Group Policy ile BitLocker dağıtımı: anahtarlar AD'de

Ne zaman gerekir

Dizüstü bilgisayar kaybolduğunda konuşulan tek soru "disk şifreli miydi?" olur. KVKK kapsamında kişisel veri taşıyan bir cihazın kaybı veri ihlali sayılabilir; şifreli diskte bu tartışma çoğu zaman kısalır. Masaüstü ve şube sunucuları için de aynısı geçerli: sökülüp götürülen disk, şifreli değilse her şeyiyle okunur.

Elinizde Intune yoksa ya da cihazların bir kısmı hâlâ yalnızca şirket içi Active Directory'ye bağlıysa en sade yol Group Policy'dir. Lisans tarafında Microsoft'un belgesine göre BitLocker Windows Pro, Enterprise ve Education'da kullanılabilir; merkezi yönetim hakkı ise Enterprise E3/E5 ve Education A3/A5 lisanslarıyla gelir. Pro cihazlarda GPO ile yapılandırma teknik olarak çalışır; lisans uyumunu kendi sözleşmenizle kontrol edin.

Ön koşullar

• TPM 2.0 ve UEFI Secure Boot. Windows 11 zaten ister. Secure Boot açık değilse BitLocker PCR 7 ölçümünü kullanamaz ve cihaz donanım yazılımı güncellemelerinde kurtarma ekranına daha sık düşer.
• Etki alanı denetleyicileri Windows Server 2012 veya üstü. BitLocker kurtarma nesneleri (msFVE-RecoveryInformation) şemada hazırdır; ek şema genişletmesi gerekmez.
• Cihazlar şifreleme sırasında DC'ye ulaşabilmeli. VPN'siz uzak çalışan bir dizüstü, "AD'ye yedeklemeden açma" kuralı yüzünden şifrelenmez. Bu bir hata değil, istediğiniz davranış.
• Kurtarma parolasını görecek yönetim makinesi. Sunucuda Install-WindowsFeature RSAT-Feature-Tools-BitLocker-BdeAducExt, Windows 11 yönetim istasyonunda Add-WindowsCapability -Online -Name Rsat.BitLocker.Recovery.Tools~~~~0.0.1.0.
• Pilot OU. İlk hafta 5-10 farklı model cihaz. Farklı model önemli; kurtarma ekranı sorunları çoğunlukla donanım yazılımına özgüdür.

Adımlar

1. GPO'yu oluşturun ve pilot OU'ya bağlayın

   Group Policy Management'ta yeni bir GPO açın (örneğin BL-Istemci-Sifreleme) ve yalnızca pilot OU'ya bağlayın. Ayarların hepsi Computer Configuration > Policies > Administrative Templates > Windows Components > BitLocker Drive Encryption altında. Kullanıcı yapılandırmasını kapatın; bu GPO'da kullanıcı tarafı ayar yok.

   New-GPO -Name "BL-Istemci-Sifreleme" | New-GPLink -Target "OU=Pilot,OU=Istemciler,DC=firma,DC=local"
   (Get-GPO -Name "BL-Istemci-Sifreleme").GpoStatus = "UserSettingsDisabled"

2. Şifreleme yöntemini seçin

   Choose drive encryption method and cipher strength ayarını açın: işletim sistemi ve sabit sürücüler için XTS-AES 256-bit, çıkarılabilir sürücüler için AES-CBC 256-bit. CBC'yi çıkarılabilir diskte tercih etmemin nedeni, o diskin eski Windows sürümlerinde de okunabilmesi.

   Politika ayarlanmazsa BitLocker XTS-AES 128 kullanır. Microsoft'un önerisi XTS-AES'tir; 128 ile 256 arasındaki seçimi cihaz performansına ve mevzuat şartına bırakır.

   Operating System Drives > Enforce drive encryption type on operating system drives ayarını Used Space Only yapın. Yeni kurulan bir cihazda yalnızca dolu alanı şifrelemek dakikalar sürer; tüm disk saatler alabilir. Eski verinin silinmiş ama üzerine yazılmamış izleri bu yöntemde şifresiz kalabilir; çok eski, ikinci el disklerde Full encryption seçin.

3. Kurtarmayı AD DS'e bağlayın

   Operating System Drives > Choose how BitLocker-protected operating system drives can be recovered ayarını açın ve şunları seçin:

   • Allow 48-digit recovery password: Require ya da Allow
   • Save BitLocker recovery information to AD DS for operating system drives: işaretli
   • Configure storage of BitLocker recovery information to AD DS: Store recovery passwords and key packages
   • Do not enable BitLocker until recovery information is stored to AD DS for operating system drives: işaretli

   Son seçenek bu yazının omurgası. Microsoft'un tarifine göre bu seçenek, cihaz etki alanına bağlı değilse ya da AD'ye yedekleme başarısız olursa BitLocker'ın açılmasını engeller. Key package seçeneği de önemli: disk fiziksel olarak bozulduğunda BitLocker Repair Tool ile veri kurtarmaya yarar ve varsayılan olarak saklanmaz.

