Bir Hyper-V sanal makinesinden erişilebilen bir iSCSI LUN'da dinlenme şifrelemesini zorlamaya ihtiyacımız var.
Saniyede bir LUN'a iSCSI erişimi olan Hyper-V Sanal Sunucusunda Windows Server 2012 kullanarak BitLocker'ı kullanarak bir çalışma çözümü uyguluyoruz. Bunu, "floppy disk anahtar deposu" kullanarak tanımlanmış şekilde başarıyla yapabildik BU GÖNDERİ. Ancak, bu yöntem bana "hokey" gibi görünüyor.
Devam eden araştırmamda, Amazon Kurumsal BT ekibinin bir BEYAZ KAĞIT "Floppy disk hack" olmadan, daha zarif bir çözümde aradığım şeyi özetledim. Bu beyaz kitabın 7. sayfasında, uyguladıklarını belirtiyorlar. Windows DPAPI Şifreleme Anahtarı Yönetimi BitLocker tuşlarını güvenli bir şekilde yönetmek için. Tam olarak yapmak istediğim şey bu, ancak bunu yapmak için bir senaryo yazmaları gerektiğini belirttiler, ancak senaryoyu ve hatta nasıl oluşturulacağını gösteren herhangi bir işaretçi sağlamazlar.
Herkesin nasıl oluşturulacağına dair ayrıntıları var mı "sunucunun makine hesabı DPAPI anahtarı tarafından korunan bir hizmet ve bir anahtar deposu dosyasıyla bağlantılı olarak komut dosyası" BitLocker ciltlerini yönetmek ve otomatik olarak açmak için (whitepaper'da belirtildiği gibi)? Herhangi bir tavsiye takdir edilmektedir.
--- DÜZENLE 1 ---
Evan’un yanıtına göre, aşağıda anladım, ama hala sıkışıp kaldım.
Kullanıyorum PsExec ve aşağıdaki komutu çalıştırarak, PowerShell'in Sistem hesabı altında çalıştığı ve Evan'un belirttiği gibi “makine hesabının parolasını kullanarak dizeyi şifreleyeceğini” belirtti. Bu doğru mu?
PsExec.exe -i -s Powershell.exe
Sonra PS içinden, (kullanarak bu gönderi referans olarak) SecureString şifresini oluşturmak için bu komutu çalıştırıyorum:
ConvertTo-SecureString -String "MyBitLockerPassword" -AsPlainText –Force | ConvertFrom-SecureString | Out-File C:\securestring.txt
Bu bana “01000000d08c…” biçiminde güvenli bir yazı içeren bir dosya veriyor (toplam 524 karakter). Ardından, parolayı (bir SecureString olarak) yüklemek için aşağıdakileri kullanan ve önyükleme sırasında çalıştırmak için bir Zamanlama Görevi oluşturabilirim. Kilidini-BitLocker komut:
$SecureBitLockerPassword = Get-Content C:\securestring.txt | ConvertTo-SecureString Unlock-BitLocker -MountPoint "E:" -Password $ SecureBitLockerPassword
Ancak, şifrelenmiş şifreyi sabit diskte bir dosya olarak saklıyorum, şifreyi şifrelemek ve şifresini çözmek ne demektir? Parolayı düz metin olarak saklamak ve aşağıdakileri kullanarak güvenli dizinin oluşturulmasına gerek kalmadan güvenli olmaz mı?
$SecureString = ConvertTo-SecureString " MyBitLockerPassword " -AsPlainText –Force Unlock-BitLocker -MountPoint "E:" -Password $SecureString
Buna başka nasıl yaklaşırsın? SecureString anahtarını, yalnızca Sistem hesabının buna erişebilmesi için nerede saklayabilirim?