Server等のIT技術者向けトレーニングを担当2016年11月3日木曜日BitLockerドライブ暗号化の修復Windowsにはドライブ全体を暗号化する「BitLockerドライブ暗号化(BDE)」機能が備わっています。Module)が必要です。TPMが存在しない、あるいは無効になっている場合はBitLockerは使えません。それどころか、管理ツールすら表示されません。TPMは、ハードウェア的なセキュリティ機能を持っており、安全な暗号化キー管理には必須の機能です。TPMがない場合でも、(セキュリティレベルの低下は承知で)パスワードなどを使った暗号化をしたい場合があります。グループポリシーを有効にすることで、ソフトウェアベースの暗号化が可能になります。BitLockerの制御は、以下のグループポリシーにまとめられています。[コンピューターの構成]-[管理用テンプレート]-[Windowsコンポーネント]-[BitLockerドライブ暗号化]OSのドライブ(通常はCドライブ)およびデータ用ドライブに対して、ソフトウェアベースの暗号化(TPMを使わない暗号化)を有効にするのは、それぞれ以下の項目を[有効]に設定し、[ハードウェアの暗号化を使用できない場合はBitLockerのソフトウェアベースの暗号化を使用する]を許可します。[オペレーティングシステムのドライブ]-[オペレーティングシステムドライブに対するハードウェアベースの暗号化の使用を構成する][オペレーティングシステムのドライブ]-[スタートアップ時に追加の認証を要求する][固定データドライブ]-[固定データドライブに対するハードウェアベースの暗号化の使用を構成する]設定を有効にするには再起動が必要でした。Serverの場合はBitLockerの機能を追加する必要があります)。仮想マシンにはTPMが存在しませんので、BitLockerを使うには、この操作を行う必要があります。EnterpriseのHyper-Vでは第2世代の仮想マシンで「仮想TPM」が利用できます。暗号化キーが失われた場合の回復BitLockerでは、以下の方法で暗号化キーを保存します。通常はTPMが必須、その他の方法はオプションです。TPM起動時パスワードUSBメモリ(起動時に読み取り)TPMはマザーボードに実装されているため、ディスク装置を別のサーバーに移動した場合は暗号化データを読むことができません。そこで、緊急用に、あらかじめ「回復キー」を保存しておきます。回復キーは、BitLocker構成時に保存するように促されます。回復キーはドライブごとに生成されるため、システムドライブとデータドライブでは別々に設定されます。両方保存してください。データディスクの回復手順システムディスクに損傷があった場合、OSが起動できなくなります。この場合は、以下の手順で回復します。【参考】回復キーのバックアップで生成されるファイルは以下の通りです。値とを比較してください。一致する場合は、次のキーを使用してドライブのロックを解除します。一致しない場合、ドライブのロックを解除するための適切なキーではありません。詳細を確認してください。Serverを中心に技術者向けトレーニングを担当。コミュニティにおけるトレノケート社員による発言やコメントは、トレノケートの正式な見解またはコメントではありません。