Configurar BitLocker en dispositivos con Windows 10 u 11

Ediciones compatibles con esta función: Frontline Starter y Frontline Standard; Business Plus; Enterprise Standard y Enterprise Plus; Education Standard, Education Plus y Endpoint Education Upgrade; Enterprise Essentials y Enterprise Essentials Plus, y Cloud Identity Premium.  Comparar ediciones

Como administrador, puedes especificar cómo se cifran los dispositivos con Microsoft Windows 10 u 11 que estén registrados en la gestión de dispositivos de Windows. Los ajustes que elijas se aplicarán si el dispositivo tiene activado el cifrado de la unidad con BitLocker. Estos son los ajustes más habituales que puedes configurar:

• Cifrado de la unidad
• Autenticación adicional en el inicio
• Opciones de recuperación previas al inicio
• Cifrado de unidades fijas
• Opciones de recuperación de unidades fijas
• Cifrado de unidades extraíbles

Antes de empezar 

Los dispositivos deben estar registrados en el servicio de gestión de dispositivos Windows para que se apliquen estos ajustes. Más información

Configurar el cifrado de la unidad con BitLocker

1. Inicia sesión en la consola de administración de Google.

   Utiliza tu cuenta de administrador (no termina en @gmail.com).

2. En la consola de administración, ve a Menú  DispositivosMóviles y endpointsConfiguraciónWindows.
3. Haz clic en Ajustes de BitLocker.
4. (Opcional) Para aplicar el ajuste a un departamento o un equipo, selecciona en el lateral una unidad organizativa. Ver cómo
5. Selecciona Habilitado en la lista de elementos Cifrado de la unidad.
6. Configura las opciones (mostrar todo): Cifrado de la unidad
   • Opción de cifrado de las unidades del sistema: selecciona el método de cifrado y la seguridad del algoritmo de cifrado de la clave en las unidades del sistema operativo.
   • Métodos de autenticación adicionales durante el inicio: especifica si BitLocker requerirá autenticación adicional cada vez que se inicie el ordenador y si se va a utilizar un módulo de plataforma de confianza (TPM). Si habilitas esta opción, puedes definir los siguientes ajustes:
     • Permitir BitLocker sin un TPM compatible: marca esta casilla para que el inicio requiera una contraseña o una unidad USB.
     • Configurar inicio de TPM sin PIN ni clave: puedes requerir que se use un TPM como método de autenticación al iniciar en lugar de un PIN o una clave.
     • PIN de inicio de TPM: puedes requerir que se introduzca un PIN de entre 6 y 20 dígitos antes del inicio. También puedes configurar la longitud mínima del PIN.
     • Clave de inicio de TPM: puedes requerir que los usuarios se autentiquen con una clave de inicio de TPM para acceder a una unidad. La clave de inicio es una llave USB que incluye la información para cifrar la unidad. Al insertar esta llave en un dispositivo, se completa la autenticación y se puede acceder a la unidad.
     • Clave de inicio y PIN de TPM: puedes requerir que se usen tanto una clave de inicio como un PIN.
   • Opciones de recuperación previas al inicio: habilita esta opción para definir el mensaje de recuperación o personalizar la URL que se incluye en la pantalla de recuperación de la clave previa al inicio cuando la unidad del sistema operativo está bloqueada.
   • Opciones de recuperación de las unidades del sistema: habilita esta opción para definir ajustes que permitan a los usuarios recuperar datos de unidades del sistema operativo protegidas por BitLocker. Si habilitas esta opción, puedes definir los siguientes ajustes:
     • Permitir el uso de agentes de recuperación de datos: los agentes de recuperación de datos son personas cuyos certificados de infraestructura de clave pública (PKI) se usan para crear un protector de claves de BitLocker. Cuando activas el ajuste, estas personas pueden usar sus credenciales de PKI para desbloquear unidades protegidas con BitLocker.
     • Especificar contraseña de recuperación de 48 dígitos: con este ajuste puedes controlar si se permite, se requiere o no se permite que los usuarios generen una contraseña de recuperación de 48 dígitos.
     • Clave de recuperación de 256 bits: con este ajuste puedes controlar si se permite, se requiere o no se permite que los usuarios generen una clave de recuperación de 256 bits.
     • Ocultar las opciones de recuperación del asistente de configuración de BitLocker: marca esta casilla para impedir que los usuarios especifiquen opciones de recuperación al activar BitLocker.
     • Guardar información de recuperación de BitLocker en Active Directory Domain Services: cuando marcas esta casilla, puedes elegir qué información de recuperación de BitLocker se almacena en Active Directory. Puedes seleccionar Hacer copia de seguridad del paquete de clave y de la contraseña de recuperación o bien Hacer copia de seguridad solo de la contraseña de recuperación. Si marcas la casilla, además puedes definir el siguiente ajuste:
       • No habilitar BitLocker hasta que la información de recuperación esté almacenada en Active Directory: marca esta casilla para permitir que los usuarios habiliten BitLocker solo si el ordenador está conectado al dominio y la copia de seguridad de la información de recuperación de BitLocker se realiza correctamente en Active Directory.
   Cifrado de unidades fijas
   • Cifrado de unidades fijas: habilita esta opción para requerir que las unidades fijas se cifren antes de conceder acceso de escritura a ellas. Si habilitas esta opción, puedes definir los siguientes ajustes:
     • Cifrado para unidades fijas: selecciona el método de cifrado y la seguridad del algoritmo de cifrado de la clave en las unidades fijas.
     • Opciones de recuperación de unidades fijas: habilita esta opción para definir ajustes que permitan a los usuarios recuperar datos de unidades fijas protegidas con BitLocker. Si habilitas esta opción, puedes definir los siguientes ajustes:
       • Permitir el uso de agentes de recuperación de datos: los agentes de recuperación de datos son personas cuyos certificados de infraestructura de clave pública (PKI) se usan para crear un protector de claves de BitLocker. Cuando activas el ajuste, estas personas pueden usar sus credenciales de PKI para desbloquear unidades protegidas con BitLocker.
       • Contraseña de recuperación de 48 dígitos: con este ajuste puedes controlar si se permite, se requiere o no se permite que los usuarios generen una contraseña de recuperación de 48 dígitos.
       • Clave de recuperación de 256 bits: con este ajuste puedes controlar si se permite, se requiere o no se permite que los usuarios generen una clave de recuperación de 256 bits.
       • Ocultar las opciones de recuperación del asistente de configuración de BitLocker: marca esta casilla para impedir que los usuarios especifiquen opciones de recuperación al activar BitLocker.
       • Guardar información de recuperación de BitLocker en Active Directory Domain Services: cuando marcas esta casilla, puedes elegir qué información de recuperación de BitLocker se almacena en Active Directory. Puedes seleccionar Hacer copia de seguridad del paquete de clave y de la contraseña de recuperación o bien Hacer copia de seguridad solo de la contraseña de recuperación. Si marcas la casilla, además puedes definir el siguiente ajuste:
         • No habilitar BitLocker hasta que la información de recuperación esté almacenada en Active Directory: marca esta casilla para permitir que los usuarios habiliten BitLocker solo si el ordenador está conectado al dominio y la copia de seguridad de la información de recuperación de BitLocker se realiza correctamente en Active Directory.
   Cifrado de unidades extraíbles
   • Cifrado de unidades extraíbles: habilita esta opción para requerir que todas las unidades extraíbles se cifren antes de proporcionar acceso de escritura a ellas. Si habilitas esta opción, puedes definir los siguientes ajustes:
     • Cifrado para unidades extraíbles: selecciona el algoritmo de cifrado y la seguridad del cifrado de la clave en las unidades extraíbles. 
     • Denegar el acceso de escritura a los dispositivos configurados en otra organización: cuando marcas este ajuste, solo se concede acceso de escritura a las unidades con campos de identificación que coincidan con los campos de identificación del ordenador. Estos campos se definen en la política de grupos de tu organización.
7. Haz clic en Guardar. También puedes hacer clic en Anular en un unidad organizativa.

