Active DirectoryへのBitLocker回復キーの保存と管理方法

Active Directoryを利用すると、クライアントコンピューターのBitLocker回復キー(パスワード)のバックアップを安全に一元管理できます。複数のユーザーがBitLockerでデータを暗号化している企業環境では特に便利な機能です。ドメインのグループポリシーを構成することで、BitLockerによるドライブ暗号化の実行時に、回復キーが自動的にADのコンピューターオブジェクトに保存されるようになります(LAPSでローカル管理者パスワードを保存する仕組みと似ています)。

前提条件

BitLocker回復キーをActive Directoryに保存するには、インフラストラクチャが以下の要件を満たしている必要があります。

• Windows 10またはWindows 8.1(Pro/Enterpriseエディション)が稼働するクライアントコンピューター
• ADスキーマバージョン:Windows Server 2012以降
• GPOのADMXファイルが最新バージョンに更新されていること

グループポリシーでBitLocker回復キーのAD保存を構成する方法

BitLocker回復キーをActive Directoryドメインへ自動的にバックアップするには、専用のGPOを構成します。

1. ドメイングループポリシー管理コンソール(gpmc.msc)を開き、新しいGPOを作成して、対象のコンピューターが含まれるOUにリンクします。
2. [コンピューターの構成] → [管理用テンプレート] → [Windowsコンポーネント] → [BitLockerドライブ暗号化] に移動します。
3. 「Active DirectoryドメインサービスにBitLocker回復情報を保存する」ポリシーを有効化し、以下の設定を行います。
   ・BitLocker回復情報のAD DSへのバックアップを必須にする
   ・保存するBitLocker回復情報の選択:[回復パスワードとキーパッケージ]
4. 次に、[コンピューターの構成] → [ポリシー] → [管理用テンプレート] → [Windowsコンポーネント] → [BitLockerドライブ暗号化] → [オペレーティングシステムのドライブ] に移動し、「BitLockerによって保護されたオペレーティングシステムドライブの回復方法の選択」ポリシーを有効にします。
   この際、「オペレーティングシステムドライブの回復情報がAD DSに保存されるまでBitLockerを有効にしない」にチェックすることをお勧めします。このオプションを有効にすると、コンピューターが新しい回復キーをADに保存するまでドライブの暗号化は開始されません(モバイルユーザーの場合は、次回ドメインネットワークに接続するまで待つ必要がある点に注意してください)。
5. ここではOSドライブに対して自動保存を有効にしました。リムーバブルメディアやその他のドライブについても回復キーを保存したい場合は、GPOの「固定データドライブ」および「リムーバブルデータドライブ」セクションで同様のポリシーを構成してください。
6. クライアント側でグループポリシー設定を更新します:gpupdate /force
7. Windows 10 ProのシステムドライブをBitLockerで暗号化します([BitLockerを有効にする])。
8. Windows 10はコンピューターのBitLocker回復キーをActive Directoryに保存し、ドライブを暗号化します。なお、1台のコンピューターに複数のBitLocker回復パスワードが存在する場合があります(例:リムーバブルデバイスごとに個別のキーが発行されるケースなど)。

既存の暗号化済みドライブを手動でADに同期する方法

すでにBitLockerでディスクが暗号化されている場合は、手動でADに同期できます。まず以下のコマンドを実行します。

manage-bde -protectors -get c:

表示された数値パスワードID(Numerical Password ID)の値をコピーします(例:22A6A1F0-1234-2D21-AF2B-7123211335047)。

続いて、以下のコマンドを実行して回復キーを現在のコンピューターのADアカウントに保存します。

manage-bde -protectors -adbackup C: -id {22A6A1F0-1234-2D21-AF2B-7123211335047}

成功すると次のメッセージが表示されます。

Recovery information was successfully backed up to Active Directory

また、PowerShellを使用してシステムドライブのBitLocker回復キーをActive Directoryにバックアップすることも可能です。

BackupToAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId ((Get-BitLockerVolume -MountPoint $env:SystemDrive).KeyProtector | where {$_.KeyProtectorType -eq "RecoveryPassword"}).KeyProtectorId

Active DirectoryでBitLocker回復キーを表示・管理する方法

Active Directoryユーザーとコンピューター(ADUC、dsa.msc)スナップインからBitLocker回復キーを管理するには、リモートサーバー管理ツール(RSAT)をインストールする必要があります。

Windows Serverでは、サーバーマネージャーから「BitLockerドライブ暗号化管理ユーティリティ」機能をインストールできます。この機能には「BitLockerドライブ暗号化ツール」と「BitLocker回復パスワードビューアー」が含まれています。

PowerShellでこれらのWindows Server機能をインストールすることもできます。

Install-WindowsFeature RSAT-Feature-Tools-BitLocker-BdeAducExt, RSAT-Feature-Tools-BitLocker-RemoteAdminTool, RSAT-Feature-Tools-BitLocker

Windows 10の場合は、RSATから「RSAT-Feature-Tools-BitLocker」をインストールしてください。

インストール後、ADUCコンソールで任意のコンピューターのプロパティを開くと、新しい「BitLocker回復」タブが表示されます。

このタブでは、回復パスワードの作成日時、パスワードID、BitLocker回復キーを確認できます。

ユーザーがパスワードを忘れた場合の回復手順

ユーザーがBitLockerのパスワードを忘れた場合は、コンピューター画面に表示される回復キーの最初の8文字を管理者に伝えます。管理者はADUCの[操作] → [BitLocker回復パスワードの検索] を使用して該当コンピューターの回復キーを検索し、ユーザーに伝えることができます。48桁の数字で構成される回復パスワードを使用すれば、BitLockerで保護されたドライブのロックを解除できます。

回復キー表示権限の委任

デフォルトでは、ドメイン管理者のみがBitLocker回復キーを表示できます。Active Directoryでは、特定のOU内のBitLocker回復キーの表示権限を任意のユーザーグループに委任することが可能です。そのためには、msFVE-RecoveryInformation属性値の表示権限を委任します。

まとめ

本記事では、BitLocker回復キーのActive Directoryへの自動バックアップを構成する方法を解説しました。この仕組みを導入しておけば、ユーザーがBitLockerのパスワードを忘れた場合でも、管理者が回復キーを取得し、ユーザーデバイス上のデータへのアクセスを迅速に復元できます。

なお、ハードドライブのBitLockerシステム情報領域が破損した場合は、専用の手順に従ってデータの復号化を試みる必要があります。