Processus de récupération BitLocker

Si un appareil ou un lecteur ne parvient pas à se déverrouiller à l’aide du mécanisme BitLocker configuré, les utilisateurs peuvent être en mesure de le récupérer eux-mêmes. Si la récupération automatique n’est pas une option ou si l’utilisateur ne sait pas comment procéder, le support technique doit mettre en place des procédures pour récupérer les informations de récupération rapidement et en toute sécurité.

Cet article décrit le processus d’obtention des informations de récupération BitLocker pour les appareils joints Microsoft Entra, Microsoft Entra joints hybrides et joints à Active Directory. Il est supposé que le lecteur est déjà familiarisé avec la configuration des appareils pour sauvegarder automatiquement les informations de récupération BitLocker et les options de récupération BitLocker disponibles. Pour plus d’informations, consultez l’article Vue d’ensemble de la récupération BitLocker .

Auto-récupération

Le mot de passe de récupération BitLocker et la clé de récupération d’un lecteur de système d’exploitation ou d’un lecteur de données fixe peuvent être enregistrés sur un ou plusieurs périphériques USB, imprimés, enregistrés dans Microsoft Entra ID ou AD DS.

Si la récupération automatique inclut l’utilisation d’un mot de passe ou d’une clé de récupération stockée sur un lecteur flash USB, les utilisateurs doivent être avertis de ne pas stocker le lecteur flash USB au même endroit que l’appareil, en particulier pendant le voyage. Par exemple, si l’appareil et les éléments de récupération se trouvent dans le même sac, il serait facile pour un utilisateur non autorisé d’accéder à l’appareil. Une autre stratégie à prendre en compte consiste à demander aux utilisateurs de contacter le support technique avant ou après l’exécution de la récupération automatique afin que la cause racine puisse être identifiée.

Une clé de récupération ne peut pas être stockée dans l’un des emplacements suivants :

• Le lecteur en cours de chiffrement
• Répertoire racine d’un lecteur non amovible
• Un volume chiffré

Récupération automatique avec mot de passe de récupération

Si vous avez accès à la clé de récupération, entrez les 48 chiffres dans l’écran de récupération de prédémarrage.

• Si vous rencontrez des problèmes lors de l’entrée du mot de passe de récupération dans l’écran de récupération de prédémarrage, ou si vous ne pouvez plus démarrer votre appareil, vous pouvez connecter le lecteur à un autre appareil en tant que lecteur secondaire. Pour plus d’informations sur le processus de déverrouillage, consultez Déverrouiller un lecteur.
• Si le déverrouillage avec le mot de passe de récupération ne fonctionne pas, vous pouvez utiliser l’outil de réparation BitLocker pour récupérer l’accès à votre lecteur

Auto-récupération dans Microsoft Entra ID

Si les clés de récupération BitLocker sont stockées dans Microsoft Entra ID, les utilisateurs peuvent y accéder à l’aide de l’URL suivante : https://myaccount.microsoft.com. Sous l’onglet Appareils , les utilisateurs peuvent sélectionner un appareil Windows dont ils sont propriétaires, puis sélectionner l’option Afficher les clés BitLocker.

Récupération automatique avec un lecteur flash USB

Si les utilisateurs ont enregistré le mot de passe de récupération sur un lecteur USB, ils peuvent brancher le lecteur sur un appareil verrouillé et suivre les instructions. Si la clé a été enregistrée en tant que fichier texte sur le lecteur flash, les utilisateurs doivent utiliser un autre appareil pour lire le fichier texte.

Récupération du support technique

Si un utilisateur n’a pas d’option de récupération en libre-service, le support technique doit être en mesure d’aider l’utilisateur avec l’une des options suivantes :

• Si l’appareil est Microsoft Entra joint ou Microsoft Entra joint hybride, les informations de récupération BitLocker peuvent être récupérées à partir de Microsoft Entra ID
• Si l’appareil est joint à un domaine, les informations de récupération peuvent être récupérées à partir d’Active Directory
• Si l’appareil est configuré pour utiliser une DRA, le lecteur chiffré peut être monté sur un autre appareil en tant que lecteur de données pour que la DRA puisse déverrouiller le lecteur

La liste suivante peut être utilisée comme modèle pour créer un processus de récupération pour la récupération du mot de passe de récupération par le support technique.

