رمز PIN لبدء تشغيل BitLocker عبر Intune بدون صلاحيات المسؤول

يستطيع Intune تفعيل BitLocker وحفظ نسخة من مفتاح الاسترداد في Entra ID، لكنه لا يوفّر أي إعداد يطلب من الشخص الجالس أمام لوحة المفاتيح رمز PIN لبدء التشغيل قبل الإقلاع. يشرح هذا الدليل السبب، ثم يوضح كيف يحصل تطبيق Win32 مفتوح المصدر طوّرناه لـ Intune على هذا الرمز من مستخدم عادي عبر ServiceUI.exe، دون أن يجعل أي شخص مسؤولًا محليًا.

باختصار

• تحتاج إضافة رمز PIN لبدء التشغيل إلى صلاحيات المسؤول، وعملية Intune التي تملك هذه الصلاحيات تعمل في الجلسة 0، حيث لا يرى أحد أي نافذة.
• يعرض التطبيق نافذة رمز PIN بحساب SYSTEM على سطح مكتب المستخدم عبر ServiceUI.exe، فتجتمع له الصلاحيات ولوحة المفاتيح في الوقت نفسه. ويصف توثيق Microsoft الخاص بـ Intune هذه التقنية بأنها غير مدعومة، لذا اقرأ قسم الأمان قبل أن تقرر.
• يضيف التطبيق واقي TPM+PIN قبل أن يحذف واقي TPM وحده. فإذا بقي واقي TPM وحده على الجهاز، يتخطى Windows طلب رمز PIN عند الإقلاع.
• حالة Installed (مثبّت) في Intune لا تعني إلا أن الآلية أصبحت جاهزة على الجهاز. أما زوج سكربتات Remediations فيُبلغك بالأجهزة التي تطلب رمز PIN فعلًا.
• نسيان رمز PIN ما زال يتطلب مفتاح الاسترداد مرة واحدة. بعد ذلك يستطيع المستخدم الذي سجّل الجهاز إعادة تعيين رمز PIN من قائمة Start.

لماذا لا يستطيع Intune أن يطلب رمز PIN لبدء تشغيل BitLocker مباشرةً

رمز PIN لبدء التشغيل هو أحد أشكال المصادقة قبل الإقلاع في BitLocker. وهو واقي مفتاح من نوع TPM+PIN، اسمه في PowerShell هو TpmPin، ويحل محل واقي TPM وحده (Tpm) الذي يفتح القرص دون أن يسأل أحدًا. يطلب Windows رمز PIN قبل أن يبدأ تحميله، لذلك لا يكون الحاسوب المحمول المفقود أو المسروق مشفّرًا فحسب، بل لا يمكن تشغيله أصلًا. تستطيع سياسة تشفير القرص في Intune أن تسمح بواقي TPM+PIN أو تشترطه، لكنها لا تستطيع إنشاءه، لأن المستخدم وحده يعرف رمز PIN. ويقف حاجزان بين المستخدم وBitLocker:

1. إضافة واقي مفتاح تحتاج إلى صلاحيات المسؤول. معظم الناس مستخدمون عاديون على أجهزتهم، لذلك لا يستطيع أي شيء يعمل بحساب المستخدم أن يضيف الواقي.
2. العملية التي تملك هذه الصلاحيات لا تستطيع أن تعرض أي شيء. تطبيق Win32 الذي يثبّته Intune في سياق النظام (system context) يعمل بحساب SYSTEM في الجلسة 0، وهي جلسة بلا سطح مكتب تفاعلي. أي نافذة تُفتح هناك لا تظهر أبدًا، وإذا شغّلت الأمر manage-bde -changepin من تطبيق Win32، فلن يفشل بخطأ واضح، بل سينتهي بصمت دون أن يفعل شيئًا.

لذلك يحتاج رمز PIN إلى صلاحيات SYSTEM وإلى سطح مكتب المستخدم في الوقت نفسه. ولو جعلت المستخدمين مسؤولين محليين، لحللت المشكلة الأولى بخلق مشكلة أكبر بكثير.

كيف يتخطى التطبيق الحاجزين

يقسّم تطبيق Intune BitLocker PIN العمل بين السياقين.

1. المثبّت يعمل بحساب SYSTEM ولا يعرض شيئًا. Install-BitLockerStartupPin.ps1 هو تطبيق Win32 نفسه. يعيد تشغيل نفسه في نسخة 64 بت من PowerShell، لأن Intune يشغّل أوامر التثبيت في عملية 32 بت، ووحدة BitLocker في PowerShell ليست متاحة هناك في كل إصدارات Windows. يتحقق المثبّت من شريحة TPM، ثم يحفظ نسخة احتياطية من قيم سياسة BitLocker القديمة، ويكتب القيم التي تسمح بواقي TPM+PIN. ويضيف كلمة مرور استرداد إذا خلا منها قرص النظام، ثم يحفظ نسخة منها في Entra ID. وإذا فشلت أي من هاتين الخطوتين، يكتمل التثبيت رغم ذلك، وترفض نافذة رمز PIN تعيين أي رمز حتى تكتمل الخطوتان. بعد ذلك يضع المثبّت ملفات النافذة في مكانها، ويسجّل مهمة مجدولة.
2. المهمة المجدولة تضع النافذة على شاشة المستخدم. عند تسجيل الدخول، وعند كل فتح لقفل الشاشة، تشغّل المهمة Set-BitLockerPin.ps1 عبر ServiceUI.exe، وهي أداة من Microsoft ضمن Microsoft Deployment Toolkit (MDT). يرتبط ServiceUI بعملية explorer.exe الخاصة بالمستخدم، ويستعير سطح المكتب في تلك الجلسة، بينما تظل العملية تعمل بحساب SYSTEM.
3. المستخدم يختار رمز PIN وSYSTEM يطبّقه. في كل مرة تعمل فيها النافذة، وقبل أن تظهر حقول رمز PIN، تتحقق من كل الشروط المسبقة من جديد: التشفير، والحماية، وكلمة مرور الاسترداد، وحفظ نسخة منها في Entra ID. بعد ذلك ينتقل رمز PIN من SecureString مباشرة إلى Add-BitLockerKeyProtector. ولا يصل أبدًا إلى أي ملف أو سجل أو سطر أوامر.

