Écran de récupération de prédémarrage BitLocker

Pendant la récupération BitLocker, l’écran de récupération avant démarrage est un point de contact essentiel pour les utilisateurs, offrant un message de récupération personnalisé adapté aux besoins de l’organisation, une URL de récupération directe pour une assistance supplémentaire et des conseils stratégiques pour aider les utilisateurs à localiser leur clé de récupération.

Cet article se penche sur les différents éléments affichés sur l’écran de récupération préalable au démarrage, en détaillant comment les paramètres de stratégie et le status des clés de récupération influencent les informations présentées. Qu’il s’agisse d’un message personnalisé ou de conseils pratiques, l’écran de récupération préalable au démarrage est conçu pour simplifier le processus de récupération pour les utilisateurs.

Remarque

Cet article est destiné aux professionnels de l’informatique et aux administrateurs d’appareils. Si vous êtes un utilisateur final ou un consommateur à la recherche d’aide sur BitLocker, consultez Rechercher votre clé de récupération BitLocker.

Écran de récupération de prédémarrage par défaut

Par défaut, l’écran de récupération BitLocker affiche un message générique et l’URL https://aka.ms/recoverykeyfaq.

Capture d’écran de l’écran de récupération BitLocker par défaut.

Message de récupération personnalisé

Avec les paramètres de stratégie BitLocker, vous pouvez configurer un message de récupération personnalisé et une URL sur l’écran de récupération de prédémarrage BitLocker. Le message de récupération personnalisé et l’URL peuvent inclure l’adresse du portail de récupération en libre-service BitLocker, le site web interne de l’informatique ou un numéro de téléphone pour le support technique.

Paramètres de stratégie BitLocker configurés avec un message de récupération personnalisé.

Capture d’écran de l’écran de récupération BitLocker affichant un message personnalisé.

Paramètres de stratégie BitLocker configurés avec une URL de récupération personnalisée.

Capture d’écran de l’écran de récupération BitLocker affichant une URL personnalisée.

Pour plus d’informations sur la configuration d’un message de récupération personnalisé avec des paramètres de stratégie, consultez Configurer le message et l’URL de récupération avant démarrage.

Conseils de clé de récupération

Les métadonnées BitLocker incluent des informations sur le moment et l’emplacement d’enregistrement d’une clé de récupération BitLocker. Ces informations ne sont pas exposées via l’interface utilisateur ou toute API publique. Il est utilisé uniquement par l’écran de récupération BitLocker sous la forme d’indications pour aider un utilisateur à localiser la clé de récupération d’un volume. Les conseils s’affichent sur l’écran de récupération et font référence à l’emplacement où la clé a été enregistrée. Les conseils s’appliquent à la fois à l’écran de récupération du gestionnaire de démarrage et à l’écran de déverrouillage WinRE.

Il existe des règles qui régissent l’affichage des indices lors de la récupération (dans l’ordre de traitement) :

  1. Toujours afficher le message de récupération personnalisé, si configuré via les paramètres de stratégie
  2. Toujours afficher un conseil générique : Pour plus d’informations, consultez la page https://aka.ms/recoverykeyfaq
  3. Si plusieurs clés de récupération existent sur le volume, donnez la priorité à la dernière clé de récupération créée (et sauvegardée avec succès)
  4. Hiérarchiser les clés avec une sauvegarde réussie sur les clés qui n’ont jamais été sauvegardées
  5. Hiérarchisez les conseils de sauvegarde dans l’ordre suivant pour les emplacements de sauvegarde à distance :
    • Compte Microsoft
    • Microsoft Entra ID
    • Active Directory
  6. Si une clé a été imprimée et enregistrée dans un fichier, affichez un conseil combiné Recherchez une impression ou un fichier texte avec la clé, au lieu de deux conseils distincts
  7. Si plusieurs sauvegardes du même type (distante ou locale) ont été effectuées pour la même clé de récupération, hiérarchisez les informations de sauvegarde avec la date de sauvegarde la plus récente
  8. Il n’existe aucun conseil spécifique pour les clés enregistrées dans un annuaire Active Directory local. Dans ce cas, un message personnalisé (s’il est configuré) ou un message générique, Contacter le support technique de votre organisation, s’affiche
  9. Si deux clés de récupération sont présentes et qu’une seule est sauvegardée, le système demande la clé sauvegardée, même si l’autre clé est plus récente

Exemple : mot de passe de récupération unique enregistré dans le fichier et sauvegarde unique

Dans ce scénario, le mot de passe de récupération est enregistré dans un fichier

Important

Il n’est pas recommandé d’imprimer des clés de récupération ou de les enregistrer dans un fichier. Utilisez plutôt un compte Microsoft, une sauvegarde de Microsoft Entra ID ou Active Directory.

