Guía de BitLocker para Windows Server 2016 y 2019
BitLocker en Windows Server 2016 puede proteger los volúmenes del servidor, pero la falta de una función o una pantalla de recuperación inesperada pueden interrumpir la tarea. Lo mismo ocurre con BitLocker en Windows Server 2019. En esta guía se explica cómo realizar la instalación, el cifrado, la copia de seguridad de las claves y la recuperación. Para conocer otras situaciones relacionadas con la recuperación, consulta nuestra Guía de recuperación de BitLocker. Si se ha perdido una clave guardada, Magic Recovery Key puede ayudar a buscar en el almacenamiento accesible información clave que se pueda recuperar.
Antes de empezar, analiza tu situación: ¿estás protegiendo un servidor accesible o intentando desbloquear uno? Un servidor bloqueado requiere un método de desbloqueo ya existente. Volver a instalar BitLocker no generará una clave de sustitución para su unidad cifrada.
Índice
¿Es compatible Windows Server 2016 con BitLocker?
Sí. BitLocker en Windows Server 2016 admite el cifrado de volúmenes, y Windows Server 2019 también lo admite. Sin embargo, ninguna de las dos versiones instala la función BitLocker de forma predeterminada. Debes añadirla antes de poder configurar el cifrado. Microsoft describe el mismo proceso de instalación de la función para ambas versiones.
BitLocker protege los datos en reposo. Por ejemplo, ayuda a evitar que alguien pueda leer el contenido de una unidad de servidor extraída en otro ordenador. No sustituye a las copias de seguridad ni impide que una cuenta autorizada elimine los archivos a los que tiene acceso.
En la mayoría de las implementaciones de pequeña escala, las diferencias importantes tienen que ver con la configuración del servidor:
Detalles del despliegue | Windows Server 2016 | Windows Server 2019 |
Función BitLocker | Instalar antes de configurar | Instalar antes de configurar |
Experiencia de escritorio | Server Manager y herramientas gráficas disponibles | Server Manager y herramientas gráficas disponibles |
Server Core | Utilizar la administración mediante la línea de comandos | Utilizar la administración mediante la línea de comandos |
Planificación de la recuperación | Haz una copia de seguridad de la información de recuperación de cada volumen | Haz una copia de seguridad de la información de recuperación de cada volumen |
A BitLocker en Server 2016 Por lo tanto, la implementación requiere la misma planificación básica que una implementación de 2019: un método de desbloqueo, una ruta de recuperación independiente y un reinicio controlado.
Antes de habilitar BitLocker en un servidor
Un servidor de archivos puede completar el cifrado correctamente y, aun así, causar problemas en el siguiente reinicio. Por ejemplo, un administrador puede proteger la unidad C:, pero olvidarse de que las aplicaciones también necesitan un volumen D: cifrado por separado.
Para BitLocker en Server 2019 y en el caso de instalaciones más antiguas, prepara primero estos elementos:
- Una copia de seguridad verificada: Asegúrate de que puedes recuperar los datos importantes y la configuración del servidor.
- Un intervalo de mantenimiento: La instalación de esta función requiere reiniciar el sistema. Coordina el tiempo de inactividad del servicio.
- Acceso a la consola: Organiza el acceso a la consola de gestión, ya sea de forma física o remota. El RDP no funciona en la pantalla de recuperación previa al arranque.
- Un destino de recuperación: Utiliza la copia de seguridad del directorio autorizada por tu organización o una ubicación segura independiente del servidor.
- Un inventario de volúmenes: Anota las letras de unidad, las etiquetas de volumen y qué aplicaciones dependen de cada volumen.
Comprender el TPM y los requisitos de arranque
Un módulo de plataforma de confianza (TPM) ayuda a proteger la clave de cifrado del sistema operativo y a comprobar el entorno de arranque. El TPM no es un requisito imprescindible para todos los casos de uso de BitLocker: un volumen de datos puede utilizar otros mecanismos de protección.
Para el cifrado del sistema operativo sin un TPM compatible, Windows admite el uso de una clave de arranque USB siempre que la política y el firmware lo permitan. Esto requiere una planificación previa para cada reinicio. Además, el TPM 2.0 requiere UEFI en lugar del modo Legacy o CSM.
