如果设备或驱动器无法使用配置的 BitLocker 机制解锁，用户可能能够自行恢复它。 如果自恢复不是一个选项，或者用户不确定如何继续，则支持人员应制定过程来快速安全地检索恢复信息。

本文概述了获取已加入Microsoft Entra、Microsoft Entra混合联接和已加入 Active Directory 的设备的 BitLocker 恢复信息的过程。 假定读者已经熟悉配置设备以自动备份 BitLocker 恢复信息以及可用的 BitLocker 恢复选项。 有关详细信息，请参阅 BitLocker 恢复概述 一文。

操作系统驱动器或固定数据驱动器的 BitLocker 恢复密码和恢复密钥可以保存到一个或多个 USB 设备，并打印并保存到Microsoft Entra ID 或 AD DS。

提示

建议将 BitLocker 恢复密钥保存到Microsoft Entra ID 或 AD DS。 这样，BitLocker 管理员或支持人员就可以帮助用户获取其密钥。

如果自我恢复包括使用存储在 U 盘上的密码或恢复密钥，则必须警告用户不要将 U 盘存储在与设备相同的位置，尤其是在旅行期间。 例如，如果设备和恢复项都在同一个包中，则未经授权的用户很容易访问该设备。 要考虑的另一个策略是让用户在执行自我恢复之前或之后联系支持人员，以便确定根本原因。

恢复密钥不能存储在以下任何位置：

如果 BitLocker 恢复密钥存储在 Microsoft Entra ID 中，则用户可以使用以下 URL 访问它们：https://myaccount.microsoft.com。 在“ 设备 ”选项卡中，用户可以选择自己拥有的 Windows 设备，然后选择“ 查看 BitLocker 密钥”选项。

注意

默认情况下，用户可以从Microsoft Entra ID 检索其 BitLocker reecovery 密钥。 可以使用选项 “限制用户恢复 BitLocker 密钥 (为其拥有的设备) ”来修改此行为。 有关详细信息，请参阅 限制成员用户的默认权限。

如果用户将恢复密码保存在 U 盘上，他们可以将驱动器插入锁定的设备并按照说明进行操作。 如果密钥在闪存驱动器上保存为文本文件，则用户必须使用其他设备来读取文本文件。

如果用户没有自助恢复选项，则支持人员应能够通过以下选项之一帮助用户：

警告

可能不会自动将 BitLocker 恢复密码备份到Microsoft Entra ID 或 AD DS。 应使用策略设置配置设备以启用自动备份，如 BitLocker 恢复概述 一文中所述。

以下列表可用作模板，用于创建恢复过程，以便支持人员检索恢复密码。

有几个Microsoft Entra ID 角色允许委派的管理员从租户中的设备读取 BitLocker 恢复密码。 虽然组织通常使用现有的 Microsoft Entra ID 云设备管理员或支持管理员内置角色，但你也可以创建自定义角色，使用 microsoft.directory/bitlockerKeys/key/read 权限委派对 BitLocker 密钥的访问权限。 可以委托角色来访问特定管理单元中设备的 BitLocker 恢复密码。

Microsoft Entra管理中心允许管理员检索 BitLocker 恢复密码。 若要了解有关该过程的详细信息，请参阅 查看或复制 BitLocker 密钥。 访问 BitLocker 恢复密码的另一个选项是使用 Microsoft 图形 API，这对于集成或脚本化解决方案可能很有用。 有关此选项的详细信息，请参阅 获取 bitlockerRecoveryKey。

在以下示例中，我们使用 Microsoft Graph PowerShell cmdlet Get-MgInformationProtectionBitlockerRecoveryKey 生成一个 PowerShell 函数，该函数从Microsoft Entra ID 中检索恢复密码：

加载函数后，它可用于检索特定设备的 BitLocker 恢复密码。 示例：

注意

对于由 Microsoft Intune 管理的设备，可以从 Microsoft Intune 管理中心的设备属性检索 BitLocker 恢复密码。 有关详细信息，请参阅 查看恢复密钥的详细信息。

若要从 AD DS 导出恢复密码，必须对存储在 AD DS 中的对象具有 读取访问权限 。 默认情况下，只有 域管理员 有权访问 BitLocker 恢复信息，但 可以将访问权限委托给 特定的安全主体。

为了便于从 AD DS 检索 BitLocker 恢复密码，可以使用 BitLocker 恢复密码查看器 工具。 该工具包含在远程服务器管理工具 (RSAT) 中，它是 Active Directory 用户和计算机 Microsoft 管理控制台 (MMC) 管理单元的扩展。

