Ключ восстановления BitLocker: где его найти (учётная запись, Entra, IT)

By Mirko Peters · 2026-11-12

Найдите ключ восстановления BitLocker в учётной записи Microsoft, рабочей учётной записи, распечатке или USB-накопителе, а также узнайте, как администраторы получают его из Entra ID или Intune.

Automatically translated with AI from the original post. Read the English original

Ключ восстановления BitLocker почти always хранится в учётной записи, а не на самом ПК. Откройте aka.ms/myrecoverykey на другом устройстве и войдите под своей учётной записью Microsoft. Если ПК принадлежит работодателю или учебному заведению, используйте aka.ms/aadrecoverykey с рабочей или учебной учётной записью. Если ни один из вариантов не показывает ключ, проверьте распечатку или USB-накопитель либо обратитесь в ИT-отдел. Эта статья предназначена для пользователей Windows, которые впервые столкнулись с синим экраном восстановления, и для администраторов, которым такие обращения поступают от пользователей. В ней объясняется, где искать ключ в каждом случае, как администратор получает ключи, почему появляется этот запрос и что делать, если ключа не существует.

Ключевые выводы

• Ищите ключ восстановления BitLocker в учётной записи Microsoft по адресу aka.ms/myrecoverykey, а для рабочего или учебного устройства — по адресу aka.ms/aadrecoverykey.
• Запишите первые 8 символов идентификатора ключа с синего экрана, чтобы выбрать нужный ключ, если в вашей учётной записи их несколько.
• Ключ восстановления состоит из 48 цифр, и служба поддержки Microsoft не может получить, предоставить или создать заново утерянный ключ.
• Администраторы могут просматривать ключи в центре администрирования Microsoft Entra или в центре администрирования Intune, и такие обращения оставляют след в журнале аудита.
• Если ключа нет нигде, единственный способ вернуть доступ к устройству — сброс, а при сбросе удаляются все файлы на диске.

Что такое ключ восстановления и почему нужно записать идентификатор ключа

Ключ восстановления — это 48-значное число. В документации Microsoft по восстановлению он показан как восемь блоков по шесть цифр, а экран восстановления при загрузке проверяет каждый блок по мере ввода, поэтому большинство опечаток обнаруживается сразу. BitLocker запрашивает ключ, когда не может открыть диск автоматически. Это происходит после обнаружения угрозы безопасности или изменения оборудования, а также если вы забыли пароль для диска с данными.

Прежде чем делать что-либо ещё, запишите первые 8 символов идентификатора ключа восстановления, который показан на экране. Если в вашей учётной записи несколько ключей, например потому что устройство один раз перешифровывали или у вас несколько ПК, именно идентификатор позволяет выбрать нужный. По возможности сфотографируйте экран на телефон. Это ничего не стоит, а идентификатор понадобится дважды: чтобы найти ключ и если вы будете обращаться в ИT-отдел.

Ещё один факт, который стоит знать заранее. В статье поддержки Microsoft прямо сказано, что служба поддержки Microsoft не может получить, предоставить или создать заново утерянный ключ восстановления. Ни у кого в Microsoft нет его копии. Поэтому следующий раздел особенно важен.

Где найти ключ восстановления BitLocker

Нужное место зависит от того, как был включён BitLocker. Проверяйте варианты в таком порядке.

