Guia de operações do BitLocker

Para determinar o estado atual de um volume, você pode usar o Get-BitLockerVolume cmdlet, que fornece informações sobre o tipo de volume, protetores, status de proteção e outros detalhes. Por exemplo:

PS C:\> Get-BitLockerVolume C: | fl

ComputerName         : DESKTOP
MountPoint           : C:
EncryptionMethod     : XtsAes128
AutoUnlockEnabled    :
AutoUnlockKeyStored  : False
MetadataVersion      : 2
VolumeStatus         : FullyEncrypted
ProtectionStatus     : On
LockStatus           : Unlocked
EncryptionPercentage : 100
WipePercentage       : 0
VolumeType           : OperatingSystem
CapacityGB           : 1000
KeyProtector         : {Tpm, RecoveryPassword}

Com manage-bde.exe o usuário pode determinar o status do volume no sistema de destino, por exemplo:

manage-bde.exe -status

Esse comando retorna os volumes no destino, o status de criptografia atual, o método de criptografia e o tipo de volume (sistema operacional ou dados) para cada volume.

C:\>manage-bde -status

Volume C: [Local Disk]
[OS Volume]

    Size:                 1000 GB
    BitLocker Version:    2.0
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100.0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection On
    Lock Status:          Unlocked
    Identification Field: Unknown
    Key Protectors:
        TPM
        Numerical Password

Verificar o status do BitLocker com o Painel de Controle é um método comum usado pela maioria dos usuários. Uma vez aberto, o status de cada volume é exibido ao lado da descrição do volume e da letra da unidade. Os valores de retorno de status disponíveis com o miniaplicativo incluem:

Se uma unidade for pré-provisionada com o BitLocker, o status Aguardando Ativação será exibido com um ícone de exclamação amarelo no volume. Esse status significa que havia apenas um protetor limpo usado ao criptografar o volume. Nesse caso, o volume não está em um estado protegido e precisa ter uma chave segura adicionada ao volume antes que a unidade esteja totalmente protegida. Os administradores podem usar o Painel de Controle, o PowerShell ou manage-bde.exe adicionar um protetor de chave apropriado. Depois de concluído, o Painel de Controle é atualizado para refletir o novo status.

Enable-BitLocker C: -TpmProtector

manage-bde.exe -on C:

No miniaplicativo do Painel de Controle de Criptografia de Unidade de Disco BitLocker:

1. Expanda a unidade do sistema operacional e selecione a opção Ativar BitLocker

2. Quando solicitado, selecione a opção Permitir que o BitLocker desbloqueie automaticamente minha unidade

3. Faça backup da chave de recuperação usando um dos seguintes métodos:

   • Salvar em sua conta do Microsoft Entra ID ou conta da Microsoft (se aplicável)
   • Salvar em uma unidade flash USB
   • Salvar em um arquivo - o arquivo precisa ser salvo em um local que não esteja no próprio dispositivo, como uma pasta de rede
   • Imprimir a chave de recuperação

4. Selecione Avançar

5. Escolha uma das opções para criptografar apenas o espaço em disco usado ou criptografar a unidade inteira e selecione Avançar

   • Criptografa apenas o espaço em disco usado - Criptografa apenas o espaço em disco que contém dados
   • Criptografar toda a unidade - Criptografa todo o volume, incluindo o espaço livre. Também conhecido como criptografia de disco completo

   Cada um dos métodos é recomendado nos seguintes cenários:

   • Criptografar apenas o espaço em disco usado:

     • A unidade nunca teve dados
     • Unidades formatadas ou apagadas que, no passado, nunca tiveram dados confidenciais que nunca foram criptografados

   • Criptografar a unidade inteira (criptografia de disco completo):

     • Unidades que têm dados no momento
     • Unidades que têm um sistema operacional no momento
     • Unidades formatadas ou apagadas que, no passado, tinham dados confidenciais que nunca foram criptografados

   Importante

   Os arquivos excluídos aparecem como espaço livre no sistema de arquivos, que não é criptografado apenas pelo espaço em disco usado. Até que sejam apagados ou substituídos, os arquivos excluídos contêm informações que podem ser recuperadas com ferramentas forenses de dados comuns.

6. Selecione um modo de criptografia e selecione Avançar

   • Novo modo de criptografia
   • Modo compatível

   Observação

   Normalmente, o novo modo de criptografia deve ser escolhido, mas se a unidade for movida para outro dispositivo com um sistema operacional Windows mais antigo, selecione Modo compatível

7. Selecione Continuar>Reiniciar agora

8. Após a reinicialização, o sistema operacional executa uma marcação do sistema BitLocker e inicia a criptografia

Os usuários podem marcar o status de criptografia usando o miniaplicativo do Painel de Controle BitLocker.

