BitLocker の概要

BitLocker は、ボリューム全体を暗号化し、紛失、盗難、または不適切に廃棄されたデバイスによるデータの盗難や漏洩の脅威に対処する Windows セキュリティ機能です。

紛失または盗難にあったデバイス上のデータは、ソフトウェア攻撃ツールの実行による未承認のアクセス、またはデバイスのハード ドライブを別のデバイスに転送することによる未承認のアクセスに対して脆弱です。 BitLocker は、ファイルとシステムの保護を強化し、BitLocker で保護されたデバイスの使用停止またはリサイクル時にデータにアクセスできなくすることで、不正なデータ アクセスを軽減するのに役立ちます。

BitLocker と TPM

BitLocker は、Windows デバイスにインストールされる一般的なハードウェア コンポーネントであるトラステッド プラットフォーム モジュール (TPM) と共に使用すると最大限の保護を実現します。 TPM は BitLocker と連携して、システムがオフラインのときにデバイスが改ざんされていないことを確認します。

TPM に加えて 、BitLocker は、ユーザーが暗証番号 (PIN) を提供するか、 スタートアップ キーを含むリムーバブル デバイスを挿入するまで、通常のスタートアップ プロセスをロックできます。 これらのセキュリティ対策は、多要素認証を提供し、正しい PIN またはスタートアップ キーが提示されるまで、デバイスが起動したり、休止状態から再開したりできないよう保証します。

TPM を持たないデバイスでも、BitLocker を使用してオペレーティング システム ドライブを暗号化できます。 この実装では、ユーザーは次のいずれかを実行する必要があります。

• スタートアップ キーを使用します。これは、デバイスの起動や休止状態からの再開に使用するリムーバブル ドライブに保存されているファイルです。
• パスワードを使用します。 パスワード ロックアウト ロジックがないため、このオプションはブルート フォース攻撃の対象となるため、セキュリティで保護されていません。 そのため、パスワード オプションは推奨されず、既定では無効になっています。

どちらのオプションでも、TPM を装備した BitLocker によるプリブート システム整合性検証は提供されません。

次のスクリーンショットは、デバイスの起動にスタートアップ キー、PIN、またはパスワードが必要な場合の BitLocker プリブート画面を示しています。

システム要件

BitLocker には次の要件があります。

• BitLocker で TPM によって提供されるシステム整合性チェックを使用するには、デバイスに TPM 1.2 以降のバージョンが必要です。 デバイスに TPM がない場合、BitLocker を有効にするときにリムーバブル ドライブにスタートアップ キーを保存する必要があります。

• TPM を備えるデバイスには、 Trusted Computing Group (TCG) に準拠する BIOS または UEFI ファームウェアも必要です。 BIOS または UEFI ファームウェアは、プリブート起動時の信頼チェーンを確立し、 TCG で規定された信頼性測定の静的なルートのサポートが含まれている必要があります。 TPM を装備していないコンピューターには、TCG 準拠のファームウェアは必要ありません。

• システムの BIOS または UEFI ファームウェアは (TPM デバイスと TPM 以外のデバイス用) USB 大容量記憶デバイス クラスをサポートし、プリブート環境で USB ドライブ上のファイルの読み取りをサポートする必要があります。

  注

  TPM 2.0 は、BIOS の レガシ および 互換性サポート モジュール (CSM) モードではサポートされていません。 TPM 2.0 を搭載したデバイスでは、BIOS モードをネイティブ UEFI としてのみ構成する必要があります。 従来のオプションと CSM オプションを無効にする必要があります。 セキュリティを強化するためにセ キュア ブート 機能を有効にします。

  レガシ モードのハードウェアにインストールされているオペレーティング システムは、BIOS モードが UEFI に変更されると OS の起動を停止します。 UEFI をサポートするように OS とディスクを準備する BIOS モードを変更する前に mbr2gpt.exe ツールを使用します。

• ハード ディスクは、少なくとも 2 つのドライブにパーティション分割されている必要があります。

  • オペレーティング システム ドライブ (またはブート ドライブ) には、OS とそのサポート ファイルが含まれています。 NTFS ファイル システムでフォーマットされている必要があります。

  • システム ドライブには、オペレーティング システムの起動、復号化、および読み込みに必要なファイルが含まれています。 このドライブでは、BitLocker は有効になりません。 BitLocker が機能するには、システム ドライブ:

    • 暗号化してはなりません。
    • オペレーティング システム ドライブと異なる必要があります。
    • UEFI ベースのファームウェアを使用するコンピューターでは FAT32 ファイル システムで、BIOS ファームウェアを使用するコンピューターでは NTFS ファイル システムでフォーマットする必要があります。
    • サイズは約 350 MB にすることをおすすめします。 BitLocker を有効にした後は、約 250 MB の空き領域が残ります。

