BitLocker回復キーの確認方法と企業での管理：Entra ID・Intuneでの保管と運用

BitLocker回復キーとは、BitLockerで暗号化したドライブを通常の方法で開けなくなったときに使う、48桁の数字の鍵です。起動時に青い画面で入力を求められたら、そのドライブに対応する回復キーがどこかに保存されていない限り、データは取り出せません。

前半では、回復キーを求められる理由と、保存場所ごとの探し方を個人・企業の両方について整理します。後半は情シス向けに、Entra IDとIntuneで回復キーを確実に預け、誰が見られるかを絞り、使ったキーを入れ替える運用までを扱います。Windows専用の機能なので、このガイドのコマンドはLinuxの検証環境では実行できません。コマンド名と手順はMicrosoftの製品仕様に沿って書き、画面のメニュー名は執筆時点のものとしています。

BitLockerとは：TPMと回復キーの関係

BitLockerとは、Windowsに組み込まれたドライブ全体の暗号化機能です。PCを盗まれてSSDだけを抜き取られても、中身を読めないようにするのが目的です。Pro・Enterprise・Educationエディションで使え、Homeエディションには機能を絞った「デバイスの暗号化」があります。Windows 11 24H2以降は、初期設定でMicrosoftアカウントや職場のアカウントでサインインすると、条件を満たす機器ではデバイスの暗号化が自動で有効になる範囲が広がっています（執筆時点）。本人が暗号化した覚えのないPCで回復画面が出るのは、多くがこのためです。

普段パスワードなしで起動できるのは、暗号化の鍵がPCのセキュリティチップ（TPM）に封印されているからです。TPMは起動の途中でファームウェアやブートローダーの状態を記録し、記録が暗号化したときと同じ場合にだけ鍵を渡します。ファームウェアが更新された、セキュアブートの設定が変わった、ドライブが別のPCに移された、といった変化があるとTPMは鍵を渡さず、Windowsは代わりの鍵である回復キーを求めます。回復画面は故障ではなく、「起動環境が変わったので、本人か確かめたい」という仕組みが働いた結果です。

回復キー（回復パスワード）は、6桁ずつハイフンで区切られた8ブロック、計48桁の数字です。各ブロックは11で割り切れる値になっていて、書き写した数字の誤りを見つける手掛かりになります。回復画面には、どの回復キーを使えばよいかを示す「回復キーID」（英数字8文字）が表示されます。1台のPCに回復キーが複数登録されていることもあるので、探すときは必ずこのIDで照合します。

回復キーを求められる主な原因

最後の行は、大規模な障害で効いてきます。2024年7月に、あるセキュリティ製品の更新不具合で多数のWindowsが起動しなくなった際も、回復環境から原因のファイルを消すにはドライブのロックを外す必要があり、端末ごとに回復キーを探す作業が発生しました。平常時に「全台の回復キーを数分で引き出せるか」を確かめておく価値はここにあります。

保存場所ごとのBitLocker回復キーの確認方法

回復キーの置き場所は、暗号化が有効になったときの状況で決まります。回復画面が出ているPCとは別の端末（スマートフォンでも可）から、次の順に探します。メニュー名は執筆時点のもので、変わることがあります。

企業のPCで一番早いのは、利用者本人によるセルフサービスです。スマートフォンから職場のアカウントでマイアカウントにサインインし、端末の一覧から該当機を選ぶと、回復キーIDと回復キーの組が表示されます。この操作はEntra IDのデバイス設定で制限できるため、表示されない場合は、組織が「ユーザーが自分のデバイスのBitLockerキーを回復することを制限する」設定（英語名 Restrict users from recovering the BitLocker key(s) for their owned devices）を有効にしている可能性があります。その場合はヘルプデスクへ連絡します。

管理者は、Entra管理センターの［デバイス］から端末を開くか、BitLockerキーの検索画面で回復キーIDを入力して探します。Intune管理センターでは、［デバイス］→［Windows］→ 端末 →［回復キー］で表示できます。どちらも閲覧は監査ログに記録されます。

端末のオブジェクトをEntra IDやActive Directoryで削除すると、そこに保存されていたBitLocker回復キーも一緒に消えます。古い端末を整理するときは、ドライブを消去済みか、回復キーを別に控えたかを確かめてから削除してください。修理や貸出しから戻る予定の端末を「使っていない端末」として一括削除すると、次に回復画面が出たときに開けなくなります。