Récupération du support technique dans Microsoft Entra ID

Il existe quelques rôles Microsoft Entra ID qui permettent à un administrateur délégué de lire les mots de passe de récupération BitLocker à partir des appareils du locataire. Bien qu’il soit courant pour les organisations d’utiliser les rôles intégrés d’administrateur d’appareil cloud ou d’administrateur du support technique Microsoft Entra ID existants, vous pouvez également créer un rôle personnalisé, en déléguant l’accès aux clés BitLocker à l’aide de l’autorisation microsoft.directory/bitlockerKeys/key/read . Les rôles peuvent être délégués pour accéder aux mots de passe de récupération BitLocker pour les appareils dans des unités administratives spécifiques.

Le centre d’administration Microsoft Entra permet aux administrateurs de récupérer les mots de passe de récupération BitLocker. Pour en savoir plus sur le processus, consultez Afficher ou copier des clés BitLocker. Une autre option pour accéder aux mots de passe de récupération BitLocker consiste à utiliser microsoft API Graph, ce qui peut être utile pour les solutions intégrées ou scriptées. Pour plus d’informations sur cette option, consultez Obtenir bitlockerRecoveryKey.

Dans l’exemple suivant, nous utilisons l’applet de commande Get-MgInformationProtectionBitlockerRecoveryKey Microsoft Graph PowerShell pour créer une fonction PowerShell qui récupère les mots de passe de récupération à partir de Microsoft Entra ID :

function Get-EntraBitLockerKeys{
    [CmdletBinding()]
    param (
        [Parameter(Mandatory = $true, HelpMessage = "Device name to retrieve the BitLocker keys from Microsoft Entra ID")]
        [string]$DeviceName
    )
    $DeviceID = (Get-MGDevice -filter "displayName eq '$DeviceName'").DeviceId
    if ($DeviceID){
      $KeyIds = (Get-MgInformationProtectionBitlockerRecoveryKey -Filter "deviceId eq '$DeviceId'").Id
      if ($keyIds) {
        Write-Host -ForegroundColor Yellow "Device name: $devicename"
        foreach ($keyId in $keyIds) {
          $recoveryKey = (Get-MgInformationProtectionBitlockerRecoveryKey -BitlockerRecoveryKeyId $keyId -Select "key").key
          Write-Host -ForegroundColor White " Key id: $keyid"
          Write-Host -ForegroundColor Cyan " BitLocker recovery key: $recoveryKey"
        }
        } else {
        Write-Host -ForegroundColor Red "No BitLocker recovery keys found for device $DeviceName"
      }
    } else {
        Write-Host -ForegroundColor Red "Device $DeviceName not found"
    }
}

Install-Module Microsoft.Graph.Identity.SignIns -Scope CurrentUser -Force
Import-Module Microsoft.Graph.Identity.SignIns
Connect-MgGraph -Scopes 'BitlockerKey.Read.All' -NoWelcome

Une fois la fonction chargée, elle peut être utilisée pour récupérer les mots de passe de récupération BitLocker pour un appareil spécifique. Exemple :

PS C:\> Get-EntraBitLockerKeys -DeviceName DESKTOP-53O32QI
Device name: DESKTOP-53O32QI
 Key id: 4290b6c0-b17a-497a-8552-272cc30e80d4
 BitLocker recovery key: 496298-461032-321464-595518-463221-173943-033616-139579
 Key id: 045219ec-a53b-41ae-b310-08ec883aaedd
 BitLocker recovery key: 158422-038236-492536-574783-256300-205084-114356-069773

Récupération du support technique dans services de domaine Active Directory

Pour exporter un mot de passe de récupération à partir d’AD DS, vous devez disposer d’un accès en lecture aux objets stockés dans AD DS. Par défaut, seuls les administrateurs de domaine ont accès aux informations de récupération BitLocker, mais l’accès peut être délégué à des principaux de sécurité spécifiques.

