BitLocker 操作ガイド

• 適用対象:

  ✅ Windows 11, ✅ Windows 10, ✅ Windows Server 2022, ✅ Windows Server 2019, ✅ Windows Server 2016

BitLocker を管理および操作するためのさまざまなツールとオプションがあります。

• BitLocker PowerShell モジュール
• BitLocker ドライブ暗号化ツール
• コントロール パネル

BitLocker ドライブ暗号化ツールと BitLocker PowerShell モジュールを使用して、BitLocker コントロール パネルを介して実行できるすべてのタスクを実行できます。 これらは、自動デプロイやその他のスクリプトシナリオに使用するのに適しています。
BitLocker コントロール パネル アプレットを使用すると、ドライブで BitLocker をオンにしたり、ロック解除方法や認証方法を指定したりなどの基本的なタスクを実行できます。 BitLocker コントロール パネル アプレットは、基本的な BitLocker タスクに使用するのに適しています。

この記事では、BitLocker 管理ツールとその使用方法について説明し、実用的な例を示します。

BitLocker PowerShell モジュール

BitLocker PowerShell モジュールを使用すると、管理者は BitLocker オプションを既存のスクリプトに簡単に統合できます。 モジュールに含まれるコマンドレットの一覧、その説明と構文については、BitLocker PowerShell リファレンス記事チェック。

BitLocker ドライブ暗号化ツール

BitLocker ドライブ暗号化ツールには、次の 2 つのコマンド ライン ツールが含まれています。

• 構成ツール (manage-bde.exe) は、BitLocker 操作のスクリプト作成に使用でき、BitLocker コントロール パネル アプレットに存在しないオプションを提供します。 オプションのmanage-bde.exe完全な一覧については、「Manage-bde リファレンス」を参照してください。
• 修復ツール (repair-bde.exe) は、BitLocker で保護されたドライブを正常にロック解除したり、回復コンソールを使用したりできないディザスター リカバリー シナリオに役立ちます

BitLocker コントロール パネル アプレット

BitLocker コントロール パネルを使用してボリュームを暗号化する ([スタート]、[入力] の順に選択BitLockerし、[BitLocker の管理] を選択) は、BitLocker を使用するユーザーの数です。 BitLocker コントロール パネル アプレットの名前は BitLocker ドライブ暗号化です。 アプレットは、オペレーティング システム、固定データ、リムーバブル データ ボリュームの暗号化をサポートします。 BitLocker コントロール パネルでは、デバイスが Windows に報告する方法に基づいて、使用可能なドライブが適切なカテゴリに整理されます。 BitLocker コントロール パネル アプレットには、ドライブ文字が割り当てられたフォーマットされたボリュームのみが正しく表示されます。

Windows エクスプローラー内で BitLocker を使用する

Windows エクスプローラーでは、ボリュームを右クリックして [BitLocker をオンにする] を選択することで、BitLockerドライブ暗号化ウィザードを起動できます。 このオプションは、既定でクライアント コンピューターで使用できます。 サーバーでは、このオプションを使用できるようにするには、BitLocker 機能と Desktop-Experience 機能を最初にインストールする必要があります。 [BitLocker を有効にする] を選択すると、ウィザードは BitLocker コントロール パネルを使用して起動したときとまったく同じように動作します。

BitLocker の状態を確認する

特定のボリュームの BitLocker 状態をチェックするために、管理者は BitLocker コントロール パネル アプレット、Windows エクスプローラー、コマンド ライン ツール、manage-bde.exeまたはWindows PowerShell コマンドレット内のドライブの状態を確認できます。 各オプションは、さまざまな詳細レベルと使いやすさを提供します。

次の手順に従って、BitLocker の状態を確認し、任意のツールを選択します。

PowerShell

ボリュームの現在の状態を判断するには、ボリュームの種類、保護機能、保護状態、およびその他の詳細に関する情報を提供するコマンドレットを使用 Get-BitLockerVolume できます。 次に、例を示します。