Para BitLocker en Windows Server 2016 En una máquina virtual, comprueba la configuración de TPM virtual compatible con el hipervisor antes de elegir una configuración basada en TPM. No des por sentado que el sistema invitado tiene automáticamente acceso al TPM físico del sistema anfitrión.
Mantén estas tres credenciales separadas
Credencial | Propósito |
Clave de producto de Windows Server | Activa Windows; no desbloquea los volúmenes cifrados |
Código PIN de inicio de BitLocker o contraseña de la unidad | Proporciona un método de desbloqueo normal configurado |
Contraseña de recuperación de BitLocker | Proporciona la clave de recuperación de 48 dígitos cuando falla el desbloqueo habitual |
A menudo se denomina “clave de recuperación” a la contraseña de recuperación de 48 dígitos. Microsoft también utiliza el término “clave de recuperación” para referirse a un archivo de clave externo. Introduce la credencial que corresponda a la solicitud de recuperación.
Cómo instalar BitLocker en Windows Server 2016
Los siguientes métodos de instalación también se aplican a BitLocker en Windows Server 2019. La instalación añade la función; no cifra automáticamente tus volúmenes.
Opción 1: Utilizar el Administrador del servidor
En un servidor con «Desktop Experience»:
1. Abra Administrador del servidor.
2. Seleccione Administrar → Añadir funciones y características.
3. Elija Instalación basada en roles o en funciones.
4. Selecciona el servidor de destino correcto.
5. Sigue adelante Funciones del servidor a Características.
6. Selecciona Cifrado de unidad BitLocker y aceptar las modificaciones necesarias.
7. Revisa la selección, instala el programa y reinicia el sistema durante tu ventana de mantenimiento.
Evita activar el reinicio automático a menos que ya hayas coordinado la interrupción del servicio.
Opción 2: Utilizar PowerShell
Abre Windows PowerShell como administrador. Comprueba primero la función:
Get-WindowsFeature -Name BitLocker
A continuación, instálalo junto con sus herramientas de gestión:
- Install-WindowsFeature -Name BitLocker -IncludeManagementTools
Reinicia el sistema a la hora programada para completar la instalación. Microsoft también ofrece opciones de instalación para todas las subfuncionalidades; añádelas únicamente cuando tu implementación las necesite.
Tras reiniciar, comprueba que los comandos de BitLocker estén disponibles:
Get-Command Get-BitLockerVolume
Si el comando no está disponible, comprueba el resultado de la instalación y si hay algún reinicio pendiente antes de continuar.
Cómo activar BitLocker en Windows Server 2019
El flujo de trabajo básico también se aplica a BitLocker en Server 2016. Empieza con un servidor y un volumen para que puedas comprobar el proceso de recuperación antes de ampliar la implementación.
Cifrar la unidad del sistema operativo
Para una instalación sencilla de Desktop Experience:
- Abrir Panel de control → Sistema y seguridad → Cifrado de unidad BitLocker..
- Busca el volumen del sistema operativo, que suele ser C:.
- Seleccione Activar BitLocker.
- Sigue las instrucciones del asistente para configurar un método de inicio disponible.
- Haz una copia de seguridad de las credenciales de recuperación fuera de este servidor.
- Elige el alcance y el modo de cifrado según tu política.
- Mantén activada la comprobación del sistema y reinicia el equipo cuando se te solicite.
En el caso de un servidor que ya contiene datos, el cifrado de todo el volumen también abarca el espacio libre, que puede contener restos de archivos eliminados anteriormente. El cifrado solo del espacio utilizado es adecuado para un volumen nuevo que nunca haya contenido datos confidenciales sin cifrar.
Para BitLocker en Windows Server 2019, elige el algoritmo de cifrado de acuerdo con la política de tu organización y los requisitos de portabilidad de las unidades. No des por sentado que el tamaño máximo de la clave es el único factor importante a la hora de decidir la implementación.