Capture d’écran de l’écran de récupération BitLocker montrant un conseil où la clé de récupération BitLocker a été enregistrée.

Exemple : mot de passe de récupération unique pour le compte Microsoft et sauvegarde unique

Dans ce scénario, une URL personnalisée est configurée. Le mot de passe de récupération est :

  • enregistré dans le compte Microsoft
  • Non imprimé
  • Non enregistré dans un fichier

Résultat : les conseils pour l’URL personnalisée et le compte Microsoft (https://aka.ms/myrecoverykey) s’affichent.

Capture d’écran de l’écran de récupération BitLocker montrant une URL personnalisée et l’indication où la clé de récupération BitLocker a été enregistrée.

À compter de Windows 11, version 24H2, l’écran de récupération de prédémarrage BitLocker inclut l’indicateur de compte Microsoft (MSA), si le mot de passe de récupération est enregistré dans un compte MSA. Cet indice permet à l’utilisateur de comprendre quel compte MSA a été utilisé pour stocker les informations de clé de récupération.

Capture d’écran de l’écran de récupération BitLocker montrant un conseil de compte Microsoft dans lequel la clé de récupération BitLocker a été enregistrée.

Exemple : mot de passe de récupération unique dans AD DS et sauvegarde unique

Dans ce scénario, une URL personnalisée est configurée. Le mot de passe de récupération est :

  • enregistré dans Active Directory
  • Non imprimé
  • Non enregistré dans un fichier

Résultat : seule l’URL personnalisée s’affiche.

Capture d’écran de l’écran de récupération BitLocker montrant uniquement l’URL personnalisée.

Exemple : mot de passe de récupération unique avec plusieurs sauvegardes

Dans ce scénario, le mot de passe de récupération est :

  • enregistré dans le compte Microsoft
  • enregistré dans Microsoft Entra ID
  • imprimé le
  • Enregistré dans le fichier

Résultat : seul le conseil de compte Microsoft (https://aka.ms/myrecoverykey) s’affiche.

Capture d’écran de l’écran de récupération BitLocker montrant uniquement l’indice de compte Microsoft.

Exemple : plusieurs mots de passe de récupération avec une seule sauvegarde

Dans ce scénario, il existe deux mots de passe de récupération.

Le mot de passe de récupération #1 est :

  • Enregistré dans le fichier
  • heure de création : 13h
  • ID clé : 4290B6C0-B17A-497A-8552-272CC30E80D4

Le mot de passe de récupération #2 est :

  • Non sauvegardé
  • heure de création : 15h
  • ID clé : 045219EC-A53B-41AE-B310-08EC883AAEDD

Résultat : seul l’indicateur de la clé sauvegardée avec succès s’affiche, même s’il ne s’agit pas de la clé la plus récente.

Capture d’écran de l’écran de récupération BitLocker montrant l’ID de clé du mot de passe de récupération qui a été sauvegardé avec succès.

Exemple : mots de passe de récupération multiples avec plusieurs sauvegardes

Dans ce scénario, il existe deux mots de passe de récupération.

Le mot de passe de récupération #1 est :

  • Enregistré dans le compte Microsoft
  • Enregistré dans Microsoft Entra ID
  • heure de création : 13h
  • ID clé : 4290B6C0-B17A-497A-8552-272CC30E80D4

Le mot de passe de récupération #2 est :

  • Enregistré dans Microsoft Entra ID
  • heure de création : 15h
  • ID clé : 045219EC-A53B-41AE-B310-08EC883AAEDD

Résultat : Le conseil Microsoft Entra ID (https://aka.ms/aadrecoverykey), qui est la clé la plus récente enregistrée, s’affiche.