PS C:\> Get-BitLockerVolume C: | fl

ComputerName         : DESKTOP
MountPoint           : C:
EncryptionMethod     : XtsAes128
AutoUnlockEnabled    :
AutoUnlockKeyStored  : False
MetadataVersion      : 2
VolumeStatus         : FullyEncrypted
ProtectionStatus     : On
LockStatus           : Unlocked
EncryptionPercentage : 100
WipePercentage       : 0
VolumeType           : OperatingSystem
CapacityGB           : 1000
KeyProtector         : {Tpm, RecoveryPassword}

コマンド プロンプト

では manage-bde.exe 、次のようにターゲット システムのボリュームの状態を確認できます。

manage-bde.exe -status

このコマンドは、各ボリュームのターゲット上のボリューム、現在の暗号化状態、暗号化方法、ボリュームの種類 (オペレーティング システムまたはデータ) を返します。

C:\>manage-bde -status

Volume C: [Local Disk]
[OS Volume]

    Size:                 1000 GB
    BitLocker Version:    2.0
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100.0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection On
    Lock Status:          Unlocked
    Identification Field: Unknown
    Key Protectors:
        TPM
        Numerical Password

コントロール パネル

コントロール パネルで BitLocker の状態を確認することは、ほとんどのユーザーが使用する一般的な方法です。 開くと、ボリュームの説明とドライブ文字の横に各ボリュームの状態が表示されます。 アプレットで使用可能な状態の戻り値は次のとおりです。

状態	説明
に	BitLocker がボリュームに対して有効になっている
オフ	BitLocker がボリュームに対して有効になっていない
Suspended	BitLocker が中断され、ボリュームがアクティブに保護されていない
アクティブ化を待機中	BitLocker は明確な保護機能キーで有効になっており、完全に保護するにはさらなるアクションが必要です

BitLocker でドライブが事前プロビジョニングされている場合は、ボリュームに黄色の感嘆符アイコンが表示され、[ ライセンス認証の待機 中] の状態が表示されます。 この状態は、ボリュームの暗号化時に使用された明確な保護機能のみが存在したことを意味します。 この場合、ボリュームは保護された状態ではなく、ドライブが完全に保護される前に、ボリュームにセキュリティで保護されたキーを追加する必要があります。 管理者は、コントロール パネル、PowerShell を使用するか、適切manage-bde.exeなキー 保護機能を追加できます。 完了すると、コントロール パネルが更新され、新しい状態が反映されます。

BitLocker を有効にする

TPM 保護機能を備えた OS ドライブ

次の例では、TPM 保護機能のみを使用し、回復キーを使用しないオペレーティング システム ドライブで BitLocker を有効にする方法を示します。

PowerShell

Enable-BitLocker C: -TpmProtector

コマンド プロンプト

manage-bde.exe -on C:

コントロール パネル

BitLocker Drive Encryption コントロール パネル アプレットから:

1. OS ドライブを展開し、[BitLocker をオンにする] オプションを選択します

2. メッセージが表示されたら、[BitLocker でドライブのロックを自動的に解除する] オプションを選択します

3. 次のいずれかの方法を使用して 回復キー をバックアップします。

   • Microsoft Entra ID アカウントまたは Microsoft アカウントに保存する (該当する場合)
   • USB フラッシュ ドライブに保存する
   • ファイルに保存 する - ファイルは、ネットワーク フォルダーなどのデバイス自体にない場所に保存する必要があります
   • 回復キーを印刷する

4. [次へ] を選択します

5. 使用済みディスク領域のみを暗号化するか、ドライブ全体を暗号化するオプションのいずれかを選択し、[次へ] を選択します

   • 使用済みディスク領域のみを暗号化 する - データを含むディスク領域のみを暗号化します
   • ドライブ全体を暗号化 する - 空き領域を含むボリューム全体を暗号化します。 完全なディスク暗号化とも呼ばれます