لا تظهر النافذة إلا في جلسة وحدة التحكم (console session)، وترفض العمل إذا لم تستطع تحديد هذه الجلسة. فلولا ذلك، لاستطاع شخص آخر، عبر التبديل السريع بين المستخدمين أو عبر Remote Desktop، أن يختار رمز PIN الذي يكتبه مالك الجهاز عند كل إقلاع.

تشغّل مهمة التسجيل (Enrollment) أداة ServiceUI بالإجراء التالي، معروضًا هنا باسم المؤسسة الافتراضي ومع -MinimumPin 6. وفي المهمة نفسها تكون الوسيطات (Arguments) سطرًا واحدًا. يحذف ServiceUI علامات الاقتباس المزدوجة من سطر الأوامر الذي يمرّره، لذلك يجب ألا يحتوي أي مسار فيه على مسافة. ولهذا توجد ملفات التطبيق في %ProgramData% وليس في %ProgramFiles%. ووضع مسار powershell.exe بين علامتي اقتباس يعطّل الإجراء أيضًا، إذ تفشل المهمة حينها بالخطأ 0x80070005. أما مهمة إعادة التعيين فتشغّل الإجراء نفسه مع إضافة -Manage.

Program:   C:\ProgramData\WK-Hub\BitLockerPin\ServiceUI.exe
Arguments: -process:explorer.exe C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
           -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden
           -File C:\ProgramData\WK-Hub\BitLockerPin\Set-BitLockerPin.ps1
           -Organization WK-Hub -MinimumPin 6

الترتيب الذي يُبقي كل جهاز قابلًا للإقلاع

يبدو أن استبدال واقي TPM وحده بواقي TPM+PIN لا يحتاج إلا إلى أمرين. لكن ترتيب هذين الأمرين هو تصميم الأمان نفسه. تنفّذ النافذة الخطوات التالية بالترتيب:

1. تتحقق من رمز PIN ومن كل ما تستطيع فحصه، قبل أن تلمس أي واقٍ؛
2. تشترط وجود كلمة مرور استرداد حُفظت نسخة منها في Entra ID؛
3. تضيف واقي TPM+PIN وتتأكد من وجوده؛
4. بعد ذلك فقط تحذف واقي TPM وحده، وتتأكد من حذفه أيضًا؛
5. تعطّل مهمتها المجدولة.

البدء بالإضافة آمن بفضل قاعدة توثّقها Microsoft عن دالة ProtectKeyWithTPMAndPIN:

While it is possible to have both a key protector of the type "TPM" and another of the type "TPM And PIN", the presence of the "TPM" key protector type negates the effects of other TPM-based key protectors.

بالعربية: مع أنه من الممكن أن يوجد معًا واقي مفتاح من النوع «TPM» وآخر من النوع «TPM And PIN»، فإن وجود واقي مفتاح من النوع «TPM» يُلغي أثر واقيات المفاتيح الأخرى القائمة على TPM.

ما دام الواقيان موجودين، يُقلع الجهاز دون رمز PIN كما كان من قبل. وإذا فشلت إضافة رمز PIN، فلم يُحذف أي شيء. أما البدء بالحذف فسيترك فترة لا يمكن فيها فتح القرص إلا بكلمة مرور الاسترداد المكوّنة من 48 رقمًا. وعمليًا، يتولى الأمر Add-BitLockerKeyProtector المدمج في Windows بنفسه حذف واقي TPM وحده بمجرد إضافة واقي TPM+PIN، لذلك فخطوة الحذف في النافذة هي شبكة أمان.

الاستثناء الوحيد هو إعادة تعيين رمز PIN منسي. فوحدة التخزين لا يمكن أن تحمل إلا واقي TPM+PIN واحدًا، لذلك تحذف عملية إعادة التعيين في التطبيق الواقي القديم قبل أن تضيف الجديد. وإذا فشل الواقي الجديد بعد ذلك، يعود الجهاز إلى واقي TPM وحده حتى يظل قادرًا على الإقلاع. وتخبر النافذة المستخدم بأن الحاسوب يُقلع الآن دون رمز PIN، ثم تعود نافذة طلب رمز PIN المعتادة عند تسجيل الدخول التالي أو عند فتح قفل الشاشة التالي.

عندما يتخطى الجهاز رمز PIN

القاعدة نفسها تفسّر كيف يمكن أن يفشل نشر رمز PIN دون أن يلاحظ أحد. إذا بقي واقي TPM وحده بجانب واقي TPM+PIN، مثلًا لأن سكربتًا أضاف رمز PIN عبر WMI مباشرة، فلن يطلب Windows رمز PIN أبدًا. يُقلع الجهاز مباشرة إلى Windows، ومع ذلك ما زالت قائمة الواقيات فيه تتضمن رمز PIN، فيبدو مضبوطًا بشكل صحيح. افحص الجهاز من PowerShell بصلاحيات المسؤول:

(Get-BitLockerVolume -MountPoint $env:SystemDrive).KeyProtector |
    Select-Object KeyProtectorType

المطلوب أن ترى TpmPin وRecoveryPassword، وألا ترى Tpm. وزوج سكربتات Remediations الموضّح لاحقًا يفحص ذلك على كل جهاز، كل يوم.

