clients. 

    Laut Beschreibung reicht ja der Aufruf manage-bde –on $BTGVolume -rp , was ich bestätigen kann!

    Ich möchte aber ein Kennwort setzen, was zum entsperren des Flash Drives abgefragt werden soll!? So wie beim Wizard ...

    Manfred Schüler

    Dienstag, 18. August 2015 19:23
  • Question
    Anmelden
    1
    Anmelden

    Hi Manfred,

    das mit -rp hab ich mir schon gedacht, passt. :-)

    Es scheint wohl so zu sein, dass der Parameter -Password keine direkte Passwortvorgabe akzeptiert, sondern immer zu einer Kennworteingabe auffordert. Das geht erst mit den Bitlocker-CMDlets für Powershell, die es aber für Windows 7 nicht gibt...

    Du könntest hierfür ein AutoIT-Skript basteln, das das Kennwort dann in die aufpoppende Anfrage eintippt. Dann könntest Du zumindest über Umwege eine Automatisierung erreichen können.

    Gruß

    Ben

    MCSA Windows 8 (.1) MCSA Windows Server 2012 (R2)

    Wenn Dir meine Antwort hilft, markiere sie bitte entsprechend als Antwort! Danke! :-)

    Hinweis: Meine Posts werden "wie besehen" ohne jedwede Gewähr bereitgestellt, da menschliche, technische und andere Fehler nicht ausgeschlossen werden können.

    Mittwoch, 19. August 2015 06:52
  • Question
    Anmelden
    0
    Anmelden
    Hi Ben, mit AutoIt habe ich bisher keine Erfahrungen gemacht! Sind die CMDLETs mit Windows 8x oder Windows 10 verfügba? Ansonsten denke ich bleibt mit evtl. nur die CMDLETs von einem Windows Server zu laden, fragt sich dann, ob ich dann die Flash Drives lokal ansprechen kann?

    Manfred Schüler

    Freitag, 21. August 2015 11:09
  • Question
    Anmelden
    1
    Anmelden

    Hi Manfred,

    ja, ab Windows 8 gehen auch CMDlets, aber die kannst Du nicht einfach auf den Win7-Rechner kopieren, das geht nicht... :-)

    Die CMDlets müssen ja zum lokalen System passen, da kannst auch nicht einfach welche von einem Server nehmen. Die rufen ja gewisse Funktionen auf, die auf Windows 7 so nicht vorhanden sind.

    Mit AutoIT kannst Du u.a. Fenstereingaben automatisieren. Erfordert ein wenig Einarbeitung, ist im Prinzip aber echt einfach:

    https://www.autoitscript.com/site/autoit/

    Gruß

    Ben

    MCSA Windows 8 (.1) MCSA Windows Server 2012 (R2)

    Wenn Dir meine Antwort hilft, markiere sie bitte entsprechend als Antwort! Danke! :-)

    Hinweis: Meine Posts werden "wie besehen" ohne jedwede Gewähr bereitgestellt, da menschliche, technische und andere Fehler nicht ausgeschlossen werden können.

    • Als Antwort markiert MSchueler Montag, 7. September 2015 10:48
    Freitag, 21. August 2015 11:46