BitLocker 복구 프로세스

구성된 BitLocker 메커니즘을 사용하여 디바이스 또는 드라이브의 잠금을 해제하지 못하면 사용자가 자체 복구할 수 있습니다. 자체 복구가 옵션이 아니거나 사용자가 진행 방법을 잘 모르는 경우 기술 지원팀에는 복구 정보를 빠르고 안전하게 검색하는 절차가 있어야 합니다.

이 문서에서는 조인된 Microsoft Entra, Microsoft Entra 하이브리드 조인 및 Active Directory 조인 디바이스에 대한 BitLocker 복구 정보를 가져오는 프로세스를 간략하게 설명합니다. 판독기는 BitLocker 복구 정보 및 사용 가능한 BitLocker 복구 옵션을 자동으로 백업하도록 디바이스를 구성하는 데 이미 익숙하다고 가정합니다. 자세한 내용은 BitLocker 복구 개요 문서를 참조하세요.

자체 복구

운영 체제 드라이브 또는 고정 데이터 드라이브에 대한 BitLocker 복구 암호 및 복구 키를 하나 이상의 USB 디바이스에 저장하고 인쇄하여 Microsoft Entra ID 또는 AD DS에 저장할 수 있습니다.

자체 복구에 USB 플래시 드라이브에 저장된 암호 또는 복구 키 사용이 포함된 경우 특히 여행 중에 장치와 동일한 장소에 USB 플래시 드라이브를 저장하지 말라는 경고를 받아야 합니다. 예를 들어 디바이스와 복구 항목이 모두 동일한 모음에 있는 경우 권한이 없는 사용자가 디바이스에 쉽게 액세스할 수 있습니다. 고려해야 할 또 다른 정책은 근본 원인을 식별할 수 있도록 사용자가 자체 복구를 수행하기 전이나 후에 기술 지원팀에 문의하도록 하는 것입니다.

복구 키는 다음 위치에 저장할 수 없습니다.

• 암호화되는 드라이브
• 이동 불가능한 드라이브의 루트 디렉터리
• 암호화된 볼륨

복구 암호를 사용하여 자체 복구

복구 키에 액세스할 수 있는 경우 미리 부팅 복구 화면에 48자리를 입력합니다.

• 시험판 복구 화면에서 복구 암호를 입력하는 데 문제가 있거나 더 이상 디바이스를 부팅할 수 없는 경우 드라이브를 다른 디바이스에 보조 드라이브로 연결할 수 있습니다. 잠금 해제 프로세스에 대한 자세한 내용은 드라이브 잠금 해제를 참조하세요.
• 복구 암호로 잠금 해제가 작동하지 않는 경우 BitLocker 복구 도구를 사용하여 드라이브에 대한 액세스 권한을 다시 얻을 수 있습니다.

Microsoft Entra ID 자체 복구

BitLocker 복구 키가 Microsoft Entra ID 저장된 경우 사용자는 URLhttps://myaccount.microsoft.com을 사용하여 액세스할 수 있습니다. 디바이스 탭에서 사용자가 소유한 Windows 디바이스를 선택하고 BitLocker 키 보기 옵션을 선택할 수 있습니다.

USB 플래시 드라이브를 사용하여 자체 복구

사용자가 USB 드라이브에 복구 암호를 저장한 경우 드라이브를 잠긴 디바이스에 연결하고 지침을 따를 수 있습니다. 키를 플래시 드라이브에 텍스트 파일로 저장한 경우 사용자는 다른 디바이스를 사용하여 텍스트 파일을 읽어야 합니다.

기술 지원팀 복구

사용자에게 셀프 서비스 복구 옵션이 없는 경우 기술 지원팀은 다음 옵션 중 하나를 사용하여 사용자를 지원할 수 있어야 합니다.

• 디바이스가 Microsoft Entra 조인되었거나 하이브리드 조인을 Microsoft Entra 경우 bitLocker 복구 정보를 Microsoft Entra ID
• 디바이스가 도메인에 가입된 경우 Active Directory에서 복구 정보를 검색할 수 있습니다.
• 디바이스가 DRA를 사용하도록 구성된 경우 암호화된 드라이브를 다른 디바이스에 DRA의 데이터 드라이브 로 탑재하여 드라이브 잠금을 해제할 수 있습니다.

