JA
English
Deutsch
Español
Français
Italiano
Português
Nederlands
Polski
Bahasa Indonesia
Русский
Українська
العربية
עברית
한국어BitLocker 回復キーの確認方法（アカウント、Entra、IT）
By Mirko Peters ·
Microsoft アカウント、職場または学校のアカウント、印刷物、USB ドライブから BitLocker 回復キーを見つける方法と、管理者が Entra ID や Intune からキーを取得する方法を説明します。
Automatically translated with AI from the original post. Read the English original
BitLocker 回復キーは、ほとんどの場合 PC 本体ではなくアカウントに保存されています。別のデバイスで aka.ms/myrecoverykey を開き、Microsoft アカウントでサインインしてください。PC が職場または学校のものである場合は、職場または学校のアカウントで aka.ms/aadrecoverykey を使用します。どちらにもキーが表示されない場合は、印刷物や USB ドライブを確認するか、IT 部門に問い合わせてください。この記事は、青い回復画面に初めて遭遇した Windows ユーザーと、ユーザーからこの問い合わせを受ける管理者を対象としています。キーを探せる場所ごとの確認方法、管理者によるキーの取得方法、回復を求められる理由、キーが存在しない場合の対処法を解説します。
重要なポイント
- BitLocker 回復キーは、Microsoft アカウントの aka.ms/myrecoverykey、または職場または学校のデバイスの場合は aka.ms/aadrecoverykey で確認してください。
- 複数のキーがアカウントに登録されている場合に正しいキーを選べるよう、青い画面に表示されるキー ID の最初の 8 文字を控えておいてください。
- 回復キーは 48 桁です。また、Microsoft サポートは紛失したキーを取得、提供、または再作成することはできません。
- 管理者は Microsoft Entra 管理センターまたは Intune 管理センターでキーを確認できます。その際の参照操作は監査証跡に記録されます。
- どこにもキーが存在しない場合、デバイスに入る唯一の方法はリセットです。リセットするとドライブ上のすべてのファイルが削除されます。
回復キーとは何か、キー ID を控える必要がある理由
回復キーは 48 桁の数字です。Microsoft の回復に関するドキュメントでは、6 桁ずつ 8 つのブロックで示されています。起動時の回復画面は入力中に各ブロックを検証するため、ほとんどの入力ミスはその場で検出されます。BitLocker は、ドライブを自動的に開けない場合にキーを求めます。これは、セキュリティリスクの発生後、ハードウェアの変更後、またはデータドライブのパスワードを忘れた場合に起こります。
何よりもまず、画面に表示される回復キー ID の最初の 8 文字を控えてください。デバイスが一度再暗号化された場合や、複数の PC を所有している場合などは、アカウントに複数のキーが保存されていることがあります。その場合、キー ID を使って正しいキーを選びます。可能であれば、スマートフォンのカメラで画面を撮影しておくとよいでしょう。費用はかからず、キー ID は 2 回必要になります。1 回目はキーを探すとき、2 回目は IT 部門に問い合わせるときです。
もう 1 つ、今知っておくべき事実があります。Microsoft のサポート記事には、紛失した回復キーを Microsoft サポートが取得、提供、または再作成できないと明確に書かれています。Microsoft の担当者もキーの控えを持っていません。そのため、次のセクションが重要になります。
BitLocker 回復キーの確認場所
適切な場所は、BitLocker がどのように有効化されたかによって異なります。次の順に確認してください。
- Microsoft アカウント。別のデバイスでブラウザーを開き、
https://aka.ms/myrecoverykeyにアクセスします。Microsoft の記事によると、このリンクは account.microsoft.com にあるアカウント内の回復キーのページを指します。Microsoft アカウントでサインインし、画面に表示されているものと一致するキー ID を見つけて、そのキーでドライブを開きます。デバイスの暗号化は Microsoft アカウントでサインインしたときに BitLocker を有効にし、キーをそのアカウントに関連付けるため、これは家庭用 PC で最も一般的なケースです。 - 職場または学校のアカウント。 別のデバイスで
