so-zou.jp

BitLocker

導入

BitLockerを利用するための要件

システムの整合性を検証するには、TPM 1.2以降が必要です。これが有効かどうかは、tpm.mscで確認できます。どうすればコンピューターに TPM が取り付けられていることを確認できますか。 - BitLocker の概要と要件に関する FAQ (Windows 10) - Windows security | Microsoft Learn

容量

対象のドライブの容量が小さいと「ドライブは容量が小さいため、BitLocker ドライブ暗号化を使用して保護できません。(The drive is too small to be protected using BitLocker Drive Encryption.)」として、BitLockerを有効にできません。その制限の正確な値は不明ですが、試したところ54.7MB (57,425,920bytes) では可能でしたが、それ未満ではエラーとなりました。Why does BitLocker need a minimum volume size of 64 MB? - Super User

パスワードの長さ

パスワードの長さは、既定では任意の文字で8文字以上とされています。これはグループ ポリシーの、[リムーバブル データ ドライブのパスワードの使用を構成する]および[固定データ ドライブのパスワードの使用を構成する]で変更できます。BitLocker で使用されるグループ ポリシー設定

BitLocker導入による影響

BitLocker導入によるパフォーマンスの低下は、10%未満とされています。コンピューターで BitLocker を有効にすると、パフォーマンスに顕著な影響がありますか。 - BitLocker に関してよく寄せられる質問 (FAQ) (Windows 10)

• ASCII.jp：Vistaの暗号化機能 BitLockerを本気で試してみた (6/6)｜ここが変わったWindows Vista 100連発！ 小西利明 (2008/07/06)

BitLockerの有効化 (ボリュームの暗号化)

エクスプローラで対象のドライブを右クリックし、[BitLocker を有効にする]を実行します。この処理は、[BitLockerの管理]から途中でキャンセルできます。Anyone know if its possible to cancel the "encrypting" process - Microsoft Community

BitLockerが対象とできるのはボリューム (パーティション) のみです。フォルダを対象とするならば仮想ハードディスクを作成するか、EFSで暗号化します。

BitLockerの有効化には、ドライブの速度やサイズ、それにプロセッサーの性能などによっては非常に時間がかかることがあります。BitLocker を有効にしたとき、最初の暗号化にはどれくらいの時間がかかりますか。 - BitLocker の展開と管理についてよく寄せられる質問 (Windows 10) - Microsoft 365 Security | Microsoft Learn

有効化が完了するまでコントロールパネルでは「BitLocker が暗号化中です」と表示されます。

ロック解除方法

• パスワード (password)
• スマート カード (smart card)

設定したパスワードは、[BitLockerの管理]から変更できます。

パスワードに対してはロックアウトの仕組みがないため、総当たり攻撃 (brute force attack) で解読される恐れがあります。BitLocker キー 保護機能 - BitLocker 計画ガイド | Microsoft Learn

パスワードまたはスマート カード紛失時の、回復キー (recovery key) のバックアップ方法

• Microsoftアカウントに保存
• ファイルに保存
• 印刷

暗号化の範囲

• 使用済みの領域のみ暗号化する (新しい PC およびドライブの場合にはより高速で最適) ^※1
• ドライブ全体を暗号化する (低速、既に使用中の PC およびドライブ向け)

※1 削除したことで未使用となっている領域は、暗号化されません。

暗号化モード (encryption mode)

• 新しい暗号化モード (このデバイスの固定ドライブに最適) … XTS-AES ^※1
• 互換モード (このデバイスから取り外すことができるドライブに最適) … AES

※1 Windows 10のバージョン1511 (2015/11公開) 以降で使用可能。それより前の環境ではロック解除できず、パスワードが間違っているとして解除に失敗する。 BitLocker の新機能 (Windows) | TechNet

暗号化モードを変更する方法は提供されていないため、その必要があるときはBitLockerを無効にした上で、再度設定します。

BitLockerの無効化

[BitLockerの管理]の[BitLockerを無効にする]から、BitLockerを無効にし暗号化を解除できます。

設定の確認

どのような設定でBitLockerを適用したかは、

manage-bde -status ドライブ文字:

