Win32_EncryptableVolume クラスの ProtectKeyWithTPMAndStartupKey メソッド
Win32_EncryptableVolume クラスの ProtectKeyWithTPMAndStartupKey メソッドは、コンピューター上のトラステッド プラットフォーム モジュール (TPM) セキュリティ ハードウェア (使用可能な場合) を使用して、起動時にコンピューターに提示する必要がある外部キーによって拡張され、ボリュームの暗号化キーをセキュリティで保護します。
TPM による検証と、外部キーを含む USB メモリ デバイスの入力の両方が、ボリュームの暗号化キーにアクセスし、ボリュームの内容のロックを解除するために必要です。 SaveExternalKeyToFile メソッドを使用して、この外部キーを USB メモリ デバイス上のファイルに保存し、スタートアップ キーとして使用します。
この方法は、現在実行中のオペレーティング システムを含むボリュームにのみ適用されます。
ボリュームに対して "TPM およびスタートアップ キー" 型のキー保護機能が作成されます (まだ存在しない場合)。
構文
uint32 ProtectKeyWithTPMAndStartupKey(
[in, optional] string FriendlyName,
[in, optional] uint8 PlatformValidationProfile[],
[in, optional] uint8 ExternalKey[],
[out] string VolumeKeyProtectorID
);
パラメーター
-
FriendlyName [in, optional]
-
型: string
このキー保護機能のユーザー割り当て文字列識別子。 このパラメーターを指定しない場合は、空白の値が使用されます。
-
PlatformValidationProfile [in, optional]
-
型: uint8[]
コンピューターのトラステッド プラットフォーム モジュール (TPM) セキュリティ ハードウェアがディスク ボリュームの暗号化キーをセキュリティで保護する方法を指定する整数の配列。
プラットフォーム検証プロファイルは、0 から 23 までのプラットフォーム構成レジスタ (PCR) インデックスのセットで構成されます。 パラメーターの繰り返し値は無視されます。 各 PCR インデックスは、オペレーティング システムの起動時に実行されるサービスに関連付けられます。 コンピューターが起動するたびに、TPM はプラットフォーム検証プロファイルで指定したサービスが変更されていないことをチェックします。 BitLocker ドライブ暗号化 (BDE) 保護がオンのままでこれらのサービスのいずれかが変更された場合、TPM はディスク ボリュームのロックを解除するための暗号化キーを解放せず、コンピューターは回復モードになります。
対応するグループ ポリシー設定が有効になっているときにこのパラメーターを指定する場合は、グループ ポリシー設定と一致する必要があります。
このパラメーターを指定しない場合、既定値の 0、2、4、5、8、9、10、および 11 が使用されます。 既定のプラットフォーム検証プロファイルでは、次の要素への変更に対して暗号化キーがセキュリティで保護されます。
- 測定の信頼のコア ルート (CRTM)
- BIOS
- プラットフォーム拡張機能 (PCR 0)
- オプションの ROM コード (PCR 2)
- マスター ブート レコード (MBR) コード (PCR 4)
- マスター ブート レコード (MBR) パーティション テーブル (PCR 5)
- NTFS ブート セクター (PCR 8)
- NTFS ブート ブロック (PCR 9)
- ブート マネージャー (PCR 10)
- BitLocker アクセス制御 (PCR 11)
コンピューターのセキュリティを確保するために、既定のプロファイルをお勧めします。 初期のスタートアップ構成の変更に対する保護を強化するために、PCR 0、1、2、3、4、5、8、9、10、11 のプロファイルを使用します。 統合拡張ファームウェア インターフェイス (UEFI)ベースのコンピューターでは、既定では PCR 5 は使用されません。
既定のプロファイルから変更すると、コンピューターのセキュリティと管理性に影響します。 プラットフォームの変更 (悪意のある、または承認された) に対する BitLocker の感度は、PCR の包含または除外に応じて増減されます。 BitLocker 保護を有効にするには、プラットフォーム検証プロファイルに PCR 11 が含まれている必要があります。
値 説明 - 0
測定の信頼のコア ルート (CRTM)、BIOS、プラットフォーム拡張機能 - 1
プラットフォームとマザーボードの構成とデータ - 2
オプション ROM コード - 3
オプション ROM の構成とデータ - 4
マスター ブート レコード (MBR) コード - 5
マスター ブート レコード (MBR) パーティション テーブル - 6
状態遷移とウェイク イベント - 7
コンピューターのManufacturer-Specific - 8
NTFS ブート セクター - 9
NTFS ブート ブロック - 10
ブート マネージャー - 11
BitLocker Access Control - 12
静的オペレーティング システムで使用するために定義されます - 13