Se você optar por ignorar o teste de hardware do BitLocker, a criptografia começará imediatamente sem a necessidade de uma reinicialização.

Enable-BitLocker C: -StartupKeyProtector -StartupKeyPath E: -SkipHardwareTest

manage-bde.exe -protectors -add C: -TPMAndStartupKey E:
manage-bde.exe -on C:

Se solicitado, reinicie o computador para concluir o processo de criptografia.

O miniaplicativo do Painel de Controle não permite habilitar o BitLocker e adicionar um protetor de chave de inicialização ao mesmo tempo. Para adicionar um protetor de chave de inicialização, siga estas etapas:

• No miniaplicativo do Painel de Controle de Criptografia de Unidade de Disco BitLocker, na unidade do sistema operacional, selecione a opção Alterar como a unidade é desbloqueada na inicialização
• Quando solicitado, selecione a opção Inserir uma unidade flash USB
• Selecionando a unidade USB em que você deseja armazenar a chave de inicialização e selecionando Salvar

Adicione os protetores desejados antes de criptografar o volume. O exemplo a seguir adiciona um protetor de senha ao E: volume usando a variável $pw como a senha. A $pw variável é mantida como um valor SecureString para armazenar a senha definida pelo usuário:

$pw = Read-Host -AsSecureString
<user inputs password>
Add-BitLockerKeyProtector E: -PasswordProtector -Password $pw

Exemplo: usar o PowerShell para habilitar o BitLocker com um protetor de TPM

Enable-BitLocker D: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

Exemplo: use o PowerShell para habilitar o BitLocker com um protetor TPM+PIN, nesse caso, com um PIN definido como 123456:

$SecureString = ConvertTo-SecureString "123456" -AsPlainText -Force
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $SecureString -TPMandPinProtector

A criptografia de volumes de dados pode ser feita usando o comando base:

manage-bde.exe -on <drive letter>

ou protetores adicionais podem ser adicionados ao volume primeiro. É recomendável adicionar pelo menos um protetor primário e um protetor de recuperação a um volume de dados.

A criptografia de volumes de dados usando o Painel de Controle do BitLocker funciona de maneira semelhante à criptografia dos volumes do sistema operacional. Os usuários selecionam Ativar o BitLocker no Painel de Controle do BitLocker para iniciar o Assistente de Criptografia de Unidade de Disco BitLocker.

(Get-BitLockerVolume -mountpoint C).KeyProtector

 manage-bde.exe -protectors -get C:

Essas informações não estão disponíveis no Painel de Controle.

Add-BitLockerKeyProtector -MountPoint C -RecoveryPasswordProtector

manage-bde.exe -protectors -add -recoverypassword C:

No miniaplicativo do Painel de Controle de Criptografia de Unidade de Disco BitLocker, selecione o volume em que deseja adicionar um protetor e selecione a opção Fazer backup da chave de recuperação.

Add-BitLockerKeyProtector -MountPoint D -PasswordProtector

manage-bde.exe -protectors -add -pw D:

No miniaplicativo do Painel de Controle de Criptografia de Unidade de Disco BitLocker, expanda a unidade em que deseja adicionar um protetor de senha e selecione a opção Adicionar senha. Quando solicitado, insira e confirme uma senha para desbloquear a unidade. Selecione Concluir para concluir o processo.

Add-BitLockerKeyProtector C: -ADAccountOrGroupProtector -ADAccountOrGroup "<SID>"

Para adicionar o protetor a um volume, é necessário o SID do domínio ou o nome do grupo precedido pelo domínio e uma barra invertida. No exemplo a seguir, a conta CONTOSO\Administrator é adicionada como um protetor ao volume de dados G.

Enable-BitLocker G: -AdAccountOrGroupProtector -AdAccountOrGroup CONTOSO\Administrator

Para usar o SID para a conta ou grupo, a primeira etapa é determinar o SID associado à entidade de segurança. Para obter o SID específico para uma conta de usuário no Windows PowerShell, use o seguinte comando:

Get-ADUser -filter {samaccountname -eq "administrator"}

manage-bde.exe -protectors -add -sid <user or group>

Essa opção não está disponível no Painel de Controle.

Para remover os protetores existentes em um volume, use o Remove-BitLockerKeyProtector cmdlet. Um GUID associado ao protetor a ser removido deve ser fornecido.

Os comandos a seguir retornam a lista de protetores de chave e GUIDs:

$vol = Get-BitLockerVolume C
$keyprotectors = $vol.KeyProtector
$keyprotectors

Usando essas informações, o protetor de chave para um volume específico pode ser removido usando o comando:

Remove-BitLockerKeyProtector <volume> -KeyProtectorID "{GUID}"

Os comandos a seguir retornam a lista de protetores de chave:

manage-bde.exe -status C:

O comando a seguir remove o protetor de chaves de um determinado tipo:

manage-bde.exe -protectors -delete C: -type TPMandPIN

No miniaplicativo do Painel de Controle de Criptografia de Unidade de Disco BitLocker, expanda a unidade da qual você deseja remover um protetor e selecione a opção para removê-lo, se disponível.