   Sabit veri sürücüleri varsa aynı ayarı Fixed Data Drives > Choose how BitLocker-protected fixed drives can be recovered altında tekrarlayın.

4. Başlangıç kimlik doğrulamasını belirleyin

   Operating System Drives > Require additional authentication at startup ayarını açın. Kurumsal dizüstülerin çoğunda ben Allow TPM ile başlıyorum; kullanıcı açılışta bir şey yazmaz. Kayıp ve hırsızlık riski yüksek cihazlarda (saha ekibi, yönetim) TPM + PIN daha güçlüdür, ama her açılışta PIN ister ve uzaktan yeniden başlatmayı zorlaştırır.

   Bu ayarda dört seçenekten yalnızca birini Require yapın. Microsoft'un belgesine göre birden fazla zorunlu kimlik doğrulama seçeneği politika hatasına yol açar.

   Configure TPM platform validation profile for native UEFI firmware configurations ayarına dokunmayın. Bölüm sonundaki uyarının nedeni bu.

5. Şifrelemeyi başlatan betiği ekleyin

   Betik SYSTEM hesabıyla açılışta çalışır. Microsoft'un Enable-BitLocker belgesindeki önerilen sırayı izler: önce kurtarma parolası eklenir, AD'ye yedeklenir, sonra şifreleme açılır. Yedekleme başarısız olursa betik durur ve disk şifrelenmez.

   # BL-Etkinlestir.ps1: GPO başlangıç betiği (SYSTEM olarak çalışır)
   $ErrorActionPreference = 'Stop'
   $surucu = $env:SystemDrive
   $gunluk = "$env:windir\Temp\bitlocker-dagitim.log"
   function Yaz($m) { "$(Get-Date -Format s) $m" | Add-Content -Path $gunluk }
   
   try {
       $tpm = Get-Tpm
       if (-not ($tpm.TpmPresent -and $tpm.TpmReady)) { Yaz "TPM hazır değil; çıkılıyor."; exit 0 }
   
       $hacim = Get-BitLockerVolume -MountPoint $surucu
       if ($hacim.VolumeStatus -ne 'FullyDecrypted') { Yaz "Durum $($hacim.VolumeStatus); işlem yok."; exit 0 }
   
       # 1) Kurtarma parolası ekle ve AD DS'e yedekle
       if (-not ($hacim.KeyProtector | Where-Object KeyProtectorType -eq 'RecoveryPassword')) {
           Add-BitLockerKeyProtector -MountPoint $surucu -RecoveryPasswordProtector | Out-Null
       }
       $kp = (Get-BitLockerVolume -MountPoint $surucu).KeyProtector |
           Where-Object KeyProtectorType -eq 'RecoveryPassword' | Select-Object -First 1
       Backup-BitLockerKeyProtector -MountPoint $surucu -KeyProtectorId $kp.KeyProtectorId | Out-Null
       Yaz "Kurtarma parolası $($kp.KeyProtectorId) AD DS'e yedeklendi."
   
       # 2) TPM koruyucusuyla şifrelemeyi aç (yöntem GPO ile aynı olmalı)
       Enable-BitLocker -MountPoint $surucu -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector | Out-Null
       Yaz "BitLocker etkinleştirildi; donanım testi için yeniden başlatma bekleniyor."
   }
   catch { Yaz "HATA: $($_.Exception.Message)"; exit 1 }

   Betiği GPO'nun \\firma.local\SYSVOL\firma.local\Policies\{GPO-GUID}\Machine\Scripts\Startup klasörüne koyun ve Computer Configuration > Policies > Windows Settings > Scripts > Startup > PowerShell Scripts sekmesine ekleyin.

   -EncryptionMethod değeri GPO'dakiyle aynı olmalı; farklıysa Enable-BitLocker politika uyuşmazlığı hatası verir. -SkipHardwareTest kullanmadım: donanım testi, cihazın TPM ile gerçekten açılabildiğini şifrelemeden önce bir yeniden başlatmayla sınar.

6. Yardım masasına okuma yetkisi verin

   Kurtarma parolası (msFVE-RecoveryPassword) gizli (confidential) öznitelik olarak işaretlidir; varsayılan olarak yalnızca Domain Admins okuyabilir. Yardım masasına Domain Admins vermek yerine, bilgisayarların bulunduğu OU'da msFVE-RecoveryInformation nesneleri için Read ve Control Access haklarını ayrı bir gruba devredin. Yetkiyi kimin kullandığını görmek isterseniz bu nesneler için dizin hizmeti erişim denetimini (4662 olayı) açın.

