【BitLocker】SSD交換後に暗号化状態を確認する時の注意点

SSDを交換すると、BitLockerの暗号化状態は大きく変化します。新しいSSDには暗号化がかかっていないため、BitLockerは自動的に停止または一時停止状態になります。しかし、会社の管理ポリシーが適用されている端末では、再び暗号化が開始されたり、回復キーの入力が必要になる場合があります。本記事では、SSD交換前後で確認すべきポイントと、特に会社管理端末で注意すべき点を詳しく解説します。

SSD交換後にBitLockerの暗号化状態はどう変わるのか

SSD交換後のBitLockerの挙動は、交換前の暗号化状態と端末の管理設定によって異なります。ここでは代表的な3つのパターンを説明します。

BitLockerが一時停止されるケース

標準的な構成では、SSD交換時にBitLockerは自動的に保護を一時停止します。これは、TPMに保存されたキーが新しいSSDでは無効になるためです。一時停止中はドライブの暗号化は維持されますが、保護はかかっていない状態となります。OSが起動した後、管理者が保護を再開しない限り、BitLockerは次の再起動から有効になりません。

暗号化が解除されるケース

交換前にBitLockerを完全に無効化(暗号化解除)していた場合、新しいSSDには暗号化は適用されません。また、交換中に元のSSDの暗号化状態が失われることはありませんが、新しいSSDでは最初から暗号化を有効にする必要があります。

保護機能が維持されるケース

一部の企業では、グループポリシーやIntuneポリシーでBitLockerの強制暗号化が設定されています。この場合、SSD交換後もポリシーが自動的に適用され、新しいSSDに対して暗号化が開始されます。また、回復キーが事前にバックアップされていれば、初回起動時に回復キーの入力を求められることがあります。

状況	暗号化状態	保護機能状態	回復キー必要?
交換前(元のSSD)	有効(暗号化済み)	有効(TPMで保護)	不要(通常起動)
交換直後(新SSD)	無効(暗号化されていない)	無効(保護なし)	不要(起動できる)
ポリシー適用後	有効(再暗号化開始)	有効(TPM or パスワード)	必要(初回起動時)
交換前に保護を一時停止した場合	有効(暗号化状態維持)	一時停止中	不要(ただし一時停止中)

交換前に必ず確認すべき3つのポイント

SSD交換を安全に行うためには、事前の確認が不可欠です。以下の3点を必ずチェックしてください。

回復キーのバックアップ確認

BitLockerの回復キーは、暗号化されたドライブにアクセスできなくなった場合に必要です。交換前に、回復キーが Microsoft アカウント、Azure AD、または Active Directory にバックアップされていることを確認してください。確認方法は、コントロールパネルのBitLockerドライブ暗号化から「回復キーのバックアップ」を開くか、PowerShellで「(Get-BitLockerVolume -MountPoint C).KeyProtector」を実行してキープロテクタの一覧を表示します。キーがない場合は、管理者に問い合わせてバックアップを依頼してください。

TPMの状態確認

TPM(Trusted Platform Module)は、BitLockerの鍵を安全に保管するハードウェアモジュールです。SSD交換後、TPMは新しいSSDを認識するため、事前にTPMの状態を確認しておきましょう。Windowsセキュリティの「デバイスセキュリティ」または「tpm.msc」でTPMの状態を確認できます。正常な状態であれば「TPMは使用可能です」と表示されます。もしTPMが無効になっている場合は、BIOS設定で有効にしてから交換してください。

ポリシー設定の確認

会社管理の端末では、グループポリシーやIntuneポリシーでBitLockerの動作が制御されています。特に、「BitLockerドライブ暗号化の回復方法」や「BitLockerの保護機能を一時停止するためのポリシー」が設定されている場合があります。これらのポリシーは管理者のみが変更可能です。交換前に、社内のポリシーでSSD交換が許可されているか、また交換後の自動暗号化が有効かどうかを確認してください。

交換後のBitLocker状態を確認する手順

SSD交換後は、以下の手順でBitLockerの暗号化状態を確認します。この手順は、Windows 10/11 ProおよびEnterpriseエディションで有効です。

1. Windowsキーを押して「BitLockerドライブ暗号化」と入力し、該当するコントロールパネル項目を開きます。
2. システムドライブ(通常はC:)の状態を確認します。「BitLockerが有効」「BitLockerが一時停止」「BitLockerが無効」のいずれかが表示されます。
3. より詳細な情報を得るには、管理者としてPowerShellを開き、「manage-bde -status C:」と入力します。出力結果の「変換状態」が「完全に暗号化済み」であること、「保護状態」が「保護中」「保護一時停止」「保護無効」のいずれかを確認します。
4. もし「保護状態」が「保護中」でない場合、保護を有効にする必要があります。PowerShellで「manage-bde -protectors -enable C:」を実行し、保護を再開してください。ただし、会社のポリシーで禁止されている場合は実行しないでください。
5. 最後に、PCを再起動し、回復キーの入力を求められないか確認します。もし求められた場合は、事前にバックアップした回復キーを入力します。キーがない場合は管理者に連絡してください。