回復画面での入力方法

回復画面では、まず表示された回復キーIDの8文字と、見つけたキーのIDの先頭8文字が一致することを確かめます。一致しないキーは、同じPCの古いキーか、別のドライブのキーです。数字は数字キーで入力しますが、起動前の画面ではテンキーや一部の配列が効かないことがあるため、画面の案内どおりファンクションキーのF1〜F9を1〜9、F10を0として使えます。

書き写したキーで先へ進めないときは、ブロックごとに11で割り切れるかを確かめると、読み違えた箇所の見当が付きます。たとえば、6桁のブロックが 123453 なら11で割り切れる（11223×11）ので形式は正しく、123456 なら割り切れないので、そのブロックのどこかを読み違えています。8と3、1と7、6と0は手書きで取り違えやすい組み合わせです。

起動できるPCで回復キーを確認・バックアップする

Windowsが起動している間なら、管理者として開いたPowerShellで、そのPCの回復キーを表示できます。暗号化の状態と、回復パスワードの保護機能があるかどうかも同時にわかります。

# 暗号化の状態（VolumeStatus、ProtectionStatus、KeyProtector の種類を見る）
Get-BitLockerVolume -MountPoint 'C:'

# 回復パスワードとそのID（KeyProtectorId の先頭8文字が、回復画面の回復キーID）
$v = Get-BitLockerVolume -MountPoint 'C:'
$v.KeyProtector | Where-Object KeyProtectorType -eq 'RecoveryPassword' |
    Format-List KeyProtectorId, RecoveryPassword

# コマンドプロンプトなら
manage-bde -status C:
manage-bde -protectors -get C: -Type RecoveryPassword

KeyProtectorに RecoveryPassword がなければ、回復キー自体が存在しない状態です。その場合は Add-BitLockerKeyProtector -MountPoint 'C:' -RecoveryPasswordProtector で作成します。職場のアカウントでEntra参加している端末は、次のコマンドで回復キーを組織のEntra IDへ預けられます。暗号化の後からEntra参加した端末や、ポリシーが届く前に暗号化された端末は、預けられていないことがあるので、この確認と預け入れを一度実行しておくと安全です。

# 回復パスワードの保護機能をすべてEntra IDへバックアップする
$v = Get-BitLockerVolume -MountPoint 'C:'
foreach ($kp in $v.KeyProtector | Where-Object KeyProtectorType -eq 'RecoveryPassword') {
    BackupToAAD-BitLockerKeyProtector -MountPoint 'C:' -KeyProtectorId $kp.KeyProtectorId
}

# オンプレミスのActive Directoryへ預ける場合は、ループ内の
# BackupToAAD-BitLockerKeyProtector を Backup-BitLockerKeyProtector に置き換える

BIOS更新や部品交換の前にやること

起動環境が変わるとわかっている作業の前には、BitLockerを一時停止します。一時停止中は鍵が暗号化されずにドライブ上に置かれるので、TPMの判定なしで起動でき、再起動の後に新しい起動環境でTPMに封印し直されます。-RebootCount 1 を付ければ1回の再起動の後に自動で再開するため、戻し忘れがありません。

# 次の1回の再起動だけ保護を一時停止してから、BIOSを更新する
Suspend-BitLocker -MountPoint 'C:' -RebootCount 1

# 複数回の再起動を伴う作業なら回数を増やし、終わったら手動で再開する
Suspend-BitLocker -MountPoint 'C:' -RebootCount 0
Resume-BitLocker -MountPoint 'C:'

Windows Updateで配布されるファームウェア更新は、更新の仕組み側で一時停止が行われるのが通常です。問題になりやすいのは、メーカー製の更新ツールや、BIOS設定画面からの手作業での更新、修理業者による部品交換です。修理に出す端末は、預ける前に回復キーが組織に保存されているかを確かめ、修理後に回復画面が出ることを前提に受け取り手順を決めておきます。

-RebootCount 0 は「手動で再開するまで一時停止のまま」という意味です。この状態では鍵が保護されていないため、盗まれたPCから中身を読めてしまいます。作業が終わったら Resume-BitLocker を実行し、Get-BitLockerVolume の ProtectionStatus が On に戻ったことを確かめてください。

