Método ProtectKeyWithTPMAndPIN de la clase Win32_EncryptableVolume
El método ProtectKeyWithTPMAndPIN de la clase Win32_EncryptableVolume protege la clave de cifrado del volumen mediante el hardware de seguridad del módulo de plataforma segura (TPM) en el equipo, si está disponible, mejorado por un número de identificación personal (PIN) especificado por el usuario que se debe proporcionar al equipo en el inicio.
Tanto la validación por el TPM como la entrada de la cadena de identificación personal son necesarias para acceder a la clave de cifrado del volumen y desbloquear el contenido del volumen.
Este método solo es aplicable al volumen que contiene el sistema operativo que se está ejecutando actualmente.
Se crea un protector de clave de tipo "TPM y PIN" para el volumen, si aún no existe uno.
Sintaxis
uint32 ProtectKeyWithTPMAndPIN(
[in, optional] string FriendlyName,
[in, optional] uint8 PlatformValidationProfile[],
[in] string PIN,
[out] string VolumeKeyProtectorID
);
Parámetros
-
FriendlyName [in, optional]
-
Tipo: cadena
Identificador de cadena asignado por el usuario para este protector de clave. Si no se especifica este parámetro, se usa un valor en blanco.
-
PlatformValidationProfile [in, optional]
-
Tipo: uint8[]
Matriz de enteros que especifica cómo el hardware de seguridad del módulo de plataforma segura (TPM) del equipo protege la clave de cifrado del volumen de disco.
Un perfil de validación de plataforma consta de un conjunto de índices de Registro de configuración de plataforma (PCR) comprendidos entre 0 y 23, ambos incluidos. Los valores repetidos en el parámetro se omiten. Cada índice DE PCR está asociado a los servicios que se ejecutan cuando se inicia el sistema operativo. Cada vez que se inicia el equipo, el TPM comprobará que los servicios especificados en el perfil de validación de la plataforma no han cambiado. Si alguno de estos servicios cambia mientras la protección de Cifrado de unidad BitLocker (BDE) permanece activada, el TPM no liberará la clave de cifrado para desbloquear el volumen de disco y el equipo entrará en modo de recuperación.
Si se especifica este parámetro mientras se ha habilitado la configuración de directiva de grupo correspondiente, debe coincidir con la configuración de directiva de grupo.
Si no se especifica este parámetro, se usa el valor predeterminado de 0, 2, 4, 5, 8, 9, 10 y 11. El perfil de validación de plataforma predeterminado protege la clave de cifrado frente a los cambios realizados en los siguientes elementos:
- Raíz principal de confianza de medición (CRTM)
- BIOS
- Extensiones de plataforma (PCR 0)
- Código ROM de opción (PCR 2)
- Código de registro de arranque maestro (MBR) (PCR 4)
- Tabla de particiones de registro de arranque maestro (MBR) (PCR 5)
- Sector de arranque de NTFS (PCR 8)
- Bloque de arranque de NTFS (PCR 9)
- Administración de arranque (PCR 10)
- Control de acceso de BitLocker (PCR 11)
Para la seguridad del equipo, se recomienda el perfil predeterminado. Para obtener protección adicional frente a los cambios de configuración de inicio temprano, use un perfil de PCR 0, 1, 2, 3, 4, 5, 8, 9, 10, 11. Los equipos basados en Unified Extensible Firmware Interface (UEFI) no usan PCR 5 de forma predeterminada.
El cambio del perfil predeterminado afecta a la seguridad y la capacidad de administración del equipo. La sensibilidad de BitLocker a las modificaciones de la plataforma (malintencionada o autorizada) se incrementa o disminuye en función de la inclusión o exclusión, respectivamente, de las PCR. Para habilitar la protección de BitLocker, el perfil de validación de la plataforma debe incluir PCR 11.
Valor Significado - 0
Raíz principal de confianza de medida (CRTM), BIOS y extensiones de plataforma - 1
Configuración y datos de plataforma y placa base - 2
Código rom de opción - 3
Configuración y datos de ROM de opción - 4
Código de registro de arranque maestro (MBR) - 5
Tabla de particiones de registro de arranque maestro (MBR) - 6
Eventos de transición de estado y reactivación - 7
Manufacturer-Specific de equipo - 8
Sector de arranque NTFS - 9
Bloque de arranque NTFS - 10
Administrador de arranque - 11
BitLocker Access Control - 12
Definido para su uso por el sistema operativo estático - 13
Definido para su uso por el sistema operativo estático - 14
Definido para su uso por el sistema operativo estático - 15
Definido para su uso por el sistema operativo estático - 16
Se usa para la depuración - 17
CRTM dinámico - 18
Plataforma definida - 19
Usado por un sistema operativo de confianza - 20
Usado por un sistema operativo de confianza - 21
Usado por un sistema operativo de confianza - 22
Usado por un sistema operativo de confianza - 23
Compatibilidad con aplicaciones -
PIN [in]
-
Tipo: cadena
Cadena de identificación personal especificada por el usuario. Esta cadena debe constar de una secuencia de 6 a 20 dígitos o, si la directiva de grupo "Permitir PIN mejorados para el inicio" está habilitada, de 6 a 20 letras, símbolos, espacios o números.