1. Учётная запись Microsoft. На другом устройстве откройте браузер и перейдите по адресу https://aka.ms/myrecoverykey. В статье Microsoft сказано, что ссылка ведёт на страницу ключей восстановления в вашей учётной записи на account.microsoft.com. Войдите под своей учётной записью Microsoft, найдите ключ с идентификатором, совпадающим с идентификатором на экране, и используйте этот ключ, чтобы открыть диск. Это самый распространённый случай на домашних ПК: функция «Шифрование устройства» включает BitLocker при входе с учётной записью Microsoft и привязывает ключ к этой учётной записи.
2. Рабочая или учебная учетная запись. На другом устройстве откройте https://aka.ms/aadrecoverykey и войдите с рабочей или учебной учетной записью. Выберите Devices, раскройте нужное устройство и выберите View BitLocker Keys. Найдите ключ, который соответствует вашему идентификатору ключа.
3. Распечатка. Если вы распечатали ключ при включении BitLocker, посмотрите там, где вы храните важные документы по этому устройству. В распечатке идентификатор ключа указан рядом с самим ключом.
4. USB-флешка. Подключите её к заблокированному устройству и следуйте инструкциям на экране. Если ключ был сохранён в виде текстового файла на флешке, откройте этот файл на другом устройстве.

Две детали из статьи Microsoft могут сэкономить много времени. Во-первых, если устройство настраивал или BitLocker включал кто-то другой, например член семьи или бывший администратор, ключ может храниться в учетной записи Microsoft этого человека. Во-вторых, в Windows 11 версии 24H2 и новее на экране восстановления отображается подсказка о том, какая учетная запись Microsoft связана с ключом. Прочитайте эту подсказку, прежде чем перебирать учетные записи наугад.

На странице также описаны устройства, которыми управляет организация. Для них ключ получает ваш ИТ-отдел, поэтому не тратьте время на угадывание.

Как администраторы получают ключ восстановления BitLocker

Если вы работаете в службе поддержки, у вас больше вариантов, чем у пользователя. В документации Microsoft по восстановлению BitLocker перечислены места хранения ключей и роли.

Microsoft Entra ID. Для устройств, присоединённых к Microsoft Entra или гибридно присоединённых, рекомендуется сохранять ключи в Entra ID, чтобы администратор BitLocker или служба поддержки могли помочь пользователям получить их ключи. Чаще всего используются роли Cloud Device Administrator и Helpdesk Administrator. Пользовательская роль может использовать разрешение microsoft.directory/bitlockerKeys/key/read, при необходимости ограниченное административными единицами. Ключи можно прочитать в центре администрирования Microsoft Entra, через Microsoft Graph API или с помощью PowerShell.

Самообслуживание. По умолчанию пользователи могут получить ключи своих устройств по адресу https://myaccount.microsoft.com: откройте вкладку Devices, выберите устройство и нажмите View BitLocker Keys. Администратор может отключить эту возможность параметром Restrict users from recovering the BitLocker key(s) for their owned devices. Microsoft рекомендует разрешать самообслуживание только в доверенной среде, а в остальных случаях опираться на восстановление через службу поддержки.

Intune. В центре администрирования Intune перейдите в раздел Devices, затем All devices. Выберите устройство и в разделе Monitor выберите Recovery keys. Затем нажмите Show Recovery Key. В статье Microsoft об Intune сказано, что это действие создаёт запись журнала аудита в activity KeyManagement, поэтому каждый просмотр можно отследить. В той же статье перечислены роли Cloud Device Administrator, Helpdesk Administrator и Global Administrator, которые могут просматривать ключи.

Active Directory. Для устройств, присоединённых к домену и хранящих ключи в AD DS, по умолчанию читать сведения о восстановлении могут только Domain Admins, однако доступ можно делегировать. Средство BitLocker Recovery Password Viewer, входящее в состав средств удалённого администрирования сервера, добавляет вкладку BitLocker Recovery к объекту компьютера. Также можно выполнить поиск по первым восьми символам идентификатора пароля.

Полезный шаг для службы поддержки: прежде чем передать ключ, спросите, почему появился запрос. Об этом рассказывает следующий раздел.

Почему BitLocker запросил ключ

Передача ключа решает сегодняшнюю проблему. Выяснение причины помогает избежать следующего обращения. Microsoft перечисляет такие причины:

• Неизвестный или забытый PIN-код, если устройство использует TPM и PIN-код.
• Утерянный ключ запуска, если устройство использует USB-ключ запуска.
• Изменения загрузочных файлов или микропрограммы, например обновление BIOS, или возможное вредоносное ПО.
• Перенос диска с томом операционной системы и защитником TPM на другое устройство: он привязывается к новому TPM и запрашивает ключ восстановления.