企業での管理：Entra IDとIntuneで回復キーを預ける

組織のPCでは、「回復キーを組織に預けられない限り暗号化を始めない」設定を必ず入れます。暗号化だけが進んでキーがどこにもない端末は、回復画面が出た時点でデータを失うからです。Intuneでは、［エンドポイント セキュリティ］→［ディスクの暗号化］でBitLockerのプロファイルを作り、主に次の項目を設定します（執筆時点の項目で、名称は変わることがあります）。

• デバイスの暗号化を必須にする：対象の端末を暗号化します。利用者にダイアログを出さずに進めるかどうか（サイレント暗号化）もここで決めます。
• OSドライブの回復方法：回復パスワードを許可し、回復情報をEntra IDに保存し、保存が終わるまで暗号化を有効にしない、を選びます。
• 回復パスワードのローテーション：回復キーが一度使われたら、新しいキーを自動で作り直してEntra IDへ預け直す設定です。Entra参加の端末と、ハイブリッド参加の端末を含めるかを選べます。

展開後は、Intuneの［デバイス］→［監視］にある暗号化レポート（執筆時点のメニュー名）で、暗号化の状態と、TPMの有無などの準備状況を端末ごとに確認します。レポートで「暗号化済み」でも回復キーが預けられていない端末が紛れることがあるので、少数を抜き取り、端末の詳細画面で回復キーが表示されるかも見ておきます。

回復キーを見られる人を絞り、使ったキーは入れ替える

回復キーは、盗まれたPCの暗号化を外せる情報です。Entra IDで回復キーを読めるのは、クラウドデバイス管理者、ヘルプデスク管理者、Intune管理者など、BitLockerキーの読み取り権限（microsoft.directory/bitlockerKeys/key/read）を含むロールと、端末の登録所有者です（執筆時点）。ヘルプデスクの全員に常時このロールを割り当てるのではなく、Entra ID P2のPrivileged Identity Managementで必要な時だけ有効化させる形にすると、誰がいつ権限を使ったかが残ります。

電話で回復キーを伝える手順は、なりすましに狙われます。「出張先でPCが開かない」という電話に、本人確認なしで48桁を読み上げると、盗まれたPCの暗号化を攻撃者に外させることになります。次の手順を決め、ヘルプデスクの手順書に入れておきます。

1. まず利用者本人にマイアカウントでのセルフサービスを案内する（多要素認証を通った本人だけが見られる）。
2. 本人が使えない場合は、人事や台帳に登録済みの電話番号へ折り返してから対応し、画面に出ている回復キーIDの8文字を読み上げてもらう。
3. キーはメールやチャットに貼らず、口頭で伝える。伝えた日時・端末名・回復キーID・対応者を記録する。
4. 使われた回復キーは、ローテーション設定か、Intuneの端末操作にあるBitLockerキーのローテーション（英語表記 BitLocker key rotation）で新しいものに入れ替える。

Entra IDの監査ログには、回復キーの閲覧が記録されます（執筆時点のアクティビティ名は Read BitLocker key）。月に1回、閲覧記録とヘルプデスクの対応記録を突き合わせ、記録のない閲覧がないかを確かめると、権限の不正利用に気づけます。

確認方法

展開した設定が効いているかは、代表の端末で次を確認します。いずれもWindowsの標準コマンドです。

# 1. Entra参加しているか（AzureAdJoined : YES の行を見る）
dsregcmd /status | Select-String 'AzureAdJoined'

# 2. 暗号化と保護が有効か（VolumeStatus が FullyEncrypted、ProtectionStatus が On）
Get-BitLockerVolume -MountPoint 'C:' | Format-List VolumeStatus, ProtectionStatus, EncryptionMethod

# 3. 回復パスワードがあり、そのIDが管理画面の回復キーIDと一致するか
(Get-BitLockerVolume -MountPoint 'C:').KeyProtector |
    Where-Object KeyProtectorType -eq 'RecoveryPassword' | Select-Object KeyProtectorId

# 4. セキュアブートが有効か（True が返ればよい）
Confirm-SecureBootUEFI

3で表示された KeyProtectorId を、Intune管理センターの同じ端末の［回復キー］に出るIDと見比べます。一致していれば、回復画面が出てもセルフサービスとヘルプデスクの両方でキーを出せる状態です。一致するものがなければ、前述の BackupToAAD-BitLockerKeyProtector で預け直します。

