【BitLocker】会社PCの起動時に回復キーを求められた時に確認する変更履歴

BitLocker回復キーの入力を求める画面が突然表示されると、業務が中断して焦ってしまいます。多くの場合、この現象は端末に対する何らかの変更がトリガーになっています。本記事では、会社PCでBitLocker回復キーが要求されたときに、どのような変更履歴を確認すればよいのかを具体的に解説します。原因を素早く特定し、適切な対応を取るための手順をまとめました。

1. BitLocker回復キー要求の代表的な原因

BitLockerは、TPM(Trusted Platform Module)と連携してドライブを暗号化しています。TPMが起動時に測定するシステム状態(ブート構成やハードウェア構成)が以前と異なると、暗号化を解除するための鍵が利用できなくなり、回復キーの入力を求められます。具体的な原因として、以下のものが代表的です。

• BIOS/UEFI設定の変更(セキュアブートの無効化、ブート順序の変更など)
• ハードウェアの追加・交換(メモリ増設、SSD交換、内蔵デバイスの変更)
• TPMの初期化(誤操作やトラブルシューティングでのクリア)
• Windows Updateによるブート構成の更新
• PINやパスワードの変更(特にWindows Hello関連)
• ファームウェアの更新

会社PCでは、特にWindows Updateや管理ツールによる自動変更が原因となるケースが多く、ユーザーが気づかないうちに変更が適用されていることもあります。

2. 回復キー要求を引き起こす変更履歴の種類

変更履歴は大きく「システム構成の変更」と「資格情報の変更」に分けられます。システム構成の変更は、TPMが測定する環境に直接影響します。資格情報の変更は、Windows HelloやPINがロックされた場合に回復キーが必要になることがあります。以下の表で主な変更と確認方法をまとめました。

変更の種類	具体例	確認方法	管理者連絡要否
BIOS/UEFI設定	セキュアブート無効化、CSM有効化	BIOS画面で設定変更履歴を確認	要連絡(変更は管理者のみ)
ハードウェア変更	メモリ増設、SSD交換	デバイスマネージャーでの変更日時	要連絡(社内手順に従う)
TPM初期化	tpm.mscでクリア操作	イベントビューアー(Systemログ)	要連絡(原則禁止)
Windows Update	ファームウェア更新、ドライバー更新	設定→Windows Update→更新履歴	不要(自動更新)
PIN/パスワード変更	Windows Hello PINリセット	設定→アカウント→サインインオプション	状況による
BitLockerポリシー変更	グループポリシーによる暗号化方式変更	管理者確認が必要	要連絡

3. 自分で確認可能な変更履歴と手順

回復キーが要求された場合、まずは自分で確認できる項目を調べることで原因切り分けができます。以下の手順で進めてください。

1. Windows Updateの履歴を確認する
   「設定」→「Windows Update」→「更新履歴」を開き、最近(数日以内)にドライバー更新やファームウェア更新が適用されていないか確認してください。特に「セキュリティ更新プログラム」や「定義更新」以外に「ドライバー」や「ファームウェア」の更新がある場合は、それが原因の可能性があります。
2. デバイスマネージャーでTPMの状態を確認する
   「デバイスマネージャー」を開き、「セキュリティデバイス」内の「Trusted Platform Module 2.0」を右クリックしてプロパティを開きます。全般タブで「このデバイスは正常に動作しています。」と表示されていれば問題ありませんが、状態が異常であればTPMに問題がある可能性があります。また、ドライバーの日付やバージョンも確認してください。
3. イベントビューアーでBitLocker関連のログを確認する
   「イベントビューアー」を開き、「Windows ログ」→「System」を選択します。フィルターをかけて「BitLocker」または「BitLocker-API」のソースを表示します。エラーイベント(ID: 245, 246 など)が記録されている場合、変更履歴が原因であることが確認できます。
4. 最近のハードウェア変更を思い出す
   自分でメモリを増設したり、外付けデバイスを接続したことはないでしょうか。また、BIOS設定を触った記憶がないか考えてください。会社PCでは通常、これらの操作は管理者のみ行うべきです。
5. サインインオプションの変更履歴を確認する
   「設定」→「アカウント」→「サインインオプション」で、PINや生体認証が最近変更されていないか確認します。特に「PINを忘れた場合」のリンクからリセット操作を行った場合、回復キーが必要になることがあります。

4. 管理者に確認すべき項目

自分で確認できる範囲に限界がある場合、管理者に連絡して以下の情報を伝えるとスムーズです。

• 回復キーが要求された正確な日時
• 表示されたエラーコード(例:0x80070490 など)
• 直近の自分で行った操作(もしあれば)
• イベントビューアーで確認したBitLocker関連のエラーログ(イベントIDを含む)

管理者側では、グループポリシーの変更やBitLockerのポリシー更新、LAPSに関連するパスワード変更などが原因になっている可能性があります。また、Active Directoryに保存された回復キーを取得する手順も管理者が持っています。会社の規定に従い、必要な情報を提供してください。

5. 回復キー要求を未然に防ぐ運用ポイント

会社PCでBitLocker回復キーが頻発するのを防ぐためには、以下の点に注意します。

1. 自己判断でBIOS設定やTPMを変更しない。ファームウェア更新も管理者の指示に従って行う。
2. Windows Updateは必ず適用する。ただし、再起動が必要な更新は勤務時間外に行うことを推奨。
3. PINやパスワードを変更する場合は、事前に管理者に確認する。特にWindows Helloの再設定は回復キー要求を誘発する可能性がある。
4. ハードウェアの増設や交換は会社の手順に従い、必ず管理者の承認を得てから行う。
5. BitLockerの回復キーを事前に安全な場所にバックアップしておく(管理者が保存していない場合は自分でも可能)。ただし、社内ポリシーに従ってください。

6. よくある質問とその回答

Q: 回復キーを入力しても起動できません。どうすればいいですか?
A: 入力した回復キーが間違っている可能性があります。キーの桁数が正しいか、大文字小文字を区別して入力してください。それでも解決しない場合、管理者に連絡して正しい回復キーを入手してください。また、キーボードのレイアウトが変わっていないかも確認してください。

Q: 回復キーを紛失してしまいました。どうすればいいですか?
A: 企業環境では、Active DirectoryやAzure ADに回復キーがバックアップされていることがほとんどです。管理者に依頼して回復キーを取得してもらってください。自分で管理する場合は、事前に「BitLocker回復キーのバックアップ」を実行しておくことが推奨されます。

Q: Windows Update後に回復キーが要求されるようになりました。元に戻せますか?
A: 通常、Windows Updateが原因の場合は、その更新プログラムをアンインストールすることで改善することがあります。ただし、アンインストールには管理者権限が必要な場合があるため、管理者に相談してください。また、更新プログラムをアンインストールするとセキュリティリスクが生じる可能性もあるため、注意が必要です。

Q: BitLockerを一時的にオフにしてもいいですか?
A: 会社PCでは、社内ポリシーでBitLockerの無効化が禁止されていることがほとんどです。無効化するとセキュリティ基準に違反する可能性があります。必ず管理者の指示に従ってください。

7. まとめ

BitLocker回復キーが要求された場合、まずはWindows Update履歴やイベントビューアーなど、自分で確認できる変更履歴を調べることで原因を特定できることが多いです。それでも解決しない場合は、管理者に詳細な情報を伝えて対応を依頼してください。会社PCでは、自己判断でTPMやBitLockerの設定を変更することは避け、常に管理ポリシーに従うことが重要です。日頃から回復キーのバックアップ場所を確認しておくことで、緊急時にも冷静に対処できます。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。