    重要

    新しいデバイスにインストールすると、Windows は BitLocker に必要なパーティションを自動的に作成します。

    ドライブが 1 つの連続した領域として準備されている場合、BitLocker にはブート ファイルを保持するための新しいボリュームが必要です。 BdeHdCfg.exe ボリュームを作成できます。 ツールの使用方法の詳細については、「Command-Line リファレンスの Bdehdcfg 」を参照してください。

Windows エディションとライセンスに関する要件

次の表に、BitLocker の有効化をサポートする Windows エディションを示します。

BitLocker 有効化ライセンスの権利は、次のライセンスによって付与されます。

Windows ライセンスの詳細については、「Windows ライセンスの概要」を参照してください。

デバイスの暗号化

デバイス暗号化 は、一部のデバイスで BitLocker 暗号化を自動的に有効にする簡単な方法を提供する Windows の機能です。 デバイスの暗号化はすべての Windows バージョンで使用できます。また、 デバイスがモダン スタンバイ または HSTI のセキュリティ要件を満たす必要があります。 デバイスの暗号化では、DMA アクセスを許可する外部からアクセス可能なポートを持つことはできません。 デバイスの暗号化では、OS ドライブと固定ドライブのみが暗号化され、外部/USB ドライブは暗号化されません。

標準的な BitLocker 実装とは異なり、デバイスの暗号化は自動的に有効になるため、デバイスは常に保護されます。 Windows のクリーン インストールが完了し、Out-Of-Box Experience が完了すると、デバイスは初めて使用する準備が整います。 この準備の一環として、OS ドライブとコンピューター上の固定データ ドライブ上でデバイスの暗号化が初期化されます。これは、標準的な BitLocker の一時停止状態に相当するクリア キーを使用します。 この状態では、ドライブは Windows エクスプローラーに警告アイコン付きで表示されます。 TPM プロテクターが作成され、回復キーをバックアップした後、黄色の警告アイコンは削除されます。

• デバイスが Microsoft Entra に参加しているか、Active Directory ドメインに参加している場合、回復キーが Microsoft Entra ID または Active Directory Domain Services (AD DS) に正常にバックアップされると、クリア キーが削除されます。 回復キーをバックアップするには、次のポリシー設定を有効にする必要があります。 BitLocker で保護されたオペレーティング システム ドライブを回復する方法を選択します。
  • Microsoft Entra に参加しているデバイスの場合: ユーザーが Microsoft Entra ID で認証すると回復パスワードが自動的に作成され、その後回復キーが Microsoft Entra ID にバックアップされ、TPM プロテクターが作成され、クリア キーが削除されます。
  • AD DS に参加しているデバイスの場合: コンピューターがドメインに参加すると、回復パスワードが自動的に作成されます。 その後、回復キーが AD DS にバックアップされ、TPM プロテクターが作成され、クリア キーが削除されます。
• デバイスが Microsoft Entra に参加していない、または Active Directory ドメインに参加していない場合は、デバイスの管理者特権を持つ Microsoft アカウントが必要です。 管理者が Microsoft アカウントを使ってサインインすると、クリア キーが削除され、回復キーがオンラインの Microsoft アカウントにアップロードされ、TPM 保護機能が作成されます。 デバイスで回復キーが必要な場合、ユーザーは代替デバイスを使用し、回復キーのアクセス URL に移動して Microsoft アカウントの資格情報を使用して回復キーを取得するようにガイドされます。
• デバイスがローカル アカウントのみを使用している場合、データは暗号化されていても保護されません。

デバイスが当初はデバイス暗号化の対象となっていなかったが、その後変更によってデバイスが対象となる場合 ( たとえば、セキュア ブートを有効にすることによって)、デバイス暗号化は BitLocker を検出するとすぐに自動的に有効にします。

デバイスがデバイス暗号化の要件を満たしているかどうかは、システム情報アプリ (msinfo32.exe) でチェックできます。 デバイスが要件を満たしている場合は、[システム情報] に次の行が表示されます。

BitLocker とデバイス暗号化の違い

• デバイスの暗号化により、デバイスの暗号化が有効なデバイスで BitLocker が自動的にオンになり、回復キーが Microsoft Entra ID、AD DS、またはユーザーの Microsoft アカウントに自動的にバックアップされます。
• デバイス暗号化は、設定アプリにデバイス暗号化設定を追加します。これを使用して、デバイスの暗号化をオンまたはオフに切り替えることができます。
  • 設定 UI には、暗号化が完了するまで、デバイスの暗号化が有効になっていることが表示されません。

デバイスの暗号化を無効にする

デバイスをサポートするシステムでは、デバイスの暗号化をオンにしておくことをお勧めします。 ただし、次のレジストリ設定を変更することで、自動デバイス暗号化プロセスを防ぐことができます。

デバイス暗号化の詳細については、「 BitLocker デバイス暗号化のハードウェア要件」を参照してください。

次のステップ