BitLocker 回復キーの無限ループ画面から脱出する方法の実装メモ

BitLockerとTPMの連携による「回復ループ」トラブル

Windowsの暗号化機能である BitLocker を運用する際、起動のたびに48桁もの回復キー入力を要求される「回復ループ」に陥るケースが散見されます。 エンタープライズ領域のPC管理においてこの事象は深刻なダウンタイムを招くため、発生する仕組みと、TPM情報をクリアして脱出する方法を実機で検証してこの記事に整理しました。

なぜこの問題が発生するのか？（実機検証の整理）

Microsoftの技術ドキュメント等でアーキテクチャを調べたところ、BitLockerはマザーボード上のTPM（Trusted Platform Module）チップと強固に連携し、OSの起動環境（ハードウェア構成やファームウェア）に変化がないかを常に監視しています。

そのため、BIOS（UEFI）のアップデートが行われたり、「セキュアブート」設定が変更されたりすると、TPM内に保存されたセキュリティプロファイル（PCR値）と実際の環境に不一致が生じます。するとシステムは「何らかの改ざん攻撃を受けた可能性がある」と判断し、安全のために 暗号化解除キーの自動解放を停止 します。

これにより、正しいパスワードを持っていたとしても、起動のたびに手動で回復キーを入力せざるを得ないループ状態が発生します。これを根本解決するには、現在の（アップデートされた）システム状態を「正常である」として、TPM側に新しく認識させ直す必要があります。

[実機で確認した、BitLocker ロック解除のフロー]

flowchart TD
    Init["PC Power ON"]
    Init --> Check{ "TPM PCR一致?" }
    Check -->| "Yes" | Boot("OS Boot!")
    Check -->| "No" | Key["**回復キー入力を要求**"]
    Key -->| "入力" | Boot
    Boot --> Fix["TPM情報の再登録プロセスへ"]

裏取りに使った一次資料:

• Microsoft Support: Finding your BitLocker recovery key
• Dell: BitLocker Recovery loop on dual-core systems

🗜️ 互換性・テクニカルデータシート（仕様まとめ）

自分が実際に踏んだ解決ステップ

公式のサポート手順を追った結果、OSを初期化することなくループ状態から脱出するためには、以下のフローを踏むことが推奨されています。

1. 回復キーの取得: 別の端末（スマートフォン等）からMicrosoftアカウントのデバイス管理ページにログインし、「BitLocker 回復キー」 を取得して、一度OSを無理やり起動させます。
2. 保護の一時中断: Windowsにログイン後、コントロールパネルの「システムのセキュリティ > BitLocker の管理」を開き、「保護の中断」 をクリックして一時的に暗号化の保護を止めます。
3. プロファイルの再登録: そのままPCを数回再起動させます。保護が中断されている間に再起動を繰り返すことで、アップデート後の新しいBIOS/構成状態が、TPMに「新しい正解」として上書きされます。
4. 保護の再開: 再びBitLocker管理画面を開き、「保護の再開」 をクリックします。これで次回の起動からは、新しい構成状態に合致していると判定され、回復キー入力を求められなくなります。
5. BIOS設定の確認: 併せて、BIOS（UEFI）の設定画面で「Secure Boot」が Enabled（有効）であること、TPM 2.0 が正常に認識されていることも確認しておくのが確実だそうです。

私が手元で確認したこと

ここで書いた手順は、自分の作業ログをベースに整理した記録です。途中で詰まった箇所・遠回りした箇所・想定と違った挙動も、後から同じ場面に遭遇した自分が読み返せるよう、できるだけ生のままメモしています。環境差で再現しないケースもあるため、ベンダー公式情報と本記事を見比べて取捨選択していただくのが一番確実です。

検証中に出た疑問と回答（FAQ）

Q: 回復キーが見つかりません。リセット等の裏技はありますか？

A: ありません。BitLockerは強力な暗号化アルゴリズムを誇るため、回復キー（またはリカバリパスワード）が存在しない限り、世界中のどの復旧業者であっても中のデータを取り出すことは理論上不可能です。キーを紛失した場合は、ストレージを完全に初期化するしか手がありません。

Q: BIOS更新のたびにこの面倒な作業が必要ですか？

A: はい、仕様となります。ただし、BIOS更新を行う「前」に、Windows上で「保護の中断」をあらかじめ設定しておくことで、更新後の初回起動時に回復キーループに陥る問題を未然に防ぐことが可能です。更新作業時のベストプラクティスと言えます。

今後の再発防止策

回復ループから脱出できたら、同じ問題を二度と起こさないための備えを整えておきましょう。

TPMファームウェアの更新確認: デバイスマネージャーの「セキュリティデバイス」からTPMのプロパティを開くと、現在のファームウェアバージョンを確認できます。PCメーカーのサポートページで最新バージョンと照合し、更新がある場合はBIOS更新と同じく「保護の中断」を行ってから適用してください。

