BitLocker sur Windows Server : activation, vérification de l'état des volumes et sauvegarde des informations de récupération avant le redémarrage

Objectif

Installer BitLocker Drive Encryption sur Windows Server, chiffrer un volume de données avec un protecteur de mot de passe de récupération, puis vérifier que ce protecteur est sauvegardé dans un emplacement permettant la récupération avant de redémarrer le serveur ou de verrouiller le volume.

Prérequis

Droits d'administrateur ; sous Windows Server, la fonctionnalité BitLocker n'est pas présente par défaut.

Étapes

1. Installer la fonctionnalité : Install-WindowsFeature -Name BitLocker -IncludeManagementTools -Restart. L'option -Restart redémarre automatiquement le serveur, sans demande de confirmation, si l'installation l'exige (ce qui est normalement le cas pour BitLocker) ; n'exécutez donc cette commande que pendant une fenêtre de maintenance. Vérifiez ensuite avec Get-WindowsFeature -Name BitLocker.
2. Contrôler l'état actuel du volume avant toute modification : Get-BitLockerVolume -MountPoint "D:", qui indique VolumeStatus (« si BitLocker protège actuellement une partie, la totalité ou aucune des données du volume ») et EncryptionPercentage.
3. Ajouter un protecteur de mot de passe de récupération et lancer le chiffrement : Enable-BitLocker -MountPoint "D:" -RecoveryPasswordProtector. Un volume de données protégé uniquement de cette manière reste verrouillé après chaque redémarrage tant que personne n'a saisi le mot de passe ; si le volume du système d'exploitation est lui-même protégé par BitLocker, Enable-BitLockerAutoUnlock -MountPoint "D:" déverrouille automatiquement le volume au démarrage. Dans la documentation Microsoft sur la récupération BitLocker, un mot de passe de récupération est décrit comme « un nombre à 48 chiffres utilisé pour déverrouiller un volume lorsqu'il est en mode de récupération ».
4. Sauvegarder immédiatement le protecteur en dehors de l'hôte. Récupérez son identifiant avec (Get-BitLockerVolume -MountPoint "D:").KeyProtector | Where-Object KeyProtectorType -eq RecoveryPassword, puis exécutez Backup-BitLockerKeyProtector -MountPoint "D:" -KeyProtectorId <id>, qui l'enregistre « dans les services de domaine Active Directory (AD DS) » sur un serveur joint au domaine (manage-bde -protectors -adbackup D: -id <id> en est l'équivalent en ligne de commande). Pour un appareil joint à Microsoft Entra, BackupToAAD-BitLockerKeyProtector accepte les mêmes paramètres. La sauvegarde dans AD peut échouer si la stratégie de groupe n'autorise pas le stockage des informations de récupération dans AD DS.
5. Vérifier que la sauvegarde existe avant de s'y fier : dans AD, les mots de passe de récupération sont stockés sous forme d'objets enfants msFVE-RecoveryInformation sous l'objet ordinateur, et leur nom inclut l'identifiant du protecteur (visible avec le BitLocker Recovery Password Viewer ou avec Get-ADObject -SearchBase <computer DN> -Filter "objectClass -eq 'msFVE-RecoveryInformation'") ; dans Entra ID, consultez les clés BitLocker de l'appareil dans le centre d'administration.
6. N'autoriser un redémarrage ou le verrouillage du volume qu'une fois l'étape 5 confirmée ; un nouvel appel à Get-BitLockerVolume doit alors afficher VolumeStatus: FullyEncrypted (ou EncryptionInProgress juste après l'étape 3).

Résultat attendu

Get-BitLockerVolume indique que le volume est protégé, et une recherche dans AD ou Entra ID (et non sur l'hôte chiffré) renvoie le même identifiant de mot de passe de récupération que celui noté lors de la création du protecteur.

Limites et base de vérification

Chiffrer sans sauvegarde vérifiée du mot de passe de récupération en dehors de l'hôte expose à une perte de données définitive si la chaîne de démarrage place le volume en mode de récupération et qu'aucun autre protecteur n'est utilisable ; ne sautez pas l'étape 5. Pour retirer la protection, Disable-BitLocker -MountPoint "D:" déchiffre le volume ; l'opération peut durer aussi longtemps que le chiffrement initial et ne doit pas être interrompue. L'installation de la fonctionnalité à l'étape 1 nécessite normalement un redémarrage ; le chiffrement d'un volume de données (hors système) à l'étape 3 n'en nécessite pas, et il se poursuit en arrière-plan une fois la commande terminée.