[Çözüldü] GPO İle Biosdan TPM Modülünü Aktif Etmek

https://www.cozumpark.com/community/security-4/gpo-ile-bios-sifreleme/

bknz paralel konu varmış 🙂
kısaca GPO ile bios yönetemezsiniz.

@ibrahimyildiz teşekkürler hocam

Bilgisayarlarınız HP ise; Client Management Solutions içerisinde  HP BIOS Configuration Utility (BCU) var.

Bildiğim kadarı ile ücretli. Çok detayını bilmiyorum. Bir inceleyin. Diğer üreticilerde var mı bilmiyorum.

Makinaların uyumlu da olması gerekli herhal. Son tüketici ürünleri desteklemiyor muhtemelen.

https://www.hp.com/us-en/solutions/client-management-solutions.html

Genelde bu tür ürünler istemcilerde vpro chip istiyor, yani kurumsal ve kaliteli bir ürün yok ise bunlarda ne yazık ki çalışmıyor.

vPro şart değil abi bu aksiyon için ama Intel AMT (active management technology) çoğunlukla şart. 
Bizim piyasaya sunulan kurumsal desktop'larda entry level'lerde bu hazır yönetimler olmayabiliyor (bir üst segmentte başlayabiliyor, model bazlı değişken) fakat kurumsal marka, sınıf laptoplarda ekseriyetle var. UEFI/Management Engine Framework ilişiği ile.
Rıza hocanın dediği gibi 3 büyük markada da merkezi policy basma çözümü var fakat ücretli. HP BCU ekseriyetle AMT gerektirir. Bu merkezi çözümlerin ücretsiz kısımları var HP de Dell'de görmüştüm, Lenovo 'da daha az inceledim ancak tamamen cmd promt üzerinden çalışır ve yapılandırmaları çok uğraştırıcı o kadar vakitte 200 makinenin bios'unu set edersiniz.:) 
Bunun dışında makine destekliyorsa makinede kurulu BCU'a dosya gönderip promt script ile bios set edebiliyorsunuz. Benim gördüğüm support'unda BCU sunulan modellerde AMT vardı.

Yani min. da AMT şart, varsa şayet intel'in lisans dahilinde arayüz içeren yönetim ortamı var.

https://www.intel.com.tr/content/www/tr/tr/support/articles/000020976/software.html

Bir de yine AMT üzerine çalışan open bir silsile var çok eskiden gelen. Config uğraştırıcı.
https://www.meshcommander.com/meshcentral2

vPro, AMT kapsar ve üzerine kurulu fakat AMT olması demek cihazda vPro olduğu anlamına gelmiyor ek KVM yetenekleri var. AMT'nin option listesi de hw'deki sürümüne göre değişir.

Bir de piyasada belirsiz IPM üzerinden bu yetenek var. Asus, gigabyte vs kurumsal nadir MB'lerinde bu destek olabiliyor fakat benim bildiğim hazır merkezi çoklu yönetim ortamları yok, 3rd app yapılandırma gerektiriyor. İsimini hatırlamakta her seferinde zorlanıyorum eskisi gibi karşılaşmadığımız için bir de Supermicro var asıl işi sunucu mb üretmek olan, merkezi IPM üzerine kurulu kendi çözümü olan fakat onun bu destekler olan Workstation (üst sınıf) cihazları da pek bizde yok.

Özetle envanteriniz OEM ise, seçimli özel alımlar yapılarak elde edilmemişse hiç buradaki şeyleri okumanıza gerek yok herşey manuel yapılacak demektir. 🙂 Merkezi bir şekilde bios seçeneği değiştiremezsiniz.

Fakat... cihazlarınızın UEFI nesli çok yeni ve bios'larında nic üzerinden update, usb ile set backup-restore yeteneği arayüzde görüyorsanız küçükte olsa uğraşacak olursanız yada daha önce hazırlığını yaptıysanız bu ihtimal var. Uğraşacaksanız her cihazda farklı olabiliyor oturup cihazınızda nasıl işlediğine bakmanız lazım. Yeni nesil UEFI, GPT disklerden recovery partition alanlar oluşturarak diagnostics tool setup ve bios update, config restore sağlatabiliyor. Fakat bu tip hazırlığı image vs aşamasında yaptıysanız olur yoksa zaten makine başında işlem gerektirdiği için uğraşılmaz. Bir de bütün envanterinizin bu destekle aynı olması gerekir uğraşmaya değmesi için. Esası şudur yeni ayarları içeren bir config yazılır ve boot aşamasında restore ettirilir istenen set enable edilmiş olur. Başvuracağınız kaynak marka, modelin support doc'larıdır. Sadece mantık verebiliyorum çok küçük bu olasılığı rahat yapabilecek hardware uzmanları zaten bios'un merkezi ayarlanamayacağını biliyor. 🙂

İbrahim show yapmış 🙂 Eline sağlık.