Guide des opérations BitLocker

Pour déterminer l’état actuel d’un volume, vous pouvez utiliser l’applet Get-BitLockerVolume de commande , qui fournit des informations sur le type de volume, les protecteurs, les status de protection et d’autres détails. Par exemple :

PS C:\> Get-BitLockerVolume C: | fl

ComputerName         : DESKTOP
MountPoint           : C:
EncryptionMethod     : XtsAes128
AutoUnlockEnabled    :
AutoUnlockKeyStored  : False
MetadataVersion      : 2
VolumeStatus         : FullyEncrypted
ProtectionStatus     : On
LockStatus           : Unlocked
EncryptionPercentage : 100
WipePercentage       : 0
VolumeType           : OperatingSystem
CapacityGB           : 1000
KeyProtector         : {Tpm, RecoveryPassword}

Avecmanage-bde.exe, vous pouvez déterminer le volume status sur le système cible, par exemple :

manage-bde.exe -status

Cette commande retourne les volumes sur la cible, le status de chiffrement actuel, la méthode de chiffrement et le type de volume (système d’exploitation ou données) pour chaque volume.

C:\>manage-bde -status

Volume C: [Local Disk]
[OS Volume]

    Size:                 1000 GB
    BitLocker Version:    2.0
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100.0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection On
    Lock Status:          Unlocked
    Identification Field: Unknown
    Key Protectors:
        TPM
        Numerical Password

La vérification des status BitLocker avec le Panneau de configuration est une méthode courante utilisée par la plupart des utilisateurs. Une fois ouvert, le status pour chaque volume s’affiche en regard de la description du volume et de la lettre de lecteur. Les valeurs de retour status disponibles avec l’applet sont les suivantes :

Si un lecteur est préprovisionné avec BitLocker, un status d’attente d’activation s’affiche avec une icône d’exclamation jaune sur le volume. Cela status signifie qu’il n’y avait qu’un protecteur clair utilisé lors du chiffrement du volume. Dans ce cas, le volume n’est pas dans un état protégé et doit avoir une clé sécurisée ajoutée au volume avant que le lecteur ne soit entièrement protégé. Les administrateurs peuvent utiliser le Panneau de configuration, PowerShell ou manage-bde.exe pour ajouter un protecteur de clé approprié. Une fois l’opération terminée, la Panneau de configuration est mise à jour pour refléter la nouvelle status.

Enable-BitLocker C: -TpmProtector

manage-bde.exe -on C:

À partir de l’applet bitLocker Drive Encryption Panneau de configuration :

1. Développez le lecteur du système d’exploitation et sélectionnez l’option Activer BitLocker

2. Lorsque vous y êtes invité, sélectionnez l’option Laisser BitLocker déverrouiller automatiquement mon lecteur

3. Sauvegardez la clé de récupération à l’aide de l’une des méthodes suivantes :

   • Enregistrer sur votre compte Microsoft Entra ID ou votre compte Microsoft (le cas échéant)
   • Enregistrer sur une clé USB
   • Enregistrer dans un fichier : le fichier doit être enregistré à un emplacement qui ne se trouve pas sur l’appareil lui-même, tel qu’un dossier réseau
   • Imprimer la clé de récupération

4. Sélectionnez Suivant.

5. Choisissez l’une des options pour chiffrer uniquement l’espace disque utilisé ou chiffrer le lecteur entier , puis sélectionnez Suivant

   • Chiffrer l’espace disque utilisé uniquement : chiffre uniquement l’espace disque qui contient des données
   • Chiffrer le lecteur entier : chiffre l’intégralité du volume, y compris l’espace libre. Également appelé chiffrement de disque complet

   Chacune des méthodes est recommandée dans les scénarios suivants :

   • Chiffrer l’espace disque utilisé uniquement :

     • Le lecteur n’a jamais eu de données
     • Lecteurs formatés ou effacés qui, par le passé, n’avaient jamais eu de données confidentielles qui n’ont jamais été chiffrées

   • Chiffrer le lecteur entier (chiffrement de disque complet) :

     • Lecteurs qui ont actuellement des données
     • Lecteurs qui ont actuellement un système d’exploitation
     • Lecteurs formatés ou effacés qui, dans le passé, avaient des données confidentielles qui n’ont jamais été chiffrées

   Important

   Les fichiers supprimés apparaissent sous forme d’espace libre pour le système de fichiers, qui n’est pas chiffré uniquement par l’espace disque utilisé. Tant qu’ils ne sont pas réinitialisé ou remplacés, les fichiers supprimés contiennent des informations qui peuvent être récupérées avec des outils d’investigation de données courants.

