BitLocker 回復の概要

BitLocker 回復は、既定のロック解除メカニズムを使用してドライブのロックを解除しない場合に、BitLocker で保護されたドライブへのアクセスを復元できるプロセスです。

この記事では、BitLocker 回復をトリガーするシナリオ、回復情報を保存するようにデバイスを構成する方法、ロックされたドライブへのアクセスを復元するためのオプションについて説明します。

BitLocker 回復シナリオ

次の一覧では、Windows の起動時にデバイスが BitLocker 回復モードになる一般的なイベントの例を示します。

• 間違った PIN の入力回数が多すぎます

• TPM ではなく USB ベースのキーを使用している場合は、BIOS または UEFI ファームウェアからプレブート環境で USB デバイスを読み取るためのサポートをオフにする

• BIOS ブート順序でハード ドライブの前に CD または DVD ドライブを持つ (仮想マシンで一般的)

• ポータブル コンピューターのドッキングまたはドッキング解除

• ディスク上の NTFS パーティション テーブルに対する変更

• ブート マネージャーの変更

• PXE ブートの使用

• TPM のオフ、無効化、非アクティブ化、またはクリア

• TPM 自己テストエラー

• 新しい TPM を使用してマザーボードを新しいマザーボードにアップグレードする

• BIOS や UEFI ファームウェアのアップグレードなど、重要な初期スタートアップ コンポーネントのアップグレード

• オペレーティング システムからの TPM の非表示

• TPM 検証プロファイルで使用されるプラットフォーム構成レジスタ (PCR) の変更

• BitLocker で保護されたドライブを新しいコンピューターに移動する

• TPM 1.2 を使用するデバイスで、BIOS またはファームウェアのブート デバイスの順序を変更する

• サインイン試行の失敗の許容最大数を超える

  注

  この機能を利用するには、ポリシー設定 [対話型ログオン] を構成する必要があります。 コンピューターの構成>Windows 設定>セキュリティ設定>ローカル ポリシー>セキュリティ オプションにあります。 または、Exchange ActiveSyncMaxFailedPasswordAttempts ポリシー設定または DeviceLock 構成サービス プロバイダー (CSP) を使用します。

BitLocker 回復プロセスの一環として、デバイスが回復モードに入る原因を特定することをお勧めします。 根本原因分析は、問題が将来再び発生するのを防ぐのに役立つ可能性があります。 たとえば、攻撃者が物理アクセスを取得してデバイスを変更したと判断した場合は、物理的なプレゼンスを持つユーザーを追跡するための新しいセキュリティ ポリシーを実装できます。

既知のハードウェアやファームウェアのアップグレードなどの計画的なシナリオでは、BitLocker 保護を一時的に中断することで回復を開始しないようにすることができます。 BitLocker を一時停止するとドライブは完全に暗号化され、管理者は計画タスクが完了した後に BitLocker 保護をすばやく再開できます。 一時停止と再開を使用すると、回復キーのエントリを必要とせずに暗号化キーも再シールされます。

Windows REと BitLocker の回復

Windows Recovery Environment (Windows RE) を使用して、BitLocker によって保護されたドライブへのアクセスを回復できます。 2 つの障害が発生した後にデバイスを起動できない場合は、 スタートアップ修復 が自動的に開始されます。

起動エラーが原因でスタートアップ修復が自動的に起動されると、ブート ログまたは使用可能なクラッシュ ダンプ ポイントが特定の破損したファイルに対して指定されている場合、オペレーティング システムとドライバー ファイルの修復のみが実行されます。 PCR [7] の特定の TPM 測定をサポートするデバイスでは、TPM はWindows REが信頼できる動作環境であることを検証し、Windows REが変更されていない場合は BitLocker で保護されたドライブのロックを解除します。 TPM が無効になっているなど、Windows RE環境が変更された場合、BitLocker 回復キーが指定されるまでドライブはロックされた状態を維持します。 スタートアップ修復を自動的に実行できない場合、代わりにWindows REが修復ディスクから手動で開始される場合は、BitLocker で保護されたドライブのロックを解除するために BitLocker 回復キーを指定する必要があります。

