Klucz odzyskiwania BitLocker: gdzie go znaleźć (konto, Entra, dział IT)

By Mirko Peters · 2026-11-12

Znajdź klucz odzyskiwania BitLocker na koncie Microsoft, na koncie służbowym, na wydruku lub na dysku USB, a także sprawdź, jak administratorzy pobierają go z Entra ID lub Intune.

Automatically translated with AI from the original post. Read the English original

Klucz odzyskiwania BitLocker niemal zawsze jest zapisany na koncie, a nie na samym komputerze. Na innym urządzeniu otwórz aka.ms/myrecoverykey i zaloguj się na konto Microsoft. Jeśli komputer należy do pracodawcy lub szkoły, zamiast tego użyj aka.ms/aadrecoverykey wraz z kontem służbowym lub szkolnym. Jeśli żadna z tych stron nie pokazuje klucza, sprawdź wydruk lub dysk USB albo zapytaj dział IT. Ten artykuł jest przeznaczony dla użytkowników Windows, którzy po raz pierwszy zobaczyli niebieski ekran odzyskiwania, oraz dla administratorów, do których zgłaszają się takie problemy. Wyjaśnia, gdzie szukać klucza w każdym przypadku, jak administrator pobiera klucze, dlaczego pojawia się ten monit i co się dzieje, gdy klucza nie ma.

Najważniejsze wnioski

• Klucz odzyskiwania BitLocker znajdziesz na koncie Microsoft pod adresem aka.ms/myrecoverykey, a w przypadku urządzenia służbowego lub szkolnego pod adresem aka.ms/aadrecoverykey.
• Zapisz pierwsze 8 znaków identyfikatora klucza z niebieskiego ekranu, aby móc wybrać właściwy klucz, jeśli na koncie jest ich kilka.
• Klucz odzyskiwania ma 48 cyfr, a pomoc techniczna Microsoft nie może odzyskać, przekazać ani ponownie wygenerować utraconego klucza.
• Administratorzy mogą odczytać klucze w centrum administracyjnym Microsoft Entra lub w centrum administracyjnym Intune, a takie wyszukiwania pozostawiają ślad w dzienniku audytu.
• Jeśli klucza nie ma nigdzie, jedynym sposobem na ponowne uruchomienie urządzenia jest reset, a reset usuwa wszystkie pliki z dysku.

Czym jest klucz odzyskiwania i dlaczego musisz zapisać identyfikator klucza

Klucz odzyskiwania to 48-cyfrowa liczba. Dokumentacja odzyskiwania Microsoft przedstawia ją jako osiem bloków po sześć cyfr, a ekran odzyskiwania widoczny podczas uruchamiania sprawdza każdy blok w trakcie wpisywania, dzięki czemu większość błędów zostaje wychwycona od razu. BitLocker pyta o klucz, gdy nie może automatycznie otworzyć dysku. Dzieje się tak po wykryciu zagrożenia dla bezpieczeństwa, po zmianie sprzętu lub gdy zapomniałeś hasła do dysku danych.

Zanim zrobisz cokolwiek innego, zapisz pierwsze 8 znaków identyfikatora klucza odzyskiwania wyświetlanego na ekranie. Jeśli na Twoim koncie jest więcej kluczy, na przykład dlatego, że urządzenie zostało raz ponownie zaszyfrowane albo masz kilka komputerów, to właśnie identyfikator pozwala wybrać właściwy. Jeśli możesz, zrób zdjęcie ekranu aparatem w telefonie. Nic cię to nie kosztuje, a identyfikator będzie Ci potrzebny dwukrotnie: raz, aby znaleźć klucz, i drugi raz, jeśli zadzwonisz do działu IT.

Jeszcze jedna istotna informacja. Artykuł pomocy technicznej Microsoft jasno stwierdza, że Microsoft Support nie może odzyskać, przekazać ani ponownie wygenerować utraconego klucza odzyskiwania. Nikt w Microsoft nie ma jego kopii. Dlatego kolejna sekcja jest tak ważna.

Gdzie znaleźć klucz odzyskiwania BitLocker

Miejsce zależy od tego, w jaki sposób włączono BitLocker. Sprawdzaj opcje w podanej kolejności.

1. Konto Microsoft. Na innym urządzeniu otwórz przeglądarkę i przejdź pod adres https://aka.ms/myrecoverykey. Artykuł Microsoft wskazuje, że link prowadzi do strony z kluczem odzyskiwania na Twoim koncie na witrynie account.microsoft.com. Zaloguj się na konto Microsoft, znajdź identyfikator klucza zgodny z tym na ekranie i użyj tego klucza, aby otworzyć dysk. To najczęstszy przypadek w domowych komputerach, ponieważ Szyfrowanie urządzenia włącza BitLocker przy logowaniu na konto Microsoft i przypisuje klucz do tego konta.
2. Konto służbowe lub szkolne. Na innym urządzeniu przejdź do https://aka.ms/aadrecoverykey i zaloguj się kontem służbowym lub szkolnym. Wybierz Urządzenia, rozwiń urządzenie, którego potrzebujesz, i wybierz Wyświetl klucze BitLocker. Znajdź klucz zgodny z identyfikatorem klucza.
3. Wydruk. Jeśli klucz został wydrukowany podczas włączania BitLocker, poszukaj go tam, gdzie przechowujesz ważne dokumenty dotyczące urządzenia. Na wydruku identyfikator klucza znajduje się obok klucza.
4. Pamięć USB. Podłącz ją do zablokowanego urządzenia i postępuj zgodnie z instrukcjami na ekranie. Jeśli klucz został zapisany jako plik tekstowy na nośniku, otwórz ten plik na innym urządzeniu.

