Ключ відновлення BitLocker: де його знайти (обліковий запис, Entra, ІТ)

By Mirko Peters · 2026-11-12

Знайдіть ключ відновлення BitLocker в обліковому записі Microsoft, робочому обліковому записі, на роздруківці чи USB-накопичувачі, і дізнайтеся, як адміністратори отримують його з Entra ID або Intune.

Automatically translated with AI from the original post. Read the English original

Ключ відновлення BitLocker майже завжди зберігається в обліковому записі, а не на самому ПК. Відкрийте aka.ms/myrecoverykey на іншому пристрої та увійдіть за допомогою свого облікового запису Microsoft. Якщо ПК належить вашому роботодавцю або навчальному закладу, використовуйте натомість aka.ms/aadrecoverykey з робочим або навчальним обліковим записом. Якщо жодне з цих посилань не показує ключ, перевірте роздруківку чи USB-накопичувач або зверніться до ІТ-відділу. Ця стаття призначена для користувачів Windows, які щойно побачили синій екран відновлення, і для адміністраторів, яким користувачі телефонують із цим питанням. У ній пояснено, де шукати ключ, як адміністратор його отримує, чому з'являється запит і що робити, якщо ключа немає.

Головне

• Шукайте ключ відновлення BitLocker в обліковому записі Microsoft за адресою aka.ms/myrecoverykey або для робочого чи навчального пристрою за адресою aka.ms/aadrecoverykey.
• Запишіть перші 8 символів ідентифікатора ключа з синього екрана, щоб вибрати потрібний ключ, якщо в обліковому записі їх кілька.
• Ключ відновлення має 48 цифр, а служба підтримки Microsoft не може отримати, надати чи створити повторно втрачений ключ для вас.
• Адміністратори можуть переглядати ключі в центрі адміністрування Microsoft Entra або центрі адміністрування Intune, і кожен такий перегляд залишає слід в журналі аудиту.
• Якщо ключа немає ніде, єдиний спосіб повернути доступ до пристрою — скидання, а скидання видаляє всі файли на диску.

Що таке ключ відновлення і чому потрібно записати ідентифікатор ключа

Ключ відновлення — це 48-значне число. У документації Microsoft щодо відновлення його наведено як вісім блоків по шість цифр, а екран відновлення під час завантаження перевіряє кожен блок під час введення, тож більшість помилок друку виявляється одразу. BitLocker запитує ключ, коли не може відкрити диск автоматично. Так буває після ризику для безпеки чи зміни апаратного забезпечення або якщо ви забули пароль до диска з даними.

Перш ніж робити будь-що інше, запишіть перші 8 символів ідентифікатора ключа відновлення, який показує екран. Якщо в обліковому записі збережено більше одного ключа, наприклад тому, що пристрій один раз перешифровували або у вас кілька ПК, саме ідентифікатор допоможе вибрати потрібний. Якщо можна, сфотографуйте екран телефоном. Це безкоштовно, а ідентифікатор знадобиться двічі: щоб знайти ключ і якщо ви телефонуєте в ІТ-відділ.

Ще один факт, який варто знати вже зараз. У статті служби підтримки Microsoft прямо сказано, що вона не може отримати, надати чи створити повторно втрачений ключ відновлення. У Microsoft немає його копії. Тому наступний розділ є важливим.

Де знайти ключ відновлення BitLocker

Потрібне місце залежить від того, як було увімкнено BitLocker. Розгляньте варіанти в такому порядку.