7. Pilotu izleyin, sonra genişletin

   Bir hafta pilot cihazların günlüğünü ve AD kayıtlarını izleyin (Doğrulama bölümü). Sorun yoksa GPO'yu departman OU'larına sırayla bağlayın. Tek seferde bütün etki alanına bağlamayın; kurtarma ekranı sorunu bir donanım modelinde çıkarsa yüzlerce kullanıcı aynı sabah yardım masasını arar.

Politika özeti

Sabit ve çıkarılabilir sürücüler

İkinci bir dahili disk (veri diski) varsa betiğe bir blok daha ekleyin. Veri diskinde TPM koruyucusu kullanılamaz; onun yerine işletim sistemi diski açıldığında veri diskinin de kendiliğinden açılmasını sağlayan otomatik kilit açma (auto-unlock) kullanılır:

$isDiski = Get-BitLockerVolume -MountPoint $env:SystemDrive
if ($isDiski.ProtectionStatus -eq 'On') {
    Get-BitLockerVolume | Where-Object { $_.VolumeType -eq 'Data' -and $_.VolumeStatus -eq 'FullyDecrypted' } | ForEach-Object {
        # Sabit sürücü politikası "AD DS'e yazmadan açma" dediği için yedekleme başarısızsa bu komut da başarısız olur
        Enable-BitLocker -MountPoint $_.MountPoint -EncryptionMethod XtsAes256 -UsedSpaceOnly -RecoveryPasswordProtector | Out-Null
        $kp = (Get-BitLockerVolume -MountPoint $_.MountPoint).KeyProtector |
            Where-Object KeyProtectorType -eq 'RecoveryPassword' | Select-Object -First 1
        Backup-BitLockerKeyProtector -MountPoint $_.MountPoint -KeyProtectorId $kp.KeyProtectorId | Out-Null
        Enable-BitLockerAutoUnlock -MountPoint $_.MountPoint | Out-Null
        Yaz "Veri diski $($_.MountPoint) şifrelemeye alındı, otomatik kilit açma açık."
    }
}

Bu blok sabit sürücü politikasında da Do not enable BitLocker until recovery information is stored to AD DS for fixed data drives seçeneğinin işaretli olmasına dayanır. O seçenek kapalıysa önce Add-BitLockerKeyProtector ve Backup-BitLockerKeyProtector, sonra şifreleme sırasını işletim sistemi diskindeki gibi koruyun.

Otomatik kilit açma yalnızca işletim sistemi diski BitLocker ile korunuyorsa çalışır; bu yüzden blok önce işletim sistemi diskinin korumasını denetler. Betiğin her açılışta yeniden çalışması burada işe yarar: ilk açılışta işletim sistemi diski, sonraki açılışta veri diski şifrelenir.

Çıkarılabilir diskler için Microsoft, kurtarma anahtarını AD DS'e otomatik yazmanın bir yolu olmadığını belirtiyor. USB disklerde kullanıcı parolası ve Deny write access to removable drives not protected by BitLocker ayarı, yani "şifresiz USB'ye yazma yok" kuralı daha uygulanabilir bir politikadır. Bu ayarı açmadan önce kullanıcılara duyurun; ilk gün en çok gelen çağrı "USB'ye dosya kopyalayamıyorum" olur.

Doğrulama

İstemcide politika ve şifreleme durumu:

gpresult /scope computer /r | Select-String "BL-Istemci"
manage-bde -status C:
Get-BitLockerVolume -MountPoint C: |
    Select-Object MountPoint, VolumeStatus, EncryptionMethod, EncryptionPercentage, ProtectionStatus,
        @{n='Koruyucular';e={$_.KeyProtector.KeyProtectorType -join ', '}}

Beklenen sonuç: EncryptionMethod XtsAes256, ProtectionStatus On, koruyucular Tpm, RecoveryPassword. Şifreleme sürerken VolumeStatus EncryptionInProgress görünür; bu normaldir.

Yedeklemenin başarılı ya da başarısız olduğunu Applications and Services Logs > Microsoft > Windows > BitLocker-API > Management günlüğünde görürsünüz. Betiğin kendi günlüğü de (C:\Windows\Temp\bitlocker-dagitim.log) hangi koruyucunun yedeklendiğini yazar; ilk bakılacak yer orasıdır.