-
VolumeKeyProtectorID [out]
-
Tipo: cadena
Identificador de cadena único actualizado que se usa para administrar un protector de clave de volumen cifrado.
Si la unidad admite el cifrado de hardware y BitLocker no ha tomado propiedad de banda, la cadena de identificador se establece en "BitLocker" y el protector de clave se escribe en por cada metadatos de banda.
Valor devuelto
Tipo: uint32
Este método devuelve uno de los códigos siguientes u otro código de error si se produce un error.
| Código o valor devuelto | Descripción |
|---|---|
|
Método realizado correctamente. |
|
Se proporciona el parámetro PlatformValidationProfile, pero sus valores no están dentro del intervalo conocido o no coincide con el valor de directiva de grupo actualmente en vigor. |
|
En este equipo se encuentra un CD/DVD de arranque. Quite el CD/DVD y reinicie el equipo. |
|
El TPM no puede proteger la clave de cifrado del volumen porque el volumen no contiene el sistema operativo que se está ejecutando actualmente. |
|
El parámetro NewPIN contiene caracteres que no son válidos. Cuando el directiva de grupo "Permitir PIN mejorados para el inicio" está deshabilitado, solo se admiten números. |
|
El volumen está bloqueado. |
|
El parámetro NewPIN proporcionado tiene más de 20 caracteres, menos de 6 caracteres o menor que la longitud mínima especificada por directiva de grupo. |
|
Ya existe un protector de clave de este tipo. |
|
No se encuentra ningún TPM compatible en este equipo. |
Consideraciones sobre la seguridad
Para la seguridad del equipo, se recomienda el perfil predeterminado. Para una protección adicional contra los cambios en el código de inicio anticipado, use un perfil de PCR 0, 2, 4, 5, 8, 9, 10 y 11. Para una protección adicional frente a los cambios de configuración de inicio temprano, use un perfil de PCR 0, 1, 2, 3, 4, 5, 8, 9, 10, 11.
El cambio del perfil predeterminado afecta a la seguridad o facilidad de uso del equipo.
Observaciones
Como máximo, puede existir un protector de clave de tipo "TPM y PIN" para un volumen en cualquier momento. Si desea cambiar el nombre para mostrar o el perfil de validación de plataforma usado por un protector de clave "TPM y PIN", primero debe quitar el protector de clave existente y, a continuación, llamar a ProtectKeyWithTPMAndPIN para crear uno nuevo.
Se deben especificar protectores de clave adicionales para desbloquear el volumen en escenarios de recuperación en los que no se puede obtener el acceso a la clave de cifrado del volumen; por ejemplo, cuando el TPM no se puede validar correctamente con el perfil de validación de la plataforma o cuando se pierde el PIN.
Use ProtectKeyWithExternalKey o ProtectKeyWithNumericalPassword para crear uno o varios protectores de clave para recuperar un volumen bloqueado en caso contrario.
Aunque es posible tener un protector de clave del tipo "TPM" y otro del tipo "TPM And PIN", la presencia del tipo "TPM" del tipo protector de clave "TPM" niega los efectos de otros protectores de claves basados en TPM.
Los archivos managed Object Format (MOF) contienen las definiciones de clases de Instrumental de administración de Windows (WMI). Los archivos MOF no se instalan como parte de Windows SDK. Se instalan en el servidor cuando se agrega el rol asociado mediante el Administrador del servidor. Para obtener más información sobre los archivos MOF, vea Managed Object Format (MOF) (Formato de objeto administrado [MOF]).
Requisitos
| Requisito | Value |
|---|---|
| Cliente mínimo compatible |
Windows Vista Enterprise, Windows Vista Ultimate [solo aplicaciones de escritorio] |
| Servidor mínimo compatible |
Windows Server 2008 [solo aplicaciones de escritorio] |
| Espacio de nombres |
Root\CIMV2\Security\MicrosoftVolumeEncryption |
| MOF |
|
Vea también