1. Ваш обліковий запис Microsoft. На іншому пристрої відкрийте браузер і перейдіть за адресою https://aka.ms/myrecoverykey. У статті Microsoft зазначено, що посилання веде на сторінку ключів відновлення у вашому обліковому записі на account.microsoft.com. Увійдіть за допомогою свого облікового запису Microsoft, знайдіть ідентифікатор ключа, який збігається з тим, що на екрані, і використовуйте цей ключ, щоб відкрити диск. Це найпоширеніший випадок для домашніх ПК, адже шифрування пристрою вмикає BitLocker, коли ви входите з обліковим записом Microsoft, і прив'язує ключ до цього облікового запису.
2. Обліковий запис робочої або навчальної школи. На іншому пристрої перейдіть на https://aka.ms/aadrecoverykey і увійдіть за допомогою облікового запису робочої або навчальної школи. Виберіть Пристрої, розгорніть потрібний пристрій і виберіть View BitLocker Keys. Знайдіть ключ, який відповідає вашому ідентифікатору ключа.
3. Роздрукований аркуш. Якщо ви роздрукували ключ під час увімкнення BitLocker, перевірте місце, де зберігаєте важливі документи для цього пристрою. На роздруківці ідентифікатор ключа вказано поруч із самим ключем.
4. USB-флешка. Під'єднайте її до заблокованого пристрою і дотримуйтеся вказівок на екрані. Якщо ключ було збережено як текстовий файл на флешці, відкрийте цей файл на іншому пристрої.

Дві деталі зі статті Microsoft заощаджують людям багато часу. По-перше, якщо пристрій налаштовував хтось інший або хтось увімкнув BitLocker, ключ може бути в обліковому записі Microsoft цієї людини, наприклад члена родини або колишнього адміністратора. По-друге, у Windows 11 версії 24H2 і новіших на екрані відновлення відображається підказка щодо того, який обліковий запис Microsoft пов'язано з ключем. Прочитайте цю підказку, перш ніж випадково перебирати облікові записи.

На сторінці також описано пристрої, якими керує організація. Для них ключ отримує ваш ІТ-відділ, тож не витрачайте час на здогадки.

Як адміністратори отримують ключ відновлення BitLocker

Якщо ви працюєте в службі підтримки, у вас більше можливостей, ніж у користувача. У документації Microsoft щодо відновлення BitLocker вказано місця зберігання та ролі.

Microsoft Entra ID. Для пристроїв, приєднаних до Microsoft Entra або гібридно приєднаних, рекомендовано зберігати ключі в Entra ID, щоб адміністратор BitLocker або служба підтримки могли допомогти користувачам отримати їхні ключі. Поширеним вибором є ролі Cloud Device Administrator і Helpdesk Administrator. Користувацька роль може використовувати дозвіл microsoft.directory/bitlockerKeys/key/read, за бажання обмежений адміністративними одиницями. Ключі можна переглянути в центрі адміністрування Microsoft Entra, через Microsoft Graph API або за допомогою PowerShell.

Самообслуговування. За замовчуванням користувачі можуть отримати ключі своїх пристроїв на сторінці https://myaccount.microsoft.com: відкрийте вкладку Пристрої, виберіть пристрій і натисніть View BitLocker Keys. Адміністратор може вимкнути це за допомогою параметра Restrict users from recovering the BitLocker key(s) for their owned devices. Microsoft рекомендує дозволяти самообслуговування лише в довірених середовищах, а в інших випадках покладатися на відновлення через службу підтримки.

Intune. У центрі адміністрування Intune перейдіть до Пристрої, потім до All devices. Виберіть пристрій і в розділі Monitor натисніть Recovery keys. Далі натисніть Show Recovery Key. У статті Microsoft про Intune зазначено, що ця дія створює запис журналу аудиту в активності KeyManagement, тож кожен перегляд можна відстежити. Та сама стаття називає ролі Cloud Device Administrator, Helpdesk Administrator і Global Administrator, які можуть переглядати ключі.

Active Directory. Для пристроїв, приєднаних до домену, які зберігають ключі в AD DS, за замовчуванням читати відомості про відновлення можуть лише Domain Admins, хоча доступ можна делегувати. Засіб BitLocker Recovery Password Viewer, що входить до засобів віддаленого адміністрування серверів, додає вкладку BitLocker Recovery до об'єкта комп'ютера. Також можна шукати за першими вісьмома символами ідентифікатора пароля.

Корисний крок для служби підтримки: перш ніж видати ключ, з'ясуйте, чому з'явився запит. Це пояснює наступний розділ.

Чому BitLocker запросив ключ

Видача ключа вирішує сьогоднішню проблему. Пошук причини запобігає наступному дзвінку. Microsoft називає такі причини:

• Невідомий або забутий PIN-код, якщо пристрій використовує TPM плюс PIN-код.
• Втрачений ключ запуску, якщо пристрій використовує USB-ключ запуску.
• Зміни в завантажувальних файлах або прошивці, наприклад оновлення BIOS, або можливо шкідливе програмне забезпечення.
• Переміщення диска з томом операційної системи і захисником TPM на інший пристрій: диск прив'язується до нового TPM і запитує ключ відновлення.