هل استخدام ServiceUI آمن؟

احسم هذا السؤال قبل أن تبني أي شيء، لأن ServiceUI هو ما يجعل هذا الأسلوب يعمل: فهو يضع عملية تعمل بحساب SYSTEM على سطح مكتب مستخدم عادي. وإذا سمحت نافذة معروضة بهذه الطريقة للمستخدم بأن يفتح مربع حوار لاختيار ملف، أو يتبع رابطًا، أو يشغّل برنامجًا، فقد ينتهي الأمر بالمستخدم إلى تشغيل برنامج بحساب SYSTEM. ويُظهر إثبات مفهوم منشور مستخدمًا عاديًا يفعل ذلك من مربع حوار اختيار المجلد في برنامج تثبيت شغّله Intune عبر ServiceUI. وخطر رفع الصلاحيات هذا هو سبب استغناء PSAppDeployToolkit 4.1 عن ServiceUI، ويوصي القائمون عليه مسؤولي الأنظمة بالتوقف عن استخدام ServiceUI في أسرع وقت ممكن.

ويذكر توثيق تطبيقات Win32 من Microsoft أيضًا أن Intune لا يدعم التقنيات التي تفرض التفاعل مع جلسة المستخدم الذي سجّل الدخول، مثل serviceui.exe. لا يحتاج تثبيت Win32 نفسه إلى أي مستخدم، لكن نافذة طلب رمز PIN تعتمد على ServiceUI، لذلك يقع هذا الجزء خارج دعم Microsoft.

يقيّد هذا التطبيق ما تستطيع نوافذه التي تعمل بحساب SYSTEM أن تفعله:

• تحتوي هذه النوافذ على نصوص، ومربعات لرمز PIN أو لكلمة المرور، وأزرار. ولا شيء فيها يسمح للمستخدم بتصفح الملفات، أو اتباع رابط، أو تشغيل برنامج.
• فحص Windows Hello عند إعادة التعيين لا يعمل بحساب SYSTEM إطلاقًا. يشغّل SYSTEM أداة التحقق في جلسة وحدة التحكم، برمز الوصول (token) الخاص بمستخدمها، ولا يثق في إجابتها إلا إذا وصلت عبر أنبوب مسمّى (named pipe) من تلك العملية بالذات، وجاء رمز الخروج متفقًا معها.
• حتى ServiceUI نفسه مقيّد بنسخة محددة. يتحقق المثبّت من توقيعه وقيمة التجزئة (hash) الخاصة به قبل أن يسجّل المهمة، ومجلد ملفات التطبيق مقصور على SYSTEM ومجموعة Administrators.

هذا يضيّق نطاق الخطر، لكنه لا يلغي المقايضة: فما زالت عملية تعمل بحساب SYSTEM تظهر على سطح مكتب المستخدم. إذا لم يقبل فريق الأمن لديك ذلك، فهذا التطبيق ليس الأداة المناسبة. التصميم الذي يخلو من هذه المقايضة يشغّل النافذة بحساب المستخدم، ثم يسلّم رمز PIN إلى SYSTEM عبر قناة محمية، وهو النموذج الذي يستخدمه PSAppDeployToolkit 4.1 في نوافذه. أما هذا التطبيق فلا يتبع هذا النموذج.

افحص جهازًا قبل أن تبدأ

تدرّب على الاسترداد أولًا. بمجرد أن يصبح للجهاز رمز PIN لبدء التشغيل، يحتاج المستخدم الذي ينساه إلى مفتاح الاسترداد المكوّن من 48 رقمًا ليشغّل الجهاز. تأكد من أن مكتب الدعم الفني لديك يستطيع اليوم العثور على مفتاح الاسترداد لأي جهاز في Microsoft Entra admin center، من Devices، ثم الجهاز، ثم BitLocker keys. وإذا لم يستطع، فتوقف هنا وأصلح ذلك أولًا.

يحتاج التطبيق إلى جهاز بمعمارية x64 فيه شريحة TPM، ويعمل بنظام Windows 11، أو Windows 10 1809 أو أحدث. ويجب أن يكون الجهاز منضمًا إلى Entra ID أو منضمًا انضمامًا هجينًا (hybrid joined) حتى يمكن حفظ نسخة من مفتاح الاسترداد، وأن يكون مُدارًا عبر Intune. ويحدد المشروع TPM 2.0 متطلبًا له. لفحص جهاز التجربة الأولية، شغّل ما يلي في PowerShell بصلاحيات المسؤول. هذه الأوامر للقراءة فقط:

Get-Tpm | Format-List TpmPresent, TpmReady, TpmEnabled
Get-BitLockerVolume -MountPoint $env:SystemDrive |
    Format-List VolumeStatus, ProtectionStatus, @{n='Protectors';e={
        ($_.KeyProtector.KeyProtectorType) -join ','}}

ظهور Tpm في قائمة الواقيات أمر طبيعي في هذه المرحلة. فهو واقي TPM وحده الذي سيستبدله التطبيق.