Windows REは、OS ドライブ 保護機能に TPM + PIN またはパスワードを使用するデバイスで[すべて削除] リセットをWindows REから開始すると、BitLocker 回復キーも要求されます。 TPM のみの保護を備えたキーボードレス デバイスで BitLocker 回復を開始すると、ブート マネージャーではなくWindows RE、BitLocker 回復キーが要求されます。 キーを入力すると、トラブルシューティング ツールWindows REアクセスしたり、Windows を正常に起動したりできます。

Windows REに表示される BitLocker 回復画面には、BitLocker 回復キーを入力するのに役立つナレーターやスクリーン キーボードなどのアクセシビリティ ツールがあります。

• Windows REの BitLocker 回復中にナレーターをアクティブにするには、WIN + CTRL + Enter キーを押します。
• スクリーン キーボードをアクティブにするには、テキスト入力コントロールをタップします

Windows ブート マネージャーによって BitLocker 回復キーが要求された場合、これらのツールが使用できない可能性があります。

BitLocker 回復オプション

回復シナリオでは、デバイスに適用されるポリシー設定に応じて、ドライブへのアクセスを復元するための次のオプションを使用できる場合があります。

BitLocker 回復プロセスを計画するときは、まず、機密情報を回復するためのorganizationの現在のベスト プラクティスを参照してください。 以下に例を示します。

質問に回答すると、organizationに最適な BitLocker 回復プロセスを判断し、それに応じて BitLocker ポリシー設定を構成するのに役立ちます。 たとえば、organizationにパスワードをリセットするプロセスがある場合、同様のプロセスを BitLocker の回復に使用できます。 ユーザーが回復情報を保存または取得できない場合、organizationはデータ復旧エージェント (DRA) を使用するか、回復情報を自動的にバックアップできます。

次のポリシー設定では、BitLocker で保護されたドライブへのアクセスを復元するために使用できる回復方法を定義します。

• BitLocker で保護されたオペレーティング システム ドライブを回復する方法を選択する
• BitLocker で保護された固定ドライブを回復する方法を選択する
• BitLocker で保護されたリムーバブル ドライブを回復する方法を選択する

BitLocker 回復パスワード

BitLocker を回復するために、ユーザーは回復パスワード (使用可能な場合) を使用できます。 BitLocker 回復パスワードは、作成されたデバイスに固有であり、さまざまな方法で保存できます。 構成されているポリシー設定に応じて、回復パスワードは次のようになります。

• Microsoft Entra IDに保存され、Microsoft Entra参加済み
• Active Directory に参加しているデバイスの AD DS に保存されます
• テキスト ファイルに保存
• 印刷

回復パスワードにアクセスすると、所有者は BitLocker で保護されたボリュームのロックを解除し、すべてのデータにアクセスできます。 そのため、organizationは、回復パスワードへのアクセスを制御し、保護するデバイスとは別に安全に保存されるようにする手順を確立することが重要です。

回復パスワードのバックアップは、BitLocker が有効になる前に構成する必要がありますが、 BitLocker 操作ガイドで説明されているように、暗号化後にも実行できます。
organizationで推奨されるバックアップ方法は、BitLocker 回復情報を中央の場所に自動的に格納することです。 organizationの要件に応じて、回復情報をMicrosoft Entra ID、AD DS、またはファイル共有に格納できます。

推奨される方法は、次の BitLocker バックアップ方法を使用することです。

• Microsoft Entra参加済みデバイスの場合は、回復キーを Microsoft Entra ID に格納します
• Active Directory 参加済みデバイスの場合は、AD DS に回復キーを格納します

データ復旧エージェント

DRA を使用して、OS ドライブ、固定データ ドライブ、リムーバブル データ ドライブを回復できます。 ただし、OS ドライブの回復に使用する場合は、DRA がドライブのロックを解除できるようにするために、オペレーティング システム ドライブをデータ ドライブ として別のデバイスにマウントする必要があります。 データ復旧エージェントは、暗号化時にドライブに追加され、暗号化が発生した後に更新できます。

パスワードまたはキーの回復で DRA を使用する利点は、DRA が BitLocker の マスター キー として機能することです。 DRA を使用すると、個々のボリュームごとに特定のパスワードまたはキーを見つけることなく、ポリシーによって保護されたボリュームを回復できます。