다음 목록은 기술 지원팀에서 복구 암호 검색을 위한 복구 프로세스를 만들기 위한 템플릿으로 사용할 수 있습니다.

Microsoft Entra ID 지원팀 복구

위임된 관리자가 테넌트에서 디바이스에서 BitLocker 복구 암호를 읽을 수 있도록 하는 몇 가지 Microsoft Entra ID 역할이 있습니다. 조직에서 기존 Microsoft Entra ID 클라우드 디바이스 관리자 또는 기술 지원팀 관리자 기본 제공 역할을 사용하는 것이 일반적이지만 권한을 사용하여 microsoft.directory/bitlockerKeys/key/read BitLocker 키에 대한 액세스를 위임하는 사용자 지정 역할을 만들 수도 있습니다. 역할은 특정 관리 단위의 디바이스에 대한 BitLocker 복구 암호에 액세스하도록 위임할 수 있습니다.

이 Microsoft Entra 관리 센터 관리자가 BitLocker 복구 암호를 검색할 수 있습니다. 프로세스에 대한 자세한 내용은 BitLocker 키 보기 또는 복사를 참조하세요. BitLocker 복구 암호에 액세스하는 또 다른 옵션은 통합 또는 스크립팅된 솔루션에 유용할 수 있는 Microsoft Graph API 사용하는 것입니다. 이 옵션에 대한 자세한 내용은 BitlockerRecoveryKey 가져오기를 참조하세요.

다음 예제에서는 Microsoft Graph PowerShell cmdlet Get-MgInformationProtectionBitlockerRecoveryKey 을 사용하여 Microsoft Entra ID 복구 암호를 검색하는 PowerShell 함수를 빌드합니다.

function Get-EntraBitLockerKeys{
    [CmdletBinding()]
    param (
        [Parameter(Mandatory = $true, HelpMessage = "Device name to retrieve the BitLocker keys from Microsoft Entra ID")]
        [string]$DeviceName
    )
    $DeviceID = (Get-MGDevice -filter "displayName eq '$DeviceName'").DeviceId
    if ($DeviceID){
      $KeyIds = (Get-MgInformationProtectionBitlockerRecoveryKey -Filter "deviceId eq '$DeviceId'").Id
      if ($keyIds) {
        Write-Host -ForegroundColor Yellow "Device name: $devicename"
        foreach ($keyId in $keyIds) {
          $recoveryKey = (Get-MgInformationProtectionBitlockerRecoveryKey -BitlockerRecoveryKeyId $keyId -Select "key").key
          Write-Host -ForegroundColor White " Key id: $keyid"
          Write-Host -ForegroundColor Cyan " BitLocker recovery key: $recoveryKey"
        }
        } else {
        Write-Host -ForegroundColor Red "No BitLocker recovery keys found for device $DeviceName"
      }
    } else {
        Write-Host -ForegroundColor Red "Device $DeviceName not found"
    }
}

Install-Module Microsoft.Graph.Identity.SignIns -Scope CurrentUser -Force
Import-Module Microsoft.Graph.Identity.SignIns
Connect-MgGraph -Scopes 'BitlockerKey.Read.All' -NoWelcome

함수가 로드되면 특정 디바이스에 대한 BitLocker 복구 암호를 검색하는 데 사용할 수 있습니다. 예제:

PS C:\> Get-EntraBitLockerKeys -DeviceName DESKTOP-53O32QI
Device name: DESKTOP-53O32QI
 Key id: 4290b6c0-b17a-497a-8552-272cc30e80d4
 BitLocker recovery key: 496298-461032-321464-595518-463221-173943-033616-139579
 Key id: 045219ec-a53b-41ae-b310-08ec883aaedd
 BitLocker recovery key: 158422-038236-492536-574783-256300-205084-114356-069773

Active Directory Domain Services 기술 지원팀 복구

AD DS에서 복구 암호를 내보내려면 AD DS에 저장된 개체에 대한 읽기 권한이 있어야 합니다. 기본적으로 도메인 관리자 만 BitLocker 복구 정보에 액세스할 수 있지만 특정 보안 주체에 대한 액세스 권한을 위임할 수 있습니다 .