إعدادات سياسة BitLocker التي يجب أن تتفق مع التطبيق

قسّم العمل على النحو التالي. سياسة تشفير القرص لديك في Intune تفعّل التشفير، وتختار خوارزمية التشفير، وتحفظ نسخة من مفتاح الاسترداد في Entra ID. أما التطبيق فيحصل على رمز PIN ويستبدل الواقي. ويكتب أيضًا قيم السياسة القليلة التي يحتاج إليها رمز PIN، ويضيف كلمة مرور استرداد إذا خلا منها القرص. عيّن سياسة التشفير أولًا، وانتظر حتى تظهر مفاتيح الاسترداد في Entra ID، ثم عيّن التطبيق.

إذا كانت سياستك تمنع ما ينشئه التطبيق، فسيعيد Intune كتابة قيمك عند كل مزامنة، وسيظل التطبيق والسياسة يكتب كل منهما فوق قيم الآخر. اضبط الإعدادات التالية في سياسة تشفير القرص التي تتحكم في BitLocker بالفعل، تحت Operating System Drives. وفي Settings catalog (كتالوج الإعدادات)، تجد الإعدادات نفسها تحت Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives:

إذا كانت سياسة تشفير القرص لديك تشفّر الأجهزة الجديدة بصمت، فاختر Allow startup PIN with TPM. فقد وثّقت Microsoft أن Require startup PIN with TPM يوقف التشفير الصامت. وقبل أن تغيّر السياسة لكل الأجهزة، تأكد من أنها ما زالت تشفّر جهاز اختبار غير مشفّر.

توجد هذه القيم تحت HKLM\SOFTWARE\Policies\Microsoft\FVE. يحفظ المثبّت نسخة احتياطية منها قبل أول كتابة، ويستعيدها عند إلغاء التثبيت. يضبط المثبّت قيمة UseAdvancedStartup على 1، وقيمة UseTPMPIN على 2، وهي القيمة التي تعني «السماح». ولا يضبط قيمة UseTPM على 2 إلا إذا لم تضبطها سياسة أخرى، ولا يضبطها على 0 أبدًا. ويحتفظ المثبّت بالقيم الأكثر صرامة إن وجدها، مثل UseTPMPIN = 1 أو حد أدنى أطول لرمز PIN. وكلما أضافت النافذة أو سكربت إلغاء التثبيت واقيًا، تخفّف الأداة المعنية قيمتي UseTPM وUseTPMPIN إلى 2 لهذا الاستدعاء وحده، ثم تعيدهما كما كانتا. ويسرد ملف INTUNE.md كل القيم، بما فيها قيم مفتاح بدء التشغيل عبر USB التي لا يلمسها التطبيق: فكتابتها ستتعارض مع BitLocker CSP في Intune عند كل مزامنة، وسيفشل التشفير الصامت بالحدث 851.

جهّز تطبيق Intune واضبط إعداداته

احصل على الأداتين من Microsoft

لا تأتي أي من الأداتين مع التطبيق. فكلتاهما ملف تنفيذي من Microsoft، لذلك توفّرهما بنفسك وتضعهما في مجلد المستودع، بجانب السكربتات. يأتي ServiceUI.exe (x64) من Microsoft Deployment Toolkit، في المسار C:\Program Files\Microsoft Deployment Toolkit\Templates\Distribution\Tools\x64\ServiceUI.exe. وقد أوقفت Microsoft أداة MDT نهائيًا في يناير 2026، ولم تعد توفّرها للتنزيل، لذلك خذ الملف من جهاز ما زالت MDT مثبّتة عليه، أو من نسخة احتفظت بها مؤسستك، واحتفظ أنت أيضًا بنسخة. لا تأخذ ServiceUI من موقع تنزيل تابع لجهة خارجية. أما IntuneWinAppUtil.exe فهو Microsoft Win32 Content Prep Tool، الذي تنشره Microsoft على GitHub باسم microsoft/Microsoft-Win32-Content-Prep-Tool.

يصبح ServiceUI نقطة الدخول لمهمة مجدولة تعمل بحساب SYSTEM، لذلك لا يثق به المثبّت دون تحقق. فهو يتحقق من توقيع Microsoft Authenticode، ومن قيمة تجزئة SHA256 محددة مسبقًا لنسخة x64 من MDT 8456، وهو آخر إصدار من MDT. إذا كانت نسختك من إصدار آخر من MDT، يفشل التثبيت ويسجّل قيمة التجزئة التي وجدها. تأكد من أن الملف أصلي، ثم مرّر قيمة التجزئة هذه صراحةً. أما تخفيف الفحص أو حذفه فهو الحل الخطأ.

.\Install-BitLockerStartupPin.ps1 -ServiceUiSha256 '<SHA256 OF YOUR SERVICEUI.EXE>'

اختر اسم مؤسستك

يحدد -Organization أسماء مفتاح السجل (registry key) والمجلدات والمهمتين المجدولتين ومصدر الأحداث. قيمته الافتراضية WK-Hub، ويجب ألا يحتوي على مسافات، لأن ServiceUI يحذف علامات الاقتباس. لا تأخذ سكربتات الاكتشاف والمعالجة أي وسيطات، لذلك غيّر القيمة الافتراضية في السكربتات السبعة كلها معًا، كما توضح الخطوة 3 في دليل البدء السريع، ثم شغّل Test-BitLockerPinApp.ps1 لتكتشف أي إعادة تسمية لم تكتمل.

