BitLocker プリブート回復画面

BitLocker 回復中、プリブート回復画面はユーザーにとって重要なタッチポイントであり、organization のニーズに合わせたカスタム回復メッセージ、追加のサポートのための直接回復 URL、ユーザーが回復キーを見つけるのに役立つ戦略的なヒントを提供します。

この記事では、プリブート回復画面に表示されるさまざまな要素について詳しく説明し、ポリシー設定と回復キーの状態が提示される情報にどのように影響するかについて詳しく説明します。 パーソナライズされたメッセージでも実践的なガイダンスでも、プリブート回復画面はユーザーの回復プロセスを合理化するように設計されています。

注

この記事は、IT プロフェッショナルおよびデバイス管理者を対象としています。 BitLocker のヘルプを探しているエンド ユーザーまたはコンシューマーの場合は、「 BitLocker 回復キーを見つける」を参照してください。

既定のプリブート回復画面

既定では、BitLocker 回復画面には汎用メッセージと URL https://aka.ms/recoverykeyfaqが表示されます。

既定の BitLocker 回復画面のスクリーンショット。

カスタム回復メッセージ

BitLocker ポリシー設定を使用すると、BitLocker プリブート回復画面でカスタム回復メッセージと URL を構成できます。 カスタム回復メッセージと URL には、BitLocker セルフサービス回復ポータルのアドレス、IT 内部 Web サイト、サポート用の電話番号を含めることができます。

カスタム回復メッセージで構成された BitLocker ポリシー設定。

カスタム メッセージが表示されている BitLocker 回復画面のスクリーンショット。

カスタム回復 URL で構成された BitLocker ポリシー設定。

カスタム URL が表示されている BitLocker 回復画面のスクリーンショット。

ポリシー設定を使用してカスタム回復メッセージを構成する方法の詳細については、「 プリブート回復メッセージと URL を構成する」を参照してください。

回復キーのヒント

BitLocker メタデータには、BitLocker 回復キーが保存された日時と場所に関する情報が含まれます。 この情報は、UI やパブリック API を通じて公開されることはありません。 BitLocker 回復画面でのみ、ユーザーがボリュームの回復キーを見つけるのに役立つヒントの形式で使用されます。 ヒントは回復画面に表示され、キーが保存された場所を参照します。 ヒントは、ブート マネージャーの回復画面と WinRE ロック解除画面の両方に適用されます。

リカバリ中にどのヒントを表示するか (処理の順序で) を管理するルールがあります。

  1. ポリシー設定で構成した場合、カスタム回復メッセージを常に表示する
  2. 常に表示される汎用ヒント: 詳細については、https://aka.ms/recoverykeyfaq を参照してください
  3. ボリュームに複数の回復キーが存在する場合は、最後に作成された (正常にバックアップされた) 回復キーを優先します
  4. バックアップが成功したキーは、バックアップされていないキーよりも優先されます
  5. リモート バックアップの場所について、次の順序でバックアップのヒントに優先順位を付けます。
    • Microsoft アカウント
    • Microsoft Entra ID
    • Active Directory
  6. キーが印刷されてファイルに保存されている場合は、組み合わせたヒントを表示する 2 つの個別のヒントではなく、そのキーを含む印刷イメージまたはテキスト ファイルを探します
  7. 同じ回復キーに対して同じ種類 (リモートとローカル) の複数のバックアップが実行された場合は、最新のバックアップ日付でバックアップ情報に優先順位を付けます
  8. オンプレミスの Active Directory に保存されたキーに関する具体的なヒントはありません。 この場合、カスタム メッセージ (構成されている場合) または汎用メッセージ "organization's help desk にお問い合わせください) が表示されます
  9. 2 つの回復キーが存在し、バックアップされているのは 1 つだけの場合、もう一方のキーが新しい場合でも、システムはバックアップされたキーを要求します

例: ファイルと 1 つのバックアップに保存された 1 つの回復パスワード

このシナリオでは、回復パスワードはファイルに保存されます

重要

回復キーを印刷したり、ファイルに保存したりすることはお勧めしません。 代わりに、Microsoft アカウント、Microsoft Entra ID、または Active Directory バックアップを使用します。

BitLocker 回復キーが保存された場所のヒントを示す BitLocker 回復画面のスクリーンショット。

例: Microsoft アカウントの 1 つの回復パスワードと 1 つのバックアップ

このシナリオでは、カスタム URL を構成します。 回復パスワードは次のとおりです。

  • Microsoft アカウントに保存された
  • 印刷されない
  • ファイルに保存されない

結果: カスタム URL と Microsoft アカウント (https://aka.ms/myrecoverykey) のヒントが表示されます。

カスタム URL と BitLocker 回復キーが保存された場所のヒントが表示されている BitLocker 回復画面のスクリーンショット。

回復パスワードが MSA に保存されている場合、Windows 11 バージョン 24H2 以降では、BitLocker プリブート回復画面に Microsoft アカウント (MSA) のヒントが表示されます。 このヒントは、回復キー情報の保存に使用された MSA アカウントを理解するのに役立ちます。