6. Sélectionnez un mode de chiffrement, puis sélectionnez Suivant

   • Nouveau mode de chiffrement
   • Mode compatible

   Remarque

   Normalement, un nouveau mode de chiffrement doit être choisi, mais si le lecteur est potentiellement déplacé vers un autre appareil avec un système d’exploitation Windows plus ancien, sélectionnez Mode compatible

7. Sélectionnez Continuer>le redémarrage maintenant

8. Après le redémarrage, le système d’exploitation effectue une case activée système BitLocker et démarre le chiffrement

Les utilisateurs peuvent case activée status de chiffrement à l’aide de l’applet de Panneau de configuration BitLocker.

Si vous choisissez d’ignorer le test matériel BitLocker, le chiffrement démarre immédiatement sans qu’il soit nécessaire de redémarrer.

Enable-BitLocker C: -StartupKeyProtector -StartupKeyPath E: -SkipHardwareTest

manage-bde.exe -protectors -add C: -TPMAndStartupKey E:
manage-bde.exe -on C:

Si vous y êtes invité, redémarrez l’ordinateur pour terminer le processus de chiffrement.

L’applet Panneau de configuration n’autorise pas l’activation de BitLocker et l’ajout d’un protecteur de clé de démarrage en même temps. Pour ajouter un protecteur de clé de démarrage, procédez comme suit :

• À partir de l’applet De chiffrement de lecteur BitLocker Panneau de configuration, sous le lecteur du système d’exploitation, sélectionnez l’option Modifier le mode de déverrouillage du lecteur au démarrage
• Lorsque vous y êtes invité, sélectionnez l’option Insérer une clé USB
• Sélectionnez le lecteur USB dans lequel vous souhaitez stocker la clé de démarrage, puis sélectionnez Enregistrer

Ajoutez les protecteurs souhaités avant de chiffrer le volume. L’exemple suivant ajoute un protecteur de mot de passe au E: volume en utilisant la variable $pw comme mot de passe. La $pw variable est conservée en tant que valeur SecureString pour stocker le mot de passe défini par l’utilisateur :

$pw = Read-Host -AsSecureString
<user inputs password>
Add-BitLockerKeyProtector E: -PasswordProtector -Password $pw

Exemple : Utiliser PowerShell pour activer BitLocker avec un protecteur TPM

Enable-BitLocker D: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

Exemple : Utilisez PowerShell pour activer BitLocker avec un protecteur TPM+CODE CONFIDENTIEL, dans ce cas avec un code confidentiel défini sur 123456 :

$SecureString = ConvertTo-SecureString "123456" -AsPlainText -Force
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $SecureString -TPMandPinProtector

Le chiffrement des volumes de données peut être effectué à l’aide de la commande de base :

manage-bde.exe -on <drive letter>

ou des protecteurs supplémentaires peuvent d’abord être ajoutés au volume. Il est recommandé d’ajouter au moins un protecteur principal et un protecteur de récupération à un volume de données.

Le chiffrement des volumes de données à l’aide de l’Panneau de configuration BitLocker fonctionne de la même façon que le chiffrement des volumes du système d’exploitation. Les utilisateurs sélectionnent Activer BitLocker dans le Panneau de configuration BitLocker pour démarrer l’Assistant Chiffrement de lecteur BitLocker.

(Get-BitLockerVolume -mountpoint C).KeyProtector

 manage-bde.exe -protectors -get C:

Ces informations ne sont pas disponibles dans le Panneau de configuration.