Dwie informacje z artykułu Microsoft pozwalają zaoszczędzić dużo czasu. Po pierwsze, jeśli urządzenie konfigurował ktoś inny albo to ta osoba włączyła BitLocker, klucz może znajdować się na koncie Microsoft tej osoby, na przykład członka rodziny lub byłego administratora. Po drugie, w systemie Windows 11 w wersji 24H2 i nowszych ekran odzyskiwania pokazuje podpowiedź, które konto Microsoft jest powiązane z kluczem. Przeczytaj tę podpowiedź, zanim zaczniesz losowo wypróbowywać konta.

Strona obejmuje również urządzenia zarządzane przez organizację. W ich przypadku klucz pobiera dział IT, więc nie trać czasu na zgadywanie.

Jak administratorzy pobierają klucz odzyskiwania BitLocker

Jeśli jesteś zespołem helpdesk, masz więcej opcji niż użytkownik. Dokumentacja Microsoft dotycząca odzyskiwania BitLocker wymienia miejsca i role.

Microsoft Entra ID. Dla urządzeń dołączonych do Microsoft Entra lub dołączonych hybrydowo zalecanym podejściem jest zapisywanie kluczy w Entra ID, dzięki czemu administrator BitLocker lub helpdesk może pomóc użytkownikom w uzyskaniu kluczy. Najczęściej wybierane są role Cloud Device Administrator i Helpdesk Administrator. Rola niestandardowa może korzystać z uprawnienia microsoft.directory/bitlockerKeys/key/read, opcjonalnie ograniczonego do jednostek administracyjnych. Klucze można odczytać w centrum administracyjnym Microsoft Entra, za pośrednictwem interfejsu Microsoft Graph API lub za pomocą programu PowerShell.

Samoobsługa. Domyślnie użytkownicy mogą pobrać klucze swoich urządzeń pod adresem https://myaccount.microsoft.com: otwórz kartę Urządzenia, wybierz urządzenie i wybierz Wyświetl klucze BitLocker. Administrator może to wyłączyć za pomocą ustawienia o nazwie Ogranicz użytkownikom odzyskiwanie kluczy BitLocker dla posiadanych urządzeń. Microsoft zaleca zezwalanie na samoobsługę tylko w zaufanym środowisku, a w pozostałych przypadkach poleganie na odzyskiwaniu przez helpdesk.

Intune. W centrum administracyjnym Intune przejdź do Urządzenia, a następnie do Wszystkie urządzenia. Wybierz urządzenie, a w sekcji Monitorowanie wybierz Klucze odzyskiwania. Następnie wybierz Pokaż klucz odzyskiwania. W artykule Microsoft o Intune czytamy, że ta czynność tworzy wpis w dzienniku audytu w ramach aktywności KeyManagement, dzięki czemu każde wyszukanie jest możliwe do prześledzenia. W tym samym artykule wymieniono role Cloud Device Administrator, Helpdesk Administrator i Global Administrator jako role, które mogą wyświetlać klucze.

Active Directory. W przypadku urządzeń dołączonych do domeny, które przechowują klucze w AD DS, domyślnie informacje o odzyskiwaniu może odczytać tylko grupa Domain Admins, choć dostęp można delegować. Narzędzie BitLocker Recovery Password Viewer, wchodzące w skład narzędzi do zdalnej administracji serwerami, dodaje kartę BitLocker Recovery do obiektu komputera. Można też wyszukiwać według pierwszych ośmiu znaków identyfikatora hasła.

Dobrym krokiem dla helpdesku jest zapytanie, dlaczego pojawił się monit, zanim przekażesz klucz. Wyjaśnia to kolejna sekcja.

Dlaczego BitLocker zażądał klucza

Przekazanie klucza rozwiązuje dzisiejszy problem. Ustalenie przyczyny zapobiega kolejnemu zgłoszeniu. Microsoft wymienia następujące wyzwalacze:

• Nieznany lub zapomniany kod PIN, gdy urządzenie korzysta z TPM i kodu PIN.
• Utracony klucz uruchomieniowy, gdy urządzenie korzysta z klucza uruchomieniowego na pamięci USB.
• Zmiany plików rozruchowych lub oprogramowania sprzętowego, na przykład aktualizacja BIOS, albo możliwe złośliwe oprogramowanie.
• Przeniesienie dysku z woluminem systemu operacyjnego i zabezpieczeniem TPM do innego urządzenia, co wiąże go z nowym TPM i wymusza użycie klucza odzyskiwania.