静的オペレーティング システムで使用するために定義されます - 14
静的オペレーティング システムで使用するために定義されます - 15
静的オペレーティング システムで使用するために定義されます - 16
デバッグに使用されます - 17
動的 CRTM - 18
プラットフォームが定義されている - 19
信頼できるオペレーティング システムで使用されます - 20
信頼できるオペレーティング システムで使用されます - 21
信頼できるオペレーティング システムで使用されます - 22
信頼できるオペレーティング システムで使用されます - 23
アプリケーション サポート -
ExternalKey [in, optional]
-
型: uint8[]
コンピューターの起動時にボリュームのロックを解除するために使用される 256 ビット外部キーを指定するバイト配列。
外部キーが指定されていない場合は、ランダムに生成されます。 ランダムに生成されたキーを取得するには、 GetKeyProtectorExternalKey メソッドを使用します。
-
VolumeKeyProtectorID [out]
-
型: string
キー保護機能の管理に使用できる、作成されたキー保護機能に関連付けられている一意の識別子である文字列。
ドライブがハードウェア暗号化をサポートしていて、BitLocker がバンド所有権を取得していない場合、ID 文字列は "BitLocker" に設定され、キー保護機能はバンドごとのメタデータに書き込まれます。
戻り値
型: uint32
このメソッドは、次のいずれかのコードまたは失敗した場合は別のエラー コードを返します。
| リターン コード/値 | 説明 |
|---|---|
|
メソッドは正常に実行されました。 |
|
ボリュームがロックされています。 |
|
このコンピューターに互換性のある TPM が見つかりません。 |
|
TPM は、ボリュームに現在実行中のオペレーティング システムが含まれていないため、ボリュームの暗号化キーをセキュリティで保護できません。 |
|
PlatformValidationProfile パラメーターが指定されていますが、その値が既知の範囲内にありません。または、現在有効になっているグループ ポリシー設定と一致しません。 ExternalKey パラメーターは指定されていますが、サイズ 32 の配列ではありません。 |
|
起動可能な CD/DVD がこのコンピューターにあります。 CD/DVD を削除し、コンピューターを再起動します。 |
|
この型のキー保護機能は既に存在します。 |
セキュリティに関する考慮事項
コンピューターのセキュリティを確保するために、既定のプロファイルをお勧めします。 初期のスタートアップ コードの変更に対する保護を強化するために、PCR 0、2、4、5、8、9、10、および 11 のプロファイルを使用します。 初期のスタートアップ構成の変更に対する保護を強化するために、PCR 0、1、2、3、4、5、8、9、10、11 のプロファイルを使用します。
既定のプロファイルから変更すると、コンピューターのセキュリティや使いやすさに影響します。
解説
ボリュームに対して、"TPM およびスタートアップ キー" 型のキー保護機能は、最大で 1 つまでいつでも存在できます。 既存の "TPM+ スタートアップ キー" キー保護機能で使用される表示名またはプラットフォーム検証プロファイルを変更する場合は、まず既存のキー保護機能を削除してから 、ProtectKeyWithTPMAndStartupKey を呼び出して新しいキーを作成する必要があります。 ボリュームの暗号化キーへのアクセスを取得できない回復シナリオでボリュームのロックを解除するには、追加のキー保護機能を指定する必要があります。たとえば、TPM がプラットフォーム検証プロファイルに対して正常に検証できない場合や、外部キーを含む USB メモリが失われた場合などです。
ProtectKeyWithExternalKey または ProtectKeyWithNumericalPassword を使用して、ロックされているボリュームを回復するための 1 つ以上のキー保護機能を作成します。
型 "TPM" のキー保護機能と型 "TPM およびスタートアップ キー" の両方を持つことができますが、"TPM" キー保護機能の種類が存在すると、他の TPM ベースのキー保護機能の効果が否定されます。
マネージド オブジェクト形式 (MOF) ファイルには、Windows Management Instrumentation (WMI) クラスの定義が含まれています。 MOF ファイルは、Windows SDK の一部としてインストールされません。 サーバー マネージャーを使用して関連付けられているロールを追加すると、サーバーにインストールされます。 MOF ファイルの詳細については、「 マネージド オブジェクト形式 (MOF)」を参照してください。
要件
| 要件 | 値 |
|---|---|
| サポートされている最小のクライアント |
Windows Vista Enterprise、Windows Vista Ultimate [デスクトップ アプリのみ] |
| サポートされている最小のサーバー |
Windows Server 2008 [デスクトップ アプリのみ] |
| 名前空間 |
Root\CIMV2\Security\MicrosoftVolumeEncryption |
| MOF |
|
関連項目