USBキーを使用してBitLockerで暗号化されたPCのロックを解除する方法

BitLocker暗号化を有効にすると、最新のコンピューターに組み込まれているTPMを使用してコンピューターを起動するたびに、Windowsによってドライブが自動的にロック解除されます。しかし、あなたはあなたのコンピュータがそのドライブを解読しそしてWindowsを起動することができる前にブート時に存在しなければならない「スタートアップキー」としてどんなUSBフラッシュドライブでもセットアップすることができます.

これにより、BitLocker暗号化に2要素認証が効果的に追加されます。コンピュータを起動するときはいつでも、USBキーを復号化する前に提供する必要があります。これは、キーチェーンで持ち運ぶ小型のUSBドライブで特に便利です。.

ステップ1：BitLockerを有効にする（まだ行っていない場合）

これには、明らかに、BitLockerドライブ暗号化が必要です。つまり、WindowsのProfessionalエディションとEnterpriseエディションでのみ機能します。以下の手順を実行する前に、コントロールパネルからシステムドライブでBitLocker暗号化を有効にする必要があります。.

TPMがなくてもPCでBitLockerを有効にできない場合は、セットアッププロセスの一環としてUSBスタートアップキーを作成することを選択できます。これはTPMの代わりに使用されます。以下の手順は、TPMを搭載したコンピューターでBitLockerを有効にする場合にのみ必要です。.

HomeバージョンのWindowsをお持ちの場合は、BitLockerを使用できません。代わりにデバイス暗号化機能を使用することもできますが、これはBitLockerとは異なる動作をし、スタートアップキーを提供することを許可しません。.

手順2：グループポリシーエディタでスタートアップキーを有効にする

BitLockerを有効にしたら、Windowsのグループポリシーでスタートアップキーの要件を有効にする必要があります。グループポリシーエディタを開くには、キーボードでWindows + Rを押し、[ファイル名を指定して実行]ダイアログに「gpedit.msc」と入力して、Enterキーを押します。.

[グループポリシー]ウィンドウの[コンピューターの構成]> [管理用テンプレート]> [Windowsコンポーネント]> [BitLockerドライブ暗号化]> [オペレーティングシステムドライブ]に移動します。.

右側のウィンドウで[起動時に追加の認証を要求する]オプションをダブルクリックします。.

ウィンドウ上部の「有効」を選択してください。次に、[Configure TPM Startup Key]の下のボックスをクリックし、[Require Tup Startup Key]オプションを選択します。「OK」をクリックして変更を保存します.

ステップ3：ドライブの起動キーを設定する

あなたは今使用することができます 管理する BitLocker暗号化ドライブ用にUSBドライブを構成するコマンド.

まず、USBドライブをコンピューターに挿入します。下のスクリーンショットのUSBドライブ-D：のドライブ文字をメモします。 Windowsは小さな.bekファイルをドライブに保存し、それがスタートアップキーになるでしょう.

次に、管理者としてコマンドプロンプトウィンドウを起動します。 Windows 10または8の場合は、スタートボタンを右クリックし、「コマンドプロンプト（管理者）」を選択してください。 Windows 7では、[スタート]メニューから[コマンドプロンプト]ショートカットを見つけて右クリックし、[管理者として実行]を選択します。

次のコマンドを実行してください。下記のコマンドはあなたのC：ドライブに働きます、従ってあなたが他のドライブのためにスタートアップキーを要求したいならば、代わりにそのドライブ名を入力してください c： . 起動キーとして使用するのではなく、接続するUSBドライブのドライブ文字を入力する必要もあります。 バツ： .

manage-bde -protectors -add c：-TPMAndStartupKey x：

キーは.bekファイル拡張子を持つ隠しファイルとしてUSBドライブに保存されます。隠しファイルを表示すれば見ることができます.

次回コンピュータを起動するときに、USBドライブを挿入するように求められます。キーに注意してください - あなたのUSBドライブからキーをコピーする誰かがあなたのBitLocker暗号化ドライブのロックを解除するためにそのコピーを使うことができます.

TPMAndStartupKeyプロテクタが正しく追加されたかどうかを再確認するには、次のコマンドを実行します。

manage-bde -status

（ここに表示されている「Numericical Password」のキープロテクタが回復キーです。）

起動キーの要件を削除する方法

気が変わって、後でスタートアップキーを要求しないようにしたい場合は、この変更を元に戻すことができます。まず、グループポリシーエディタに戻り、オプションを[TPMでスタートアップキーを許可する]に戻します。このオプションを「TPMでスタートアップキーを要求する」に設定したままにしておくことはできません。そうしないと、Windowsからドライブからスタートアップキーの要件を削除することができなくなります。.

次に、管理者としてコマンドプロンプトウィンドウを開き、次のコマンドを実行します。 c： 別のドライブを使用している場合）

manage-bde -protectors -add c：-TPM

これにより、「TPMandStartupKey」要件が「TPM」要件に置き換えられ、PINが削除されます。起動すると、BitLockerドライブがコンピュータのTPMを介して自動的にロック解除されます.

これが正常に完了したことを確認するには、statusコマンドをもう一度実行します。

manage-bde -status c：

まずコンピュータを再起動してみてください。すべてが正常に動作し、コンピュータの起動にUSBドライブが不要な場合は、ドライブをフォーマットするかBEKファイルを削除するだけでかまいません。ドライブにそのまま残すこともできます - そのファイルは実際にはもう何もしません。.

起動キーをなくしたり、ドライブから.bekファイルを削除した場合は、システムドライブのBitLocker回復コードを入力する必要があります。システムドライブに対してBitLockerを有効にしたときは、安全な場所に保存しておく必要があります。.

画像のクレジット：Tony Austin / Flickr