Artykuł Microsoftu zaleca, aby pracownicy helpdesku najpierw znaleźli główną przyczynę, zanim udostępnią klucz. Przydatne punkty wyjścia to manage-bde.exe -status oraz dziennik zdarzeń. Jeśli podejrzewasz złośliwe oprogramowanie, traktuj urządzenie jako incydent bezpieczeństwa, a nie zwykłą blokadę do rutynowego rozwiązania.

Po pomyślnym odzyskaniu dostępu Windows zapisuje zdarzenie w dzienniku, resetuje pomiary weryfikacji platformy TPM tak, aby odpowiadały bieżącej konfiguracji, i zwalnia klucz szyfrowania. Jeśli monit wyświetla się ponownie, Microsoft zaleca wstrzymanie i wznowienie funkcji BitLocker, co resetuje profil weryfikacji. W przypadku urządzeń z automatyczną rotacją haseł odzyskiwania hasło jest zmieniane po użyciu, a administratorzy mogą wymusić jego rotację na żądanie w usłudze Intune lub w Configuration Manager. Ma to znaczenie, jeśli wkleiłeś klucz do zgłoszenia, ponieważ po rotacji stary klucz przestaje być ważny dla tego urządzenia.

Jeśli nie możesz znaleźć klucza

Sprawdź najpierw wszystkie swoje konta, w tym stare, oraz konto osoby, która konfigurowała komputer. Następnie sprawdź wydruki i pamięci USB. W przypadku urządzenia zarządzanego jedyną drogą jest dział IT.

Jeśli nie możesz znaleźć klucza i nie możesz cofnąć zmiany, która wywołała monit, artykuł Microsoftu wskazuje, że trzeba zresetować urządzenie za pomocą opcji odzyskiwania systemu Windows. Spowoduje to usunięcie wszystkich plików. Zaszyfrowanych plików nie da się odczytać bez klucza, dlatego nie rozpoczynaj resetowania, dopóki nie zapytasz wszystkich osób, które mogą go posiadać.

Częste błędy

• Brak zapisania identyfikatora klucza. Bez niego możesz wypróbować niewłaściwy klucz z listy kilku.
• Szukanie na niewłaściwym koncie. Klucz może znajdować się na koncie Microsoft, którego rzadko używasz, na koncie służbowym lub na koncie osoby, która konfigurowała komputer.
• Wpisywanie klucza z pamięci na niebieskim ekranie. Te 48 cyfr musi być dokładnie poprawnych. Odczytaj je z drugiego ekranu i ostrożnie wpisz każdy blok.
• Zbyt wczesne resetowanie urządzenia. Resetowanie usuwa pliki i jest ostatecznością, a nie pierwszym krokiem.
• Udostępnianie klucza bez pytania o przyczynę. Administrator, który pomija główną przyczynę, może zmierzyć się z tym samym monitem w przyszłym tygodniu albo przeoczyć problem bezpieczeństwa.

Powiązane tematy do zgłębienia

• Utwórz kopię zapasową klucza, zanim będzie potrzebny: sprawdź już teraz, czy Twoje konto Microsoft lub Entra ID zawiera klucz dla każdego urządzenia. Zajmie to dwie minuty dzisiaj.
• Szyfrowanie urządzenia a szyfrowanie dysków funkcją BitLocker: system Windows Home otrzymuje szyfrowanie urządzenia, natomiast funkcja BitLocker Drive Encryption jest dostępna w wersjach Pro, Enterprise i Education, o czym wyjaśnia artykuł Microsoftu o szyfrowaniu urządzenia.
• Wstrzymaj funkcję BitLocker przed aktualizacjami oprogramowania sprzętowego: pozwoli to uniknąć monitu o klucz odzyskiwania po aktualizacji BIOS-u lub TPM.
• Rotuj klucze odzyskiwania po użyciu: usługa Intune może na żądanie zmienić klucz dla obsługiwanych urządzeń z systemem Windows.
• Wyłącz funkcję BitLocker: niektórzy użytkownicy chcą całkowicie odszyfrować dysk, co wiąże się z osobnymi krokami i ryzykiem.

Następny krok

Aby znaleźć klucz odzyskiwania funkcji BitLocker, zapisz identyfikator klucza, a następnie sprawdź swoje konto Microsoft pod adresem aka.ms/myrecoverykey lub konto służbowe pod adresem aka.ms/aadrecoverykey. Po powrocie do systemu otwórz ponownie tę samą stronę i upewnij się, że każde Twoje urządzenie ma zapisany klucz, dzięki czemu następny monit zajmie dwie minuty, a nie dwa dni. Warto dodać do zakładek artykuł Microsoftu o tym, jak znaleźć klucz odzyskiwania funkcji BitLocker, a administratorzy powinni raz przeczytać proces odzyskiwania funkcji BitLocker oraz wytyczne dotyczące funkcji BitLocker w usłudze Intune.