BitLockerを無効にする方法：保護の一時停止またはドライブの復号

By Mirko Peters · 2026-11-12

BitLockerを無効にする方法です。保護を一時停止すべき場合、Disable-BitLockerまたはmanage-bde -offでドライブを復号すべき場合、そして管理対象デバイスで何が変わるかを説明します。

Automatically translated with AI from the original post. Read the English original

システムドライブで BitLocker を無効にするには、管理者としてPowerShellを開き、Disable-BitLocker -MountPoint "C:" を実行します。コマンドラインで同じ処理を行うには manage-bde -off C: を実行します。どちらも鍵保護機能を削除し、バックグラウンドでドライブの復号を開始します。ファームウェアの更新やハードウェアの変更を乗り越えたいだけであれば、この操作は必要ありません。必要なのは保護の一時停止です。一時停止は一時的な措置であり、データは暗号化されたままになります。この記事は、BitLocker を完全に外したいWindowsユーザーと、その要望を受ける管理者を対象としています。違いや正確なコマンド、進行状況の確認方法、そして管理対象デバイスで復号が許可されない理由を説明します。

重要なポイント

• BitLocker の一時停止は一時的な措置で、ドライブは暗号化されたままになります。一方、BitLocker をオフにすると、ドライブ全体が復号され、鍵保護機能が削除されます。
• システムドライブを復号するには、管理者としてPowerShellで Disable-BitLocker -MountPoint C: を実行するか、管理者権限のコマンドプロンプトで manage-bde -off C: を実行します。
• ファームウェアやTPMの更新を行う前に Suspend-BitLocker を実行してください。そうすれば、次回の再起動時に Windows が回復キーを求めることがなくなります。
• 組織が管理するデバイスでは、ポリシーによって暗号化が必須となっている場合があります。何かを復号する前に、必ず IT 部門に確認してください。
• Get-BitLockerVolume で進行状況を確認できます。このコマンドでは、ボリュームの状態、保護の状態、暗号化の割合が表示されます。

一時停止か復号か：入力する前に選択してください

「無効化」と呼ばれる操作は2つあり、この2つを混同することがほとんどのトラブルの原因になります。

一時停止では、BitLocker の保護を一時的に止めます。ドライブは暗号化されたままで、いつでも再開できます。Microsoft は、起動コンポーネントを変更する Microsoft 以外のソフトウェアの更新、たとえばメーカーのファームウェア更新や TPM ファームウェアの更新の前に一時停止することを推奨しています。一時停止を省略すると、Microsoft によれば、システムが BitLocker の鍵を認識できず、次回以降の再起動のたびに回復キーの入力を求められます。

復号は、PowerShell や manage-bde のコマンドが行う操作です。すべての鍵保護機能を削除し、ボリュームの復号を開始します。Microsoft の BitLocker 操作ガイドには明確な基準があります。復号は保護が不要になった場合に行うものであり、トラブルシューティングのためのものではありません。

そこで、次の質問を自分に投げかけてください。ドライブを永久に保護しない状態にしたいのか、それとも数分間だけ邪魔にならないようにしたいだけなのか。ファームウェア更新、BIOS の変更、修復作業の場合は一時停止を選択します。「BitLocker がないほうが速い」という意見があれば、会社のデータを扱うデバイスを復号する前に、その主張を計測して確かめてください。私の推奨は、社外に持ち出すノートPCでは必ず暗号化を有効にしておくことです。

更新のために BitLocker を一時停止し、その後再開する

この作業は1分ほどで終わり、回復キーの入力を求められるのを防げます。Microsoft は、コントロール パネルを使う方法と PowerShell を使う方法の両方を文書化しています。

コントロール パネル：

1. コントロール パネルを開きます。
2. システムとセキュリティ、BitLocker ドライブ暗号化の順に選択し、保護の一時停止を選択します。
3. はいを選択します。
4. アップデート後、同じ場所に移動し、保護の再開を選択して、はいを選択します。

管理者として開いた PowerShell:

1. Suspend-BitLocker -MountPoint "C:" -RebootCount 0 を実行します。
2. アップデートをインストールし、必要な回数だけ再起動します。
3. Resume-BitLocker -MountPoint "C:" を実行します。