BitLocker 回復キーが保存された Microsoft アカウントのヒントを示す BitLocker 回復画面のスクリーンショット。

例: AD DS の単一回復パスワードと単一バックアップ

このシナリオでは、カスタム URL を構成します。 回復パスワードは次のとおりです。

  • Active Directory に保存
  • 印刷されない
  • ファイルに保存されない

結果: カスタム URL のみが表示されます。

カスタム URL のみを示す BitLocker 回復画面のスクリーンショット。

例: 複数のバックアップを使用した 1 つの回復パスワード

このシナリオでは、回復パスワードは次のとおりです。

  • Microsoft アカウントに保存された
  • Microsoft Entra ID に保存されます
  • 印刷済み
  • ファイルに保存済み

結果: Microsoft アカウントのヒント (https://aka.ms/myrecoverykey) のみが表示されます。

Microsoft アカウントのヒントのみを示す BitLocker 回復画面のスクリーンショット。

例: 1 つのバックアップで複数の回復パスワード

このシナリオでは、2 つの回復パスワードがあります。

回復パスワード #1 は次のとおりです。

  • ファイルに保存済み
  • 作成時刻: 午後 1 時
  • キー ID: 4290B6C0-B17A-497A-8552-272CC30E80D4

回復パスワード #2 は次のとおりです。

  • バックアップされていません
  • 作成時刻: 午後 3 時
  • キー ID: 045219EC-A53B-41AE-B310-08EC883AAEDD

結果: 最新のキーでなくても、正常にバックアップされたキーのヒントのみが表示されます。

正常にバックアップされた回復パスワードのキー ID を示す BitLocker 回復画面のスクリーンショット。

例: 複数のバックアップを使用した複数の回復パスワード

このシナリオでは、2 つの回復パスワードがあります。

回復パスワード #1 は次のとおりです。

  • Microsoft アカウントに保存されました
  • Microsoft Entra ID に保存されました
  • 作成時刻: 午後 1 時
  • キー ID: 4290B6C0-B17A-497A-8552-272CC30E80D4

回復パスワード #2 は次のとおりです。

  • Microsoft Entra ID に保存されました
  • 作成時刻: 午後 3 時
  • キー ID: 045219EC-A53B-41AE-B310-08EC883AAEDD

結果:最後に保存されたキーであるMicrosoft Entra ID ヒント (https://aka.ms/aadrecoverykey) が表示されます。

最新のキーのキー ID を示す BitLocker 回復画面のスクリーンショット。

[追加の回復情報] 画面

Windows 11 バージョン 24H2 以降では、BitLocker プリブート回復画面で回復エラー情報が拡張されます。 回復画面には、回復エラーの性質に関する詳細情報が表示され、ユーザーは問題をより深く理解して対処できるようになります。

ユーザーは、 Alt キーを押すことで、回復エラーに関する追加情報を確認することができます。

BitLocker 回復画面のスクリーンショット。回復情報画面にアクセスするための Alt キーボード ボタンが強調表示されています。

[ 追加の回復情報] 画面には、 エラー カテゴリ と コードが含まれています。この記事の次のセクションで詳細を取得するために使用できます。

BitLocker 回復情報画面のスクリーンショット。

次のセクションでは、各 BitLocker エラー カテゴリのコードについて説明します。 各セクション内には、回復画面に表示されるエラー メッセージとエラーの原因を示す表があります。 一部の表には、考えられる解決方法が記載されています。

エラー カテゴリは次のとおりです。

ユーザーによって開始

エラー コード エラーの原因 解決方法
E_FVE_USER_REQUESTED_RECOVERY ユーザーは、リカバリ モードに ESC するオプションが表示された画面から明示的にリカバリ モードを開始しました。
E_FVE_BOOT_DEBUG_ENABLED ブート デバッグ モードは有効です。 ブート構成データベースからブート デバッグ オプションを削除します。

コード整合性

ドライバー署名の強制は、オペレーティング システムのコード整合性を確保するために使用されます。

エラー コード エラーの原因
E_FVE_CI_DISABLED ドライバー署名の強制が無効になっている。

デバイスのロックアウト

デバイス ロックアウトしきい値機能を使用すると、管理者は Windows サインインを BitLocker 保護を有効にして構成できます。 Windows サインイン試行の失敗回数が設定された回数に達すると、デバイスが再起動し、BitLocker 回復方法を提供することによってのみ回復できます。

この機能を利用するには、[コンピューターの構成]>Windows の設定>セキュリティの設定>ローカル ポリシー]>セキュリティ オプションにあるポリシー設定 [対話型ログオン: コンピューター アカウントのロックアウトしきい値] を構成する必要があります。 または、Exchange ActiveSyncMaxFailedPasswordAttempts ポリシー設定または DeviceLock 構成サービス プロバイダー (CSP) を使用します。