DC tarafında bilgisayarın kurtarma nesnesi:

$pc = Get-ADComputer "PC-0123"
Get-ADObject -SearchBase $pc.DistinguishedName -Filter 'objectClass -eq "msFVE-RecoveryInformation"' `
    -Properties whenCreated, msFVE-RecoveryPassword |
    Select-Object Name, whenCreated, msFVE-RecoveryPassword

Nesne adı oluşturma tarihi ile kurtarma kimliğinden (GUID) oluşur. Kurtarma ekranı kullanıcıya bu kimliğin ilk sekiz hanesini gösterir; yardım masası doğru parolayı onunla eşleştirir.

Kapsamı ölçmek için şifreli olup AD'de anahtarı bulunmayan bilgisayarları listeleyin. Bunu her ay çalıştırın:

$anahtarli = Get-ADObject -Filter 'objectClass -eq "msFVE-RecoveryInformation"' -SearchBase "OU=Istemciler,DC=firma,DC=local" |
    ForEach-Object { ($_.DistinguishedName -split ',', 2)[1] } | Sort-Object -Unique
Get-ADComputer -Filter * -SearchBase "OU=Istemciler,DC=firma,DC=local" |
    Where-Object { $_.DistinguishedName -notin $anahtarli } | Select-Object Name

Liste boş değilse o cihazlar ya şifreli değildir ya da GPO'dan önce şifrelenmiş ve anahtarı yedeklenmemiştir. İkinci durumda SSS'teki Backup-BitLockerKeyProtector komutuyla anahtarı gönderin.

Sık yapılan hatalar

GPO'nun şifreleyeceğini sanmak. En sık karşılaştığım durum: politika bağlanmış, aylar geçmiş, cihazların yarısı şifresiz. GPO yöntemi belirler; şifrelemeyi betik ya da yönetim aracı başlatır.

Önceden şifrelenmiş cihazları unutmak. Microsoft'un donanım belgesine göre Windows 11 24H2 ile otomatik cihaz şifrelemesi artık HSTI ya da Modern Standby şartına bağlı değil; temiz kurulumda daha çok cihazda kendiliğinden açılabiliyor. Bu cihazlar politika gelmeden XTS-AES 128 ile şifrelenmiş olabilir. Politika şifreli bir diski yeniden şifrelemez. Ya bu yöntemi kabul edip anahtarı AD'ye yedekleyin, ya da şifreyi çözüp betiğin yeniden şifrelemesini bekleyin.

Donanım yazılımı güncellemesinden önce askıya almamak. BIOS/UEFI güncellemesi TPM ölçümlerini değiştirir. Suspend-BitLocker -MountPoint C: -RebootCount 1 ile korumayı bir açılışlık askıya alın; çoğu üretici aracı bunu kendisi yapar ama hepsi değil.

Eski AD anahtarlarını temizlemeye çalışmak. Active Directory bir bilgisayarın bütün kurtarma parolalarının geçmişini tutar. Bu bir sorun değil: eski bir yedekten geri yüklenen disk eski parolayı ister.

Kurtarma parolalarını yedeksiz bırakmak. Anahtarlar AD'deyse AD yedeğiniz aynı zamanda anahtar kasanızdır. Sistem durumu yedeğinin değiştirilemez bir kopyası olmalı; VM yedekleme stratejisi yazısındaki 3-2-1-1-0 kuralı DC'ler için de geçerli. Fidye yazılımı olayında BitLocker'ın rolü için ilk 24 saat kontrol listesine bakın.

Sunucularda aynı GPO'yu kullanmak. Sunucu kümelerinde, Hyper-V ana makinelerinde ve DC'lerde BitLocker'ın kendi kuralları var (ağ kilidi açma, CSV, yeniden başlatma pencereleri). Sunucu sertleştirme tarafı için Windows Server 2025 kontrol listesine bakın ve istemci GPO'sunu sunucu OU'larına bağlamayın.

Kaynaklar

• Microsoft Learn, "Configure BitLocker": https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/configure (Ekim 2026)
• Microsoft Learn, "BitLocker recovery overview": https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/recovery-overview (Ekim 2026)
• Microsoft Learn, "Enable-BitLocker": https://learn.microsoft.com/en-us/powershell/module/bitlocker/enable-bitlocker (Ekim 2026)
• Microsoft Learn, "Backup-BitLockerKeyProtector": https://learn.microsoft.com/en-us/powershell/module/bitlocker/backup-bitlockerkeyprotector (Ekim 2026)
• Microsoft Learn, "BitLocker drive encryption in Windows (OEM)": https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/oem-bitlocker (Ekim 2026)
• BleepingComputer, "Microsoft fixes BitLocker recovery issue only for Windows 11 users": https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-bitlocker-recovery-issue-only-for-windows-11-users/ (Ekim 2026)