Как отключить BitLocker: приостановка или расшифровка диска

By Mirko Peters · 2026-11-12

Как отключить BitLocker: когда приостановить защиту, когда расшифровать её с помощью Disable-BitLocker или manage-bde -off и что меняется на управляемых устройствах.

Automatically translated with AI from the original post. Read the English original

Чтобы отключить BitLocker на системном диске, откройте PowerShell от имени администратора и выполните Disable-BitLocker -MountPoint "C:". То же действие в командной строке выполняется командой manage-bde -off C:. Обе команды удаляют протекторы ключей и запускают расшифровку диска в фоновом режиме. Если нужно лишь пройти обновление микропрограммы или замену оборудования, это вам не нужно. Вам нужна приостановка защиты: она временная и данные остаются зашифрованными. Эта статья предназначена для пользователей Windows, которые хотят полностью убрать BitLocker, и для администраторов, которые получают такой запрос. Здесь объясняется разница, приводятся точные команды, способы проверки хода процесса и причины, по которым на управляемом устройстве расшифровка может быть недоступна.

Ключевые выводы

• Приостановка BitLocker временная и оставляет диск зашифрованным, а отключение BitLocker расшифровывает весь диск и удаляет его протекторы ключей.
• Чтобы расшифровать системный диск, выполните Disable-BitLocker -MountPoint C: в PowerShell от имени администратора или manage-bde -off C: в командной строке с правами администратора.
• Используйте Suspend-BitLocker перед обновлениями микропрограммы или TPM, чтобы Windows не запрашивала ключ восстановления при следующей перезагрузке.
• На устройстве, которым управляет ваша организация, политика может требовать шифрования, поэтому перед любой расшифровкой уточните у ИT-отдела.
• Чтобы проверить ход процесса, используйте Get-BitLockerVolume: команда показывает состояние тома, состояние защиты и процент шифрования.

Приостановка или расшифровка: выберите до того, как что-либо вводить

Два разных действия называют одним словом «отключить», и путаница между ними вызывает большинство проблем.

Приостановка защиты временно останавливает BitLocker. Диск остаётся зашифрованным, и защиту можно возобновить в любой момент. Microsoft рекомендует приостанавливать её перед обновлениями стороннего ПО, которые меняют загрузочные компоненты, например перед обновлениями микропрограммы от производителя и обновлениями микропрограммы TPM. Если пропустить приостановку, по словам Microsoft, система не распознает ключ BitLocker, и при следующей перезагрузке, а также при каждой последующей, будет запрошен ключ восстановления.

Расшифровка выполняется командами PowerShell и manage-bde. Она удаляет все протекторы ключей и начинает расшифровку тома. В руководстве Microsoft по операциям BitLocker есть простое правило: расшифровка нужна, когда защита больше не требуется, а не для устранения неполадок.

Поэтому задайте себе один вопрос: нужно ли оставить диск незащищённым навсегда или только на несколько минут убрать с дороги? Для обновления микропрограммы, изменения BIOS или ремонтных работ выбирайте приостановку. Если кто-то говорит, что ноутбук «без неё работает быстрее», проверьте это утверждение, прежде чем расшифровывать устройство с корпоративными данными. Моя рекомендация: оставлять шифрование включённым на любом ноутбуке, который выходит за пределы офиса.

Приостановите BitLocker для обновления, затем возобновите

Это займёт минуту и избавит от запроса ключа восстановления. Microsoft описывает оба способа: через панель управления и через PowerShell.

Панель управления:

1. Откройте Панель управления.
2. Выберите Система и безопасность, затем Шифрование диска BitLocker, затем Приостановить защиту.
3. Выберите Да.
4. После обновления зайдите в то же место, выберите Возобновить защиту и нажмите Да.

PowerShell, запущенный от имени администратора:

1. Выполните Suspend-BitLocker -MountPoint "C:" -RebootCount 0.
2. Установите обновление и перезагружайте устройство столько раз, сколько потребуется.
3. Выполните Resume-BitLocker -MountPoint "C:".

