ある朝、PCを起動すると青い画面で48桁の回復キーを求められる——という事態は、実際に起こります。ハードウェアの構成変更やBIOSの更新がきっかけで、BitLockerが「いつもと違う」と判断したときです。このとき回復キーがなければ、そのPCの中身は取り出せません。暗号化は正しく機能しているからこそ、鍵がなければ持ち主でも開けられません。この記事では、確認方法と全社での管理を扱います。
先に確認しておく（推奨）
回復キーは、必要になる前に確認しておくものです。ロックされてからでは、そのPCで調べることはできません。
稼働中のPCで確認するには、管理者権限のコマンドプロンプトで次を実行します。
manage-bde -protectors -get C:「数値パスワード」の項目にある48桁の数字が回復キーです。「ID」も併記されるので、両方を控えてください。
暗号化の状態そのものを確認する場合はこちらです。
manage-bde -status「保護状態: 保護オフ」と表示される場合、暗号化が有効になっていません。回復キー以前の問題として、その端末は紛失時に中身を読まれます。
全社の状況を把握する必要がある場合、この確認を各PCで行うことになります。台数が多い場合は、後述の集中管理の仕組みを先に整える方が確実です。
保管先ごとの確認方法
回復キーがどこに保管されているかは、そのPCの構成によって変わります。4つのパターンがあります。
| 構成 | 確認場所 |
|---|---|
| 個人のMicrosoftアカウントでサインイン | 別の端末で account.microsoft.com/devices/recoverykey を開く |
| Microsoft 365 / Entra ID に参加 | 管理者が entra.microsoft.com のデバイス一覧から確認 |
| Active Directory ドメインに参加 | dsa.msc でコンピューターオブジェクトのBitLocker回復タブ |
| どこにも保管していない | 印刷・保存したファイルを探すしかない |
コマンドで確認する（稼働中のPC）
まだ起動できているPCなら、コマンドで回復キーをその場で取り出せます。青い回復画面が出てからでは実行できないため、いま動いているうちに実施してください。管理者権限のコマンドプロンプトで次を実行します。
manage-bde -protectors -get C:出力の中の「数字パスワード」（Numerical Password）の項目に表示される48桁の数値が回復キーです。PowerShellの場合は次でも取得できます。
(Get-BitLockerVolume -MountPoint C:).KeyProtectorKeyProtectorType が RecoveryPassword の行の RecoveryPassword 列を見てください。ここで取得した値をPCの中だけに保存しても意味がありません。そのPCが開けなくなったときに必要になるものなので、別の場所へ保管します。保管の考え方は後述します。
複数台をまとめて取得する場合も、同じコマンドをリモート実行する形になります。ただし、取得結果を共有フォルダに置くのは避けてください。回復キーは、暗号化されたディスクを開くための鍵そのものです。共有フォルダの権限の考え方は ファイルサーバーの権限棚卸しで扱っています。
Entra ID での確認手順
- entra.microsoft.com にサインイン
- ID → デバイス → すべてのデバイス
- 対象のPCを選び、「BitLocker キー」を表示
この操作には相応の権限が必要で、閲覧した記録も残ります。回復キーは端末の中身すべてに相当する情報なので、参照できる担当者を限定してください。
Active Directory での確認手順
「Active Directory ユーザーとコンピューター」で対象のコンピューターオブジェクトを開き、「BitLocker 回復」タブを見ます。
このタブが表示されない場合、機能が追加されていません。サーバーマネージャーの機能の追加から、BitLockerドライブ暗号化の管理ツールを導入すると表示されます。
回復キーがない場合
率直に書きます。回復キーが見つからず、そのPCがロックされた場合、データを取り出す方法はありません。ディスクを取り外して別のPCに接続しても、暗号化されているため読めません。
これはBitLockerの欠陥ではなく、設計どおりの動作です。盗難時に読めないという性質は、鍵を失った持ち主に対しても同じように働きます。
できるのは、ディスクを初期化して再セットアップすることだけです。データはバックアップからの復元に頼ることになります。この意味で、暗号化とバックアップは必ず対で考える必要があります。
全社で確実に保管する
個々の利用者に「回復キーを保管しておいてください」と伝える運用は、必ず破綻します。紙で渡せば紛失し、PC内に保存すれば意味がありません。自動的に保管される仕組みを作ってください。
グループポリシーで、回復キーをActive Directoryへ自動的に預ける設定ができます。
コンピューターの構成 → ポリシー → 管理用テンプレート → Windows コンポーネント → BitLocker ドライブ暗号化
- 「BitLocker で保護されているドライブの回復方法を選択する」を有効にする
- 「BitLocker 回復情報を AD DS に保存する」にチェック
- 「AD DS への回復情報の保存が完了するまで BitLocker を有効にしない」にチェック
3つ目が重要です。これを設定しておくと、保管に失敗した端末では暗号化そのものが始まりません。「暗号化されているが鍵がどこにもない」という最悪の状態を、構造的に防げます。
グループポリシーの配布と適用確認の方法は グループポリシーでのアカウント保護設定にまとめています。
そもそも暗号化されているか
回復キーの管理以前に、暗号化されていない端末が残っていないかの確認が先です。特に、以前から使い続けているPCや、量販店で購入した端末では有効になっていない場合があります。
持ち出す端末については、暗号化が最後の防御になります。紛失・盗難時に、画面ロックやパスワードは意味を持ちません。ディスクを取り出されれば迂回されるためです。関係の整理は BitLockerと認証の役割の違い、持ち出し端末の運用は 持ち出しPCのID管理で扱っています。
逆に、暗号化は「使われている最中」には効きません。ログイン済みの状態でPCを操作されれば、中身は普通に読めます。離席時の対策は 離席時の自動画面ロック、認証そのものの強化は Windowsログインの二要素認証を参照してください。
よくある質問
BitLockerの回復キーはどこで確認できますか
稼働中のPCなら管理者権限のコマンドプロンプトで manage-bde -protectors -get C: を実行します。ロックされている場合は、Microsoftアカウント（account.microsoft.com/devices/recoverykey）、Entra IDのデバイス一覧、Active Directoryのコンピューターオブジェクトのいずれかを、構成に応じて確認します。
コマンドで回復キーを確認する方法はありますか
起動できているPCであれば、管理者権限のコマンドプロンプトで manage-bde -protectors -get C: を実行すると、数字パスワードとして48桁の回復キーが表示されます。PowerShellでは (Get-BitLockerVolume -MountPoint C:).KeyProtector でも取得できます。回復画面が出てからでは実行できないため、動いているうちに取得してください。
回復キーを紛失したらどうなりますか
データを取り出す方法はありません。ディスクを別のPCに接続しても暗号化されているため読めません。初期化して再セットアップし、バックアップから復元することになります。
回復キーを全社で確実に保管するには
グループポリシーで、回復情報をActive Directoryに自動保存する設定を有効にします。あわせて「保存が完了するまでBitLockerを有効にしない」を設定すると、鍵が保管されていない端末で暗号化が始まることを防げます。
いまの運用を棚卸ししてみる
暗号化と回復キーの管理は、端末を失ったときの備えです。一方、アカウントが乗っ取られる経路には効きません。両面の状況を把握することが必要です。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。画面の名称やURLは変更される場合があり、利用できる機能はWindowsのエディションおよびライセンスによって異なります。設定の変更前に、回復キーの保管状況を必ず確認してください。