とすることで後から確認でき、それは下表のような内容です。

項目	内容
サイズ (Size)	*** GB
BitLocker のバージョン (BitLocker Version)	*** なし
変換状態 (Conversion Status)	完全に暗号化されています 使用領域のみ暗号化 暗号化は完全に解除されています 暗号化を実行中です 不明
暗号化された割合 (Percentage Encrypted)	***%
暗号化の方法 (Encryption Method)	XTS-AES 128 AES 128 なし
保護状態 (Protection Status)	保護はオンです 保護はオフです 不明
ロック状態 (Lock Status)	ロック ロック解除
識別子フィールド (Identification Field)	*** なし 不明
自動ロック解除 (Automatic Unlock)	*** 無効
キーの保護機能 (Key Protectors)	見つかりません
パスワード (Password)
数字パスワード (Numerical Password)

ロックされた状態では、多くの項目が「不明」と表示されます。

ロックの解除 (暗号化データへのアクセスを許可)

エクスプローラーでロックされたドライブへアクセスします。そうするとパスワードを求めるダイアログが表示されるため、それに入力します。

またはコマンドプロンプトから

manage-bde -unlock ドライブ文字: -pw

とするとパスワードの入力を求められるため、そこで入力します。そのとき存在しないドライブを指定すると、「エラー: エラーが発生しました (コード 0x80070057):」「パラメーターが間違っています。」と返されます。

パスワードはコマンドでは指定できません。-RecoveryPassword (-rp) オプションで指定できるのは回復パスワード (Recovery Password) であり、-Password (-pw) オプションで指定するパスワード (Password) とは異なります。これをコマンドで指定するにはWindows PowerShellのUnlock-BitLocker

Unlock-BitLocker
      [-MountPoint] <String[]>
      -Password <SecureString>
      [-WhatIf]
      [-Confirm]
      [<CommonParameters>]

Syntax - Unlock-BitLocker (BitLocker) | Microsoft Learn

を用いて、

PS C:\> $SecureString = ConvertTo-SecureString "fjuksAS1337" -AsPlainText -Force
PS C:\> Unlock-BitLocker -MountPoint "E:" -Password $SecureString

のように指定します。Example 1: Unlock a volume - Unlock-BitLocker (BitLocker) | Microsoft Learn

入力したパスワードの確認

パスワードの入力時、入力欄の右のアイコン (パスワードの表示ボタン) をクリックすることで、入力したパスワードを確認できます。Windows 10以降、これはAlt + F8のショートカットでも可能です。Password reveal mode - PasswordBox Class (Windows.UI.Xaml.Controls) - UWP app developer | Microsoft Learn

ただしこのアイコンは、ローカル グループ ポリシー エディターの【コンピュータの構成 (またはユーザーの構成) → 管理用テンプレート → Windows コンポーネント → 資格情報のユーザー インターフェイス】にある[[パスワードの表示] ボタンを非表示にする]が有効になっていると表示されません。Display password (password reveal button) keyboard shortcut - Ondrej Sevecek's English Pages

明示的なロック (再ロック / 暗号化データへのアクセスを禁止)

通常はOSをシャットダウンするかドライブを取り外すことで、自動的にロックされます。これを明示的にロックするには、管理者権限でコマンドプロンプトを起動し

manage-bde -lock ドライブ文字:

とします。Manage-bde: lock | TechNet

そのとき、

エラー: ボリュームをロックしようとしてアクセスが拒否されました。
アプリケーションがこのボリュームにアクセスしている可能性があります
(コード 0x80070005)。

ボリュームが使用中でもボリュームをロックするには、"-ForceDismount"
パラメーターを追加してください。

として失敗するならば、Process Explorerなどでこのボリュームにアクセスしているアプリケーションを特定し、終了させます。または強制的にロックしても問題ないならば、指示に従い-ForceDismountまたは-fdパラメータを付けて

manage-bde -lock ドライブ文字: -fd

のようにロックします。

ロックの処理はWindows PowerShellではLock-BitLocker

Lock-BitLocker
    [-MountPoint] <String[]>
    [-ForceDismount]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Syntax - Lock-BitLocker (BitLocker) | Microsoft Learn

を用いて、

PS C:\> Lock-BitLocker -MountPoint ドライブ文字

とします。Example 1: Lock a volume - Lock-BitLocker (BitLocker) | Microsoft Learn

• データ ドライブを「ロック」するにはどうすればよいですか。 - BitLocker に関してよく寄せられる質問 (FAQ) (Windows) | TechNet
• Hot to lock the Bitlocker encrypted drive without restarting - Microsoft Community