Add-BitLockerKeyProtector -MountPoint C -RecoveryPasswordProtector

manage-bde.exe -protectors -add -recoverypassword C:

À partir de l’applet de Panneau de configuration Chiffrement de lecteur BitLocker, sélectionnez le volume dans lequel vous souhaitez ajouter un logiciel de protection, puis sélectionnez l’option Sauvegarder votre clé de récupération.

Add-BitLockerKeyProtector -MountPoint D -PasswordProtector

manage-bde.exe -protectors -add -pw D:

À partir de l’applet de Panneau de configuration Chiffrement de lecteur BitLocker, développez le lecteur sur lequel vous souhaitez ajouter un protecteur de mot de passe, puis sélectionnez l’option Ajouter un mot de passe. Lorsque vous y êtes invité, entrez et confirmez un mot de passe pour déverrouiller le lecteur. Sélectionnez Terminer pour terminer le processus.

Add-BitLockerKeyProtector C: -ADAccountOrGroupProtector -ADAccountOrGroup "<SID>"

Pour ajouter le logiciel de protection à un volume, le SID de domaine ou le nom de groupe précédé du domaine et une barre oblique inverse sont nécessaires. Dans l’exemple suivant, le compte CONTOSO\Administrator est ajouté en tant que protecteur au volume de données G.

Enable-BitLocker G: -AdAccountOrGroupProtector -AdAccountOrGroup CONTOSO\Administrator

Pour utiliser le SID pour le compte ou le groupe, la première étape consiste à déterminer le SID associé au principal de sécurité. Pour obtenir le SID spécifique d’un compte d’utilisateur dans Windows PowerShell, utilisez la commande suivante :

Get-ADUser -filter {samaccountname -eq "administrator"}

manage-bde.exe -protectors -add -sid <user or group>

Cette option n’est pas disponible dans le Panneau de configuration.

Pour supprimer des logiciels de protection existants sur un volume, utilisez l’applet de Remove-BitLockerKeyProtector commande . Un GUID associé au logiciel de protection à supprimer doit être fourni.

Les commandes suivantes retournent la liste des logiciels de protection de clés et des GUID :

$vol = Get-BitLockerVolume C
$keyprotectors = $vol.KeyProtector
$keyprotectors

En utilisant ces informations, le protecteur de clé d’un volume spécifique peut être supprimé à l’aide de la commande :

Remove-BitLockerKeyProtector <volume> -KeyProtectorID "{GUID}"

Les commandes suivantes retournent la liste des protecteurs de clés :

manage-bde.exe -status C:

La commande suivante supprime le protecteur de clés d’un certain type :

manage-bde.exe -protectors -delete C: -type TPMandPIN

À partir de l’applet de Panneau de configuration Chiffrement de lecteur BitLocker, développez le lecteur sur lequel vous souhaitez supprimer un logiciel de protection et sélectionnez l’option pour le supprimer, le cas échéant.

Suspend-BitLocker -MountPoint D

manage-bde.exe -protectors -disable d:

Vous ne pouvez suspendre la protection BitLocker pour le lecteur de système d’exploitation que lorsque vous utilisez le Panneau de configuration.

À partir de l’applet de Panneau de configuration Chiffrement de lecteur BitLocker, sélectionnez le lecteur du système d’exploitation, puis sélectionnez l’option Suspendre la protection.

Resume-BitLocker -MountPoint D

manage-bde.exe -protectors -enable d:

À partir de l’applet de Panneau de configuration Chiffrement de lecteur BitLocker, sélectionnez le lecteur du système d’exploitation, puis sélectionnez l’option Reprendre la protection.