Параметр -RebootCount задаёт, сколько перезагрузок может пройти до того, как BitLocker включится снова. Допустимые значения — от 0 до 15. Значение 0 оставляет защиту приостановленной, пока вы не возобновите её вручную, поэтому последний шаг нужно не забыть. Microsoft также отмечает, что возобновление работает только на устройствах, которые приняли лицензионное соглашение Windows (EULA).

Как отключить BitLocker: расшифровка диска через PowerShell или manage-bde

Расшифровка занимает по одной команде на диск. Откройте PowerShell или командную строку от имени администратора, так как операции BitLocker этого требуют.

1. Сначала проверьте текущее состояние. Выполните Get-BitLockerVolume C: | fl в PowerShell. В выводе будут VolumeStatus, ProtectionStatus, LockStatus и EncryptionPercentage. Полностью зашифрованный и защищённый диск показывает FullyEncrypted и On.
2. Расшифруйте диск. В PowerShell выполните Disable-BitLocker -MountPoint "C:". BitLocker сразу начнёт расшифровку C:. В командной строке аналогичная команда — manage-bde -off C:. Согласно описанию Microsoft, она расшифровывает диск и отключает BitLocker, а по завершении расшифровки удаляются все протекторы ключей.
3. Следите за ходом процесса. Выполните Get-BitLockerVolume C: повторно или manage-bde -status и смотрите процент шифрования. На страницах Microsoft, которые я проверял, нет типичной продолжительности, поэтому не стоит гадать. Всё зависит от объёма данных на диске и загрузки устройства. Работать во время процесса можно.
4. Проверьте результат. Когда расшифровка завершится, в статусе тома диск будет показан как полностью расшифрованный, а защита — отключена.

Несколько вариантов, отличающихся от примеров Microsoft:

• Несколько дисков сразу. $BLV = Get-BitLockerVolume, а затем Disable-BitLocker -MountPoint $BLV отключает BitLocker на всех томах. В руководстве по операциям также приводится Disable-BitLocker -MountPoint C,D для указанных дисков.
• Пробный запуск. Disable-BitLocker поддерживает -WhatIf, который показывает, что произойдёт, не выполняя действий. На сервере это полезная привычка.
• Автоматические ключи для дисков данных. Если на томе операционной системы есть автоматические ключи, которые открывают его при запуске, Disable-BitLocker не выполняется. Сначала выполните Clear-BitLockerAutoUnlock, а затем отключите BitLocker на томе. Microsoft не уточняет, как обычно появляются такие ключи, поэтому при возникновении проблемы изучите вывод командлета.
• Другой компьютер. manage-bde принимает параметр -computername, чтобы изменить защиту на другом устройстве.

Подробности можно найти в справочнике Microsoft по Disable-BitLocker и на странице manage-bde -off.

Примечание о приложении «Параметры» и Windows Home. В Windows Home нет BitLocker Drive Encryption. Вместо него есть шифрование устройства (Device Encryption), которое Windows включает при входе с учётной записью Microsoft или учётной записью работы или учебного заведения. Управляется оно в Параметры, в разделе Конфиденциальность и безопасность, Шифрование устройства. В статье Microsoft, которую я просматривал, описано, как его включить, но шаги для отключения не приводятся, поэтому посмотрите переключатель на своём устройстве и прочитайте текст на экране, прежде чем что-либо менять.

Диски данных, USB-накопители и повторное включение BitLocker

Команды работают по томам, поэтому те же шаги применимы к диску данных или USB-накопителю. Апплет «Панель управления» показывает три группы: Диск операционной системы, Несъёмные диски данных и Съёмные диски данных - BitLocker To Go. С помощью manage-bde -off вы указываете том буквой диска с двоеточием, например manage-bde -off E:. Там же Microsoft принимает путь с GUID тома или подключённый том. Замените букву на ту, которую Проводник показывает для вашего диска, и перепроверьте её, потому что расшифровка не того тома отнимает время.

Расшифровка съёмного диска имеет одно практическое следствие. Когда процесс завершён, любой, кто подключит флешку к компьютеру, сможет прочитать файлы без пароля. Сначала решите, должны ли данные на нём оставаться защищёнными.