-RebootCount パラメーターは、BitLocker が自動的に再びオンになるまでに何回再起動されるかを設定します。有効な値は 0 から 15 です。値を 0 にすると、手動で再開するまで保護は一時停止したままになります。そのため、最後の手順を忘れないようにする必要があります。Microsoft はまた、再開は Windows の EULA に同意済みのデバイスでのみ機能すると説明しています。

BitLocker を無効にする方法: PowerShell または manage-bde でドライブを復号する

復号はドライブごとに 1 つのコマンドで実行できます。BitLocker の操作には管理者権限が必要なため、PowerShell またはコマンド プロンプトを管理者として開いてください。

1. 現在の状態を確認します。PowerShell で Get-BitLockerVolume C: | fl を実行します。出力には VolumeStatus、ProtectionStatus、LockStatus、EncryptionPercentage が含まれます。完全に暗号化され、保護されたドライブでは、FullyEncrypted と On が表示されます。
2. ドライブを復号します。PowerShell で Disable-BitLocker -MountPoint "C:" を実行します。BitLocker はすぐに C: の復号を開始します。コマンド プロンプトで同等の操作を行う場合は manage-bde -off C: を使用します。Microsoft の説明では、ドライブを復号して BitLocker をオフにし、復号が完了するとすべてのキー保護機能が削除されるとされています。
3. 進行状況を確認します。Get-BitLockerVolume C: をもう一度実行するか、manage-bde -status を実行して、暗号化の割合を確認します。確認した Microsoft のページには一般的な所要時間は記載されていないため、推測しないでください。所要時間は、ドライブに保存されているデータ量やマシンの負荷によって変わります。実行中も作業を続けることができます。
4. 結果を確認します。復号が完了すると、ボリューム状態にドライブが完全に復号されたことが表示され、保護はオフになります。

Microsoft の例からのいくつかのバリエーション:

• 複数のドライブを一度に処理する。 $BLV = Get-BitLockerVolume を実行し、続けて Disable-BitLocker -MountPoint $BLV を実行すると、すべてのボリュームで BitLocker が無効になります。操作ガイドでは、指定したドライブに対して Disable-BitLocker -MountPoint C,D を使う例も示されています。
• テスト実行。 Disable-BitLocker は -WhatIf をサポートしており、実際には実行せずに何が起こるかを表示します。サーバーでは、この方法で事前確認する習慣を付けると便利です。
• データ ドライブの自動キー。 オペレーティング システム ボリュームに、起動時にそのボリュームを開く自動キーが設定されている場合、Disable-BitLocker は処理を続行しません。先に Clear-BitLockerAutoUnlock を実行してから、そのボリュームの BitLocker を無効にしてください。Microsoft では、こうしたキーが通常どのように設定されるかは説明されていないため、この問題が発生した場合はコマンドレットの出力を確認してください。
• 別のコンピューター。 manage-bde は -computername パラメーターを受け付けるため、別のマシンの保護設定を変更できます。

詳細は、Microsoft の Disable-BitLocker リファレンスと manage-bde -off のページで確認できます。

設定アプリと Windows Home に関する補足です。Windows Home には BitLocker ドライブ暗号化は含まれていません。代わりに「デバイスの暗号化」が用意されており、Microsoft アカウントや職場または学校のアカウントでサインインすると Windows が自動的に有効にします。管理は設定の プライバシーとセキュリティ にある デバイスの暗号化 で行います。確認した Microsoft の記事では有効にする手順は説明されていますが、無効にする手順は記載されていません。そのため、変更する前にご自身のデバイスでトグルを確認し、画面に表示される文章をよく読んでください。

データ ドライブ、USB ドライブ、および BitLocker の再有効化

これらのコマンドはボリューム単位で動作するため、データ ドライブや USB ドライブでも同じ手順を使えます。コントロール パネルのアプレットには、オペレーティング システム ドライブ、固定データ ドライブ、リムーバブル データ ドライブ - BitLocker To Go の 3 つのグループが表示されます。manage-bde -off では、ドライブ文字とコロンを続けてボリュームを指定します。例: manage-bde -off E:。Microsoft では、ボリューム GUID パスやマウントされたボリュームも指定できます。文字は、エクスプローラーに表示されているドライブ文字に置き換えてください。別のボリュームを復号すると時間を無駄にするため、必ず再確認してください。

リムーバブル ドライブを復号すると、実務上の影響が 1 つあります。復号が完了すると、パスワードなしで USB メモリをどの PC に接続してもファイルを読めるようになります。まず、そのデータを引き続き保護すべきかどうかを判断してください。

