ある朝PCを起動すると、青い画面で48桁の回復キーを求められる。ハードウェアの構成変更やBIOSの更新で、BitLockerが「いつもと違う」と判断したときに実際に起こります。
回復キーがなければ、そのPCの中身は取り出せません。暗号化が正しく機能しているからこそ、鍵がなければ持ち主でも開けられないのです。この記事では、確認方法と全社での管理を扱います。
先に確認しておく（推奨）
回復キーは、必要になる前に確認しておくものです。ロックされてからでは、そのPCで調べられません。
稼働中のPCでは、管理者権限のコマンドプロンプトで次を実行します。
manage-bde -protectors -get C:「数値パスワード」にある48桁の数字が回復キーです。併記される「ID」も控えてください。暗号化の状態そのものは次で確認します。
manage-bde -status「保護オフ」と出たら
保管先ごとの確認方法
回復キーの保管先は、そのPCの構成で決まります。パターンは4つです。
| 構成 | 確認場所 |
|---|---|
| 個人のMicrosoftアカウントでサインイン | 別の端末で account.microsoft.com/devices/recoverykey を開く |
| Microsoft 365 / Entra ID に参加 | 管理者が entra.microsoft.com のデバイス一覧から確認 |
| Active Directory ドメインに参加 | dsa.msc でコンピューターオブジェクトのBitLocker回復タブ |
| どこにも保管していない | 印刷・保存したファイルを探すしかない |
コマンドで確認する（稼働中のPC）
起動できているPCなら、その場で回復キーを取り出せます。回復画面が出てからでは実行できないので、動いているうちに行ってください。
manage-bde -protectors -get C:出力の「数字パスワード」（Numerical Password）の48桁が回復キーです。PowerShellでは次でも取得できます。
(Get-BitLockerVolume -MountPoint C:).KeyProtectorKeyProtectorType が RecoveryPassword の行の RecoveryPassword 列を見ます。
取得したキーの置き場所
Entra ID での確認手順
Entra IDで回復キーを表示する
- 1
サインイン
entra.microsoft.com
- 2
デバイス一覧
ID → デバイス → すべてのデバイス
- 3
表示
対象PCの「BitLocker キー」
Active Directory での確認手順
「Active Directory ユーザーとコンピューター」で対象のコンピューターオブジェクトを開き、「BitLocker 回復」タブを見ます。
タブが出ない場合は機能が追加されていません。サーバーマネージャーの機能の追加から、BitLockerドライブ暗号化の管理ツールを入れると表示されます。
回復キーがない場合
結論から書くと、取れる手段はほとんどありません。
回復キーが見つからずPCがロックされたら、データを取り出す方法はありません。ディスクを別のPCに接続しても、暗号化されているため読めません。
これは欠陥ではなく設計どおりの動作です。盗難時に読めない性質は、鍵を失った持ち主にも同じように働きます。できるのは初期化と再セットアップだけで、データはバックアップからの復元に頼ることになります。暗号化とバックアップは必ず対で考えます。
全社で確実に保管する
利用者任せの保管は続きません。自動で預ける仕組みを作ります。
「回復キーを保管しておいてください」と伝える運用は、紙なら紛失し、PC内なら意味がなく、長くは続きません。グループポリシーで、回復キーをActive Directoryへ自動的に預けられます。
コンピューターの構成 → ポリシー → 管理用テンプレート → Windows コンポーネント → BitLocker ドライブ暗号化
- 「BitLocker で保護されているドライブの回復方法を選択する」を有効にする
- 「BitLocker 回復情報を AD DS に保存する」にチェック
- 「AD DS への回復情報の保存が完了するまで BitLocker を有効にしない」にチェック
3つ目が要
そもそも暗号化されているか
回復キーの管理より先に、暗号化されていない端末が残っていないかを確かめます。
以前から使い続けているPCや量販店で購入した端末では、有効になっていないことがあります。
暗号化が効く場面・効かない場面
効く：紛失・盗難
- ディスクを取り出されても読めない
- 画面ロックやパスワードは迂回される
- 持ち出し端末の最後の備え
効かない：使用中
- ログイン済みなら中身は普通に読める
- 離席時は画面ロックで備える
- 認証そのものの強化が別に必要
関係の整理はBitLockerと認証の役割の違い、持ち出し端末は持ち出しPCのID管理、離席時は離席時の自動画面ロック、認証の強化はWindowsログインの二要素認証を参照してください。
普段の管理が楽になると何が変わるか
回復キーの確認でまず困るのは、「社内にどのPCが何台あって、誰が使っているか」が手元の台帳と合っていないことです。全PC・サーバーの台数・OS・利用者・オンラインかどうかが1画面で見られれば、確認して回る対象を台帳と突き合わせる手間が減ります。7日以上連絡のないPCも一覧で分かるので、しまい込まれた端末や持ち出したままの端末に早めに気づけます。
なお、この一覧で分かるのは端末の状態とログイン記録で、BitLockerの暗号化状態や回復キーそのものを集める機能ではありません。回復キーの保管は、この記事のグループポリシーなどの仕組みで行います。
よくある質問
BitLockerの回復キーはどこで確認できますか
稼働中のPCなら管理者権限のコマンドプロンプトで manage-bde -protectors -get C: を実行します。ロックされている場合は、Microsoftアカウント（account.microsoft.com/devices/recoverykey）、Entra IDのデバイス一覧、Active Directoryのコンピューターオブジェクトのいずれかを、構成に応じて確認します。
コマンドで回復キーを確認する方法はありますか
起動できているPCであれば、管理者権限のコマンドプロンプトで manage-bde -protectors -get C: を実行すると、数字パスワードとして48桁の回復キーが表示されます。PowerShellでは (Get-BitLockerVolume -MountPoint C:).KeyProtector でも取得できます。回復画面が出てからでは実行できないため、動いているうちに取得してください。
回復キーを紛失したらどうなりますか
データを取り出す方法はありません。ディスクを別のPCに接続しても暗号化されているため読めません。初期化して再セットアップし、バックアップから復元することになります。
回復キーを全社で確実に保管するには
グループポリシーで、回復情報をActive Directoryに自動保存する設定を有効にします。あわせて「保存が完了するまでBitLockerを有効にしない」を設定すると、鍵が保管されていない端末で暗号化が始まらなくなります。
いまの運用を棚卸ししてみる
暗号化と回復キーの管理は、端末を失ったときの備えです。アカウントが乗っ取られる経路には効かないため、両面の状況を把握します。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。画面の名称やURLは変更される場合があり、利用できる機能はWindowsのエディションおよびライセンスによって異なります。設定の変更前に、回復キーの保管状況を必ず確認してください。