Шифрование BitLocker можно включить снова позже. Статья поддержки Microsoft о BitLocker Drive Encryption описывает этот путь: откройте апплет, выберите Включить BitLocker рядом с диском, укажите способ защиты диска и сохраните ключ восстановления. Затем шифрование выполняется в фоновом режиме, и устройством можно пользоваться, пока оно не завершится. Относитесь к этому как к новой настройке, а не как к «возобновлению». Все прежние защитители ключей были удалены при расшифровке, поэтому ключ восстановления, сохранённый ранее, к новому шифрованию не подходит. Сохраните новый ключ там, где сможете до него добраться с другого устройства, и проверьте по инструкции о том, как найти ключ восстановления, что новый ключ действительно появляется в вашей учётной записи.

Устройства, управляемые вашей организацией

Обычно BitLocker управляет ваш ИT-отдел, а политика организации может требовать шифрования. Это первое, что нужно проверить на рабочем ноутбуке. Если политика требует шифрования, ручная расшифровка может быть отменена или привести к тому, что устройство перестанет соответствовать требованиям.

Если вы управляете устройствами через Intune, настройки BitLocker находятся в политике шифрования дисков в разделе Endpoint security. Для тихого шифрования в рекомендациях Microsoft перечислены параметры, например Require Device Encryption со значением Enabled. В статье Microsoft не сказано, что происходит с зашифрованным устройством при удалении или отмене назначения политики, и не описан способ расшифровки через Intune. Не исходите из того, что отмена назначения политики что-либо расшифровывает. Проверьте на одном устройстве и оцените результат с помощью Get-BitLockerVolume.

Одно утверждение из статьи об Intune стоит запомнить. Если вы удалите объект Intune для устройства, присоединённого к Microsoft Entra, которое защищено BitLocker, Intune синхронизирует и удалит защитители ключей для тома операционной системы, и BitLocker на этом томе перейдёт в приостановленное состояние. Поэтому удаление записи устройства ради «уборки» не безопасно.

Распространённые ошибки

• Расшифровка для исправления проблемы с загрузкой. Microsoft указывает, что расшифровка не является шагом устранения неполадок. Приостановите, исправьте, возобновите.
• Забыли возобновить защиту после приостановки. При -RebootCount 0 защита остаётся выключенной, пока вы не выполните Resume-BitLocker. Добавьте это в чек-лист обновлений.
• Ключ восстановления неизвестен. Если вы расшифровали диск и позже снова включили BitLocker, вы получаете новый набор защитителей ключей. Не полагайтесь на старую распечатку.
• Расшифровка ноутбука с корпоративными данными. Тогда диск может прочитать любой, кто получит устройство. Делайте это только тогда, когда политика это разрешает.
• Пропущен шаг с автоматическими ключами. Disable-BitLocker не запустится, пока командлет очистки из списка выше не удалит эти ключи.
• Предположение, что политика Intune расшифровывает диск. В документации Microsoft этого нет, поэтому проверьте на тестовом устройстве.

Связанные темы для изучения

• Найдите ключ восстановления до внесения изменений: если обновление прошивки или замена оборудования вызовут синий экран, ключ восстановления будет единственным способом вернуть доступ.
• Приостанавливайте BitLocker при обновлении BIOS и TPM: это более безопасная альтернатива отключению шифрования.
• Тихое развёртывание BitLocker через Intune: от параметров TPM, Secure Boot и стандартных пользователей зависит, начнётся ли шифрование без запроса.
• Device Encryption и BitLocker Drive Encryption: эти две функции различаются по редакциям, и от этого зависит, где вы их управляете.
• Проверка состояния шифрования на множестве ПК: Get-BitLockerVolume даёт данные для простого отчёта.

Следующий шаг

Чтобы отключить BitLocker, сначала определите, нужно ли приостановить защиту или расшифровать диск. Приостанавливайте защиту для обновлений и ремонта, а расшифровывайте с помощью Disable-BitLocker или manage-bde -off только тогда, когда диск больше не нуждается в защите и это разрешено политикой. Затем проверяйте Get-BitLockerVolume, пока том не сообщит, что расшифровка завершена.