暗号化状態が期待と異なる場合の原因と対処

交換後に暗号化状態が想定と異なるケースがいくつかあります。代表的なパターンと対処法を紹介します。

暗号化が完全に解除されていた場合

原因:交換前にBitLockerが無効化されていたか、ポリシーによる自動暗号化がオフになっている可能性があります。対処:管理者に確認の上、手動でBitLockerを有効にします。コントロールパネルから「BitLockerを有効にする」を選択し、ウィザードに従って暗号化を開始します。ただし、会社のポリシーで暗号化が必須である場合は、管理者が自動的に有効にする場合もあります。

回復キーの入力を求められた場合

原因:TPMが新しいSSDを認識できず、BitLockerが保護を再開するために回復キーを要求しています。対処:事前にバックアップした回復キーを入力します。キーがわからない場合は、組織のITSupportに連絡して回復キーを入手してください。Microsoftアカウントにバックアップしている場合は、アカウントにログインしてキーを確認することも可能です。

BitLockerが利用できないと表示される場合

原因:TPMが無効または初期化されている、またはBitLockerサービスが停止している可能性があります。対処:まずTPM管理ツール(tpm.msc)でTPMが有効か確認します。無効の場合はBIOSで有効にします。また、サービス「BitLocker Drive Encryption Service」が実行中か確認し、停止していれば開始します。これらの操作は管理者権限が必要なため、会社PCでは管理者に相談してください。

会社管理端末で特に注意すべき設定

会社で支給されたPCでは、BitLocker関連の設定を勝手に変更すると、セキュリティポリシー違反や端末ロックアウトのリスクがあります。以下の点に注意してください。

グループポリシーによる強制暗号化

多くの企業では、ドメイン参加端末に対し、BitLockerの強制暗号化をグループポリシーで設定しています。この場合、SSD交換後も自動的に暗号化が開始されます。ユーザーが手動で暗号化を無効にしようとしても、ポリシーによって元に戻されることがあります。交換前に、現在のポリシー設定を管理者に確認しておくことをおすすめします。

回復キーの保存場所

会社管理端末では、回復キーがActive DirectoryやAzure ADに自動的にバックアップされる設定になっていることが一般的です。交換後に回復キーが必要になった場合、社内のポータルサイトから取得できる場合があります。ただし、個人のMicrosoftアカウントにバックアップされていないケースもあるため、確実にアクセスできる方法を事前に把握しておきましょう。

事前に管理者へ確認すること

SSD交換を実行する前に、以下の点を必ずIT管理者に確認してください。
– 会社のポリシーでSSD交換が許可されているか。
– 交換前にBitLockerの保護を一時停止してもよいか。
– 交換後に自動暗号化が有効になる場合、回復キーはどこで入手できるか。
– TPMのクリアやBIOS設定の変更が必要かどうか。
これらの確認を怠ると、交換後に端末が起動しなくなるリスクがあります。

よくある質問(FAQ)

Q: SSD交換後、BitLockerの回復キーを紛失したらどうすればいいですか?

A: まず、組織のIT管理者に連絡してください。管理者はActive DirectoryやAzure ADから回復キーを取得できます。個人のMicrosoftアカウントにバックアップしている場合は、他の端末からアカウントにログインしてキーを確認することも可能です。どうしてもキーが見つからない場合、ドライブの初期化が必要になる可能性があります。

Q: 会社のPCでSSD交換を自分で行ってもいいですか?

A: 会社のポリシーによっては、ユーザーによるハードウェア交換が禁止されている場合があります。必ず事前に管理者に確認し、許可を得てから行ってください。許可がない場合、保証やサポートが無効になる恐れがあります。

Q: 交換後にBitLockerの暗号化が自動で開始されないのはなぜですか?

A: グループポリシーで自動暗号化が有効になっていない、またはBitLockerサービスが正常に動作していない可能性があります。まず、グループポリシーの適用状況を確認し、必要に応じて「gpupdate /force」でポリシーを更新してみてください。それでも改善しない場合は、管理者に連絡してください。

Q: SSD交換後、TPMをクリアしても問題ありませんか?

A: 絶対に行わないでください。TPMをクリアすると、BitLockerのキーが失われ、回復キーがなければドライブにアクセスできなくなります。TPMの初期化が必要な場合は、必ず管理者の指示に従ってください。

まとめ

SSD交換前にBitLockerの状態を確認し、回復キーをバックアップしておくことが最も重要です。会社管理端末では、必ずIT管理者の指示を仰ぎ、勝手な設定変更を避けてください。交換後は、PowerShellやコントロールパネルで暗号化状態を確認し、必要に応じて保護を再開します。もし問題が発生した場合は、すぐに管理者に連絡することで、データ損失や端末ロックアウトを防ぐことができます。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。