コマンドライン ツール

• Manage-bde … BitLockerの有効・無効や、ドライブの管理
• BdeHdCfg … BitLocker暗号化に必要なパーティションの準備
• Repair-bde … 破損したBitLockerドライブの復旧

BitLocker コマンド ライン ツール | TechNet

Manage-bde

BDE (BitLocker Drive Encryption)

manage-bde -parameter [引数]

Manage-bde.exe Parameter Reference

パラメータ	説明
-status	BitLocker対応ボリュームに関する情報を指定
-on	ボリュームを暗号化し、BitLocker保護をオン
-off	ボリュームの暗号化を解除し、BitLocker保護をオフ
-pause	暗号化、暗号化の解除、または空き領域のワイプを一時停止
-resume	暗号化、暗号化の解除、または空き領域のワイプを再開
-lock	BitLocker暗号化データへのアクセスを禁止
-unlock	BitLocker暗号化データへのアクセスを許可
-autounlock	データ ボリュームの自動ロック解除を管理
-protectors	暗号化キーの保護方法を管理
-SetIdentifier (-si)	ボリュームの識別子フィールドを構成
-ForceRecovery (-fr)	再起動時にBitLockerで保護されたOSが回復するようにする
-changepassword	データ ボリュームのパスワードを変更
-changepin	ボリュームのPINを変更
-changekey	ボリュームのスタートアップ キーを変更
-KeyPackage (-kp)	ボリュームのキー パッケージを生成
-upgrade	BitLockerのバージョンをアップグレード
-WipeFreeSpace (-w)	ボリュームの空き領域をワイプ
-ComputerName (-cn)	別のコンピューター上で実行。例: "ComputerX"、"127.0.0.1"
-? (/?)	簡単なヘルプを表示。例: "-ParameterSet -?"
-Help (-h)	完全なヘルプを表示。例: "-ParameterSet -h"

Manage-bde | TechNet

保護の中断 (Suspend protection)

暗号化による保護はそのままに、パスワードなしでもアクセスできるようにします。

manage-bde -protectors -disable C:

コントロールパネルからは[BitLocker ドライブ暗号化]のページで、対象のドライブの[保護の中断]を選択します。BitLocker 保護を一時的に中断（停止）したい（文書番号：a50097） | 日本HP LIVEサポートナビ

保護を中断するときには「中断するとデータは保護されなくなります。PC のファームウェア、ハードウェア、またはオペレーティング システムを更新する場合は、BitLocker の一時的な中断が必要となることがあります。BitLocker 保護の再開を忘れた場合は、次に PC を再起動するときに自動的に保護が再開されます。」と確認されます。

Repair-bde

repair-bde InputVolume OutputVolumeorImage [-rk] [–rp] [-pw] [–kp] [–lf] [-f] [{-?|/?}]

Repair-bde.exe Parameter Reference | Microsoft Learn

以下の制約があります。

• 暗号化、復号の処理中に失敗したドライブは修復できない。
• ドライブ全体が暗号化されていると想定する。

出力先のドライブには、入力元ドライブ以上の容量が必要です。さもなくば「エラー: 修復を実行ための十分な空き領域が出力ボリュームにありません。」として処理に失敗します。

出力先ドライブの情報は、すべて上書きされます。

C:\>repair-bde d: e: -pw -lf c:\log.txt

このボリュームをロック解除するためのパスワードを入力します:
BitLocker メタデータのスキャンを開始しています。

ブート セクターでメタデータへのポインターをスキャンしています: 100%
BitLocker メタデータのスキャンが完了しました。
暗号化解除を開始しています。
暗号化を解除しています: 100% 完了。
暗号化解除が完了しました。

必要な操作: 暗号化解除されたデータを表示する前に、'chkdsk e: /f' を実行してください。

特定のボリュームの暗号化

特定のボリュームにBitLockerを適用する方法に、別名が付けられています。

	対応するエディション	対象	有効化の方法	暗号化の方法
BitLocker	Pro以上	任意のボリューム	手動	XTS-AES 128またはAES 128
BitLocker To Go	Homeは復号化のみ	リムーバブル ドライブのボリューム
デバイスの暗号化	すべて	既定のボリューム	自動	XTS-AES 128

