Als Client003 verwende ich mein HP EliteBook 8560p. Am Ende des Windows Deployments soll das Notebook mit BitLocker verschlüsselt sein. Als Grundlage für die Einstellungen verwende ich den Microsoft Technet-Artikel Best Practices for BitLocker in Windows 7. Die größte Herausforderung dabei ist die Aktivierung des TPM-Chips im BIOS ohne Benutzereingaben.

BitLocker mit MDT aktivieren – Schritte:

• HP Software herunterladen und konfigurieren
• Active Directory zum Speichern der TPM Ownership-Informationen vorbereiten
• BitLocker Drive Encryption-Features installieren
• Gruppenrichtlinien für BitLocker konfigurieren
• Anwendungen in MDT zur OSD Prod Share hinzufügen
• Task Sequence konfigurieren
• CustomSettings.ini anpassen
• Notebook mit BitLocker aufsetzen

HP Software herunterladen und konfigurieren

1. Als Administrator an Client003 anmelden
2. HPQPswd Anwendung (sp61312.exe) von ftp://ftp.hp.com/pub/softpaq/sp61001-61500/sp61312.exe nach C:\Sourcen herunterladen und mit 7-Zip entpacken
3. BIOS Configuration Utility (sp65619.exe) von http://ftp.hp.com/pub/softpaq/sp65501-66000/sp65619.exe nach C:\Sourcen herunterladen und mit 7-Zip entpacken
   
4. In den Ordner C:\Sourcen\sp65619 wechseln
5. Setup.exe doppelklicken
6. Install Shield Wizard
   1. Next
   2. Install
   3. Finish
7. Den Ordner C:\Program Files (x86)\Hewlett-Packard\BIOS Configuration Utility nach C:\Sourcen kopieren
8. Die Datei C:\Sourcen\sp61312\HPQPswd.exe nach C:\Sourcen\BIOS Configuration Utility kopieren
   
9. HPQPswd.exe doppelklicken
10. HPQPswd
    1. Password to be encrypted: Password1
    2. Re-enter password: Password1
    3. File to save encrypted password: password.bin > OK
       
       
11. Eingabeaufforderung als Administrator starten
12. Nach C:\Sourcen\BIOS Configuration Utility wechseln
13. Mit folgendem Befehl die aktuelle BIOS-Konfiguration in der Datei 8560p.REPSET speichern

    BiosConfigUtility64.exe /GetConfig:"8560p.REPSET"

14. Die Konfiguration wurde gespeichert
    
15. Die Datei C:\Sourcen\BIOS Configuration Utility\8560p.REPSET mit dem Notepad öffnen und wie folgt ändern

    English
    ;
    ;     Settings file originally created by BIOS Config Utility
    ;     Version:3.0.13.1
    ;     Date:2014.06.17
    ;
    
    Reset of TPM from OS
    	Disable
    	*Enable
    OS Management of TPM
    	Disable
    	*Enable
    Activate Embedded Security On Next Boot
    	Disable
    	*Enable
    Embedded Security Device Availability
    	*Available
    	Hidden
    Embedded Security Activation Policy
    	F1 to Boot
    	Allow user to reject
    	*No prompts

16. Datei speichern und schließen
17. Den Ordner nach C:\Sourcen\HP BIOS Configuration Utility umbenennen und nach \\SERVER02\d$\Sourcen\Software\ kopieren
18. Client003 herunterfahren und ausschalten

Active Directory zum Speichern der TPM Ownership-Informationen vorbereiten

1. Als Administrator an SERVER01 anmelden
2. Add-TPMSelfWriteACE.vbs von http://technet.microsoft.com/en-us/library/dn466534.aspx nach C:\Sourcen herunterladen
3. Command Promp (Admin) starten
4. Nach C:\Sourcen wechseln
5. Das Script mit folgendem Befehl ausführen

   cscript.exe Add-TPMSelfWriteACE.vbs

6. Das Script wurde erfolgreich ausgeführt
   
7. Command Promp schließen
8. Administrator von SERVER01 abmelden

BitLocker Drive Encryption-Features installieren

1. Als Administartor an SERVER02 anmelden
2. Server Manager > Local Server > Manage > Add Roles and Features
3. Add Roles and Features Wizard
   1. Before You Begin: Next
      
   2. Installation Type: Role-based or feature-based installation > Next
      
   3. Server Selection: SERVER02 > Next
      
   4. Server Roles: Next
      
   5. Features: BitLocker Drive Encryption
      
      1. Add Roles and Features Wizard > Add Features > Next
         
   6. Confirmation: Install
      
   7. Results: Close
      
4. SERVER02 neu starten

Gruppenrichtlinien für BitLocker konfigurieren

1. Als Administrator an SERVER02 anmelden
2. Server Manager > Local Server > Tools > Group Policy Management
3. haimann.local\Group Policy Objects erweitern
4. Computer Standard Settings rechts anklicken und im Kontextmenü Edit… anklicken
   
5. Den Ordner Computer Configuration\Administrative Templates\Windows Components\BitLocker Drive Encryption erweitern
   
6. In Teil 6h habe ich bereits die Einstellung Provide the unique identifiers for your organization konfiguriert, damit der BitLocker Data Recovery Agent funktioniert
   
7. Den Ordner Computer Configuration\Administrative Templates\Windows Components\BitLocker Drive Encryption\Operating System Drives anklicken
   
8. Folgende Einstellungen vornehmen
   1. Choose how BitLocker-protected operating system drives can be recovered
      
   2. Configure minimum PIN length for startup
      
   3. Configure TPM platform validation profile (Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2) (aktivieren und Standard übernehmen)
      
