この記事の内容
BitLocker の回復キーは、自分で新しく作ることはできません。Microsoft のサポートに問い合わせても、なくした回復キーを調べたり作り直したりはしてもらえません。回復キーは、BitLocker やデバイスの暗号化が有効になった時に、ふつうはどこかへ保存されているので、その場所から探します。探す先は、Microsoft アカウントの回復キーのページ、会社や学校のアカウント（Microsoft Entra ID）のデバイスの画面、印刷した紙・USB メモリ・テキスト ファイル、そして会社の IT 管理者です。会社のパソコンなら、管理者に聞くのが確実です。
回復キーは48桁の数字です。画面に出ている回復キー ID と同じ ID の回復キーを入力すると、パソコンはいつもどおり起動します。
まず確かめること
USB メモリやディスクをさしたままにしていないか
起動できる USB メモリや外付けのディスク、DVD などをさしたまま起動すると、BitLocker が起動の仕組みが変わったと判断して回復キーを求めることがあります。画面に、挿入したディスクやデバイスを取り出して再起動するよう案内が出ている時は、それらを外してから再起動します。BIOS・UEFI でセキュア ブートを無効にしたばかりの場合は、有効に戻して再起動すると直ることがあります。
画面の回復キー ID を控える
回復キーの入力を求める青い画面（BitLocker回復）には、「(キーを識別する) 回復キー ID:」として英数字の並びが表示されます。回復キーを探す前に、この ID の最初の8桁を書き留めておきます。回復キーが複数見つかった時に、どれを使えばよいかをこの ID で見分けます。
画面には、キーがありそうな場所の手がかりも表示されます。
- 「キーは Microsoft アカウントに保存されている可能性があります」と出たら、次の章の Microsoft アカウントの回復キーのページを探します。Windows 11 の 24H2 以降では、どの Microsoft アカウントかの手がかりも表示されます。
- 「キーは職場または学校アカウントに保存されている可能性があります」と出たら、会社や学校のアカウントのデバイスの画面を探します。
- 印刷出力やテキスト ファイルを探すよう出たら、印刷した紙や保存したファイルを探します。
- 組織のヘルプ デスクに問い合わせるよう出たり、会社が設定した連絡先や URL が出ていたりする時は、その案内に従います。
Windows 11 の 24H2 以降では、この画面で「Alt」キーを押すと「追加の BitLocker 回復情報」が表示され、回復になった理由の分類とコードがわかります。会社の管理者に連絡する時は、このコードも伝えると原因を調べる手がかりになります。
回復キーを探す場所
回復キーは、ロックされたパソコンとは別のパソコンやスマートフォンで探します。
Microsoft アカウントの回復キーのページ
Microsoft アカウントでサインインして使っているパソコンは、デバイスの暗号化に対応していれば最初の設定の時に暗号化が有効になり、回復キーがそのアカウントに保存されていることがあります。
- 別の機器のブラウザーで https://aka.ms/myrecoverykey を開きます。
- そのパソコンで使っている Microsoft アカウントでサインインします。
- 回復キーの一覧から、画面の回復キー ID と最初の8桁が同じものを探し、その回復キーを使います。
パソコンを最初に設定した人や BitLocker を有効にした人が別にいる場合は、その人の Microsoft アカウントに保存されていることがあります。
会社や学校のアカウント（Microsoft Entra ID）のデバイスの画面
会社の Microsoft 365 のアカウントでサインインしている（Microsoft Entra ID に参加している）パソコンは、回復キーが Microsoft Entra ID に保存されていることがあります。
- 別の機器のブラウザーで https://aka.ms/aadrecoverykey を開き、会社のアカウントでサインインします。
- 「デバイス」で、ロックされたパソコンを選びます。
- 「BitLocker キーの表示」を選び、回復キー ID が同じ回復キーを確かめます。
会社の設定によっては、利用者が自分で回復キーを見られないようになっています。その場合は IT 管理者に聞きます。
印刷した紙・USB メモリ・テキスト ファイル
- 印刷した紙：BitLocker を有効にした時に印刷していれば、回復キー ID と回復キーが一緒に印刷されています。大事な書類と一緒にしまわれていないか探します。
- USB メモリ：回復キーを保存した USB メモリ（USB フラッシュ ドライブ）なら、ロックされたパソコンにさして画面の指示に従います。
- テキスト ファイル：回復キーをテキスト ファイルに保存していれば、別のパソコンで開いて回復キー ID と回復キーを確かめます。
会社の IT 管理者に聞く
会社が管理しているパソコンで、回復キーを Microsoft Entra ID や社内の Active Directory に保存する設定にしていれば、管理者が回復キーを確かめられます。連絡する時は、次のことを伝えると早く見つかります。