حزّم التطبيق وارفعه

مجلد Source هو مجلد تجهيز (staging)، وليس نسخة ثانية من المستودع. انسخ إليه السكربتات الحالية في كل مرة تحزّم فيها التطبيق، وإلا فستحمل الحزمة النسخة القديمة من أي سكربت عدّلته ونسيت أن تنسخه:

Copy-Item .\Install-BitLockerStartupPin.ps1,.\Uninstall-BitLockerStartupPin.ps1,`
          .\Set-BitLockerPin.ps1,.\BitLockerPin.Common.ps1,.\ServiceUI.exe `
          -Destination .\Source -Force

.\IntuneWinAppUtil.exe -c .\Source -s Install-BitLockerStartupPin.ps1 -o .\Output -q

في Intune، انتقل إلى Apps > All Apps > Create، واختر المنصة Windows ثم Windows app (Win32)، وارفع ملف .intunewin.

أضف -Organization YourName إلى أمر التثبيت إذا غيّرت الاسم. وإذا لم يكن ServiceUI.exe لديك من إصدار MDT 8456، فأضف أيضًا -ServiceUiSha256 مع قيمة التجزئة الخاصة به دون علامات اقتباس، وإلا فسيفشل التثبيت على كل جهاز برمز الخروج 1.

يفحص سكربت الاكتشاف الآلية، لا رمز PIN: فهو يتحقق من وجود رقم إصدار تحت HKLM\SOFTWARE\WK-Hub\BitLockerPin لا يقل حداثة عن إصداره هو، ومن وجود Set-BitLockerPin.ps1 وBitLockerPin.Common.ps1 وServiceUI.exe في C:\ProgramData\WK-Hub\BitLockerPin، ومن وجود مهمة التسجيل، التي قد تكون معطّلة بعد تعيين رمز PIN. ولا يبحث عن واقي TpmPin، لأن التطبيق يكون مثبّتًا على الجهاز تثبيتًا صحيحًا قبل أن يعيّن مستخدمه رمز PIN بوقت طويل. ارفع سكربت الاكتشاف من جديد في كل مرة تستبدل فيها الحزمة. فالحزمة والسكربت يحملان رقم الإصدار نفسه، وعدم تطابقهما يسبب إما حلقة دائمة من إعادة التثبيت، وإما أجهزة عالقة على إصدار قديم.

رموز الإرجاع

يُرجع المثبّت 0 بمجرد أن تصبح آلية التسجيل جاهزة على الجهاز، حتى قبل أن يعيّن أي شخص رمز PIN، وحتى لو كان القرص ما زال قيد التشفير. يأتي رمز PIN لاحقًا من النافذة، التي تتحقق من كل الشروط المسبقة في كل مرة تعمل فيها. رموز الإرجاع الافتراضية في Intune تعامل 1618 بالفعل على أنه Retry (إعادة المحاولة). وإذا عُدّلت قائمتك، فأعد إضافته إليها.

التعيين وAutopilot

عيّن التطبيق كـ Required لمجموعة أجهزة، وابدأ بأجهزة التجربة الأولية، من 5 إلى 10 أجهزة، كما يوضح قسم التجربة الأولية والتحقق والتراجع. لا تضعه في قائمة التطبيقات الحاجبة (blocking apps) في Enrollment Status Page: فلا يوجد مستخدم يمكن أن يُطلب منه رمز PIN أثناء ESP، ورمز إعادة المحاولة سيُبقي الجهاز على تلك الشاشة حتى تنتهي مهلتها. وبصفته تطبيقًا مطلوبًا غير حاجب، يُثبَّت بعد ESP، ويشغّل المثبّت النافذة فورًا. وإذا كان القرص ما زال قيد التشفير، تبقى النافذة صامتة، ثم تظهر عند أول تسجيل دخول أو أول فتح لقفل الشاشة بعد انتهاء التشفير.

تقارير التغطية الفعلية لرمز PIN

لا يستطيع تطبيق Win32 أن يُبلغ إلا عن Installed أو Failed. وقد يظهر الجهاز بحالة Installed لأسابيع بينما يضغط مستخدمه على Remind me later (ذكّرني لاحقًا) كل صباح. أما زوج سكربتات Remediations المنفصل في Intune فيجيب عن السؤال الذي يهمك. تتطلب Remediations أن يملك مستخدم كل جهاز ترخيص Windows Enterprise E3 أو E5، أو Education A3 أو A5، أو Windows VDA per-user، لذلك تحقق من تراخيصك أولًا. أنشئ الزوج من Devices > Manage devices > Scripts and remediations:

لا يُعدّ الجهاز ممتثلًا إلا إذا تحققت الشروط الأربعة كلها: وجود واقي TpmPin، وعدم بقاء أي واقي Tpm، وتفعيل الحماية، ووجود كلمة مرور استرداد. وعندما لا يستطيع السكربت قراءة وحدة التخزين، يُبلغ عن UNKNOWN ويخرج بالرمز 1، حتى لا يجعل استعلام معطّل كل الأجهزة تظهر باللون الأخضر أبدًا.

يكتب سكربت الاكتشاف سطرًا واحدًا في عمود Pre-remediation detection output، الذي تضيفه من Columns في صفحة Device status الخاصة بالمعالجة. يذكر السطر السبب والسياق. وهذا هو السطر مقسّمًا ليناسب عرض الصفحة:

NONCOMPLIANT: no startup PIN protector - user has not set a PIN | device=DEV-00051
volume=FullyEncrypted protection=On protectors=Tpm,RecoveryPassword recovery=yes
escrowed=yes pinSetOn=never pinChangedByUser=no app=3.3.0 task=Ready

يفصل هذا العمود بين الأشخاص الذين لم يعيّنوا رمز PIN والأجهزة التي لا يمكن أن تقبل رمزًا أصلًا. ولا يُصلح سكربت المعالجة إلا ما يستطيع السكربت إصلاحه بشكل مشروع. فهو يحذف واقي TPM وحده إذا بقي على الجهاز عن طريق الخطأ، لكن فقط عند وجود كلمة مرور استرداد، ويعيد تفعيل مهمة التسجيل حتى تطلب النافذة رمز PIN من المستخدم مرة أخرى. أما القرص غير المشفّر، أو كلمة مرور الاسترداد المفقودة، أو الحماية المعلّقة، فتحتاج إلى تدخل شخص، لذلك يُبلغ السكربت عنها ويخرج برمز خروج غير صفري بدلًا من التظاهر بإصلاحها.