   各メソッドは、次のシナリオで推奨されます。

   • 使用済みディスク領域のみを暗号化する:

     • ドライブにデータが含まれていることはありません
     • 以前は暗号化されなかった機密データを持っていないフォーマットまたは消去されたドライブ

   • ドライブ全体を暗号化 する (ディスク全体の暗号化):

     • 現在データを持つドライブ
     • 現在オペレーティング システムを持つドライブ
     • 以前は暗号化されなかった機密データを含んでいたフォーマットまたは消去されたドライブ

   重要

   削除されたファイルはファイル システムの空き領域として表示されます。これは、使用された ディスク領域によってのみ暗号化されません。 ワイプまたは上書きされるまで、削除されたファイルには、一般的なデータ フォレンジック ツールで回復できる情報が保持されます。

6. 暗号化モードを選択し、[次へ] を選択します

   • 新しい暗号化モード
   • 互換性モード

   注

   通常、新しい暗号化モードを選択する必要がありますが、ドライブが古い Windows オペレーティング システムを持つ別のデバイスに移動される可能性がある場合は、[互換性モード] を選択します

7. [今すぐ再起動する]を選択します>

8. 再起動後、OS は BitLocker システムのチェックを実行し、暗号化を開始します

ユーザーは、BitLocker コントロール パネル アプレットを使用して暗号化状態をチェックできます。

注

回復キーを作成した後、BitLocker コントロール パネルを使用して、回復キーの追加コピーを作成できます。

TPM 保護機能とスタートアップ キーを備えた OS ドライブ

次の例は、TPM と スタートアップ キー 保護機能を使用してオペレーティング システム ドライブで BitLocker を有効にする方法を示しています。

OS ドライブ文字が で C: 、USB フラッシュ ドライブがドライブ文字 E:であると仮定すると、次のコマンドが実行されます。

PowerShell

BitLocker ハードウェア テストをスキップする場合は、再起動を必要とせずにすぐに暗号化が開始されます。

Enable-BitLocker C: -StartupKeyProtector -StartupKeyPath E: -SkipHardwareTest

コマンド プロンプト

manage-bde.exe -protectors -add C: -TPMAndStartupKey E:
manage-bde.exe -on C:

メッセージが表示されたら、コンピューターを再起動して暗号化プロセスを完了します。

注

暗号化が完了したら、オペレーティング システムを起動する前に USB スタートアップ キーを挿入する必要があります。

コントロール パネル

コントロール パネル アプレットでは、BitLocker を有効にしてスタートアップ キー 保護機能を同時に追加することはできません。 スタートアップ キー 保護機能を追加するには、次の手順に従います。

• BitLocker Drive Encryption コントロール パネル アプレットの OS ドライブで、[起動時にドライブのロックを解除する方法を変更する] オプションを選択します
• メッセージが表示されたら、[USB フラッシュ ドライブを挿入する] オプションを選択します
• スタートアップ キーを保存する USB ドライブを選択し、[保存] を選択 します

再起動後、BitLocker プリブート画面が表示され、オペレーティング システムを起動する前に USB スタートアップ キーを挿入する必要があります。

データ ボリューム

データ ボリュームは、オペレーティング システム ボリュームとして暗号化に同様のプロセスを使用しますが、操作を完了するために保護機能は必要ありません。

PowerShell

ボリュームを暗号化する前に、目的の保護機能を追加します。 次の例では、 変数$pwをパスワードとして使用して、ボリュームにE:パスワード 保護機能を追加します。 変数は $pw 、ユーザー定義パスワードを格納するための SecureString 値として保持されます。

$pw = Read-Host -AsSecureString
<user inputs password>
Add-BitLockerKeyProtector E: -PasswordProtector -Password $pw

注

BitLocker コマンドレットを実行するには、キー プロテクター GUID を引用符で囲む必要があります。 コマンドに GUID 全体 (中かっこ) が含まれていることを確認します。