使用 BitLocker 恢复密码查看器，可以：

以下过程描述了使用 BitLocker 恢复密码查看器执行的最常见任务。

如果设备配置了 DRA，则支持人员可以使用 DRA 解锁驱动器。 将 BitLocker 驱动器附加到具有 DRA 证书私钥的设备后，可以使用 命令解锁 manage-bde.exe 驱动器。

例如，若要列出为受 BitLocker 保护的驱动器配置的 DRA，请使用以下命令：

如果本地证书存储中提供了指纹为 的 f46563b1d4791d5bd827f32265341ff9068b0c42 证书私钥，则管理员可以使用以下命令使用 DRA 保护程序解锁驱动器：

使用恢复密码解锁卷时：

解锁卷后，BitLocker 的行为方式相同，无论授予访问权限的方式如何。

如果设备遇到多个恢复密码事件，管理员应执行恢复后分析以确定恢复的根本原因。 然后，刷新 BitLocker 平台验证，以防止每次设备启动时输入恢复密码。

如果用户需要恢复驱动器，请务必尽快确定启动恢复的根本原因。 正确分析计算机状态并检测篡改可能会发现对企业安全产生更广泛影响的威胁。

虽然管理员可以在某些情况下远程调查恢复原因，但用户可能需要将包含已恢复驱动器的设备带到站点上，以进一步分析根本原因。 下面是一些问题，可用于帮助确定恢复的根本原因：

为了帮助回答这些问题，可以使用 manage-bde.exe -status 命令查看当前配置和保护模式。 扫描事件日志以查找有助于指示 (启动恢复的原因的事件，例如，如果启动文件发生更改) 。

确定恢复原因后，可以重置 BitLocker 保护，以避免每次启动时恢复。

重置的详细信息可能因恢复的根本原因而异。 如果无法确定根本原因，或者恶意软件或 rootkit 感染了设备，则支持人员应应用最佳做法病毒策略来做出适当的反应。

注意

可以通过暂停和恢复 BitLocker 来执行 BitLocker 验证配置文件重置。

根源

步骤

未知 PIN

如果用户忘记了 PIN，则必须在登录到计算机时重置 PIN，以防止每次重启计算机时 BitLocker 启动恢复。

若要防止由于未知 PIN 而继续恢复，请执行以下步骤：

启动密钥丢失

如果包含启动密钥的 U 盘丢失，可以使用恢复密钥解锁驱动器。 然后，可以使用 PowerShell、命令提示符或 BitLocker 控制面板小程序创建新的启动。

有关如何添加 BitLocker 保护程序的示例，请查看 BitLocker 操作指南

启动文件发生更改

如果更新了固件，则会发生此错误。 在对固件进行更改之前，应暂停 BitLocker。 固件更新完成后，应恢复保护。 暂停 BitLocker 可防止设备进入恢复模式。 但是，如果在 BitLocker 保护处于打开状态时发生更改，则恢复密码可用于解锁驱动器，并更新平台验证配置文件，以便下次不会进行恢复。

有关如何暂停和恢复 BitLocker 保护程序的示例，请查看 BitLocker 操作指南

管理员可以配置策略设置，为已加入Microsoft Entra和Microsoft Entra混合联接的设备启用自动恢复密码轮换。 启用自动恢复密码轮换后，设备会在使用该密码解锁驱动器后自动轮换恢复密码。 此行为有助于防止多次使用相同的恢复密码，这可能会造成安全风险。

有关详细信息，请参阅 配置恢复密码轮换。

另一种方法是使用Microsoft Intune或Microsoft Configuration Manager远程启动单个设备的恢复密码轮换。

若要详细了解如何使用Microsoft Intune或Microsoft Configuration Manager轮换 BitLocker 恢复密码，请参阅：

如果本文档前面讨论的恢复方法无法解锁卷，则 BitLocker 修复工具 (repair-bde.exe) 可用于在块级别解密卷。 该工具使用 BitLocker 密钥包 来帮助从严重损坏的驱动器中恢复加密数据。

然后，可以使用恢复的数据来挽救加密数据，即使正确的恢复密码无法解锁损坏的卷也是如此。 建议仍保存恢复密码，因为如果没有相应的恢复密码，则无法使用密钥包。

在以下情况下使用修复工具：

注意

驱动器损坏可能与 BitLocker 无关。 因此，建议在使用 BitLocker 修复工具之前尝试其他工具来帮助诊断和解决驱动器问题。 Windows 恢复环境 (Windows RE) 提供了用于修复 Windows 的更多选项。

Repair-bde 存在以下限制：

有关选项的完整列表 repair-bde.exe ，请参阅 Repair-bde 参考。

注意

若要从 AD DS 导出密钥包，必须对存储在 AD DS 中的 BitLocker 恢复密码和密钥包具有 读取 访问权限。 默认情况下，只有域管理员有权访问 BitLocker 恢复信息，但 可以将访问权限委托给其他人。