https://aka.ms/aadrecoverykeyにアクセスし、職場または学校のアカウントでサインインします。デバイスを選択し、必要なデバイスを展開して、BitLocker キーの表示を選択します。キー ID に一致するキーを見つけます。 - 印刷したコピー。 BitLocker を有効にしたときにキーを印刷していた場合は、そのデバイスの重要な書類を保管している場所を確認してください。印刷物には、キーの横にキー ID が記載されています。
- USB フラッシュ ドライブ。 ロックされたデバイスに接続し、画面の指示に従います。キーがドライブ上にテキスト ファイルとして保存されている場合は、別のデバイスでそのファイルを開きます。
Microsoft の記事にある 2 つの点を押さえておくと、多くの時間を節約できます。1 つ目は、デバイスのセットアップや BitLocker の有効化を別の人が行った場合、キーはその人の Microsoft アカウントに保存されている可能性があることです。たとえば、家族や以前の管理者のアカウントです。2 つ目は、Windows 11 バージョン 24H2 以降では、回復画面にキーに関連付けられている Microsoft アカウントのヒントが表示されることです。やみくもにアカウントを試す前に、そのヒントを確認してください。
このページでは、組織が管理するデバイスについても説明しています。これらのデバイスの場合、キーは IT 部門が取得するため、推測に時間を費やす必要はありません。
管理者が BitLocker 回復キーを取得する方法
ヘルプデスクの担当者には、ユーザーよりも多くの選択肢があります。Microsoft の BitLocker 回復に関するドキュメントには、その場所と役割が記載されています。
Microsoft Entra ID。 Microsoft Entra に参加している、またはハイブリッド参加しているデバイスでは、キーを Entra ID に保存することが推奨されます。これにより、BitLocker 管理者やヘルプデスクがユーザーのキー取得を支援できます。一般的に使われるのは Cloud Device Administrator と Helpdesk Administrator のロールです。カスタム ロールでは、アクセス許可 microsoft.directory/bitlockerKeys/key/read を使用できます。必要に応じて管理単位に範囲を限定することもできます。キーは Microsoft Entra 管理センター、Microsoft Graph API、または PowerShell で読み取れます。
セルフサービス。 既定では、ユーザーは https://myaccount.microsoft.com で、自分が所有するデバイスのキーを取得できます。デバイスタブを開き、デバイスを選択して、BitLocker キーの表示を選びます。管理者は、所有するデバイスの BitLocker キーの回復をユーザーに禁止するという設定を使って、この機能をオフにできます。Microsoft の推奨は、信頼できる環境に限ってセルフサービスを許可することです。それ以外の場合は、ヘルプデスクによる回復に依存してください。
Intune。 Intune 管理センターで、デバイス、すべてのデバイスの順に移動します。デバイスを選択し、監視の下で回復キーを選択します。次に、回復キーの表示を選択します。Microsoft の Intune に関する記事によると、この操作では KeyManagement アクティビティの下に監査ログ エントリが作成されるため、キーの参照はすべて追跡できます。同じ記事では、キーを表示できるロールとして、Cloud Device Administrator、Helpdesk Administrator、グローバル管理者が挙げられています。
Active Directory。 キーを AD DS に保存しているドメイン参加デバイスの場合、既定では Domain Admins だけが回復情報を読み取れます。ただし、アクセス許可は委任することもできます。リモート サーバー管理ツールに含まれる BitLocker Recovery Password Viewer を使うと、コンピューター オブジェクトに BitLocker Recovery タブが追加されます。パスワード ID の先頭 8 文字で検索することもできます。
ヘルプデスクの良い対応は、キーを伝える前に、そもそもなぜ回復画面が表示されたのかを確認することです。その理由は次のセクションで説明します。
BitLocker がキーを求めた理由
キーを伝えれば、今日の問題は解決します。原因を突き止めれば、次の問い合わせを防げます。Microsoft は、次のような発生要因を挙げています。
- デバイスが TPM と PIN を使用している場合に、PIN が不明または忘れられている。
- デバイスが USB スタートアップ キーを使用している場合に、スタートアップ キーを紛失している。