例: PowerShell を使用して TPM 保護機能を使用して BitLocker を有効にする

Enable-BitLocker D: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector 

例: PowerShell を使用して、TPM +PIN 保護機能を使用して BitLocker を有効にします。この場合、PIN を 123456 に設定します。

$SecureString = ConvertTo-SecureString "123456" -AsPlainText -Force
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $SecureString -TPMandPinProtector

コマンド プロンプト

データ ボリュームの暗号化は、基本コマンドを使用して行うことができます。

manage-bde.exe -on <drive letter>

または追加の保護機能を最初にボリュームに追加できます。 少なくとも 1 つのプライマリ プロテクターと回復保護機能をデータ ボリュームに追加することをお勧めします。

コントロール パネル

BitLocker コントロール パネルを使用したデータ ボリュームの暗号化は、オペレーティング システム ボリュームの暗号化と同様の方法で動作します。 ユーザーは、BitLocker コントロール パネル内で [BitLocker を有効にする] を選択して、BitLocker ドライブ暗号化ウィザードを開始します。

BitLocker 保護機能を管理する

BitLocker 保護機能の管理は、保護機能の追加、削除、バックアップで構成されます。

次の手順に従って、ニーズに最も適したオプションを選択することで、BitLocker 保護機能を管理します。

リスト プロテクタ

ボリュームで使用できる保護機能の一覧 (C: 例) は、次のコマンドを実行して一覧表示できます。

PowerShell

(Get-BitLockerVolume -mountpoint C).KeyProtector

コマンド プロンプト

 manage-bde.exe -protectors -get C:

コントロール パネル

この情報は、コントロール パネルでは使用できません。

保護機能を追加する

回復パスワード 保護機能を追加する

PowerShell

Add-BitLockerKeyProtector -MountPoint C -RecoveryPasswordProtector

コマンド プロンプト

manage-bde.exe -protectors -add -recoverypassword C:

コントロール パネル

BitLocker Drive Encryption コントロール パネル アプレットで、保護機能を追加するボリュームを選択し、[回復キーのバックアップ] オプションを選択します。

パスワード 保護機能を追加する

データ ボリュームの一般的な保護機能は、パスワード 保護機能です。 次の例では、パスワード 保護機能がボリュームに追加されます。

PowerShell

Add-BitLockerKeyProtector -MountPoint D -PasswordProtector

コマンド プロンプト

manage-bde.exe -protectors -add -pw D:

コントロール パネル

BitLocker Drive Encryption コントロール パネル アプレットで、パスワード 保護機能を追加するドライブを展開し、[パスワードの追加] オプションを選択します。 メッセージが表示されたら、パスワードを入力して確認してドライブのロックを解除します。 [ 完了] を選択 してプロセスを完了します。

Active Directory 保護機能を追加する

Active Directory 保護機能は、オペレーティング システムとデータ ボリュームの両方に追加できる SID ベースの保護機能ですが、プレブート環境ではオペレーティング システム ボリュームのロックを解除しません。 プロテクタでは、ドメイン アカウントまたはグループが保護機能とリンクするための SID が必要です。 BitLocker は、クラスター名オブジェクト (CNO) の SID ベースの保護機能を追加することで、クラスター対応ディスクを保護できます。これにより、ディスクを適切にフェールオーバーし、クラスターの任意のメンバー コンピューターにロックを解除できます。

重要

SID ベースの保護機能では、オペレーティング システム ボリュームで使用する場合、TPM、PIN、回復キーなどの追加の保護機能を使用する必要があります。

注

このオプションは、Microsoft Entra参加済みデバイスでは使用できません。

この例では、ドメイン SID ベースの保護機能が、以前に暗号化されたボリュームに追加されます。 ユーザーは、追加するユーザー アカウントまたはグループの SID を認識し、次のコマンドを使用します。

PowerShell

Add-BitLockerKeyProtector C: -ADAccountOrGroupProtector -ADAccountOrGroup "<SID>"