Pour faciliter la récupération des mots de passe de récupération BitLocker à partir d’AD DS, vous pouvez utiliser l’outil Visionneuse de mot de passe de récupération BitLocker . L’outil est inclus dans les outils d’administration de serveur distant (RSAT) et il s’agit d’une extension pour le composant logiciel enfichable Utilisateurs et ordinateurs Active Directory Console de gestion Microsoft (MMC).

Avec la visionneuse de mot de passe de récupération BitLocker, vous pouvez :

• Vérifier les propriétés de l’objet ordinateur Active Directory pour récupérer les mots de passe de récupération BitLocker associés
• Rechercher le mot de passe de récupération BitLocker dans Active Directory dans tous les domaines de la forêt Active Directory

Les procédures suivantes décrivent les tâches les plus courantes effectuées à l’aide de la visionneuse du mot de passe de récupération BitLocker.

Afficher les mots de passe de récupération d’un objet ordinateur

1. Ouvrez Utilisateurs et ordinateurs Active Directory composant logiciel enfichable MMC, puis sélectionnez le conteneur ou l’unité d’organisation dans lequel se trouvent les objets ordinateur.
2. Cliquez avec le bouton droit sur l’objet ordinateur, puis sélectionnez Propriétés
3. Dans la boîte de dialogue Propriétés , sélectionnez l’onglet Récupération BitLocker pour afficher les mots de passe de récupération BitLocker associés à l’ordinateur

Localiser un mot de passe de récupération à l’aide d’un ID de mot de passe

1. Dans Utilisateurs et ordinateurs Active Directory, cliquez avec le bouton droit sur le conteneur de domaine et sélectionnez Rechercher le mot de passe de récupération BitLocker
2. Dans la boîte de dialogue Rechercher le mot de passe de récupération BitLocker , tapez les huit premiers caractères du mot de passe de récupération dans la zone ID de mot de passe (8 premiers caractères), puis sélectionnez Rechercher

Agents de récupération de données

Si les appareils sont configurés avec une DRA, le support technique peut utiliser la DRA pour déverrouiller le lecteur. Une fois que le lecteur BitLocker est attaché à un appareil disposant de la clé privée du certificat DRA, le lecteur peut être déverrouillé à l’aide de la manage-bde.exe commande .

Par exemple, pour répertorier la DRA configurée pour un lecteur protégé par BitLocker, utilisez la commande suivante :

C:\>manage-bde.exe -protectors -get D:

Volume D: [Local Disk]
All Key Protectors

    Data Recovery Agent (Certificate Based):
      ID: {3A8F7DEA-878F-4663-B149-EE2EC9ADE40B}
      Certificate Thumbprint:
        f46563b1d4791d5bd827f32265341ff9068b0c42

Si la clé privée du certificat avec une empreinte numérique est disponible dans le magasin de f46563b1d4791d5bd827f32265341ff9068b0c42 certificats local, un administrateur peut utiliser la commande suivante pour déverrouiller le lecteur avec le protecteur DRA :

manage-bde -unlock D: -Certificate -ct f46563b1d4791d5bd827f32265341ff9068b0c42

Tâches post-récupération

Lorsqu’un volume est déverrouillé à l’aide d’un mot de passe de récupération :

• un événement est écrit dans le journal des événements
• Les mesures de validation de la plateforme sont réinitialisées dans le module de plateforme sécurisée pour qu’elles correspondent à la configuration actuelle
• la clé de chiffrement est libérée et prête pour le chiffrement/déchiffrement à la volée lorsque les données sont écrites/lues vers et à partir du volume

Une fois le volume déverrouillé, BitLocker se comporte de la même manière, quelle que soit la façon dont l’accès a été accordé.

