【BitLocker】複数の回復キーを持つ時に対象PCを見分ける方法

会社で複数のPCを管理していると、BitLockerの回復キーが複数存在し、どのキーがどのPCに対応しているのか分からなくなることがあります。特に、キーを再発行したり、別のアカウントにバックアップしたりすると、同じPCに対して複数のキーが記録される場合があります。この記事では、複数の回復キーの中から対象PCに対応するキーを見分ける方法を、実際の操作手順を交えて解説します。

BitLocker回復キーが複数存在する原因

まずはなぜ複数の回復キーが発生するのか、その原因を理解しておきましょう。

同一PCでのキー再作成または更新

BitLockerはTPM(Trusted Platform Module)と連携して動作します。TPMのリセットやBitLockerの一時停止・再開、PINの変更、パスワード変更などを行うと、新しい回復キーが生成され、古いキーは無効になる場合があります。ただし、古いキーがクラウドやファイルから削除されずに残ると、同じPCに対して複数のキーが存在することになります。

複数PCの管理におけるキー混在

一人で複数のPCを運用している場合、それぞれのPCの回復キーが同一アカウントにバックアップされるため、どのキーがどのPCに属するか分からなくなることがあります。特にノートPCとデスクトップ、貸出用端末などがあると、キーの行き違いが生じやすいです。

バックアップ先の重複

同じPCの回復キーをMicrosoftアカウント、Azure AD、ローカルファイル、管理者によるバックアップなど複数の場所に保存している場合、各場所に異なるキーIDが記録されることがあります。この場合、どのキーが最新で有効なのかを見極める必要があります。

回復キーをPCに紐付ける基本手順

最も確実な方法は、PC上で現在有効な回復キーのIDを調べ、クラウド上のキー一覧と照合することです。以下の手順で進めてください。

1. PCで回復キーIDを取得する: コマンドプロンプトを管理者権限で開き、manage-bde -protectors -get C: を実行します(Cドライブの場合)。表示される「ID」が回復キーIDです。48桁の数字とハイフンで構成されています。メモしておきます。
2. Microsoftアカウントでキー一覧を確認する: ブラウザで https://account.microsoft.com/devices/recoverykey にアクセスし、サインインします。表示されたキーIDとPCで取得したIDが一致するものが該当キーです。PCにデバイス名が表示されていれば、それを手掛かりにすることもできます。
3. Azure AD(Microsoft Entra ID)で確認する: 会社のPCがAzure ADに参加している場合、Azure Portal の「BitLocker回復キー」ブレードから、デバイス名とキーIDを照合できます。ただし、アクセス権限が必要なため、自分で確認できない場合は管理者に依頼します。
4. IntuneまたはConfiguration Managerで確認する: 組織がMicrosoft IntuneやSystem Center Configuration Managerを使用している場合、管理者はこれらのツールから回復キーを一括管理できます。該当PCのデバイス名を検索し、キーIDを比較します。
5. ローカルファイルや印刷物と照合する: BitLocker設定時にキーをファイル保存した場合は、ファイル名にPC名や日付が含まれていることがあります。キーIDが記載されているので、ファイルを開いてPCで取得したIDと比較してください。

会社管理端末での注意点と管理者確認事項

会社で使用しているPCの場合、BitLockerの回復キーは組織のポリシーによって管理されている可能性が高いです。以下の点に注意してください。

自分でキーを削除・変更しない

回復キーを誤って削除すると、次回の復号が必要なときに端末にアクセスできなくなる恐れがあります。また、キーの変更やTPMのリセットは、監査ログに記録されるため、許可なく行うとセキュリティポリシー違反になる場合があります。必ずIT管理者の指示を仰いでください。

管理者に伝える情報

管理者に問い合わせる際は、以下の情報を用意するとスムーズです。

• 問題のPCのコンピューター名(設定 → システム → 詳細情報で確認)
• PCで取得した回復キーID(48桁のうち前半8桁程度でも可)
• キーが表示される環境(Microsoftアカウント、Azure ADなど)
• キーが複数ある状況(例:5つのキーがあり、どれが該当PCか不明)

