はじめに
Windows 11やWindows Serverを管理していると、BitLockerの回復画面が突然表示され、48桁の回復パスワードが必要になることがあります。
Active Directoryドメインに参加しているPCであれば、回復情報がActive Directory Domain Services（AD DS）に保存されている可能性があります。
しかし、実際に確認してみると、次のような問題が発生する場合があります。
- Active DirectoryにBitLockerの回復キーが表示されない
- コンピューターのプロパティに「BitLocker 回復」タブがない
- 同じPCに複数の回復パスワードが保存されている
- PowerShellで回復情報を確認したい
この記事では、AD DSに保存されたBitLocker回復情報をGUIとPowerShellで確認し、見つからない場合の原因を切り分ける方法を紹介します。
1. BitLocker回復情報はActive Directoryのどこに保存される？
まず、BitLockerの回復情報がどのように管理されているかを理解しておきます。
AD DSでは、BitLockerの回復情報は対象となるコンピューターオブジェクトの子オブジェクトとして保存されます。
使用されるオブジェクトクラスは次のとおりです。
msFVE-RecoveryInformation
主な属性には以下があります。
| 属性 | 内容 |
|---|---|
| msFVE-RecoveryPassword | 48桁の回復パスワード |
| msFVE-RecoveryGuid | 回復パスワードの識別子 |
| msFVE-VolumeGuid | 暗号化ボリュームの識別子 |
| msFVE-KeyPackage | 破損したボリュームの修復に利用できる情報（保存設定が必要） |
注意したいのは、ドメインに参加しているだけでは、回復パスワードが必ずAD DSに保存されるわけではないという点です。
事前に適切なバックアップポリシーが設定されている必要があります。
また、Microsoft Entra IDに参加しているデバイスでは、回復情報の保存先がAD DSではなくEntra IDになる場合があります。
2. Active Directoryユーザーとコンピューターで確認する
まずはGUIから確認してみます。
Win + Rキーを押して、次のコマンドを実行します。
dsa.msc
「Active Directory ユーザーとコンピューター」が起動したら、対象のPCを探します。
例えば、コンピューター名がPC-001の場合は、該当するコンピューターオブジェクトを右クリックし、「プロパティ」を開きます。
BitLocker Recovery Password Viewerがインストールされている環境では、「BitLocker 回復」タブから保存済みの回復パスワードを確認できます。
回復画面に表示されているパスワードIDと一致するレコードを選択することが重要です。
「BitLocker 回復」タブが表示されない場合は、RSATの関連コンポーネントやアクセス権限を確認してください。
GUIでの確認手順や、回復パスワードが見つからない場合の対処方法については、Active DirectoryでBitLockerのリカバリキーを見つける方法 も参考になります。
3. PowerShellでBitLocker回復情報を検索する
GUIで確認できない場合や、複数の端末を管理している場合は、PowerShellでAD DSのオブジェクトを調べる方法もあります。
事前準備
以下の条件を確認してください。
- Active Directory PowerShellモジュールが利用できる
- ドメインコントローラーに接続できる
- 対象のコンピューターオブジェクトを読み取れる
- 回復情報を参照するための適切な権限がある
まず、モジュールを読み込みます。
Import-Module ActiveDirectory
エラーが表示される場合は、RSATのActive Directory管理ツールがインストールされているか確認してください。
対象のコンピューターオブジェクトを取得する
例としてPC-001を検索します。
Get-ADComputer -Identity "PC-001"
正しく取得できれば、対象コンピューターの識別情報が表示されます。
次に、DistinguishedNameを確認します。
Get-ADComputer -Identity "PC-001" |
Select-Object Name, DistinguishedName
取得したDistinguishedNameを利用して、子オブジェクトを検索します。
BitLocker回復オブジェクトを検索する
以下のコマンドを実行します。
$ComputerName = "PC-001"
$Computer = Get-ADComputer -Identity $ComputerName -ErrorAction Stop
$RecoveryObjects = @(
Get-ADObject `
-SearchBase $Computer.DistinguishedName `
-SearchScope OneLevel `
-LDAPFilter "(objectClass=msFVE-RecoveryInformation)" `
-Properties whenCreated `
-ErrorAction Stop
)
$RecoveryObjects |
Sort-Object whenCreated -Descending |
Select-Object Name, whenCreated
このコマンドでは、対象コンピューターの直下にあるBitLocker回復情報オブジェクトを検索し、作成日時とオブジェクト名を表示します。
ここでは48桁の回復パスワード自体を出力していません。
回復情報が複数保存されている場合もあるため、最新の作成日時だけで判断せず、回復画面のパスワードIDと一致するか確認しましょう。