エラー コード エラーの原因 解決方法
E_FVE_DEVICE_LOCKEDOUT 誤ったサインイン試行が多すぎることが原因でデバイス ロックアウトがトリガーされました。 サインイン画面に戻るには、BitLocker 回復メソッドが必要です。
E_FVE_DEVICE_LOCKOUT_MISMATCH デバイス ロックアウト カウンターの同期がありません。 サインイン画面に戻るには、BitLocker 回復メソッドが必要です。

ブート構成

ブート構成データベース (BCD) には、Windows ブート環境に関する重要な情報が含まれています。

エラー コード エラーの原因 解決方法
E_FVE_BAD_CODE_ID

E_FVE_BAD_CODE_OPTION

 ブート アプリケーションが変更されたため、BitLocker が回復モードに入りました。
BitLocker は BCD 内のデータを追跡し、このデータが警告なしに変更されると BitLocker 回復が実行される可能性があります。

回復画面を参照して、変更されたブート アプリケーションを見つけます。		 この問題を解決するには、BCD 構成を復元します。 起動する前に BCD 構成を復元できない場合、デバイスのロックを解除するには BitLocker 回復メソッドが必要です。

詳細については、「 ブート構成データ設定と BitLocker」を参照してください。

TPM

トラステッド プラットフォーム モジュール (TPM) は、デバイスをセキュリティで保護するために使用される暗号化ハードウェアまたはファームウェアです。 BitLocker は TPM プロテクター を作成し、データの暗号化に使用される暗号化キーの保護を管理します。

起動時に、BitLocker は TPM との通信を試み、デバイスのロックを解除し、データにアクセスしようとします。

エラー コード エラーの原因
E_FVE_TPM_DISABLED TPM は存在しますが、起動前または起動中は使用できません。
E_FVE_TPM_INVALIDATED TPM は存在しますが無効になっています。
E_FVE_BAD_SRK TPM の内部ストレージ ルート キーが破損しています。
E_FVE_TPM_NOT_DETECTED ブート システムに TPM がないか、または TPM を検出していません。
E_MATCHING_PCRS_TPM_FAILURE 暗号化キーの封印を解除するときに、TPM が予期せず失敗しました。
E_FVE_TPM_FAILURE その他の TPM エラーに関する総称。

詳細については、「 トラステッド プラットフォーム モジュールのテクノロジの概要 」および「 BitLocker と TPM」を参照してください。

保護機能

TPM プロテクター

TPM には、BitLocker TPM プロテクターの検証プロファイルで使用できる複数のプラットフォーム構成レジスタ (PCR) が含まれています。 PCR は、ブート プロセスの整合性 (ブート構成とブート フローが改ざんされていないこと) を検証するために使用されます。

BitLocker の回復は、TPM プロテクター検証プロファイルで使用される PCR の予期しない変更の結果である可能性があります。 TPM プロテクター プロファイルで使用されていない PCR への変更は、BitLocker には影響しません。

エラー コード エラーの原因 解決方法
E_FVE_PCR_MISMATCH デバイスの構成が変更されました。

次の原因が考えられます。
- 起動可能なメディアが挿入されます。 削除してデバイスを再起動すると、この問題が解決する場合があります
- TPM プロテクターを更新せずにファームウェアの更新プログラムが適用されました		 デバイスのロックを解除するには、回復方法が必要です。

その他の例については、「 BitLocker 回復シナリオ」を参照してください。

PCR 7 の特殊なケース

TPM プロテクターが検証プロファイルで PCR 7 を使用している場合、BitLocker は PCR 7 がセキュア ブートの特定のイベント セットを測定すると想定しています。 これらの測定値は UEFI 仕様で定義されています。 詳細については、「信頼性測定の静的ルート」を参照してください。

エラー コード エラーの原因 解決方法
E_FVE_SECUREBOOT_DISABLED セキュア ブートは無効になっています。 暗号化キーにアクセスしてデバイスのロックを解除するために、BitLocker はセキュア ブートがオンになっていることを想定しています。 セキュア ブートを再度有効にしてシステムを再起動すると、回復の問題が解決する場合があります。 それ以外の場合、デバイスにアクセスするには回復方法が必要です。
E_FVE_SECUREBOOT_CHANGED セキュア ブート構成が予期せず変更されました。 PCR 7 で測定されたブート構成が変更されました。
次の理由が考えられます。
- BitLocker が TPM プロテクターを更新したときに存在しなかった、現在存在する追加の測定値
- BitLocker が最後に TPM プロテクターを更新したときに存在していたが、現在は存在しない測定値の欠落
- 予期されるイベントの測定値が異なる		 デバイスのロックを解除するには、回復方法が必要です。

Unknown

エラー コード エラーの原因 解決方法
E_FVE_RECOVERY_ERROR_UNKNOWN BitLocker は不明なエラーのため回復モードに入りました。 デバイスのロックを解除するには、回復方法が必要です。
  • Last updated on