BitLocker は後から再度有効にできます。Microsoft サポートの BitLocker ドライブ暗号化に関する記事に手順があります。アプレットを開き、ドライブの横にある BitLocker を有効にする を選択し、ドライブの保護方法を選んで回復キーをバックアップします。その後、バックグラウンドで暗号化が実行され、完了するまでデバイスを使い続けられます。これは「再開」ではなく新規の設定として扱ってください。復号時に以前のキー プロテクターはすべて削除されているため、以前保存した回復キーは新しい暗号化には使えません。新しいキーは、別のデバイスからアクセスできる場所に保存し、回復キーの確認方法の案内に沿って、新しいキーが実際にご自身のアカウントに表示されることを確認してください。

組織が管理するデバイス

通常、BitLocker は社内の IT 部門が管理しており、組織のポリシーで暗号化が必須になっている場合があります。業務用ノートPC で最初に確認すべき点です。ポリシーで暗号化が要求されている場合、手動で復号した設定が元に戻されたり、デバイスが準拠しない状態になったりすることがあります。

Intune でデバイスを管理している場合、BitLocker の設定はエンドポイント セキュリティのディスク暗号化ポリシーにあります。サイレント暗号化について、Microsoft のガイダンスでは デバイスの暗号化を要求する を有効に設定するなどの項目が挙げられています。ただし Microsoft の記事には、暗号化済みデバイスからポリシーを削除または割り当て解除した場合にどうなるかは書かれておらず、Intune を使って復号する方法も説明されていません。ポリシーの割り当てを解除すれば復号されると想定しないでください。1 台のデバイスでテストし、Get-BitLockerVolume で結果を確認してください。

Intune の記事にある 1 つの記述は覚えておく価値があります。BitLocker で保護されている Microsoft Entra 参加済みデバイスの Intune オブジェクトを削除すると、Intune の同期により、オペレーティング システム ボリュームのキー プロテクターが削除され、そのボリュームの BitLocker は一時停止状態になります。「整理」のためにデバイスの記録を削除するのは、したがって無害ではありません。

よくある間違い

• ブート問題を解決するために復号する。 Microsoft によると、復号はトラブルシューティングの手段ではありません。一時停止し、修復し、再開してください。
• 一時停止後に再開するのを忘れる。 -RebootCount 0 を指定すると、Resume-BitLocker を実行するまで保護はオフのままです。更新作業のチェックリストに加えてください。
• 回復キーを把握しないままにする。 復号した後で BitLocker を再度有効にすると、新しいプロテクターのセットが作成されます。古い印刷物を頼りにしないでください。
• 企業データを含むノートPCを復号する。 この場合、デバイスを持ち出した人なら誰でもドライブを読めるようになります。ポリシーで許可されている場合にのみ実施してください。
• 自動キーの手順を省略する。 上記の一覧にあるクリーンアップ用のコマンドレットがそれらのキーを削除するまで、Disable-BitLocker は実行されません。
• Intune ポリシーで復号されると想定する。 Microsoft のドキュメントにはそのような記述はないため、テスト用デバイスで確認してください。

関連トピック

• 変更を加える前に回復キーを確認してください。ファームウェアの更新やハードウェアの変更によりブルー スクリーンが表示された場合、回復キーが唯一の復旧手段になります。
• BIOS や TPM を更新する場合は、BitLocker を一時停止してください。暗号化を解除するより安全な方法です。
• Intuneによるサイレントな BitLocker の展開: TPM、セキュアブート、標準ユーザーに関する設定によって、プロンプトを表示せずに暗号化が開始されるかどうかが決まります。
• デバイスの暗号化と BitLocker ドライブ暗号化: この2つの機能はエディションによって違いがあり、その違いによって管理場所が決まります。
• 多数の PC の暗号化状態を確認する: Get-BitLockerVolume を使うと、簡単なレポートに必要なデータを取得できます。

次のステップ

BitLocker を無効にする前に、一時停止が必要か、復号が必要かを判断してください。更新や修復の際は一時停止し、ドライブが保護を必要としなくなり、ポリシーでも許可されている場合にのみ、Disable-BitLocker または manage-bde -off で復号してください。その後、ボリュームが復号の完了を示すまで Get-BitLockerVolume で確認します。