BitLocker en Windows Server: activación, comprobación del estado del volumen y copia de seguridad de la información de recuperación antes de reiniciar

Objetivo

Instalar BitLocker Drive Encryption en Windows Server, cifrar un volumen de datos con un protector de contraseña de recuperación y confirmar que ese protector está respaldado en un lugar recuperable antes de reiniciar o de que el volumen se bloquee.

Requisitos previos

Derechos de administrador; en Windows Server, la característica BitLocker no está presente de forma predeterminada.

Pasos

1. Instalar la característica: Install-WindowsFeature -Name BitLocker -IncludeManagementTools -Restart. -Restart reinicia el servidor automáticamente, sin preguntar, si la instalación requiere un reinicio (instalar BitLocker normalmente lo requiere); ejecutarlo solo dentro de una ventana de mantenimiento. Confirmar después con Get-WindowsFeature -Name BitLocker.
2. Comprobar el estado actual del volumen antes de cambiar nada: Get-BitLockerVolume -MountPoint "D:", que informa VolumeStatus ("si BitLocker protege actualmente parte, todos o ninguno de los datos del volumen") y EncryptionPercentage.
3. Añadir un protector de contraseña de recuperación e iniciar el cifrado: Enable-BitLocker -MountPoint "D:" -RecoveryPasswordProtector. Un volumen de datos protegido solo de esta manera queda bloqueado después de cada reinicio hasta que se introduce la contraseña; si el volumen del sistema operativo está a su vez protegido por BitLocker, Enable-BitLockerAutoUnlock -MountPoint "D:" lo desbloquea automáticamente al arrancar. La guía de recuperación de BitLocker de Microsoft describe la contraseña de recuperación como "un número de 48 dígitos usado para desbloquear un volumen cuando está en modo de recuperación".
4. Respaldar el protector fuera del host de inmediato. Obtener su ID con (Get-BitLockerVolume -MountPoint "D:").KeyProtector | Where-Object KeyProtectorType -eq RecoveryPassword y luego ejecutar Backup-BitLockerKeyProtector -MountPoint "D:" -KeyProtectorId <id>, que lo guarda "en Active Directory Domain Services (AD DS)" en un servidor unido a un dominio (manage-bde -protectors -adbackup D: -id <id> es el equivalente en línea de comandos). Para un dispositivo unido a Microsoft Entra, BackupToAAD-BitLockerKeyProtector recibe los mismos parámetros. El respaldo en AD puede fallar si la directiva de grupo no permite almacenar la información de recuperación en AD DS.
5. Verificar que el respaldo existe antes de confiar en él: en AD, las contraseñas de recuperación se almacenan como objetos secundarios msFVE-RecoveryInformation bajo el objeto de equipo, cuyo nombre incluye el ID del protector (visible con BitLocker Recovery Password Viewer o con Get-ADObject -SearchBase <computer DN> -Filter "objectClass -eq 'msFVE-RecoveryInformation'"); en Entra ID, comprobar las claves de BitLocker del dispositivo en el centro de administración.
6. Solo después de confirmar el paso 5, permitir un reinicio o dejar que el volumen se bloquee; Get-BitLockerVolume ejecutado de nuevo después debería mostrar VolumeStatus: FullyEncrypted (o EncryptionInProgress inmediatamente después del paso 3).

Resultado esperado

Get-BitLockerVolume muestra el volumen protegido, y una consulta en AD o en Entra ID (no en el host cifrado) devuelve el mismo ID de contraseña de recuperación registrado cuando se creó el protector.

Límites y base de verificación

Cifrar sin un respaldo verificado y externo al host de la contraseña de recuperación arriesga una pérdida permanente de datos si la cadena de arranque marca el volumen para recuperación y ningún otro protector es utilizable; no omitir el paso 5. Para eliminar la protección, Disable-BitLocker -MountPoint "D:" descifra el volumen; esto puede tardar tanto como el cifrado original y no debería interrumpirse. La instalación de la característica en el paso 1 normalmente requiere un reinicio; cifrar un volumen de datos (que no es el del sistema operativo) en el paso 3 no lo requiere, y el cifrado continúa en segundo plano después de que el comando devuelve el control.