   4. Configure TPM platform validation profile for BIOS-based firmware configurations (aktivieren und Standard übernehmen)
      
   5. Configure TPM platform validation profile for native UEFI firmware configurations (aktivieren und Standard übernehmen)
      
   6. Require additional authentication at startup
      
9. Den Ordner Computer Configuration\Administrative Templates\Windows Components\System\Trusted Platform Module Services anklicken
10. Folgende Einstellung vornehmen
    1. Turn on TPM backup to Active Directory Domain Services
       
       
11. Den Ordner  Computer Configuration\Administrative Templates\System\Power Management\Sleep Settings anklicken
12. Folgende Einstellungen vornehmen
    1. Allow Standby States (S1-S3) When Sleeping (on Battery)
       
       
    2. Allow Standby States (S1-S3) When Sleeping (plugged in)
       
       
       
13. Group Policy Management Editor schließen
14. Group Policy Management-Konsole schließen

Anwendungen in MDT zur OSD Prod Share hinzufügen

1. Deployment Workbench starten
2. OSD Prod Share\Applications erweitern
3. Den Ordner HP erstellen
4. Folgende Anwendungen zum Ordner HP hinzufügen
   1. Application name: Enable TPM in BIOS
      1. Source: D:\Sourcen\Software\HP BIOS Configuration Utility
      2. Command line:

         BiosConfigUtility.exe /SetConfig:"8560p.REPSET" /nspwdfile:"password.bin"

      3. Summary
         
   2. Application name: Reset BIOS Password
      1. Source: D:\Sourcen\Software\HP BIOS Configuration Utility
      2. Command line:

         BiosConfigUtility.exe /nspwdfile:"" /cspwdfile:"password.bin"

      3. Summary
         
   3. Anwendungen in MDT
      

Task Sequence konfigurieren

1. Task Sequences anklicken
2. Windows 8.1 U1 Ent x64 – Office 2013 rechts anklicken und im Kontextmenü Properties anklicken
3. Auf den Reiter Task Sequence wechseln
4. Die Phase State Restore erweitern
5. Den Ordner Custom Tasks markieren
6. Add > New Group
   1. Properties
      1. Name: Enable TPM in BIOS
   2. Options
      1. Add > If statement
      2. If Statement Properties
         1. none > OK
      3. Add > Query WMI
         1. WMI namespace: root\cimv2\Security\MicrosoftTPM
         2. WQL query:

            SELECT * FROM Win32_TPM WHERE IsEnabled_InitialValue = TRUE

         3. OK
            
      4. Add > Task Sequence Variable
         1. Variable: BdeInstallSuppress
         2. Condition: equals
         3. Value: YES > OK > Apply
7. Add > General > Install Application
   1. Properties
      1. Name: Enable TPM in BIOS
      2. Install a single application: HP\Enable TPM in BIOS > OK > Apply
8. Add > General > Install Application
   1. Properties
      1. Name: Reset BIOS Password
      2. Install a single application: HP\Reset BIOS Password > OK > Apply
9. Add > General > Restart computer
   
10. Fenster mit OK schließen

CustomSettings.ini anpassen

1. OSD Prod Share rechts anklicken und im Kontextmenü Properties anklicken
2. Auf den Reiter Rules wechseln
3. Den Bereich [Settings] wie folgt anpassen

   [Settings]
   Priority=CSettings, CRoles, RApps, Akkubetrieb, DefaultGateway, <strong>ByLaptopType,</strong> Default
   Properties=MyCustomProperty
   
   [Akkubetrieb]
   Subsection=Akkubetrieb-%IsOnBattery%
   
   [Akkubetrieb-True]
   OSInstall=NO
   
   [DefaultGateway]
   192.168.150.1=Linz
   192.168.160.1=Salzburg
   
   [Linz]
   MachineObjectOU=OU=Linz,OU=Arbeitsstationen,DC=haimann,DC=local
   
   [Salzburg]
   MachineObjectOU=OU=Salzburg,OU=Arbeitsstationen,DC=haimann,DC=local
   
   <strong>[ByLaptopType]
   Subsection=Laptop-%IsLaptop%
   
   [Laptop-True]
   SkipBitLocker=NO
   BDEInstallSuppress=NO
   OSDBitLockerMode=TPMPin
   OSDBitLockerCreateRecoveryPassword=AD
   OSDBitLockerWaitForEncryption=FALSE
   </strong>
   ; MDT Standard Regeln
   
   [Default]
   OSInstall=Y
   

4. Fenster mit OK schließen

 Notebook mit BitLocker aufsetzen

1. Notebook einschalten und mit F12 vom Netzwerk booten
2. User Credentials
   1. Password: Password1 > OK
3. Windows Deployment Wizard
   1. Task Sequence: Windows 8.1 U1 Ent x64 – Office 2013 > Next
      
   2. Computer Details
      1. Computer name: CLIENT003 > Next
         
   3. Move Data and Settings: Do not move data and settings > Next
      
   4. User Data (Restore): Do not restore user data and settings > Next
      
   5. Applications: Next
      
   6. BitLocker
      1. Enable BitLocker using TPM and PIN: 1122334 > Next
         
   7. Ready: Begin
      
4. Nach einer Weile… > Finish
   
5. Der Rechner wird neu gestartet
6. BitLocker-PIN 1122334 eingeben
7. Als Markus an Client003 anmelden
8. Eingabeaufforderung (Administrator) starten
9. Mit folgendem Befehl den Status der Verschlüsselung abfragen

   manage-bde -status

10. Abfrage-Ergebnis
    

Passt! 🙂