ボリュームに保護機能を追加するには、ドメイン SID またはドメインの前に付いたグループ名と円記号が必要です。 次の例では、 CONTOSO\Administrator アカウントがデータ ボリューム G に保護機能として追加されています。

Enable-BitLocker G: -AdAccountOrGroupProtector -AdAccountOrGroup CONTOSO\Administrator

アカウントまたはグループに SID を使用するには、最初の手順として、セキュリティ プリンシパルに関連付けられている SID を特定します。 Windows PowerShellでユーザー アカウントの特定の SID を取得するには、次のコマンドを使用します。

Get-ADUser -filter {samaccountname -eq "administrator"}

注

このコマンドを使用するには、RSAT-AD-PowerShell 機能が必要です。

ヒント

ローカルにログオンしたユーザーとグループ のメンバーシップに関する情報は、 を使用して whoami.exe /all確認できます。

コマンド プロンプト

manage-bde.exe -protectors -add -sid <user or group>

コントロール パネル

このオプションは、コントロール パネルでは使用できません。

プロテクターを削除する

PowerShell

ボリューム上の既存の保護機能を削除するには、 コマンドレットを使用します Remove-BitLockerKeyProtector 。 削除する保護機能に関連付けられている GUID を指定する必要があります。

次のコマンドは、キー 保護機能と GUID の一覧を返します。

$vol = Get-BitLockerVolume C
$keyprotectors = $vol.KeyProtector
$keyprotectors

この情報を使用すると、コマンドを使用して特定のボリュームのキー 保護機能を削除できます。

Remove-BitLockerKeyProtector <volume> -KeyProtectorID "{GUID}"

注

BitLocker コマンドレットを実行するには、キー プロテクター GUID を引用符で囲む必要があります。 コマンドに GUID 全体 (中かっこ) が含まれていることを確認します。

コマンド プロンプト

次のコマンドは、キー 保護機能の一覧を返します。

manage-bde.exe -status C:

次のコマンドは、特定の型のキー 保護機能を削除します。

manage-bde.exe -protectors -delete C: -type TPMandPIN

コントロール パネル

BitLocker Drive Encryption コントロール パネル アプレットで、保護機能を削除するドライブを展開し、使用可能な場合は削除するオプションを選択します。

注

BitLocker で暗号化されたドライブには、少なくとも 1 つのロック解除方法が必要です。

一時停止と再開

一部の構成変更では、BitLocker を一時停止してから、変更が適用された後に再開する必要があります。

次の手順を使用して BitLocker を一時停止して再開し、ニーズに最も適したオプションを選択します。

BitLocker を一時停止する

PowerShell

Suspend-BitLocker -MountPoint D

コマンド プロンプト

manage-bde.exe -protectors -disable d:

コントロール パネル

OS ドライブの BitLocker 保護は、コントロール パネルを使用する場合にのみ中断できます。

BitLocker Drive Encryption コントロール パネル アプレットで、OS ドライブを選択し、[保護の中断] オプションを選択します。

BitLocker の再開

PowerShell

Resume-BitLocker -MountPoint D

コマンド プロンプト

manage-bde.exe -protectors -enable d:

コントロール パネル

BitLocker Drive Encryption コントロール パネル アプレットで、OS ドライブを選択し、[保護の再開] オプションを選択します。

回復パスワードをリセットしてバックアップする

使用後に回復パスワードを無効にすることをお勧めします。 この例では、回復パスワード 保護機能が OS ドライブから削除され、新しい保護機能が追加され、Microsoft Entra IDまたは Active Directory にバックアップされます。

PowerShell

OS ボリュームからすべての回復パスワードを削除します。

(Get-BitLockerVolume -MountPoint $env:SystemDrive).KeyProtector | `
  where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | `
  Remove-BitLockerKeyProtector -MountPoint $env:SystemDrive

OS ボリュームの BitLocker 回復パスワード 保護機能を追加します。

Add-BitLockerKeyProtector -MountPoint $env:SystemDrive -RecoveryPasswordProtector