つまずきポイント

どこを探しても回復キーが見つからない

初期設定のときに、職場のアカウントではなく個人のMicrosoftアカウントでサインインしていた可能性があります。利用者が持っている個人のアカウントも確認してもらいます。端末のオブジェクトをEntra IDやADから削除していないか、同じ端末名で再登録された別のオブジェクトにキーが残っていないかも確かめます。どこにもなければ、Microsoftのサポートを含め誰も復号できないため、Windowsを初期化してバックアップから戻すしかありません。

起動するたびに回復キーを求められる

TPMに封印した時点の起動環境と、毎回の起動環境が一致していません。回復キーで起動した後、USB機器を外し、Confirm-SecureBootUEFI が True を返すことを確かめてから、Suspend-BitLocker -MountPoint 'C:' -RebootCount 1 で一時停止して再起動します。再起動の後に今の状態で封印し直されるため、多くはこれで止まります。止まらない場合は、ファームウェアの更新や、BIOSのTPM設定（fTPM・PTTの切り替え）をメーカーの案内に沿って確認します。

正しいはずの回復キーを入れても解除できない

回復キーIDが一致していないことが大半です。画面のIDと、使おうとしているキーのIDの先頭8文字を並べて確認します。OS用ドライブとデータ用ドライブではキーが別で、再インストールや暗号化のやり直しをした端末では古いキーが無効になっています。IDが一致しているのに通らない場合は、各ブロックが11で割り切れるかで書き写しの誤りを探し、キーボードが効かなければファンクションキーで入力します。

利用者のマイアカウントに回復キーが表示されない

端末がEntra参加ではなく「登録」だけの状態か、回復キーが預けられていないか、組織がセルフサービスを制限しています。管理者側でIntuneの端末詳細を開き、［回復キー］にIDが出ていれば、制限の設定を確認します。出ていなければ、その端末が起動しているうちに、確認方法の手順で預け直します。

よくある質問

BitLockerの回復キーはどこにありますか？

暗号化されたときの状況で変わります。個人のMicrosoftアカウントで初期設定したPCならそのアカウントに、会社のPCなら組織のEntra IDかActive Directoryに保存されています。手作業で暗号化した場合は、その時に選んだ印刷物・USBメモリ・ファイルです。回復画面の回復キーIDで、該当するキーを選びます。

BitLockerの回復キーが分からない場合どうすればいいですか？

別の端末から、個人のMicrosoftアカウントと職場のアカウント（マイアカウント）の両方を確認し、会社のPCならヘルプデスクに回復キーIDを伝えて照会します。どこにも保存されていなければ誰も復号できないため、Windowsを初期化してバックアップからデータを戻すことになります。

BitLockerで回復キーが出てくる理由は何ですか？

TPMが起動環境の変化を検知し、暗号化の鍵を渡さなかったためです。BIOSの更新、セキュアブートやTPMの設定変更、USBからの起動、マザーボードの交換、起動時PINの入力ミスなどが代表的な原因です。変化が意図したものなら、回復キーで起動した後に一時停止と再開をすると、新しい状態で封印し直されます。

毎回BitLockerの回復キーを聞かれるのはなぜですか？

起動のたびに、TPMに封印したときと違う状態で起動しているためです。USB機器を挿したままの起動、セキュアブートが無効、BIOS設定の変更が残っている、などが考えられます。回復キーで起動した後にUSB機器を外し、セキュアブートを確認してから一時停止して再起動すると、今の状態で封印し直されます。

まとめ

回復画面は、TPMが起動環境の変化を検知したときの正常な動きで、回復キーIDで正しいキーを選べば開けます。個人のPCはMicrosoftアカウント、会社のPCはEntra IDかADに預けるのが基本で、組織では「預けられるまで暗号化しない」設定、BIOS更新前の一時停止、閲覧権限の絞り込みと監査、使ったキーの入れ替えまでを運用として決めておきます。端末オブジェクトを消すとキーも消えることだけは、棚卸しの担当者と共有しておいてください。

次に読む

• Intuneで始めるWindows端末管理：登録・コンプライアンス・アプリ配布の手順
• PCキッティングを効率化する：Windows Autopilot・イメージ展開・手順書の作り方
• ランサムウェア対策の実践：バックアップ・権限・初動対応を中小企業向けに整理