سياسة الامتثال التي تشترط BitLocker تفحص التشفير، لا رمز PIN لبدء التشغيل، وتعدّ الجهاز ممتثلًا حتى لو لم تظهر عليه النافذة قط. وإذا أردت أن تؤثر حالة رمز PIN في الامتثال، فاستخدم سكربت امتثال مخصصًا. ولا تصنّف الأجهزة غير ممتثلة ما دامت النافذة تطلب من المستخدمين تعيين رمز PIN، وإلا فسيفقد الناس إمكانية الوصول بسبب نافذة ربما لم يروها بعد.

ما يراه المستخدم

إلى أن يعيّن المستخدم رمز PIN، تظهر النافذة بعد تسجيل الدخول بقليل، وبعد كل فتح لقفل الشاشة. يغلقها زر Remind me later، ثم تطلب الرمز مجددًا عند فتح قفل الشاشة التالي، فتظهر للناس عند عودتهم إلى الجهاز بدلًا من مقاطعتهم وفق مؤقت. وتتحقق النافذة من رمز PIN قبل أن يتغير أي شيء:

• من 6 إلى 20 رقمًا في الإعداد الافتراضي. ويمكنك رفع الحد الأدنى باستخدام -MinimumPin.
• أرقام فقط، لأن لوحة المفاتيح قبل الإقلاع تستخدم دائمًا التخطيط الأمريكي (US).
• ليس رقمًا واحدًا مكررًا، مثل 222222، وليس تسلسلًا، مثل 123456 أو 654321.

يستطيع المستخدمون الذين يتذكرون رمز PIN تغييره لاحقًا من خيار Change PIN (تغيير رمز PIN) الموجود في Windows. يسمح Windows بذلك افتراضيًا، ويكتب المثبّت DisallowStandardUserPINReset = 0 ليجعل ذلك صريحًا. وإذا كانت هناك سياسة تضبط القيمة على 1، فلن يتجاوزها المثبّت، ولن يستطيع المستخدمون تغيير رمز PIN.

إذا لم يكن القرص مشفّرًا، يرى المستخدم إشعارًا للعلم فقط بدلًا من النافذة. يقول الإشعار ذلك بوضوح، ويوضح أن المشكلة ليست شيئًا يستطيع المستخدم إصلاحه، ويعرض مرجعًا قصيرًا يذكره المستخدم لمكتب الدعم الفني. ولا يظهر أكثر من مرة في اليوم. أما عندما لا يزال التشفير جاريًا أو تكون الحماية معلّقة، فلا يظهر شيء، لأن التحذيرات من حالات تُصلح نفسها بنفسها تعوّد الناس على تجاهل نوافذ قسم تكنولوجيا المعلومات.

يمكنك معاينة النوافذ الرئيسية دون صلاحيات المسؤول ودون تغيير أي شيء:

.\Set-BitLockerPin.ps1 -PreviewUI              # the PIN dialog
.\Set-BitLockerPin.ps1 -PreviewNotEncrypted    # the "not encrypted" notice
.\Set-BitLockerPin.ps1 -PreviewManage          # the self-service reset window

عندما ينسى أحد المستخدمين رمز PIN

لا يمكن حل مشكلة نسيان رمز PIN لبدء التشغيل قبل أن يبدأ Windows. يحتاج المستخدم إلى مفتاح الاسترداد المكوّن من 48 رقمًا مرة واحدة ليتجاوز شاشة ما قبل الإقلاع. ويستطيع مكتب الدعم الفني أن يُمليه عليه، أو يستطيع المستخدم أن يبحث عنه من جهاز آخر في myaccount.microsoft.com، من Devices، ثم الجهاز، ثم View BitLocker Keys. ينجح ذلك مع الأجهزة التي يملكها المستخدم، إلا إذا فعّل المستأجر (tenant) لديك الإعداد Restrict non-admin users from recovering the BitLocker key(s) for their owned devices (منع المستخدمين غير المسؤولين من استرداد مفاتيح BitLocker لأجهزتهم). وبدءًا من الإصدار 3.3.0، يستطيع المستخدم الذي سجّل الجهاز أن يكمل الباقي: يفتح Start > Reset BitLocker PIN فتظهر نافذة صغيرة، ثم يختار Reset my PIN (إعادة تعيين رمز PIN) فتظهر نافذة رمز PIN جديدة.

يستطيع أي مستخدم سجّل الدخول أن يفتح هذه النافذة، لكن لا شيء يتغير حتى تنجح ثلاثة فحوص، بالترتيب التالي. وإذا تعذّر إكمال أي فحص، فالنتيجة هي الرفض.

1. المستخدم الذي سجّل الجهاز. يجب أن يكون حساب Entra الذي سُجّل الدخول به هو الحساب الذي سجّل الجهاز في Intune. ويرفض التطبيق الحسابات المحلية وأي شخص آخر.
2. حد التكرار. ثلاث عمليات إعادة تعيين مكتملة كحد أقصى لكل جهاز خلال أي 24 ساعة متتالية. وإذا تعذّرت قراءة سجل عمليات إعادة التعيين، فالإجابة هي الرفض.
3. Windows Hello. رفض Hello أو إلغاؤه يوقف إعادة التعيين. ولا يطلب التطبيق كلمة مرور Windows إلا إذا لم يكن Hello متاحًا أو فشل بخطأ، ولا يطلبها أبدًا كفرصة ثانية بعد رفض الطلب أو تركه دون رد.