Стаття Microsoft радить співробітникам служби підтримки з'ясувати першопричину, перш ніж видавати ключ. Корисні відправні точки: manage-bde.exe -status і журнал подій. Якщо ви підозрюєте шкідливе ПЗ, розглядайте пристрій як інцидент безпеки, а не як звичайне блокування.

Після успішного відновлення Windows записує подію в журнал, скидає виміри перевірки платформи TPM, щоб вони відповідали поточній конфігурації, і звільняє ключ шифрування. Якщо запит продовжує з'являтися, Microsoft радить призупинити та поновити BitLocker, що скидає профіль перевірки. Для пристроїв з автоматичною ротацією ключів відновлення пароль змінюється після використання, а адміністратори можуть ініціювати ротацію вручну в Intune або Configuration Manager. Це важливо, якщо ви вставили ключ у заявку, адже після ротації старий ключ для цього пристрою більше не діє.

Якщо ви не можете знайти ключ

Спершу перевірте всі свої облікові записи, зокрема старі, та обліковий запис того, хто налаштовував комп'ютер. Потім перегляньте роздруківки та USB-накопичувачі. Для керованого пристрою єдиний шлях – ваш ІТ-відділ.

Якщо ви не можете знайти ключ і не можете скасувати зміну, яка викликала запит, стаття Microsoft каже, що потрібно скинути пристрій за допомогою параметра відновлення Windows. Це видалить усі ваші файли. Зашифровані файли не можна прочитати без ключа, тож не починайте скидання, доки не запитаєте всіх, хто міг би його мати.

Типові помилки

• Незаписаний ідентифікатор ключа. Без нього можна спробувати неправильний ключ зі списку кількох.
• Пошук в іншому обліковому записі. Ключ може зберігатися в обліковому записі Microsoft, яким ви рідко користуєтесь, у робочому обліковому записі або в обліковому записі того, хто налаштовував комп'ютер.
• Введення ключа на синьому екрані з пам'яті. 48 цифр мають бути точними. Зчитуйте їх з іншого екрана та уважно вводьте кожен блок.
• Скидання пристрою занадто рано. Скидання видаляє ваші файли й має бути останнім заходом, а не першим.
• Видача ключа без з'ясування причини. Адміністратор, який пропускає першопричину, може зіткнутися з тим самим запитом наступного тижня або пропустити проблему безпеки.

Пов'язані теми для вивчення

• Створіть резервну копію ключа заздалегідь: перевірте зараз, чи відображається ключ для кожного пристрою в обліковому записі Microsoft або Entra ID, адже це займе дві хвилини сьогодні.
• Device Encryption проти BitLocker Drive Encryption: Windows Home отримує Device Encryption, тоді як BitLocker Drive Encryption доступний у версіях Pro, Enterprise і Education, як пояснює стаття Microsoft про Device Encryption.
• Призупиняйте BitLocker перед оновленнями прошивки: це дозволяє уникнути запиту відновлення після оновлення BIOS або TPM.
• Ротація ключів відновлення після використання: Intune може ініціювати ротацію ключа вручну для підтримуваних пристроїв Windows.
• Вимкніть BitLocker: деякі користувачі хочуть повністю розшифрувати диск, що має власні кроки та ризики.

Наступний крок

Щоб знайти ключ відновлення BitLocker, запишіть ідентифікатор ключа, а потім перевірте обліковий запис Microsoft на aka.ms/myrecoverykey або робочий обліковий запис на aka.ms/aadrecoverykey. Після входу відкрийте цю ж сторінку ще раз і переконайтеся, що для кожного з ваших пристроїв збережено ключ, щоб наступний запит займав дві хвилини, а не два дні. Варто додати в закладки статтю Microsoft про те, як знайти ключ відновлення BitLocker, а адміністраторам варто один раз ознайомитися з процесом відновлення BitLocker та настановами Intune щодо BitLocker.