AD DS에서 BitLocker 복구 암호를 쉽게 검색하려면 BitLocker 복구 암호 뷰어 도구를 사용할 수 있습니다. 이 도구는 RSAT(원격 서버 관리 도구)에 포함되어 있으며 Active Directory 사용자 및 컴퓨터 MMC(Microsoft Management Console) 스냅인용 확장입니다.

BitLocker 복구 암호 뷰어를 사용하면 다음을 수행할 수 있습니다.

• Active Directory 컴퓨터 개체의 속성을 확인하여 연결된 BitLocker 복구 암호를 검색합니다.
• Active Directory 포리스트의 모든 도메인에서 BitLocker 복구 암호에 대한 Active Directory 검색

다음 절차에서는 BitLocker 복구 암호 뷰어를 사용하여 수행하는 가장 일반적인 작업을 설명합니다.

컴퓨터 개체의 복구 암호 보기

1. Active Directory 사용자 및 컴퓨터 MMC 스냅인을 열고 컴퓨터 개체가 있는 컨테이너 또는 OU를 선택합니다.
2. 컴퓨터 개체를 마우스 오른쪽 단추로 클릭하고 속성을 선택합니다.
3. 속성 대화 상자에서 BitLocker 복구 탭을 선택하여 컴퓨터와 연결된 BitLocker 복구 암호를 확인합니다.

암호 ID를 사용하여 복구 암호 찾기

1. Active Directory 사용자 및 컴퓨터 도메인 컨테이너를 마우스 오른쪽 단추로 클릭하고 BitLocker 복구 암호 찾기를 선택합니다.
2. BitLocker 복구 암호 찾기 대화 상자의 암호 ID(처음 8자) 상자에 복구 암호의 처음 8자를 입력하고 검색을 선택합니다.

데이터 복구 에이전트

디바이스가 DRA로 구성된 경우 기술 지원팀은 DRA를 사용하여 드라이브의 잠금을 해제할 수 있습니다. BitLocker 드라이브가 DRA 인증서의 프라이빗 키가 있는 디바이스에 연결되면 명령을 사용하여 manage-bde.exe 드라이브의 잠금을 해제할 수 있습니다.

예를 들어 BitLocker로 보호된 드라이브에 대해 구성된 DRA를 나열하려면 다음 명령을 사용합니다.

C:\>manage-bde.exe -protectors -get D:

Volume D: [Local Disk]
All Key Protectors

    Data Recovery Agent (Certificate Based):
      ID: {3A8F7DEA-878F-4663-B149-EE2EC9ADE40B}
      Certificate Thumbprint:
        f46563b1d4791d5bd827f32265341ff9068b0c42

지문 f46563b1d4791d5bd827f32265341ff9068b0c42 이 있는 인증서의 프라이빗 키를 로컬 인증서 저장소에서 사용할 수 있는 경우 관리자는 다음 명령을 사용하여 DRA 보호기를 사용하여 드라이브의 잠금을 해제할 수 있습니다.

manage-bde -unlock D: -Certificate -ct f46563b1d4791d5bd827f32265341ff9068b0c42

복구 후 작업

복구 암호를 사용하여 볼륨이 잠금 해제된 경우:

• 이벤트가 이벤트 로그에 기록됩니다.
• 플랫폼 유효성 검사 측정값은 현재 구성과 일치하도록 TPM에서 다시 설정됩니다.
• 암호화 키가 해제되고 볼륨에서 데이터를 쓰거나 읽을 때 즉시 암호화/암호 해독이 가능합니다.

볼륨이 잠금 해제된 후 BitLocker는 액세스 권한이 부여된 방법에 관계없이 동일한 방식으로 작동합니다.

디바이스에서 여러 복구 암호 이벤트가 발생하는 경우 관리자는 복구 후 분석을 수행하여 복구의 근본 원인을 확인해야 합니다. 그런 다음 BitLocker 플랫폼 유효성 검사를 새로 고쳐 디바이스가 시작될 때마다 복구 암호를 입력하지 않도록 합니다.