ASCII.jp：Windows 11 24H2では「デバイスの暗号化」の条件が変わり、より多くのPCでドライブが暗号化される (1/2) 塩田紳二 (2024/10/20)

BitLocker To Go

BitLocker To Goとは、USBメモリなどのリムーバブル ドライブにBitLockerを適用する機能です。

BitLocker To Go リーダー (BitLocker To Go Reader)

BitLocker To Go リーダーとは、BitLocker非対応の環境でBitLockerのデータを読み取れるようにするアプリケーションです。BitLocker To Go リーダーとは

自動ロック解除 (Auto-unlock)

パスワード入力時に[その他のオプション]をクリックし、[このPCで自動的にロックを解除する]をチェックすることで、同一PCでのパスワードの入力を省略することができます。

設定した自動ロック解除を取り消すには、エクスプローラーでそのドライブを右クリックし[BitLockerの管理]を選択します。そしてそのドライブの設定にある[自動ロック解除の無効化]をクリックします。

デバイスの暗号化 (Device encryption)

デバイスの暗号化はOSドライブと固定ドライブだけを対象としたBitLockerで、暗号化の方法もXTS-AES 128-bitに限定されます。また変換状態は[使用領域のみ暗号化]となります。 デバイスの暗号化 - BitLocker の概要 | Microsoft Learn

メーカーによりこれが有効にされていると、Microsoftアカウントにサインインした時点で適用されます。または設定の【プライバシーとセキュリティ → デバイスの暗号化】で[オン]を選択することでも適用できます。

デバイスの暗号化が表示されない

[デバイスの暗号化]の項目が表示されないならば、管理者のアカウントでサインインしていることを確認します。それでも表示されないならばシステム情報の[システムの要約] → [自動デバイスの暗号化サポート (デバイス暗号化のサポート)]が、[前提条件を満たしています]となっているか確認します。デバイスの暗号化が表示されない - Microsoft Q&A

暗号化がサポートされない原因は、そこで"デバイスの自動暗号化が失敗した理由"として示されます。

• PCR7 バインドはサポートされていません TPMとBitLockerを使用すると「Platform Configuration Register 7 Binding Not Possible」というメッセージが表示される | Dell 日本
• 許可されていない DMA 対応バス/デバイスが検出されました

デバイスの暗号化を利用できなくてもProエディション以上ならば、通常のBitLockerで暗号化できます。

Microsoftアカウントでのサインインを求められる

「このデバイスの暗号化を完了するには、Microsoft アカウントでサインインしてください。」と表示されるときは、BitLockerは有効になっているが回復キーが作成されていない状態です。このときコントロールパネルでは「アクティブ化を待機中」と表示されるため、そこで[BitLocker を有効にする]をクリックし回復キーをバックアップし、続けてBitLockerをアクティブ化します。FMV Q&A - [Windows 11] Windowsのセットアップ後、デバイスの暗号化の回復キーが取得できません。 - FMVサポート : 富士通パソコン

コントロールパネルからアクティブ化しても設定の「このデバイスの暗号化を完了するには…」の表示は消えませんが、コントロールパネルおよびManage-bdeで、暗号化が完了していることを確認できます。

トラブル対処法

暗号化できない

「アクセスが拒否されました。」としてBitLockerを有効にできないとき、そのPCをリモートで操作しているならば、リモートではなく直接操作します。

「ドライブ暗号化アルゴリズムは、このセクター サイズでは使用できません。」として暗号化に失敗するときには、暗号化モードを互換モードにしてみます。

暗号化の途中で、ドライブが切断された

暗号化の途中でドライブが切断されても、再接続すれば暗号化は途中から再開されます。そのとき進捗のダイアログは表示されませんが、manage-bde -statusのコマンドで暗号化された割合を確認できます。

暗号化するとき、99.9%で停止する

あせらず待ちます。

パスワード入力欄が表示されない

パスワード入力欄が表示されず、入力状態を確認できないことがあります。

異常	正常

フォーカスが入力欄にあれば、そのままパスワードを入力してロックを解除できますが、入力できているかどうか確認できないのは不便です。この状態は[その他のオプション]をクリックすることで改善できます。それにはウィンドウ中段の[その他のオプション]が表示されていると推測される位置をクリックするか、Tabキーで[ロック解除]にフォーカスを合わせてからTab、Tab、Spaceの順にキーを押下します。