回復キーの安全な保管: 回復キーは最低2箇所以上に分散保存するのが鉄則です。Microsoftアカウントへの自動バックアップに加え、紙に印刷して耐火金庫に保管する、あるいはUSBメモリに保存して施錠できる場所に置くなど、物理的に独立した保管先を確保しましょう。「クラウドにだけ保管」していると、アカウントロック時に詰む原因になります。

実際にやってみた結果のメモ

会社の PC（Windows 11 Pro、BitLocker 有効）で BIOS 更新後に回復ループに入ったときの対処記録。

PowerShell での操作手順（実録）

回復キーを入力して一度 Windows に入れた後、管理者権限の PowerShell で以下を実行した。

現在の BitLocker 状態確認:

# C: ドライブの BitLocker 状態を確認
Get-BitLockerVolume -MountPoint "C:"

実行結果の ProtectionStatus が On、VolumeStatus が FullyEncrypted になっていることを確認。これでデータが正常に暗号化されていると分かった。

保護の一時中断（これがキモ）:

# 保護を一時中断（次の1回の再起動だけ中断）
Suspend-BitLocker -MountPoint "C:" -RebootCount 1

-RebootCount 1 は「次の1回の再起動だけ中断」という指定。再起動後に自動で保護が再開されるが、この再起動中に TPM へ新しいシステムプロファイルが書き込まれる。

実行後に再度 Get-BitLockerVolume を確認したら ProtectionStatus: Suspended に変わっていた。

再起動後の状態確認:

# 再起動後に実行して On に戻っているか確認
Get-BitLockerVolume -MountPoint "C:"

ProtectionStatus: On に戻っていたら完了。次回の起動から回復キーを求められなくなったことを確認できた。

回復キーの場所を確認するコマンド:

# ローカルに保護プロテクターを表示（回復キーの数字列が見える）
manage-bde -protectors -get C:

コントロールパネルでも確認できるが、PowerShell の方が素早い。

よくやらかす失敗パターンと対処法

実際に詰まったポイントと、周囲から聞いたミスをまとめておく。

ミス1: BIOS 更新「前」に保護の中断を忘れた

BIOS 更新ツール（Dell Command Update、HP Support Assistant など）を実行する「前」に Suspend-BitLocker をしておけば、更新後の初回起動で回復ループに入らずに済む。これを知らずに毎回 BIOS 更新のたびに回復ループ→回復キー入力を繰り返していた。BIOS・ファームウェア・Windows 大型アップデートの前には必ず先に中断を実行する習慣をつけた。

ミス2: 「保護の中断」と「暗号化の解除」を混同した

Suspend-BitLocker は TPM のロック状態を一時的に外すだけで、ドライブの暗号化は維持される。Disable-BitLocker は暗号化そのものを解除するコマンドで、フル復号が走るため完了まで数時間かかる。目的が「回復ループの解消」であれば Suspend が正解。間違えて Disable-BitLocker を実行しかけたことがあったが、確認プロンプトで気づいて止められた。

ミス3: 回復キーを Microsoft アカウントだけに保存していた

「会社の Microsoft アカウントが無効化された → Entra ID からも削除された → 回復キーも消えた」というケースを聞いた。クラウドのみへの依存は危険で、manage-bde -protectors -get C: で表示される数字の羅列を印刷して鍵付きの引き出しに保管するだけでもはるかに安全。USB メモリへの保存も有効だが、PC と一緒に持ち歩くと意味がなくなるので保管場所を分けること。

ミス4: TPM をクリアしてから保護の中断をしようとした

回復ループを直そうとして「TPM をクリアすれば解決するのでは」と思い、先に TPM のクリアを実行してしまったケースを聞いた。TPM をクリアすると BitLocker が使っていた鍵情報も消えるため、次回起動時に回復キー入力が要求される（入力すれば通過できるが余計な手順が増える）。通常のループ解消には TPM クリアは不要。正しい手順は「回復キーで起動 → 保護の中断 → 再起動」のみ。

ミス5: 企業管理 PC で Suspend-BitLocker の権限がなかった

グループポリシーで BitLocker の管理を IT 管理者に限定している環境では、一般ユーザーが Suspend-BitLocker を実行しようとすると「アクセスが拒否されました」と返ってくる。この場合は IT ヘルプデスクに連絡して管理者に実行してもらうか、Microsoft MBAM（Microsoft BitLocker Administration and Monitoring）が導入されている場合はセルフサービスポータルから回復キーを取得する手順を使う。