- BIOS のアップグレードなどによるブート ファイルやファームウェアの変更、またはマルウェアの可能性がある。
- オペレーティング システム ボリュームと TPM 保護機能を備えたドライブを別のデバイスに移動すると、そのドライブが新しい TPM に紐づけられ、回復キーの入力が求められる。
マイクロソフトの記事では、ヘルプデスクの担当者にキーを渡す前に、まず根本原因を特定するよう勧めています。最初に確認すると役立つのは manage-bde.exe -status とイベント ログです。マルウェアの可能性があると感じた場合は、通常のロックアウトとしてではなく、セキュリティインシデントとして端末を扱ってください。
回復に成功すると、Windows はログにイベントを記録し、TPM のプラットフォーム検証測定値を現在の構成に合わせて再設定し、暗号化キーを解放します。プロンプトが表示され続ける場合、マイクロソフトは BitLocker を一時停止して再開することを推奨しています。これにより検証プロファイルがリセットされます。自動回復パスワードのローテーションが有効な端末では、パスワードは使用後にローテーションされます。管理者は Intune または Configuration Manager から、必要に応じてローテーションを実行することもできます。チケットにキーを貼り付けてしまった場合はこの点が重要です。ローテーションが行われると、その端末では古いキーが無効になるためです。
キーが見つからない場合
まず、古いアカウントや PC をセットアップした人のアカウントを含め、所有しているすべてのアカウントを確認してください。次に、印刷物や USB ドライブを確認します。管理対象の端末の場合、IT 部門が唯一の入手経路です。
キーが見つからず、プロンプトの原因となった変更も元に戻せない場合、マイクロソフトの記事によると、Windows の回復オプションを使って端末をリセットする必要があります。これによりすべてのファイルが削除されます。暗号化されたファイルはキーがないと読み取れないため、キーを保持している可能性のある全員に確認するまで、リセットを開始しないでください。
よくある間違い
- キー ID を控えないこと。 キー ID がないと、複数のキーの一覧から誤ったキーを試してしまう可能性があります。
- 間違ったアカウントを確認すること。 キーは、普段あまり使わない Microsoft アカウント、職場または学校のアカウント、あるいは PC をセットアップした人のアカウントに保存されている場合があります。
- 青い画面でキーを記憶から入力すること。 48 桁は正確でなければなりません。別の画面を見ながら、各ブロックを慎重に入力してください。
- 端末を早まってリセットすること。 リセットではファイルが削除されるため、最初の手段ではなく最後の手段です。
- 理由を確認せずにキーを渡すこと。 根本原因を確認しなかった管理者は、翌週に同じプロンプトに遭遇したり、セキュリティ上の問題を見逃したりする可能性があります。
関連トピック
- キーは必要になる前にバックアップしておきましょう。今すぐ、Microsoft アカウントまたは Entra ID に各端末のキーが表示されているか確認してください。今なら所要時間は 2 分です。
- Device Encryption と BitLocker Drive Encryption の違いについて説明します。Windows Home では Device Encryption が利用でき、BitLocker Drive Encryption は Pro、Enterprise、Education で利用できます。詳しくは、Device Encryption に関するマイクロソフトの記事をご覧ください。
- ファームウェアの更新前に BitLocker を一時停止しましょう。BIOS や TPM の更新後に回復プロンプトが表示されるのを防げます。
- 使用後に回復キーをローテーションしましょう。サポートされている Windows 端末であれば、Intune からキーを必要に応じてローテーションできます。
- BitLocker をオフにする: ドライブの暗号化を完全に解除したいユーザーもいます。これには独自の手順とリスクがあります。
次のステップ
BitLocker の回復キーを見つけるには、まずキー ID を控えてから、Microsoft アカウントの場合は aka.ms/myrecoverykey、職場または学校のアカウントの場合は aka.ms/aadrecoverykey を確認します。サインインし直したら、同じページをもう一度開き、各端末にキーが保存されていることを確認してください。そうしておけば、次回のプロンプトにも 2 日ではなく 2 分で対応できます。BitLocker の回復キーを見つける方法に関するマイクロソフトの記事はブックマークしておく価値があります。管理者は、BitLocker の回復プロセスとIntune の BitLocker ガイダンスにも一度目を通しておくとよいでしょう。