   Para restaurar más adelante el valor heredado, haz clic en Heredar.

Los cambios pueden tardar hasta 24 horas en aplicarse, pero suelen hacerlo más rápido. Más información

Definir el cifrado de la unidad como No configurado

Si seleccionas No configurado en Cifrado de la unidad, se deja de aplicar obligatoriamente la directiva de BitLocker definida en la consola de administración. En los dispositivos de los usuarios se recupera la configuración que tenían antes. Si el usuario había cifrado el dispositivo, no se aplica ningún cambio ni en los datos ni en el propio dispositivo.

Inhabilitar el cifrado de la unidad con BitLocker

1. Inicia sesión en la consola de administración de Google.

   Utiliza tu cuenta de administrador (no termina en @gmail.com).

2. En la consola de administración, ve a Menú  DispositivosMóviles y endpointsConfiguraciónWindows.
3. Haz clic en Ajustes de BitLocker.
4. Si quieres inhabilitar un perfil solo para algunos usuarios, selecciona una unidad organizativa en la lista de la izquierda. De lo contrario, se aplicará a todos.
5. Selecciona Inhabilitado en la lista de elementos Cifrado de la unidad.
6. Haz clic en Guardar. También puedes hacer clic en Anular en un unidad organizativa.

   Para restaurar más adelante el valor heredado, haz clic en Heredar.

Temas relacionados

• Habilitar la gestión de dispositivos Windows
• Registrar un dispositivo en el servicio de gestión de dispositivos Windows