アクセスできない

場所が利用できない

「場所が利用できません」「*** にアクセスできません。アクセスが拒否されました。」としてBitLockerで暗号化したドライブにアクセスできないときには、コマンドプロンプトからロックの解除を試みます。

その結果「エラー: ボリュームは既にロックが解除されています。」として失敗するときは、BitLockerではなくアクセス権が原因です。

PC またはドライブ自体に問題がある

「PC またはドライブ自体に問題があるため、BitLocker はこのドライブにアクセスできません。エラー コード: 0x80070015」

この0x80070015はERROR_NOT_READYのエラー コードであり、「デバイスの準備ができていません。(The device is not ready.)」を意味します。

ロックを解除できない

新しい暗号化モードになっているドライブをWindows 10 1511より前の環境で解除しようとすると、パスワードが正しくても[入力されたパスワードは間違っています。]として解除に失敗します。この場合には新しい環境で解除を試みます。

ロックを解除後に開けない

「BitLocker ドライブ暗号化で保護されたドライブは既にロック解除されています。」としてドライブを開けないときには、コンテキストメニューから[開く]を実行します。これはそのメニューの[ドライブのロックを解除]が、既定の動作から変更されないのが原因です。この状態は、エクスプローラを再起動することで解決できます。

互換性がない

ロックを解除しようとしたとき「このドライブの BitLocker 暗号化は、使用中の Windows バージョンと互換性がありません。新しいバージョンの Windows を使用してドライブを開いてください。」として、アクセスを拒否されることがあります。そのときロックの解除を試みたPCが暗号化したPCと同一ならば、Windowsのバージョンの問題ではなく、ボリュームに問題が発生している可能性があるためイベントを確認します。

1. ソース Microsoft-Windows-BitLocker-Driver / ID 24615 : メタデータの初期の読み取り: ボリューム n: 上にプライマリ メタデータ レコードが見つかりませんでした。ボリュームを回復する必要があります。
2. ソース Microsoft-Windows-BitLocker-Driver / ID 24655 : BitLocker ドライバーは、ボリューム n: のメタデータに対する自己復旧操作を開始しました。

アクティブ化を待機中となっている

コントロールパネルで「BitLockerはアクティブ化を待機中です (waiting for activation)」と表示される場合、BitLockerは有効になっているものの回復キーが作成されていないため、ドライブは安全な状態ではありません。Checking BitLocker status with the control panel - BitLocker basic deployment (Windows 10) - Microsoft 365 Security | Microsoft Learn

このときディスクの管理では「BitLockerで暗号化済み」、Manage-bdeでは

• 保護状態:保護はオフです
• ロック状態:ロック解除

と表示されます。

この状態を解消するには[BitLocker を有効にする]から回復キーを追加するか、これが意図したものでなければ管理者権限を持つユーザーの【設定 → デバイスの暗号化】にある[オフにする]から、これを無効にします。デバイスの暗号化を有効にする

回復キーがわからない

既定でデバイスの暗号化によりBitLockerが適用されているときは回復キーがバックアップされていないため、手動でバックアップする必要があります。それにはコントロールパネルの【システムとセキュリティ → BitLocker ドライブ暗号化】の各ドライブの[回復キーのバックアップ (Back up your recovery key)]からバックアップを取れるため、それで回復キーを得られます。【Windows 11便利テク】知らないと“いざ”というときに詰む「BitLocker回復キー」 - PC Watch 清水理史 (2022/04/29)

BitLocker 回復キーを見つける - Microsoft サポート

• Microsoft Office
  • Excel
  • Word
  • Access
• LibreOffice
• システム
  • コマンドプロンプト
  • AutoHotKey
• 仮想化
  • VirtualBox
  • Hyper-V
• ファイル
  • エクスプローラ
• セキュリティ
  • Eraser
• ネットワーク
  • リモートデスクトップ
• 研究・学習
  • EBWin
• 文書作成・閲覧
  • Adobe Acrobat
  • Foxit PhantomPDF
• インプットメソッド
  • IME
    • ATOK
• 画像
  • Paint Shop Pro
• 音声
  • foobar2000
• 動画
  • VLC media player
• 地図
• ユーティリティ

• お問い合わせ
• プライバシーポリシー
• サイトマップ