يكتب التطبيق قرارات الفحوص ونتائج إعادة التعيين في سجل Application كأحداث من 3200 إلى 3204 تحت المصدر WK-Hub-BitLockerPin، لذلك تستطيع جمعها عبر Azure Monitor Agent أو Windows Event Forwarding أو أداة تمرير (forwarder) إلى SIEM. ولا يُكتب أي حدث عند إغلاق نافذة أو إلغاء نافذة كلمة المرور. ويسرد ملف INTUNE.md معنى كل حدث.

ثلاثة متطلبات مسبقة تحدد ما إذا كانت الخدمة الذاتية ستعمل:

• Windows Hello for Business على الأجهزة المنضمة إلى Entra ID. البديل الاحتياطي بكلمة المرور يحتاج إلى كلمة مرور مخزّنة مؤقتًا على الجهاز، والمستخدم الذي لم يسجّل الدخول قط إلا عبر Hello لا يملك كلمة مرور مخزّنة. ومع هؤلاء المستخدمين، تفشل حتى كلمة المرور الصحيحة بالخطأ 1326.
• التسجيل الذي يقوده المستخدم (user-driven). يقارن فحص الهوية بين المستخدم الذي سجّل الدخول وحساب تسجيل الجهاز. أما Autopilot في وضع النشر الذاتي (self-deploying)، وحسابات device enrollment manager، وحزم التزويد (provisioning packages)، فتسجّل الأجهزة بحساب آخر أو بلا حساب، لذلك يلجأ هؤلاء المستخدمون إلى مكتب الدعم الفني.
• إعادة التسجيل عندما ينتقل الجهاز إلى شخص آخر. الجهاز الذي يُسلَّم إلى شخص جديد يحتفظ بحساب التسجيل الخاص بمالكه السابق. ولا يحدّثه تغيير المستخدم الأساسي (primary user) في Intune، لذلك أعد تسجيل الجهاز أو وجّه المستخدم الجديد إلى مكتب الدعم الفني.

اعرف بدقة ما يحمي منه فحص Hello. فهو يمنع شخصًا يجلس أمام جلسة غير مقفلة تُركت دون مراقبة من اختيار رمز PIN جديد يحرم المالك من الدخول إلى جهازه. لكنه لا يحمي من برمجيات خبيثة تعمل بالفعل بحساب المستخدم.

التجربة الأولية والتحقق والتراجع

اجعل التجربة الأولية على 5 إلى 10 أجهزة، لا على حلقة نشر (ring) كاملة أو قسم كامل. استبعد الأجهزة المشتركة وأجهزة الأكشاك (kiosks). واستبعد أيضًا الأجهزة التي تحدّثها عبر Wake-on-LAN، لأن رمز PIN قبل الإقلاع يوقف عمليات إعادة التشغيل التي تجري دون حضور أحد. تستطيع ميزة BitLocker Network Unlock تشغيل هذه الأجهزة دون رمز PIN، لكنها لا تعمل إلا على الأجهزة المنضمة إلى نطاق والمتصلة بشبكة سلكية فيها خادم WDS، وتضبطها عبر Group Policy، لا عبر Intune.

على جهاز التجربة الأولية، وبعد تثبيت التطبيق، افتح PowerShell بصلاحيات المسؤول. فمجلد السجلات لا يقرؤه إلا SYSTEM ومجموعة Administrators. واستبدل WK-Hub إذا غيّرت الاسم:

# Did the payload land, and is the task registered?
Get-ItemProperty 'HKLM:\SOFTWARE\WK-Hub\BitLockerPin' | Format-List
Get-ScheduledTask -TaskName 'WK-Hub BitLocker PIN Enrollment' | Select-Object State

# Watch the dialog's own log while you lock the screen (Win+L) and unlock it.
Get-Content 'C:\ProgramData\WK-Hub\BitLockerPin\prompt.log' -Wait -Tail 5

اقفل الشاشة ثم افتح قفلها. يُفترض أن تظهر النافذة خلال 20 ثانية تقريبًا، أو بعد دقيقتين تقريبًا من تسجيل دخول جديد. عيّن رمز PIN، وافحص الواقيات كما وضّحنا سابقًا، ثم أعد التشغيل وتأكد من أن طلب رمز PIN يظهر قبل الإقلاع وأن الرمز يعمل. وأخيرًا، اختبر إعادة التعيين الذاتية بحساب المستخدم الذي سجّل الجهاز. إعادة التعيين الناجحة تكتب الحدثين 3200 و3203.

للتراجع، غيّر تعيين التطبيق إلى Uninstall. ولا تحذف التطبيق من Intune، وإلا فستبقى ملفات التطبيق على الأجهزة دون أي شيء يزيلها. يحذف سكربت إلغاء التثبيت المهام واختصار قائمة Start، ويستعيد قيم السياسة المحفوظة احتياطيًا. ويترك رمز PIN في مكانه، لأن إزالة أداة نشر لا ينبغي أن تُضعف الجهاز في صمت. أما -RemovePinProtector فهو التراجع الصريح إلى واقي TPM وحده. ولاستخدامه من Intune، أضفه إلى أمر إلغاء التثبيت قبل أن تغيّر التعيين. وهو يحذف واقي رمز PIN قبل أن يعيد إضافة واقي TPM وحده، لذلك تمر فترة قصيرة لا يمكن فيها فتح القرص إلا بكلمة مرور الاسترداد. وإذا لم توجد كلمة مرور استرداد، فإنه يرفض حذف رمز PIN، لكنه يحذف المهام رغم ذلك ويخرج بالرمز 1.