Capture d’écran de l’écran de récupération BitLocker montrant l’ID de clé de la clé la plus récente.

Écran Informations supplémentaires sur la récupération

À compter de Windows 11, version 24H2, l’écran de récupération de prédémarrage BitLocker améliore les informations sur l’erreur de récupération. L’écran de récupération fournit des informations plus détaillées sur la nature de l’erreur de récupération, ce qui permet aux utilisateurs de mieux comprendre et résoudre le problème.

Les utilisateurs ont la possibilité d’obtenir des informations supplémentaires sur l’erreur de récupération en appuyant sur la touche Alt .

Capture d’écran de l’écran de récupération BitLocker mettant en évidence le bouton clavier Alt pour accéder à l’écran des informations de récupération.

L’écran Informations de récupération supplémentaires contient une catégorie d’erreur et un code, que vous pouvez utiliser pour récupérer plus de détails à partir de la section suivante de cet article.

Capture d’écran de l’écran des informations de récupération BitLocker.

Les sections suivantes décrivent les codes de chaque catégorie d’erreur BitLocker. Dans chaque section, il y a un tableau avec le message d’erreur affiché sur l’écran de récupération et la cause de l’erreur. Certains tableaux incluent une résolution possible.

Les catégories d’erreur sont les suivantes :

Initié par l’utilisateur

Code d’erreur Cause de l’erreur Résolution
E_FVE_USER_REQUESTED_RECOVERY L’utilisateur est entré explicitement en mode de récupération à partir d’un écran avec l’option mode de ESC récupération.
E_FVE_BOOT_DEBUG_ENABLED Le mode de débogage de démarrage est activé. Supprimez l’option de débogage de démarrage de la base de données de configuration de démarrage.

Intégrité du code

L’application de la signature du pilote est utilisée pour garantir l’intégrité du code du système d’exploitation.

Code d’erreur Cause de l’erreur
E_FVE_CI_DISABLED L’application de la signature du pilote est désactivée.

Verrouillage de l’appareil

La fonctionnalité de seuil de verrouillage de l’appareil permet à un administrateur de configurer la connexion Windows avec la protection BitLocker. Une fois le nombre configuré d’échecs de tentatives de connexion à Windows, l’appareil redémarre et ne peut être récupéré qu’en fournissant une méthode de récupération BitLocker.

Pour tirer parti de cette fonctionnalité, vous devez configurer le paramètre de stratégie Ouverture de session interactive : Seuil de verrouillage du compte d’ordinateur situé dans Configuration> ordinateurParamètres Windows Paramètres>de sécurité Stratégies>>localesOptions de sécurité. Vous pouvez également utiliser le paramètre de stratégie Exchange ActiveSyncMaxFailedPasswordAttempts ou le fournisseur de services de configuration (CSP) DeviceLock.

Code d’erreur Cause de l’erreur Résolution
E_FVE_DEVICE_LOCKEDOUT Verrouillage de l’appareil déclenché en raison d’un trop grand nombre de tentatives de connexion incorrectes. Une méthode de récupération BitLocker est nécessaire pour revenir à l’écran de connexion.
E_FVE_DEVICE_LOCKOUT_MISMATCH Le compteur de verrouillage de l’appareil n’est pas synchronisé. Une méthode de récupération BitLocker est nécessaire pour revenir à l’écran de connexion.

Configuration de démarrage

La base de données de configuration de démarrage (BCD) contient des informations critiques pour l’environnement de démarrage de Windows.

Code d’erreur Cause de l’erreur Résolution
E_FVE_BAD_CODE_ID

E_FVE_BAD_CODE_OPTION

 BitLocker est entré en mode de récupération car une application de démarrage a changé.
BitLocker suit les données à l’intérieur du BCD et la récupération BitLocker peut se produire lorsque ces données changent sans avertissement.

Consultez l’écran de récupération pour trouver l’application de démarrage qui a changé.		 Pour résoudre ce problème, restaurez la configuration BCD. Une méthode de récupération BitLocker est nécessaire pour déverrouiller l’appareil si la configuration BCD ne peut pas être restaurée avant le démarrage.

Pour plus d’informations, consultez Paramètres de données de configuration de démarrage et BitLocker.

