WindowsでTPMを使用してBitLockerを有効および無効にする方法

概要

この記事では、Windows 10またはWindows 11を実行しているDellコンピューターで、トラステッド プラットフォーム モジュール(TPM)を使用してWindows BitLockerドライブ暗号化を有効および無効にする方法について説明します。BIOSでのTPMのアクティブ化、BitLockerのセットアップ、ステータスの検証、中断、復号化について説明します。USB-as-TPM構成、ドメイン グループ ポリシーの変更、ネットワーク管理BitLockerの導入は、この記事の範囲外です。

クイック リファレンス

次の表を使用して、ユーザーの質問または意図を関連するセクションにすばやく照らし合わせてください。

主な概念と定義

BitLockerドライブ暗号化

ディスク ボリューム全体を暗号化することでデータを保護する、Windowsに組み込まれたフル ボリューム暗号化機能。有効にすると、BitLockerは静止データを暗号化し、ドライブが取り外された場合やコンピューターが盗まれた場合に不正アクセスを防止します。

トラステッド プラットフォーム モジュール（TPM）

暗号キーを格納するマザーボード上の専用ハードウェア セキュリティ チップ。BitLockerはTPMを使用して暗号化キーを封印し、同じハードウェア構成の元のコンピューターでのみドライブを復号化できるようにします。次の2つのバージョンが存在します。

• TPM 1.2は、レガシー（UEFI非対応）起動モード システムに必要です。
• TPM 2.0は、UEFI起動モードでサポートされています。Windows 11では必須です。一部のモデル（Latitude 5175、Latitude 7275など）にはTPM 2.0のみが搭載されています。

回復キー

BitLockerのセットアップ中に生成された48桁の数字キー。TPMを検証できない場合（ハードウェアの変更後など）、BitLockerで暗号化されたドライブにアクセスする唯一の方法です。回復キーが失われると、暗号化されたデータに二度とアクセスできなくなります。その場合、オペレーティング システムを再インストールする必要があります。

BitLockerの状態

• On（暗号化） - ドライブは完全に暗号化され、保護されています。
• Encrypting - BitLockerの暗号化が進行中です。
• Suspended - BitLockerは一時的に停止されています。TPMなしでもドライブにアクセスできます。特定のメンテナンス タスクの前に必要です。
• Off（復号化） - BitLockerは無効で、ドライブは復号化されています。

前提条件と互換性

TPMバージョンと起動モードの互換性

セクション1 - BIOSでのTPMの有効化

1. コンピューターの電源を入れます。
2. POST中に、F2キーを押して、BIOSセットアップを起動します。
3. ［Security］セクションに移動します。
4. ［Security］内で、［TPM］オプションを見つけます。
5. 左側のパネルから［TPM 2.0］または［TPM 1.2］セクションを選択します。
6. ［TPM］チェックボックスを選択して、TPMをオンにします。
7. TPMの［Activate］または［Enable］を選択します（オプションが存在する場合）。
8. ［Save Changes and Exit］をクリックして、変更を保存してBIOSを終了します。コンピューターが再起動します。

セクション2 - WindowsでBitLockerを有効にする

手順1：BitLockerの管理コンソールを開く

次のいずれかの方法を使用します。

方法A：スタート メニュー検索（推奨）

1. 1. Windowsの［スタート］メニュー ボタンをクリックします。
   2. 検索ボックスに「BitLockerの管理」(Windows 10)または「デバイス暗号化」(Windows 11)と入力します。
   3. Enterを押すか、結果アイコンをクリックします。

方法B - コントロール パネル

1. 1. Windowsの［スタート］メニュー＞［コントロール パネル］の順にクリックします。
   2. ［システムとセキュリティ］をクリックします。
   3. ［BitLockerドライブ暗号化］で任意のオプションをクリックします。