新しい回復パスワードの ID を取得します。

(Get-BitLockerVolume -mountpoint $env:SystemDrive).KeyProtector | where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | ft KeyProtectorId,RecoveryPassword

注

この次の手順は、ポリシー設定 [ BitLocker で保護されたオペレーティング システム ドライブを回復する方法を選択 する] が [ AD DS への BitLocker バックアップが必要] に構成されている場合は必要ありません。

出力から回復パスワードの ID をコピーします。

前の手順の GUID を使用して、次のコマンドで を{ID}置き換え、次のコマンドを使用して回復パスワードをMicrosoft Entra IDにバックアップします。

BackuptoAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

または、次のコマンドを使用して、回復パスワードを Active Directory にバックアップします。

Backup-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

注

中かっこ {} は ID 文字列に含める必要があります。

コマンド プロンプト

OS ボリュームからすべての回復パスワードを削除します。

manage-bde.exe -protectors -delete C: -type RecoveryPassword

OS ボリュームの BitLocker 回復パスワード 保護機能を追加します。

manage-bde.exe -protectors -add C: -RecoveryPassword

新しい回復パスワードの ID を取得します。

manage-bde.exe -protectors -get C: -Type RecoveryPassword

注

次の手順は、ポリシー設定 [ BitLocker で保護されたオペレーティング システム ドライブを回復する方法を選択 する] が [ AD DS への BitLocker バックアップが必要] に構成されている場合は必須ではありません。

前の手順の GUID を使用して、次のコマンドで を{ID}置き換え、次のコマンドを使用して回復パスワードをMicrosoft Entra IDにバックアップします。

manage-bde.exe -protectors -aadbackup C: -id {ID}

または、次のコマンドを使用して、回復パスワードを Active Directory にバックアップします。

manage-bde.exe -protectors -adbackup C: -id {ID}

注

中かっこ {} は ID 文字列に含める必要があります。

コントロール パネル

このプロセスは、コントロール パネルを使用して実行することはできません。 代わりに、他のいずれかのオプションを使用します。

BitLocker を無効にする

BitLocker を無効にすると、関連付けられている保護機能が暗号化解除され、ボリュームから削除されます。 暗号化解除は、トラブルシューティングの手順としてではなく、保護が不要になったときに発生する必要があります。

次の手順を使用して BitLocker を無効にし、ニーズに最も適したオプションを選択します。

PowerShell

Windows PowerShellでは、1 回のパスで複数のドライブを復号化できます。 次の例では、ユーザーは暗号化を解除する 3 つの暗号化されたボリュームを持っています。

Disable-BitLocker コマンドを使用すると、より多くのコマンドを必要とせずに、すべての保護機能と暗号化を同時に削除できます。 このコマンドの例を次に示します。

Disable-BitLocker

各マウント ポイントを個別に指定しないようにするには、配列の パラメーターを -MountPoint 使用して、追加のユーザー入力を必要とせずに、同じコマンドを 1 行にシーケンスします。 例:

Disable-BitLocker -MountPoint C,D

コマンド プロンプト

を使用した manage-bde.exe 暗号化解除では、プロセスを開始するためにユーザーの確認を必要としないという利点があります。 Manage-bde では、-off コマンドを使用して暗号化解除プロセスを開始します。 復号化のサンプル コマンドは次のとおりです。

manage-bde.exe -off C:

このコマンドは、ボリュームの暗号化を解除するときに保護機能を無効にし、復号化が完了するとすべての保護機能を削除します。

コントロール パネル

コントロール パネルを使用した BitLocker 復号化は、ウィザードを使用して行われます。 BitLocker コントロール パネル アプレットを開いた後、[BitLocker をオフにする] オプションを選択してプロセスを開始します。 続行するには、確認ダイアログを選択します。 BitLocker をオフにすることを確認すると、ドライブの暗号化解除プロセスが開始されます。

復号化が完了すると、ドライブはコントロール パネルの状態を更新し、暗号化に使用できるようになります。