복구의 근본 원인 확인

사용자가 드라이브를 복구해야 하는 경우 가능한 한 빨리 복구를 시작한 근본 원인을 확인하는 것이 중요합니다. 컴퓨터 상태를 올바르게 분석하고 변조를 감지하면 엔터프라이즈 보안에 더 광범위한 영향을 미치는 위협이 표시될 수 있습니다.

관리자는 경우에 따라 복구 원인을 원격으로 조사할 수 있지만, 사용자는 근본 원인을 추가로 분석하기 위해 사이트에서 복구된 드라이브가 포함된 디바이스를 가져와야 할 수 있습니다. 다음은 복구의 근본 원인을 확인하는 데 사용할 수 있는 몇 가지 질문입니다.

이러한 질문에 대답하기 위해 명령을 사용하여 manage-bde.exe -status 현재 구성 및 보호 모드를 볼 수 있습니다. 이벤트 로그를 검사하여 복구가 시작된 이유를 나타내는 이벤트를 찾습니다(예: 부팅 파일 변경이 발생한 경우).

근본 원인 해결

복구의 원인을 파악한 후 BitLocker 보호를 다시 설정하여 모든 시작 시 복구를 방지할 수 있습니다.

다시 설정의 세부 정보는 복구의 근본 원인에 따라 달라질 수 있습니다. 근본 원인을 확인할 수 없거나 악성 소프트웨어 또는 루트킷이 디바이스를 감염시키는 경우 기술 지원팀은 적절하게 대응하기 위해 모범 사례 바이러스 정책을 적용해야 합니다.

암호 회전

관리자는 Microsoft Entra 조인된 디바이스 및 Microsoft Entra 하이브리드 조인 디바이스에 대해 자동 복구 암호 회전을 사용하도록 정책 설정을 구성할 수 있습니다.
자동 복구 암호 회전을 사용하도록 설정하면 디바이스는 암호를 사용하여 드라이브 잠금을 해제한 후 자동으로 복구 암호를 회전합니다. 이 동작은 동일한 복구 암호가 여러 번 사용되지 않도록 방지하는 데 도움이 되며 이는 보안 위험이 될 수 있습니다.

자세한 내용은 복구 암호 회전 구성을 참조하세요.

또 다른 옵션은 Microsoft Intune 또는 Microsoft Configuration Manager 사용하여 개별 디바이스에 대한 복구 암호 회전을 원격으로 시작하는 것입니다.

Microsoft Intune 또는 Microsoft Configuration Manager 사용하여 BitLocker 복구 암호를 회전하는 방법에 대한 자세한 내용은 다음을 참조하세요.

• Microsoft Intune 설명서
• Microsoft Configuration Manager 설명서

BitLocker 복구 도구

이 문서의 앞부분에서 설명한 복구 방법이 볼륨의 잠금을 해제하지 않는 경우 BitLocker 복구 도구 (repair-bde.exe)를 사용하여 블록 수준에서 볼륨의 암호를 해독할 수 있습니다. 이 도구는 BitLocker 키 패키지를 사용하여 심하게 손상된 드라이브에서 암호화된 데이터를 복구합니다.

그러면 올바른 복구 암호가 손상된 볼륨의 잠금을 해제하지 못하더라도 복구된 데이터를 사용하여 암호화된 데이터를 회수할 수 있습니다. 해당 복구 암호 없이는 키 패키지를 사용할 수 없으므로 복구 암호를 계속 저장하는 것이 좋습니다.

다음 조건에서 복구 도구를 사용합니다.

• 드라이브는 BitLocker를 사용하여 암호화됩니다.
• Windows가 시작되지 않거나 BitLocker 복구 화면이 시작되지 않음
• 암호화된 드라이브에 포함된 데이터의 백업 복사본이 없습니다.

Repair-bde에는 다음과 같은 제한 사항이 있습니다.

• 암호화 또는 암호 해독 프로세스 중에 실패한 드라이브를 복구할 수 없습니다.
• 드라이브에 암호화가 있는 경우 드라이브가 완전히 암호화된다고 가정합니다.

옵션의 repair-bde.exe 전체 목록은 Repair-bde 참조를 참조하세요.