BitLocker 키 자동 교체(BitLocker Key Rotation) 관련 문의

Question

BitLocker 키 자동 교체(BitLocker Key Rotation) 관련 문의

Sooyoung Choi 80

현재 헬프데스크에서 노트북 잠금으로 인해 BitLocker 복구 키가 필요한 사용자에게 복구 암호를 자주 제공하고 있습니다.

보안 강화를 위해 복구 키가 한 번 조회되거나 사용자에게 제공된 이후에는 해당 키를 즉시 사용할 수 없도록 하고, Entra ID에 새로운 BitLocker 복구 키가 자동으로 생성 및 저장되기를 원합니다.

Entra ID 환경에서 이러한 BitLocker Recovery Key 자동 교체(Key Rotation) 를 강제로 적용하려면 어떻게 구성해야 하나요?

혹시 Intune 정책이나 BitLocker 설정 중 추가로 구성해야 하는 항목이 있는지, 실제 운영 중인 분들의 경험도 함께 공유해 주시면 감사하겠습니다.

댓글 0개

질문 작성자가 수락한 답변

0 추가 답변

답변

Answer 1

BitLocker 복구 키 교체를 안전하게 관리하려면 Microsoft Intune 관리 센터에서 이중 접근 방식을 구현하십시오. 첫째, 엔드포인트 보안(Endpoint Security)의 디스크 암호화 정책을 구성하여 Microsoft Entra 조인 장치에서 '클라이언트 기반 복구 암호 교체(Client-driven recovery password rotation)'를 활성화하십시오. 이를 통해 복구 키를 사용하여 장치 잠금이 해제된 후 시스템이 자동으로 새 키를 생성합니다. 둘째, 모든 기술 지원 시 헬프데스크는 사용자에게 키를 제공한 직후 Intune 포털에서 'BitLocker 키 교체(Rotate BitLocker key)' 장치 작업을 선택하여 수동 교체를 수행해야 하며, 이를 통해 이전 키가 즉시 무효화되도록 해야 합니다. 최상의 결과를 위해 장치 기반 그룹을 사용하여 이러한 정책을 적용하고, 엔드포인트의 Windows 이벤트 뷰어에서 BitLocker-API 관리 로그를 모니터링하여 키 교체가 올바르게 에스크로(escrow)되는지 확인하십시오.

VPHAN