仕事でBitLockerの回復キーが必要になり、少し困ったことがあったので覚書として残しておきます。
同じように、
「BitLockerの回復キーを求められたけれど分からない」
という状況になった方の参考になればと思います。
BitLockerの回復キーを求められた
持ち出し用のノートPCなどでは、紛失や盗難時の情報漏えい対策としてBitLockerを利用しているケースも多いと思います。
今回、あるPCでBitLockerの回復キー入力を求められる画面が表示されました。
手元にある情報を入力してみたものの、解除できません。
BitLockerで暗号化されたドライブにアクセスできなければ、当然中に保存されているデータを取り出すこともできません。
「何とか回復キーを確認する方法はないか」
といろいろ調べることになりました。
BitLockerの回復キーは48桁の数字
ここで一度整理しておきたいのが、BitLockerの「回復キー」です。
BitLockerの回復キーは48桁の数字です。
普段使用しているWindowsのログインパスワードなどとは別のものなので、
「いつものパスワードを入れれば解除できる」
というわけではありません。
回復キー入力画面には「回復キーID」も表示されます。
複数のBitLocker回復キーが保存されている場合は、この回復キーIDを使って、対象PCに対応する回復キーを確認します。
Microsoftアカウントを確認したところ解決
いろいろ確認しても分からず、最終的に調べていく中で、
「MicrosoftアカウントにBitLockerの回復キーが保存されている場合がある」
ことを知りました。
別の端末からMicrosoftアカウントにサインインして確認したところ、対象PCのBitLocker回復キーを見つけることができました。
表示されている回復キーIDと照らし合わせ、該当する48桁の回復キーを入力したところ、無事にドライブへアクセスできました。
正直、ここに保存されているとは思っていなかったのでかなり助かりました。
職場や学校のアカウントに保存されている場合もある
会社で使用しているPCの場合は、個人のMicrosoftアカウントではなく、職場または学校アカウント側にBitLocker回復キーが保存されている場合もあります。
端末が組織によって管理されている場合は、自分で確認できるケースもあれば、社内のIT担当者や管理者に確認してもらう必要があるケースもあります。
そのため、会社PCでBitLockerの回復キーを求められた場合は、むやみに設定を変更するより、まず社内の管理方法を確認することをおすすめします。
なぜ手元の情報と違っていたのか
今回少し気になったのは、
「なぜ想定していた情報と実際の回復キーが違っていたのか」
という点です。
BitLockerを設定した人が別にいたのか、設定時に別のアカウントへ保存されていたのかなど、正確な理由までは分かりませんでした。
ただ、BitLockerの回復キーは、設定方法によってMicrosoftアカウントや職場・学校アカウントなどに保存されることがあります。
そのため、
「回復キーが分からない＝すぐにデータを諦める」
のではなく、まず保存先を確認することが大切です。
BitLocker回復キーが分からないときに確認する場所
今回の経験も含めると、BitLockerの回復キーが分からない場合は、次の場所を確認します。
Microsoftアカウント
個人のMicrosoftアカウントを使用してPCを設定していた場合、BitLocker回復キーがアカウントに保存されている可能性があります。
別のスマートフォンやPCからMicrosoftアカウントへサインインし、回復キーを確認します。
職場または学校アカウント
会社や学校で管理されているPCの場合は、組織アカウントに回復キーが保存されている可能性があります。
自分で確認できない場合は、IT管理者へ問い合わせます。
印刷した紙やUSBメモリ
BitLockerを有効にしたときに、回復キーを印刷したりUSBメモリなどへ保存したりしている場合もあります。
以前の設定資料などが残っている場合は確認してみましょう。
回復キーが見つからない場合
BitLockerの回復キーは、Microsoftへ問い合わせれば発行してもらえるものではありません。
保存されている回復キーが見つからず、BitLockerを解除できない場合、最終的にはPCを初期化しなければならない可能性があります。
初期化すると保存されているデータは失われます。
そのため、業務で使用するPCでは、BitLockerを設定するときに回復キーがどこへ保存されているかを把握しておくことが重要です。
今回の経験から感じたこと
今回一番感じたのは、
「BitLockerを設定すること」だけではなく、「回復キーをどこで管理しているか」まで決めておく必要がある
ということです。
普段はBitLockerが動いていることを意識することはほとんどありません。
しかし、何かのきっかけで回復キーを求められると、その時点で回復キーの場所を探すことになります。
特に会社PCの場合、
- 誰がBitLockerを設定したのか
- 回復キーをどこへ保存したのか
- 管理者は誰なのか
が分からない状態だと、復旧に時間がかかります。
PC管理をする側としても、BitLockerを有効にするだけでなく、回復キーの管理方法まで確認しておいた方がよいと感じました。
まとめ
BitLockerの回復キーを求められて解除できない場合でも、Microsoftアカウントや職場・学校アカウントに回復キーが保存されている可能性があります。
今回私が遭遇したケースでも、Microsoftアカウント側を確認することで無事に回復キーを見つけることができました。
BitLocker回復キーが分からなくなった場合は、
- 回復キーIDを確認する
- Microsoftアカウントを確認する
- 職場・学校アカウントを確認する
- 管理者へ確認する
- 印刷物やUSBメモリなども確認する
といった順番で探してみるとよいと思います。
そして、会社でBitLockerを利用するのであれば、トラブルが起きてから探すのではなく、事前に回復キーの管理方法を決めておくことをおすすめします。