方法C - エクスプローラー（ドライブを右クリック）

1. 1. ［エクスプローラー］を開き、［PC］を選択します。
   2. C:\(Windows)ドライブを右クリックします。
   3. ［BitLockerを有効にする］をクリックします。（これにより、最初のBitLocker画面がスキップされます）。

手順2：BitLockerセットアップ ウィザードを実行する

1. BitLockerの管理画面で［BitLockerを有効にする］をクリックします。BitLockerは短い初期化を実行します。
2. 回復キーの保存 - 次のいずれかのオプションを選択します。

• • Microsoftアカウントに保存する
  • USBフラッシュ ドライブに保存する
  • ファイル（別のドライブ上）に保存する
  • 回復キーを印刷する

3. キーを保存したら［Next］をクリックします。
4. 暗号化オプションを選択します。

• • 使用済みディスク領域のみを暗号化：高速で、新しいコンピューターに推奨されます。データは使用領域ごとに暗号化され、空き領域は暗号化されません。
  • ドライブ全体の暗号化：低速で、使用状況に関係なくすべての領域を暗号化します。すでに使用されているドライブに推奨されます。

5. ［Next］をクリックします。
6. プロンプトが表示されたら、暗号化モードを選択します。

• • 新しい暗号化モード(XTS-AES)：Windows 11/10の固定ドライブに推奨されます。
  • 互換モード：古いWindowsバージョンと共有されているリムーバブル ドライブに使用します。

7. ［Next］をクリックします。
8. ［BitLockerシステム チェックを実行する］チェックボックスが選択されていることを確認し、［続行］をクリックします。
9. コンピューターを再起動して暗号化を開始します。

セクション3 - BitLockerステータスの確認

方法A：BitLockerの管理コンソール

1. 1. 「セクション2」の「手順1」にあるいずれかの方法を使用して、BitLockerの管理コンソールを開きます。
   2. コンソールに表示されているステータスを確認します。

• • • Encrypting：BitLockerの暗号化が現在進行中です。
    • BitLocker On（ロック アイコン）：ドライブは完全に暗号化され、保護されています。
    • BitLocker Off：ドライブは復号化され、保護されていません。
    • Suspended：BitLockerは一時停止されています。保護機能は一時的に無効になっている状態です。

方法B：コマンド ライン

自動化、スクリプト処理、IT管理に使用します。

1. 1. 管理者として実行したコマンド プロンプトを開く：検索ボックスに次を入力します cmdをクリックし、[ コマンド プロンプト] > [管理者として実行]を右クリックします。
   2. コマンド プロンプトで、 manage-bde -statusと入力し、Enterを押します。
   3. 出力を確認します。変換ステータス、保護ステータス、キー保護機能、ロック ステータスがボリュームごとに表示されます。

主な出力フィールド

セクション4 - BitLockerの一時停止

BitLockerの一時停止は一時的な状態であり、ドライブは復号化されません。BIOSのアップデート、ファームウェアの変更、またはハードウェアの変更に使用します。

1. Windowsを起動します。
2. BitLockerの管理コンソールを開きます（「セクション2」の「手順1」を参照）。
3. 目的のドライブで［保護の中断］をクリックします。
4. 警告メッセージを確認し、［はい］をクリックして確認します。
5. メンテナンス タスクが完了したら、BitLockerの管理に戻り、［保護の再開］をクリックしてBitLockerを再度有効にします。

セクション5 - BitLockerの無効化（オフにする）

BitLockerを無効にすると、ドライブが完全に復号化されます。これは、すべての暗号化を外す永続的なアクションです。データは削除されませんが、ドライブは保護されなくなります。

1. Windowsを起動します。
2. BitLockerの管理コンソールを開きます（「セクション2」の「手順1」を参照）。
3. ターゲット ドライブの［BitLockerを無効にする］をクリックします。
4. プロンプトが表示されたら、実行を確定します。
5. コンピューターによる復号化が完了するまで待ちます。復号化中は強制的にシャットダウンを行わないでください。

トラブルシューティング