Suspend-BitLocker -MountPoint D

manage-bde.exe -protectors -disable d:

Você só pode suspender a proteção do BitLocker para a unidade do sistema operacional ao usar o Painel de Controle.

No miniaplicativo do Painel de Controle de Criptografia de Unidade de Disco BitLocker, selecione a unidade do sistema operacional e selecione a opção Suspender proteção.

Resume-BitLocker -MountPoint D

manage-bde.exe -protectors -enable d:

No miniaplicativo do Painel de Controle de Criptografia de Unidade de Disco BitLocker, selecione a unidade do sistema operacional e selecione a opção Retomar proteção.

Remova todas as senhas de recuperação do volume do sistema operacional:

(Get-BitLockerVolume -MountPoint $env:SystemDrive).KeyProtector | `
  where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | `
  Remove-BitLockerKeyProtector -MountPoint $env:SystemDrive

Adicione um protetor de senha de recuperação do BitLocker para o volume do sistema operacional:

Add-BitLockerKeyProtector -MountPoint $env:SystemDrive -RecoveryPasswordProtector

Obtenha a ID da nova senha de recuperação:

(Get-BitLockerVolume -mountpoint $env:SystemDrive).KeyProtector | where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | ft KeyProtectorId,RecoveryPassword

Copie a ID da senha de recuperação da saída.

Usando o GUID da etapa anterior, substitua o {ID} no seguinte comando e use o seguinte comando para fazer backup da senha de recuperação no Microsoft Entra ID:

BackuptoAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

Ou use o seguinte comando para fazer backup da senha de recuperação no Active Directory:

Backup-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

Remova todas as senhas de recuperação do volume do sistema operacional:

manage-bde.exe -protectors -delete C: -type RecoveryPassword

Adicione um protetor de senha de recuperação do BitLocker para o volume do sistema operacional:

manage-bde.exe -protectors -add C: -RecoveryPassword

Obtenha a ID da nova senha de recuperação:

manage-bde.exe -protectors -get C: -Type RecoveryPassword

Usando o GUID da etapa anterior, substitua o {ID} no seguinte comando e use o seguinte comando para fazer backup da senha de recuperação no Microsoft Entra ID:

manage-bde.exe -protectors -aadbackup C: -id {ID}

Ou use o seguinte comando para fazer backup da senha de recuperação no Active Directory:

manage-bde.exe -protectors -adbackup C: -id {ID}

Este processo não pode ser realizado usando o Painel de Controle. Em vez disso, use uma das outras opções.

O Windows PowerShell oferece a capacidade de descriptografar várias unidades em uma passagem. No exemplo a seguir, o usuário tem três volumes criptografados, que deseja descriptografar.

Usando o comando Disable-BitLocker, eles podem remover todos os protetores e criptografia ao mesmo tempo sem a necessidade de mais comandos. Um exemplo desse comando é:

Disable-BitLocker

Para evitar especificar cada ponto de montagem individualmente, use o -MountPoint parâmetro em uma matriz para sequenciar o mesmo comando em uma linha, sem a necessidade de entrada adicional do usuário. Exemplo:

Disable-BitLocker -MountPoint C,D

A descriptografia com manage-bde.exe oferece a vantagem de não exigir confirmação do usuário para iniciar o processo. Manage-bde usa o comando -off para iniciar o processo de descriptografia. Um exemplo de comando para descriptografia é:

manage-bde.exe -off C:

Esse comando desabilita os protetores enquanto descriptografa o volume e remove todos os protetores quando a descriptografia é concluída.

A descriptografia do BitLocker usando o Painel de Controle é feita usando um assistente. Depois de abrir o miniaplicativo do Painel de Controle do BitLocker, selecione a opção Desativar BitLocker para iniciar o processo. Para continuar, selecione a caixa de diálogo de confirmação. Com a desativação do BitLocker confirmada, o processo de descriptografia da unidade é iniciado.

Assim que a descriptografia for concluída, a unidade atualizará seu status no Painel de Controle e ficará disponível para criptografia.

Unlock-BitLocker -MountPoint D -RecoveryPassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Para obter mais informações, consulte Unlock-BitLocker

manage-bde.exe -unlock D: -recoverypassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Para obter mais informações, consulte manage-bde unlock

Você pode desbloquear a unidade no Painel de Controle ou no Explorer. Depois de abrir o miniaplicativo do Painel de Controle do BitLocker, selecione a opção Desbloquear unidade para iniciar o processo. Quando solicitado, insira a chave de recuperação de 48 dígitos.