Active Directory ドメインに参加しているデバイスの DRA を構成するには、次の手順が必要です。

1. DRA 証明書を取得します。 証明書を使用する前に、次のキー使用法と拡張キー使用法属性が BitLocker によって検査されます。
   1. キー使用法属性が存在する場合は、次のいずれかである必要があります。
      • CERT_DATA_ENCIPHERMENT_KEY_USAGE
      • CERT_KEY_AGREEMENT_KEY_USAGE
      • CERT_KEY_ENCIPHERMENT_KEY_USAGE
   2. 拡張キー使用法 (EKU) 属性が存在する場合は、次のいずれかである必要があります。
      • ポリシー設定で指定されているとおり、または既定値 1.3.6.1.4.1.311.67.1.1
      • 証明機関 (CA) でサポートされている任意の EKU オブジェクト識別子
2. コンピューターの構成>Policies>Windows 設定>セキュリティ設定>パブリック キー ポリシー>BitLocker ドライブ暗号化のパスを使用して、グループ ポリシーを使用して DRA を追加します。
3. BitLocker で有効になっている新しいドライブに一意識別子を関連付けるには、[organizationの一意識別子を指定する] ポリシー設定を構成します。 識別フィールドは、部署またはorganizationを一意に識別するために使用される文字列です。 BitLocker で保護されたドライブ上のデータ回復エージェントの管理には、識別フィールドが必要です。 BitLocker は、ドライブに識別フィールドが存在し、デバイスで構成されている値と同じである場合にのみ、DRA を管理および更新します
4. ドライブの種類ごとに DRA を使用して回復を許可するように、次のポリシー設定を構成します。
   • BitLocker で保護されたオペレーティング システム ドライブを回復する方法を選択する
   • BitLocker で保護された固定ドライブを回復する方法を選択する
   • BitLocker で保護されたリムーバブル ドライブを回復する方法を選択する

Microsoft Entra IDに格納されている BitLocker 回復情報

Microsoft Entra参加済みデバイスの BitLocker 回復情報は、Microsoft Entra IDに格納できます。 BitLocker 回復パスワードをMicrosoft Entra IDに格納する利点は、ユーザーがヘルプ デスクを使用せずに、Web から割り当てられたデバイスのパスワードを簡単に取得できることです。

回復パスワードへのアクセスをヘルプ デスクに委任して、サポート シナリオを容易にすることもできます。

Microsoft Entra IDに格納されている BitLocker 回復パスワード情報は、bitlockerRecoveryKeyリソースの種類です。 リソースは、Microsoft Entra 管理センター、Microsoft Intune管理センター (Microsoft Intuneに登録されているデバイスの場合)、PowerShell、または Microsoft Graph を使用して取得できます。 詳細については、「 bitlockerRecoveryKey リソースの種類」を参照してください。

AD DS に格納されている BitLocker 回復情報

Active Directory ドメインに参加しているデバイスの BitLocker 回復情報は、AD DS に格納できます。 情報は、コンピューター オブジェクト自体の子オブジェクトに格納されます。 各 BitLocker 回復オブジェクトには、回復パスワードとその他の回復情報が含まれています。 BitLocker 対応ボリュームに複数の回復パスワードが関連付けられている可能性があるため、各コンピューター オブジェクトの下に複数の BitLocker 回復オブジェクトを存在させることができます。

BitLocker 回復オブジェクトの名前には、63 文字の固定長のグローバル一意識別子 (GUID) と日付と時刻の情報が組み込まれています。 構文は <Object Creation Date and Time><Recovery GUID>。

BitLocker 回復オブジェクトの共通名 (cn) は ms-FVE-RecoveryInformation。 各 ms-FVE-RecoveryInformation オブジェクトには、次の属性があります。

AD DS に格納されている BitLocker 属性の詳細については、次の記事を参照してください。

• ms-FVE-KeyPackage 属性
• ms-FVE-RecoveryPassword 属性

BitLocker キー パッケージは既定では保存されません。 AD DS で回復パスワードと共にパッケージを保存するには、回復方法を制御するポリシーで [ バックアップ回復パスワード] と [キー パッケージ ] ポリシー設定を選択する必要があります。 キー パッケージは、作業ボリュームからエクスポートすることもできます。

回復情報が AD DS にバックアップされていない場合、または別の場所にキー パッケージを保存する場合は、次のコマンドを使用してボリュームのキー パッケージを生成します。

manage-bde.exe -KeyPackage C: -id <id> -path <path>

BitLocker Key Package {<id>}.KPGのファイル名形式のファイルが、指定したパスに作成されます。

次のステップ