結果が空の場合は、回復情報が存在しない可能性があります。ただし、検索先の誤りやアクセス権限の問題でも、期待した情報が取得できないことがあります。
4. 回復キーが見つからない場合の確認ポイント
AD DSからBitLocker回復情報を取得できない場合、次の項目を確認します。
① BitLockerのバックアップポリシーを確認する
ドメイン環境では、グループポリシーによってBitLocker回復情報の保存先やバックアップ条件を管理できます。
「グループポリシーの管理」を開き、次の項目を確認します。
コンピューターの構成
└ 管理用テンプレート
└ Windows コンポーネント
└ BitLocker ドライブ暗号化
└ オペレーティング システムのドライブ
この中にある、BitLockerで保護されたオペレーティングシステムドライブの回復方法に関するポリシーを確認します。
AD DSへの回復情報の保存が有効になっているか、またバックアップが成功するまでBitLockerの有効化を禁止する設定が必要かを検討してください。
既に暗号化されたPCについては、ポリシーを後から変更しても過去の回復情報が自動的にバックアップされるとは限りません。
② 対象PCから回復パスワード保護機能を確認する
対象PCにまだ正常にサインインできる場合は、管理者権限のPowerShellで次を実行します。
Get-BitLockerVolume -MountPoint "C:"
回復パスワード保護機能のIDだけを確認する場合は、次のようにします。
(Get-BitLockerVolume -MountPoint "C:").KeyProtector |
Where-Object {
$_.KeyProtectorType -eq "RecoveryPassword"
} |
Select-Object KeyProtectorType, KeyProtectorId
RecoveryPasswordが表示されれば、そのボリュームに回復パスワード保護機能が構成されています。
ただし、これだけではAD DSへのバックアップが完了していることは確認できません。
③ AD DSへ回復情報をバックアップする
対象PCが正常に利用でき、組織の管理権限とバックアップ方針が確認できている場合は、次のコマンドで既存の回復パスワード保護機能をAD DSへバックアップできます。
$Volume = Get-BitLockerVolume -MountPoint "C:"
$Protectors = $Volume.KeyProtector |
Where-Object {
$_.KeyProtectorType -eq "RecoveryPassword"
}
foreach ($Protector in $Protectors) {
Backup-BitLockerKeyProtector `
-MountPoint "C:" `
-KeyProtectorId $Protector.KeyProtectorId
}
この操作は、単なる確認ではなく、AD DSへのバックアップを書き込む処理です。組織の運用ポリシーに従って実行してください。
また、対象PCが既にBitLockerの回復画面で停止している場合、このコマンドをそのPC上で通常どおり実行できるわけではありません。
バックアップされていない回復パスワードを、このコマンドで新たに取得できるわけでもありません。
5. AD DSとMicrosoft Entra IDの違いにも注意する
Windows 11の管理環境では、従来のAD DSだけでなく、Microsoft Entra IDでデバイスを管理するケースも増えています。
環境によってBitLocker回復情報の確認先が異なります。
| デバイスの管理環境 | 主な確認先 |
|---|---|
| AD DSドメイン参加 | Active Directory |
| Microsoft Entra ID参加 | Microsoft Entra管理センター |
| Hybrid Microsoft Entra Join | AD DSとEntra IDの両方を確認 |
| 個人用Microsoftアカウント | Microsoftアカウントの回復キー管理ページ |
実際の保存先は、組織が設定したBitLockerポリシーやバックアップの実施状況に依存します。
そのため、AD DSで見つからない場合でも、別の管理基盤に保存されている可能性があります。
6. 回復パスワードを安全に取り扱う
BitLockerの48桁の回復パスワードは、暗号化されたデータにアクセスするための重要な機密情報です。
運用時には以下を意識する必要があります。
- 回復情報へのアクセス権限を必要最小限にする
- PowerShellのログやCSVに回復パスワードを不用意に出力しない
- チャットや公開Issueに回復パスワードを貼り付けない
- 回復操作後の監査ログやアクセス履歴を管理する
特にトラブルシューティングのためにコマンド出力を共有する場合は、回復パスワードなどの機密情報が含まれていないか確認してください。
まとめ
BitLockerの回復パスワードがActive Directoryで見つからない場合は、以下の順番で確認すると原因を切り分けやすくなります。
- 対象PCがAD DSドメインに参加しているか確認する
- Active Directoryユーザーとコンピューターで回復情報を検索する
- PowerShellの
Get-ADObjectで回復オブジェクトを確認する - グループポリシーとバックアップ状況を確認する
- 必要に応じてMicrosoft Entra IDなどの別の保存先を確認する
最も重要なのは、「BitLockerが有効になっていること」と「回復パスワードがAD DSに保存されていること」は別の状態であると理解しておくことです。
端末が正常に動作している段階でバックアップ設定を確認しておくと、将来の復旧作業に備えることができます。