Статья Microsoft советует сотрудникам службы поддержки сначала найти первопричину, а уже потом выдавать ключ. Полезные отправные точки: manage-bde.exe -status и журнал событий. Если вы подозреваете вредоносное ПО, относитесь к устройству как к инциденту безопасности, а не как к обычной блокировке.

После успешного восстановления Windows записывает событие в журнал, сбрасывает измерения проверки платформы TPM, чтобы они соответствовали текущей конфигурации, и освобождает ключ шифрования. Если запрос продолжает появляться, Microsoft советует приостановить и возобновить BitLocker, что сбрасывает профиль проверки. Для устройств с автоматической ротацией пароля восстановления пароль меняется после использования, а администраторы могут запустить ротацию по требованию из Intune или Configuration Manager. Это важно, если вы вставляли ключ в заявку: после ротации старый ключ перестаёт действовать для этого устройства.

Если вы не можете найти ключ

Сначала проверьте все свои учётные записи, включая старые, и учётную запись того, кто настраивал компьютер. Затем проверьте распечатки и USB-накопители. Для управляемого устройства единственный путь — ваш IT-отдел.

Если вы не можете найти ключ и не можете отменить изменение, которое вызвало запрос, Microsoft в своей статье пишет, что потребуется сбросить устройство с помощью одного из параметров восстановления Windows. При этом удаляются все ваши файлы. Зашифрованные файлы нельзя прочитать без ключа, поэтому не начинайте сброс, пока не спросите всех, кто мог бы его хранить.

Распространённые ошибки

• Не записали идентификатор ключа. Без него вы можете попробовать неверный ключ из списка нескольких.
• Поиск в неправильной учётной записи. Ключ может храниться в учётной записи Microsoft, которой вы редко пользуетесь, в рабочей учётной записи или в учётной записи того, кто настраивал компьютер.
• Ввод ключа на синем экране по памяти. 48 цифр должны быть точными. Считывайте их с другого экрана и аккуратно вводите каждый блок.
• Слишком ранний сброс устройства. Сброс удаляет ваши файлы и является крайним средством, а не первым шагом.
• Выдача ключа без выяснения причины. Администратор, который пропускает первопричину, может столкнуться с тем же запросом на следующей неделе или упустить проблему безопасности.

Связанные темы для изучения

• Сохраните ключ заранее: проверьте сейчас, что ваша учётная запись Microsoft или Entra ID показывает ключ для каждого устройства. Это займёт две минуты сегодня.
• Шифрование устройства и BitLocker Drive Encryption: в Windows Home доступно шифрование устройства, а BitLocker Drive Encryption доступно в Pro, Enterprise и Education, как объясняется в статье Microsoft о шифровании устройства.
• Приостанавливайте BitLocker перед обновлениями прошивки: это позволяет избежать запроса ключа восстановления после обновления BIOS или TPM.
• Ротация ключей восстановления после использования: Intune может сменить ключ по требованию для поддерживаемых устройств Windows.
• Отключение BitLocker: некоторые пользователи хотят полностью расшифровать диск, и для этого есть собственные шаги и риски.

Следующий шаг

Чтобы найти ключ восстановления BitLocker, запишите идентификатор ключа, затем проверьте учётную запись Microsoft по адресу aka.ms/myrecoverykey или рабочую учётную запись по адресу aka.ms/aadrecoverykey. Когда вы вернётесь в систему, откройте ту же страницу ещё раз и убедитесь, что для каждого вашего устройства сохранён ключ, чтобы следующий запрос занимал две минуты, а не два дня. Стоит добавить в закладки статью Microsoft о том, как найти ключ восстановления BitLocker, а администраторам стоит один раз прочитать материалы о процессе восстановления BitLocker и о настройке BitLocker в Intune.