Como fazer backup da chave de recuperação do BitLocker no AD

Publicado em por

Recentemente, eu estava ajudando alguém a solucionar problemas e problemas com o BitLocker e estava armazenando sua chave no AD. Em outras palavras, para ajudar a solucionar esse problema, precisávamos garantir que poderíamos fazer backup manual da chave de recuperação do BitLocker no AD. Eles perguntaram como você faz isso? Por isso, criei um documento de solução de problemas, que enviei por e-mail para eles. Como resultado, transformo isso em uma postagem de blog sobre como fazer backup da chave de recuperação do BitLocker no AD.

Mais importante ainda, é importante remover o maior número possível de variáveis. Comecei mostrando como fazer backup da chave de recuperação do BitLocker no AD a partir do prompt de comando. Depois disso, faremos a mesma tarefa via PowerShell.

Chave de recuperação do BitLocker de backup para AD

Primeiro, comece abrindo um prompt de comando elevate.

Usando manage-bde para obter sua chave de recuperação BitLocker

Em segundo lugar, entre manage-bde -protectors -get c:

Anote o ID numérico da senha no meu caso: {44806700-5F14-41CF-BB20-F611F6C4138B} (destacado em azul com a seta verde)

Próximo passo dois.

Usando manage-bde para fazer backup manual da chave de recuperação do BitLocker no AD

Depois disso, dentro do tipo CMD manage-bde -protectors -adbackup c: -id {44806700-5F14-41CF-BB20-F611F6C4138B}

Em seguida, substitua o ID registrado nas etapas 1.

Usando o Power Shell para fazer backup da chave de recuperação do BitLocker no AD

Depois disso, usando o script do PowerShell abaixo, você pode executar as duas etapas em um único script. É assim que você faz backup da sua senha do BitLocker no AD.

$BLV = Get-BitLockerVolume -MountPoint "C:"

$KeyProt = $BLV.KeyProtector | Where-object{$_.KeyProtectorType -eq "RecoveryPassword"}

$KeyProt.KeyProtectorId

Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId $KeyProt.KeyProtectorId

Você pode ver que o ID do protetor de chave e que não houve erro ao fazer backup no AD.

Como girar a senha de recuperação do BitLocker

Portanto, depois de fornecer a senha do BitLocker a qualquer pessoa, você desejará alterá-la. A maneira mais fácil de fazer isso é via PowerShell.

$BLV = Get-BitLockerVolume -MountPoint "C:"
$KeyProt = $BLV.KeyProtector | Where-object{$_.KeyProtectorType -eq "RecoveryPassword"}
$KeyProt.KeyProtectorId
Remove-BitlockerKeyProtector -MountPoint "C:" -KeyProtectorId $KeyProt.KeyProtectorId
Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector
$BLV = Get-BitLockerVolume -MountPoint "C:"
$KeyProt = $BLV.KeyProtector | Where-object{$_.KeyProtectorType -eq "RecoveryPassword"}
$KeyProt.KeyProtectorId
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId $KeyProt.KeyProtectorId
Resume-BitLocker -MountPoint "C:"
Usando o PowerShell para alterar e fazer backup manualmente da chave de recuperação do BitLocker no AD

Você pode ver na captura de tela, por exemplo, que o ID do protetor de chave mudou de verso quando foi consultado pela primeira vez.

ERRO: A política de grupo não permite o armazenamento de informações de recuperação no Active Directory. A operação não foi tentada.

Para armazenar chaves BitLocker, configure AD. Para mais detalhes, consulte Como habilitar informações de recuperação do BitLocker no Active Directory.

ERRO: A política de grupo não permite o armazenamento de informações de recuperação no Active Directory. A operação não foi tentada.

GPO bloqueando você de fazer backup manual da chave de recuperação do BitLocker para o AD

ERRO: Nenhum protetor de chave encontrado.

O computador não tem o BitLocker habilitado. Ative o BitLocker e tente novamente.