BitLocker no Windows Server: ativação, verificação do estado do volume e backup das informações de recuperação antes de reiniciar

Objetivo

Instalar o BitLocker Drive Encryption no Windows Server, criptografar um volume de dados com um protetor de senha de recuperação e confirmar que esse protetor tem backup em um local recuperável antes de reiniciar o servidor ou bloquear o volume.

Pré-requisitos

Direitos de administrador; no Windows Server, o recurso BitLocker não vem instalado por padrão.

Passos

1. Instale o recurso: Install-WindowsFeature -Name BitLocker -IncludeManagementTools -Restart. O parâmetro -Restart reinicia o servidor automaticamente, sem pedir confirmação, se a instalação exigir reinicialização (o que normalmente acontece com o BitLocker); execute o comando apenas dentro de uma janela de manutenção. Depois, confirme com Get-WindowsFeature -Name BitLocker.
2. Antes de alterar qualquer coisa, verifique o estado atual do volume: Get-BitLockerVolume -MountPoint "D:", que informa VolumeStatus ("whether BitLocker currently protects some, all, or none of the data on the volume") e EncryptionPercentage.
3. Adicione um protetor de senha de recuperação e inicie a criptografia: Enable-BitLocker -MountPoint "D:" -RecoveryPasswordProtector. Um volume de dados protegido apenas dessa forma fica bloqueado após cada reinicialização até que alguém digite a senha; se o próprio volume do sistema operacional estiver protegido pelo BitLocker, Enable-BitLockerAutoUnlock -MountPoint "D:" o desbloqueia automaticamente na inicialização. Na documentação de recuperação do BitLocker da Microsoft, a senha de recuperação é descrita como "a 48-digit number used to unlock a volume when it is in recovery mode."
4. Faça imediatamente o backup do protetor fora do host. Obtenha o ID dele com (Get-BitLockerVolume -MountPoint "D:").KeyProtector | Where-Object KeyProtectorType -eq RecoveryPassword e execute Backup-BitLockerKeyProtector -MountPoint "D:" -KeyProtectorId <id>, que o salva "to Active Directory Domain Services (AD DS)" em um servidor ingressado no domínio (o equivalente na linha de comando é manage-bde -protectors -adbackup D: -id <id>). Em um dispositivo ingressado no Microsoft Entra, BackupToAAD-BitLockerKeyProtector aceita os mesmos parâmetros. O backup no AD pode falhar se a Política de Grupo não permitir armazenar informações de recuperação no AD DS.
5. Verifique se o backup existe antes de confiar nele: no AD, as senhas de recuperação são armazenadas como objetos filhos msFVE-RecoveryInformation do objeto de computador, e o nome deles inclui o ID do protetor (visíveis no BitLocker Recovery Password Viewer ou com Get-ADObject -SearchBase <computer DN> -Filter "objectClass -eq 'msFVE-RecoveryInformation'"); no Entra ID, consulte as chaves BitLocker do dispositivo no centro de administração.
6. Só depois de confirmar o passo 5, permita a reinicialização ou deixe o volume ser bloqueado; ao executar Get-BitLockerVolume novamente, o resultado deve mostrar VolumeStatus: FullyEncrypted (ou EncryptionInProgress, logo após o passo 3).

Resultado esperado

Get-BitLockerVolume mostra o volume protegido, e uma consulta no AD ou no Entra ID (não no host criptografado) retorna o mesmo ID de senha de recuperação registrado quando o protetor foi criado.

Limites e base de verificação

Criptografar sem um backup verificado da senha de recuperação fora do host traz risco de perda permanente de dados caso a cadeia de inicialização marque o volume para recuperação e nenhum outro protetor possa ser usado; não pule o passo 5. Para remover a proteção, Disable-BitLocker -MountPoint "D:" descriptografa o volume; isso pode levar tanto tempo quanto a criptografia original e não deve ser interrompido. A instalação do recurso no passo 1 normalmente exige reinicialização; a criptografia de um volume de dados (que não seja do sistema operacional) no passo 3 não exige, e a criptografia continua em segundo plano depois que o comando retorna.