ما يتركه التطبيق على الجهاز

هناك نقطتان مهمتان لأداة تعمل بحساب SYSTEM. الأولى أن كود النافذة نفسه لا يحوّل رمز PIN أبدًا إلى سلسلة نصية عادية (string)، لأن السلسلة النصية العادية لا يمكن مسحها من الذاكرة: فعملية التحقق تنسخ رمز PIN إلى ذاكرة مؤقتة غير مُدارة (unmanaged buffer)، وتقرأ الأرقام هناك، ثم تملأ هذه الذاكرة بالأصفار. لكن الأمر Add-BitLockerKeyProtector المدمج في Windows يحوّله رغم ذلك، لأن دالة WMI التي يعتمد عليها تأخذ رمز PIN كسلسلة نصية، لذلك يقلّل هذا التصميم من التعرض للخطر لكنه لا يلغيه. والثانية أن أول ملف سجل يكتبه المثبّت في C:\Windows\Temp، وهو مجلد يستطيع أي مستخدم الكتابة فيه، يحمل اسمًا لا يمكن تخمينه، لذلك لا يستطيع مستخدم عادي أن يزرع رابطًا (link) هناك مسبقًا ليعيد توجيه ما يكتبه SYSTEM.

احصل على الكود

التطبيق مفتوح المصدر على GitHub بترخيص MIT، ويعمل على Windows PowerShell 5.1. ولا يمس أي من اختباراته، وعددها 119 اختبارًا، حالة BitLocker. ويضم المستودع دليل بدء سريع من عشر خطوات، ودليلًا لإعداد Intune حقلًا بحقل، ودليلًا لاستكشاف الأخطاء وإصلاحها، ومرجعًا هندسيًا.

أسئلة شائعة

هل يحتاج تعيين رمز PIN لبدء تشغيل BitLocker إلى صلاحيات المسؤول؟

إضافة أول واقي لرمز PIN تحتاج إلى صلاحيات المسؤول، لأنها تغيّر واقيات المفاتيح على القرص. ولهذا يشغّل التطبيق نافذته بحساب SYSTEM عبر ServiceUI بدلًا من حساب المستخدم. أما تغيير رمز PIN تعرفه بالفعل فلا يحتاج إليها: يستطيع المستخدم العادي تشغيل manage-bde -changepin C: أو استخدام خيار Change PIN الموجود في Windows، بشرط أن يُدخل رمز PIN الحالي، وألا تكون أي سياسة قد فعّلت Disallow standard users from changing the PIN or password (منع المستخدمين العاديين من تغيير رمز PIN أو كلمة المرور).

لماذا يُقلع جهازي دون أن يطلب رمز PIN؟

ابحث عن واقي TPM وحده بجانب واقي TPM+PIN: ما دام موجودًا، يتجاهل Windows رمز PIN. احذف واقي Tpm، أو دع سكربت المعالجة يحذفه. وللحماية المعلّقة الأثر نفسه، لأن القرص المعلّقة حمايته لا يطلب رمز PIN أبدًا.

هل يعمل التطبيق مع Autopilot؟

نعم. عيّنه كتطبيق مطلوب (Required) عادي، ولا تضعه في قائمة التطبيقات الحاجبة في Enrollment Status Page. تظهر النافذة بعد تثبيت التطبيق. وإذا كان القرص ما زال قيد التشفير، فإنها تظهر عند أول تسجيل دخول أو أول فتح لقفل الشاشة بعد انتهاء التشفير. استخدم Autopilot في وضع user-driven إذا أردت إعادة التعيين الذاتية.

هل يستطيع المستخدم العادي إعادة تعيين رمز PIN لـ BitLocker إذا نسيه؟

نعم، بدءًا من الإصدار 3.3.0. بعد فتح القرص مرة واحدة بمفتاح الاسترداد، يفتح المستخدم الذي سجّل الجهاز Start > Reset BitLocker PIN. تحتاج إعادة التعيين إلى Windows Hello، أو إلى كلمة مرور Windows إذا لم يكن Hello متاحًا، ولا تسمح بأكثر من ثلاث عمليات إعادة تعيين مكتملة خلال 24 ساعة.

ماذا لو لم تُحفظ نسخة من مفتاح الاسترداد في Entra ID؟

في هذه الحالة لا يعيّن التطبيق أي رمز PIN. فقبل أن تظهر النافذة، يبحث التطبيق عن الحدث 845، وهو الحدث الذي يسجّل نجاح النسخ الاحتياطي إلى Entra ID، ويحاول حفظ النسخة بنفسه إذا لم يجد الحدث. وإذا فشل الحفظ، لا يغيّر شيئًا، ويحاول مرة أخرى عند تسجيل الدخول التالي أو عند فتح قفل الشاشة التالي.

هل يستطيع المستخدمون اختيار حروف، أو رمز PIN أقصر من ستة أرقام؟

لا. تقبل النافذة من 6 إلى 20 رقمًا ولا شيء غير ذلك، وتستخدم الحد الأدنى في سياستك إذا كان أعلى. اترك Allow enhanced PINs for startup معطّلًا: تحذّر Microsoft من أن أجهزة الحاسوب لا تدعم كلها أحرف رمز PIN المحسّنة قبل بدء Windows.