Supprimez tous les mots de passe de récupération du volume du système d’exploitation :

(Get-BitLockerVolume -MountPoint $env:SystemDrive).KeyProtector | `
  where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | `
  Remove-BitLockerKeyProtector -MountPoint $env:SystemDrive

Ajoutez un protecteur de mot de passe de récupération BitLocker pour le volume du système d’exploitation :

Add-BitLockerKeyProtector -MountPoint $env:SystemDrive -RecoveryPasswordProtector

Obtenez l’ID du nouveau mot de passe de récupération :

(Get-BitLockerVolume -mountpoint $env:SystemDrive).KeyProtector | where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | ft KeyProtectorId,RecoveryPassword

Copiez l’ID du mot de passe de récupération à partir de la sortie.

À l’aide du GUID de l’étape précédente, remplacez dans {ID} la commande suivante et utilisez la commande suivante pour sauvegarder le mot de passe de récupération dans Microsoft Entra ID :

BackuptoAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

Vous pouvez également utiliser la commande suivante pour sauvegarder le mot de passe de récupération dans Active Directory :

Backup-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

Supprimez tous les mots de passe de récupération du volume du système d’exploitation :

manage-bde.exe -protectors -delete C: -type RecoveryPassword

Ajoutez un protecteur de mot de passe de récupération BitLocker pour le volume du système d’exploitation :

manage-bde.exe -protectors -add C: -RecoveryPassword

Obtenez l’ID du nouveau mot de passe de récupération :

manage-bde.exe -protectors -get C: -Type RecoveryPassword

À l’aide du GUID de l’étape précédente, remplacez dans {ID} la commande suivante et utilisez la commande suivante pour sauvegarder le mot de passe de récupération dans Microsoft Entra ID :

manage-bde.exe -protectors -aadbackup C: -id {ID}

Vous pouvez également utiliser la commande suivante pour sauvegarder le mot de passe de récupération dans Active Directory :

manage-bde.exe -protectors -adbackup C: -id {ID}

Ce processus ne peut pas être effectué à l’aide de la Panneau de configuration. Utilisez l’une des autres options à la place.

Windows PowerShell offre la possibilité de déchiffrer plusieurs lecteurs en une seule passe. Dans l’exemple suivant, l’utilisateur a trois volumes chiffrés qu’il souhaite déchiffrer.

À l’aide de la commande Disable-BitLocker, ils peuvent supprimer tous les protecteurs et le chiffrement en même temps sans avoir besoin de commandes supplémentaires. Voici un exemple de cette commande :

Disable-BitLocker

Pour éviter de spécifier chaque point de montage individuellement, utilisez le -MountPoint paramètre dans un tableau pour séquencer la même commande en une seule ligne, sans nécessiter d’entrée utilisateur supplémentaire. Exemple :

Disable-BitLocker -MountPoint C,D

Le déchiffrement avec manage-bde.exe offre l’avantage de ne pas exiger la confirmation de l’utilisateur pour démarrer le processus. Manage-bde utilise la commande -off pour démarrer le processus de déchiffrement. Voici un exemple de commande pour le déchiffrement :

manage-bde.exe -off C:

Cette commande désactive les protecteurs pendant qu’elle déchiffre le volume et supprime tous les protecteurs une fois le déchiffrement terminé.

Le déchiffrement BitLocker à l’aide du Panneau de configuration s’effectue à l’aide d’un Assistant. Après avoir ouvert l’applet de Panneau de configuration BitLocker, sélectionnez l’option Désactiver BitLocker pour commencer le processus. Pour continuer, sélectionnez la boîte de dialogue de confirmation. Une fois que la désactivation de BitLocker est confirmée, le processus de déchiffrement du lecteur commence.

Une fois le déchiffrement terminé, le lecteur met à jour son status dans le Panneau de configuration et devient disponible pour le chiffrement.

Unlock-BitLocker -MountPoint D -RecoveryPassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Pour plus d’informations, consultez Unlock-BitLocker.

manage-bde.exe -unlock D: -recoverypassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Pour plus d’informations, consultez manage-bde unlock

Vous pouvez déverrouiller le lecteur à partir du Panneau de configuration ou de Explorer. Après avoir ouvert l’applet de Panneau de configuration BitLocker, sélectionnez l’option Déverrouiller le lecteur pour commencer le processus. Lorsque vous y êtes invité, entrez la clé de récupération à 48 chiffres.