管理者ができる確認方法

管理者は以下のツールを使って、PCと回復キーの正確な紐付けを行えます。

• Microsoft Intune: デバイスごとにBitLocker回復キーを表示できます。デバイス名とキーIDが一覧で表示されるため、照合が容易です。
• Configuration Manager (SCCM): 回復キー情報を収集しており、デバイスコレクションからキーを取得できます。
• Azure AD回復キー管理: Azure Portalの「BitLocker回復キー」で、デバイスIDとキーIDの対応を確認できます。
• PowerShellスクリプト: Get-BitLockerVolume や Get-MpComputerStatus などのコマンドでリモートのPCからキー情報を取得することも可能です。

各確認方法の比較表

確認方法	必要な環境	正確性	制限
PCのコマンドプロンプト(manage-bde)	ローカル管理者権限	非常に高い(現在有効なキーIDが取得できる)	リモートでは実行できない
Microsoftアカウントの回復キーページ	個人用Microsoftアカウント	高い(デバイス名が表示される場合あり)	会社アカウントでは使えないことが多い
Azure Portal(BitLocker回復キー)	Azure AD参加、適切なロール	高い(デバイスIDで紐付け可能)	一般ユーザーはアクセス不可
Intune / SCCM	組織で管理ツール導入済み	非常に高い(一覧で比較可能)	IT管理者のみ操作可能

失敗パターンと対処法

複数の回復キーが存在する場合によくある失敗と、その対処法を紹介します。

キーIDが同じで区別できない場合

まれに、同一PCに対して別々のバックアップ先で同じキーIDが記録されることがあります。これはバックアップのタイミングなどで生じます。その場合、キーIDだけでは区別できないため、キーの有効期限や作成日時を確認します。通常、最新のキーが有効なので、作成日時が新しいものを選択してください。日時が不明な場合は、管理者に問い合わせて確認を依頼します。

古いキーで復号できない場合

複数のキーを試しても復号できない場合は、すべてのキーが無効になっている可能性があります。BitLockerを一時停止して再開すると新しいキーが生成されるため、そのキーが有効です。古いキーは使えません。このような状況では、管理者に連絡して最新のキーを入手するか、TPMのリセットなどを検討しますが、自己判断で行わないでください。

クラウドにキーが表示されない場合

回復キーがクラウドにバックアップされていないケースもあります。その場合は、PCのローカルファイルや印刷物、またはActive Directory(ドメイン参加の場合)に保存されている可能性があります。管理者にバックアップ状況を確認してもらいましょう。

よくある質問(FAQ)

回復キーを印刷した紙とPCの紐付けがわかりません

印刷物には通常、キーID(48桁の数字)とPC名が記載されていません。キーIDだけが印刷されています。その場合は、PCでmanage-bdeコマンドを使ってキーIDを取得し、紙のIDと比較してください。一致すればそのPC用のキーです。

回復キーはいくつまでバックアップできますか?

MicrosoftアカウントやAzure ADでは、1台のPCに対して複数の回復キーを保存できますが、最大数は特に定められていません。ただし、古いキーは無効になるため、実質的に意味のあるキーは最新のものだけです。定期的に不要なキーを削除することをお勧めしますが、会社PCの場合は管理者に依頼してください。

キーIDが一致しないキーが一覧にありますが、削除してもいいですか?

一致しないキーは、別のPCや過去のキーである可能性が高いです。ただし、間違って現在使用中のキーを削除しないように注意が必要です。削除する前に、PC名やハードウェア情報を再確認し、管理者の許可を得てから行ってください。

まとめ

複数のBitLocker回復キーの中から対象PCを特定するには、PC上で現在有効なキーIDを取得し、クラウドや管理ツールのキー一覧と照合するのが基本です。キーIDは48桁の数字であり、これを手掛かりにすればほぼ正確に紐付けられます。会社管理の端末では、自分でキーを削除せず、必ずIT管理者に相談してください。管理者はIntuneやAzure Portalなどのツールで正確な対応関係を確認できます。この記事で紹介した手順を参考に、適切なキーを特定してください。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。