TPM

Le module de plateforme sécurisée (TPM) est un matériel ou un microprogramme de chiffrement utilisé pour sécuriser un appareil. BitLocker crée un protecteur TPM pour gérer la protection des clés de chiffrement utilisées pour chiffrer vos données.

Au démarrage, BitLocker tente de communiquer avec le TPM pour déverrouiller l’appareil et accéder à vos données.

Code d’erreur Cause de l’erreur
E_FVE_TPM_DISABLED Un module de plateforme sécurisée (TPM) est présent, mais il est désactivé pour une utilisation avant ou pendant le démarrage.
E_FVE_TPM_INVALIDATED Un module de plateforme sécurisée est présent, mais il n’est pas valide.
E_FVE_BAD_SRK La clé racine de stockage interne du TPM est corrompue.
E_FVE_TPM_NOT_DETECTED Le système de démarrage n’a pas ou ne détecte pas de module de plateforme sécurisée.
E_MATCHING_PCRS_TPM_FAILURE Le module de plateforme sécurisée a échoué de manière inattendue lors de la descellage de la clé de chiffrement.
E_FVE_TPM_FAILURE Fourre-tout pour les autres erreurs TPM.

Pour plus d’informations, consultez Vue d’ensemble de la technologie du module de plateforme sécurisée et BitLocker et TPM.

Protecteur

Protecteurs TPM

Le module de plateforme sécurisée (TPM) contient plusieurs registres de configuration de plateforme (PCR) qui peuvent être utilisés dans le profil de validation du protecteur de module de plateforme sécurisée BitLocker. Les PCR sont utilisés pour valider l’intégrité du processus de démarrage, c’est-à-dire que la configuration de démarrage et le flux de démarrage n’ont pas été falsifiés.

La récupération BitLocker peut être le résultat de modifications inattendues des PCR utilisés dans le profil de validation du protecteur de plateforme sécurisée. Les modifications apportées aux PCR non utilisés dans le profil de protecteur de TPM n’influencent pas BitLocker.

Code d’erreur Cause de l’erreur Résolution
E_FVE_PCR_MISMATCH Modification de la configuration de l’appareil.

Les causes possibles sont les suivantes :
- Un support de démarrage est inséré. La suppression et le redémarrage de votre appareil peuvent résoudre ce problème
- Une mise à jour du micrologiciel a été appliquée sans mettre à jour le protecteur TPM		 Une méthode de récupération est nécessaire pour déverrouiller l’appareil.

Pour plus d’exemples, consultez Scénarios de récupération BitLocker.

Cas particuliers pour la PCR 7

Si le protecteur de TPM utilise PCR 7 dans le profil de validation, BitLocker s’attend à ce que PCR 7 mesure un ensemble spécifique d’événements pour le démarrage sécurisé. Ces mesures sont définies dans la spécification UEFI. Pour plus d’informations, consultez Racine statique des mesures de confiance.

Code d’erreur Cause de l’erreur Résolution
E_FVE_SECUREBOOT_DISABLED Le démarrage sécurisé a été désactivé. Pour accéder à la clé de chiffrement et déverrouiller votre appareil, BitLocker s’attend à ce que le démarrage sécurisé soit activé. La réactivation du démarrage sécurisé et le redémarrage du système peuvent résoudre le problème de récupération. Dans le cas contraire, une méthode de récupération est nécessaire pour accéder à l’appareil.
E_FVE_SECUREBOOT_CHANGED La configuration du démarrage sécurisé a changé de manière inattendue. La configuration de démarrage mesurée dans PCR 7 a changé.
Cela peut être dû à :
- Une mesure supplémentaire actuellement présente qui n’était pas présente lorsque BitLocker a mis à jour le protecteur TPM
- Une mesure manquante qui était présente lors de la dernière mise à jour du protecteur TPM par BitLocker, mais qui n’est plus présente maintenant
- Un événement attendu a une mesure différente		 Une méthode de récupération est nécessaire pour déverrouiller l’appareil.

Inconnu

Code d’erreur Cause de l’erreur Résolution
E_FVE_RECOVERY_ERROR_UNKNOWN BitLocker est entré en mode récupération en raison d’une erreur inconnue. Une méthode de récupération est nécessaire pour déverrouiller l’appareil.
  • Last updated on