Si un appareil rencontre plusieurs événements de mot de passe de récupération, un administrateur doit effectuer une analyse post-récupération pour déterminer la cause racine de la récupération. Ensuite, actualisez la validation de la plateforme BitLocker pour empêcher l’entrée d’un mot de passe de récupération chaque fois que l’appareil démarre.

Déterminer la cause première de la récupération

Si un utilisateur a besoin de récupérer le lecteur, il est important de déterminer la cause racine qui a lancé la récupération dès que possible. L’analyse correcte de l’état de l’ordinateur et la détection des falsifications peuvent révéler des menaces qui ont des implications plus larges pour la sécurité de l’entreprise.

Bien qu’un administrateur puisse examiner à distance la cause de la récupération dans certains cas, l’utilisateur peut avoir besoin d’amener l’appareil qui contient le lecteur récupéré sur site pour analyser la cause racine plus en détail. Voici quelques questions qui peuvent être utilisées pour vous aider à déterminer la cause racine de la récupération :

Pour répondre à ces questions, vous pouvez utiliser la manage-bde.exe -status commande pour afficher la configuration et le mode de protection actuels. Analysez le journal des événements pour rechercher les événements qui permettent d’indiquer pourquoi la récupération a été lancée (par exemple, si une modification du fichier de démarrage s’est produite).

Résoudre la cause première

Une fois que vous avez identifié la cause de la récupération, la protection BitLocker peut être réinitialisée pour éviter la récupération à chaque démarrage.

Les détails de la réinitialisation peuvent varier en fonction de la cause racine de la récupération. Si la cause racine ne peut pas être déterminée, ou si un logiciel malveillant ou un rootkit infecte l’appareil, le support technique doit appliquer des stratégies de virus recommandées pour réagir de manière appropriée.

Faire pivoter les mots de passe

Les administrateurs peuvent configurer un paramètre de stratégie pour activer la rotation automatique du mot de passe de récupération pour Microsoft Entra appareils joints et Microsoft Entra joints hybrides.
Lorsque la rotation automatique du mot de passe de récupération est activée, les appareils font pivoter automatiquement le mot de passe de récupération une fois que le mot de passe est utilisé pour déverrouiller le lecteur. Ce comportement permet d’empêcher l’utilisation multiple du même mot de passe de récupération, ce qui peut constituer un risque pour la sécurité.

Pour plus d’informations, consultez Configurer la rotation du mot de passe de récupération.

Une autre option consiste à lancer la rotation des mots de passe de récupération pour des appareils individuels à l’aide de Microsoft Intune ou de Microsoft Configuration Manager.

Pour en savoir plus sur la rotation des mots de passe de récupération BitLocker à l’aide de Microsoft Intune ou de Microsoft Configuration Manager, consultez :

• documentation Microsoft Intune
• documentation Microsoft Configuration Manager

Outil de réparation BitLocker

Si les méthodes de récupération décrites plus haut dans ce document ne déverrouillent pas le volume, l’outil de réparation BitLocker (repair-bde.exe) peut être utilisé pour déchiffrer le volume au niveau du bloc. L’outil utilise le package de clés BitLocker pour récupérer des données chiffrées à partir de lecteurs gravement endommagés.

Les données récupérées peuvent ensuite être utilisées pour récupérer des données chiffrées, même si le mot de passe de récupération correct ne parvient pas à déverrouiller le volume endommagé. Il est recommandé d’enregistrer le mot de passe de récupération, car un package de clé ne peut pas être utilisé sans le mot de passe de récupération correspondant.

Utilisez l’outil De réparation dans les conditions suivantes :

• Le lecteur est chiffré à l’aide de BitLocker
• Windows ne démarre pas ou l’écran de récupération BitLocker ne démarre pas
• Il n’existe pas de copie de sauvegarde des données contenues sur le lecteur chiffré

Les limitations suivantes existent pour Repair-bde :

• il ne peut pas réparer un lecteur qui a échoué pendant le processus de chiffrement ou de déchiffrement
• il suppose que si le lecteur a un chiffrement, le lecteur est entièrement chiffré

Pour obtenir la repair-bde.exe liste complète des options, consultez la référence Repair-bde.