BitLocker で保護されているオペレーティング システム ドライブの回復方法を選択する

このポリシー設定を使用すると、必要な起動キー情報がない場合に BitLocker で保護されているオペレーティング システム ドライブの回復方法を指定できます。このポリシー設定は、BitLocker が有効な場合に適用されます。

[データ回復エージェントを使用する] チェック ボックスを使用して、BitLocker で保護されているオペレーティング システム ドライブにデータ回復エージェントを使用できるかどうかを指定します。データ回復エージェントを使用するには、グループ ポリシー管理コンソールまたはローカル グループ ポリシー エディターで、[公開キーのポリシー] からデータ回復エージェントを追加しておく必要があります。データ回復エージェントの追加について詳しくは、Microsoft TechNet の『BitLocker Drive Encryption Deployment Guide』を参照してください。

ユーザーがドライブで BitLocker を有効にするときにユーザーが回復オプションを指定できないようにするには、[BitLocker のセットアップ ウィザードに回復オプションを表示しない] をオンにします。この場合、BitLocker を有効にするときに使用する回復オプションを指定できなくなり、そのドライブの BitLocker 回復オプションはポリシー設定によって決まります。

[Active Directory ドメイン サービスに BitLocker 回復情報を保存する] で、オペレーティング システム ドライブの AD DS に格納する BitLocker 回復情報を選択します。[回復パスワードとキー パッケージをバックアップする] を選択した場合は、BitLocker 回復パスワードとキー パッケージの両方が AD DS に格納されます。キー パッケージを格納すると、物理的に破損したドライブからデータを回復できます。[回復パスワードのみバックアップする] を選択すると、回復パスワードだけが AD DS に格納されます。

コンピューターがドメインに接続されておらず AD DS への BitLocker 回復情報のバックアップが完了しない場合に、ユーザーが BitLocker を有効にできないようにするには、[オペレーティング システム ドライブの AD DS に回復情報が格納されるまで BitLocker を有効にしない] チェック ボックスをオンにします。

注: [オペレーティング システム ドライブの AD DS に回復情報が格納されるまで BitLocker を有効にしない] チェック ボックスがオンの場合、回復パスワードは自動的に生成されます。

このポリシー設定を有効にした場合、ユーザーが BitLocker で保護されているオペレーティング システム ドライブからデータを回復するための方法を制限できます。

このポリシー設定を無効にした場合、または構成しなかった場合、BitLocker による回復については既定の回復オプションがサポートされます。既定では、DRA が許可されて、ユーザーは回復パスワードと回復キーを含む回復オプションを指定できます。また、回復情報は AD DS にバックアップされません。

BitLocker Management Solution を使用する場合、キー回復情報はキー回復サーバーの場所に保存されます。この場所は、データ回復カテゴリのサーバーの場所ポリシーを使用して構成されます。

データ回復エージェントを使用する

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE
Value Name	OSManageDRA
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

BitLocker Management Solution を使用する場合は、[オペレーティング システム ドライブの BitLocker 回復情報を AD DS に保存する] チェック ボックスをオフにする必要があります。

BitLocker のセットアップ ウィザードに回復オプションを表示しない

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE
Value Name	OSHideRecoveryPage
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

オペレーティング システム ドライブの BitLocker 回復情報を AD DS に保存する

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE
Value Name	OSActiveDirectoryBackup
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

AD DS の BitLocker 回復情報の記憶域の構成:

0. 回復パスワードとキー パッケージを保存する
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	OSActiveDirectoryInfoToStore
   Value Type	REG_DWORD
   Value	1

1. 回復パスワードのみを保存する
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	OSActiveDirectoryInfoToStore
   Value Type	REG_DWORD
   Value	2

オペレーティング システム ドライブの回復情報が AD DS に保存されるまで BitLocker を有効にしない

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE
Value Name	OSRequireActiveDirectoryBackup
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0