- 自分の名前と所属（そのパソコンの利用者本人かを確かめるのに使われます）
- パソコンの名前（わかれば）
- 画面の回復キー ID
- 直前にしたこと（BIOS の更新、部品の交換、ドッキング ステーションへの接続など）
管理者は、Microsoft Entra や Microsoft Intune の管理画面、社内の Active Directory の管理ツールで、パソコンの名前や回復キー ID から回復キーを探せます。
回復キーを入力する
画面の「このドライブの回復キーを入力してください」の欄に、48桁の回復キーを入力して「Enter」キーを押します。回復キーは6桁ずつの8組に分かれていて、画面は6桁ごとに入力の誤りを調べます。打ち間違えると、その6桁が正しくないので入力し直すよう表示されます。
回復キーで起動すると、BitLocker は今の構成を正しいものとして覚え直すので、ふつうは次の起動から回復キーは求められません。何度も求められる時は、原因を調べて設定を直す必要があるので、会社の管理者に相談します。
BitLocker の回復を求められる主な理由
BitLocker は、セキュリティ上の危険やハードウェアの変更を見つけると、起動の時に回復キーを求めます。主な例は次のとおりです。
- BIOS や UEFI（ファームウェア）の更新
- BIOS・UEFI の設定の変更（セキュア ブートを無効にした、TPM を無効にしたりクリアしたりした、起動の順番を変えた など）
- マザーボードの交換など TPM を含む部品の変更や、ドライブを別のパソコンに移したこと
- 起動できる USB メモリやディスクをさしたままの起動、ノート パソコンをドッキング ステーションにつないだり外したりしたこと
- 起動の時の PIN を何度も間違えたこと、会社の設定でサインインの失敗が決められた回数を超えたこと
回復キーが見つからない時
どこにも見つからず、回復を求められた原因も元に戻せない場合は、Windows の回復の機能でパソコンを初期化（リセット）するしかありません。初期化すると、そのパソコンのファイルはすべて消えます。OneDrive などに保存していないファイルは戻らないので、初期化の前に、会社の管理者や、そのパソコンを設定した人にもう一度確かめます。
ふだんからしておくこと
- 回復キーのありかを確かめておく：スタート メニューで「BitLocker」と入力して「BitLocker の管理」を開くと、BitLocker の状態を確かめられます。Windows の Home では「設定」→「プライバシーとセキュリティ」→「デバイスの暗号化」で確かめます。
- 回復キーのバックアップを取る：「BitLocker の管理」で「回復キーのバックアップ」を選び、Microsoft アカウントへの保存、USB メモリへの保存、ファイルへの保存、印刷のいずれかを選びます。暗号化したドライブそのものには保存できません。
- パソコンと一緒に置かない：回復キーを保存した USB メモリや印刷した紙を、パソコンと同じかばんや同じ場所に置かないようにします。盗まれた時に、回復キーも一緒に渡ってしまうためです。
- BIOS・UEFI の更新の前に保護を中断する：「BitLocker の管理」で「保護の中断」を選んでから更新します。中断は次の再起動で自動的に解除されますが、更新の後も中断のままなら「保護の再開」を選びます。中断している間もドライブは暗号化されたままです。
会社で使うときに気をつけること
- 回復キーを台帳で管理する：パソコンごとに、名前、使う人、回復キー ID、回復キーの保存先（Microsoft Entra ID・Active Directory・印刷など）、回復キーを見られる人を記録しておきます。回復キーそのものは、Microsoft Entra ID や Active Directory に自動で保存する設定にしておくのが Microsoft の勧める方法です。紙やファイルで持つ場合は、パソコンとは別の場所で、見られる人を限って保管します。
- 自動で保存されているとは限らない：Microsoft Entra ID や Active Directory への保存は、ポリシーで設定していないと行われないことがあります。台帳を作る時に、全部のパソコンの回復キーが保存されているかを管理画面で確かめます。
- 個人の Microsoft アカウントで設定したパソコンに気をつける：デバイスの暗号化に対応したパソコンは、Microsoft アカウントで最初にサインインすると暗号化が有効になり、回復キーがそのアカウントに保存されます。社員が自分の Microsoft アカウントで会社のパソコンを設定していると、回復キーはその人のアカウントにあります。異動や退職の前に、保存先を会社で確かめておきます。
- 回復キーを伝える前に本人を確かめる：回復キーがあれば、そのドライブのデータをすべて読めます。電話などで回復キーを伝える前に、相手がそのパソコンの利用者本人かを確かめ、回復になった理由も聞いておきます。使った回復キーを自動で新しいものに変える設定にしておくと、同じ回復キーが使い回されません。
インフィニティの会社サイトから
会社のITを任されている方へ
このサポートサイトを書いているインフィニティは、会社のITの決めごとをコラムと解説動画にまとめています。