Utilizar PowerShell en Server Core
En el caso de un volumen C: nuevo y sin cifrar con un TPM listo para usar, un administrador puede crear primero una contraseña de recuperación:
- Add-BitLockerKeyProtector -MountPoint “C:” -RecoveryPasswordProtector
Consulta los datos de ese tutor en una sesión administrativa privada:
- (Get-BitLockerVolume -MountPoint “C:”).KeyProtector |
- Where-Object KeyProtectorType -eq “RecoveryPassword” |
- Formato: Lista de «KeyProtectorId» y «RecoveryPassword»
Anota la contraseña de recuperación en un lugar seguro y autorizado. Esta salida contiene información confidencial; no la incluyas en registros compartidos ni en capturas de pantalla. El mero hecho de añadir un protector no activa el cifrado.
Una vez comprobada la copia de seguridad, activa la protección basada en TPM:
- Enable-BitLocker -MountPoint “C:” -TpmProtector -EncryptionMethod XtsAes128
En este ejemplo se utiliza el cifrado de volumen completo y se mantiene la comprobación de hardware habitual. Es posible que los protectores existentes, la política de dominio o un requisito de inicio diferente requieran un comando distinto. Microsoft recomienda configurar una opción de recuperación antes de habilitar el cifrado de la unidad del sistema operativo.
Proteger los volúmenes de datos por separado
No des por sentado que cifrar la unidad C: también protege la unidad D:. En el asistente gráfico, selecciona cada volumen de datos que necesites, configura su método de desbloqueo y guarda su propia credencial de recuperación.
Una práctica BitLocker en Server 2019 Un ejemplo es un servidor de archivos con un volumen del sistema operativo cifrado y un volumen independiente para documentos. Comprueba que ambos se desbloqueen tras el reinicio antes de devolver el servidor a los usuarios.
El desbloqueo automático puede reducir el trabajo manual en el caso de volúmenes de datos fijos, pero requiere que el volumen del sistema operativo esté protegido. Mantén una copia de recuperación independiente para cada volumen de datos, incluso cuando actives el desbloqueo automático.
Realizar una copia de seguridad de la información de recuperación en Active Directory
Para los dominios gestionados BitLocker en Windows Server 2016 En las instalaciones, los Servicios de dominio de Active Directory (AD DS) pueden ofrecer un destino central de recuperación.
En la Política de grupo, abre:
Configuración del ordenador → Plantillas administrativas → Componentes de Windows → Cifrado de unidad con BitLocker
Revisa los ajustes de recuperación en Unidades del sistema operativo y Unidades de datos fijas. Configura la copia de seguridad de AD DS y, cuando proceda, exige que se haya almacenado correctamente la información de recuperación antes de que pueda iniciarse el cifrado. La mera pertenencia al dominio no garantiza esta medida de seguridad.
Si ya tienes un protector de contraseña de recuperación, utiliza su ID real:
- Backup-BitLockerKeyProtector -MountPoint “C:” -KeyProtectorId “{RECOVERY-PROTECTOR-GUID}”
Sustituye el marcador de posición, incluido su contenido, por el GUID del protector de recuperación. Este comando se aplica a AD DS; no crea una copia de seguridad local en un archivo de texto. Comprueba que un administrador autorizado pueda recuperar el registro de recuperación resultante.
Para BitLocker en Server 2016 En un servidor independiente, utiliza en su lugar un almacén de recuperación externo seguro. Una clave guardada únicamente en el servidor cifrado podría quedar inaccesible justo en el momento menos oportuno.
Comprobar el estado del cifrado y la protección
Una vez realizada la configuración, comprueba todos los volúmenes:
- manage-bde -status
Comprueba el estado de la conversión, el porcentaje de cifrado, el estado de la protección y el estado del bloqueo. La indicación “Totalmente cifrado” se refiere a la conversión; comprueba también que la protección esté activada.
En cualquiera de las dos versiones del servidor, realiza un reinicio controlado y comprueba lo siguiente:
- Windows se inicia mediante el método de desbloqueo previsto.
- Se dispone de los volúmenes de datos necesarios.
- Los recursos compartidos y las aplicaciones dependientes funcionan correctamente.
- Otro administrador autorizado puede localizar la copia de seguridad de recuperación.
Estas comprobaciones convierten una tarea de cifrado completada en un plan de recuperación viable.
Solucionar problemas habituales de BitLocker en Server 2016/2019
Problema | Qué hay que comprobar primero |
Falta la opción BitLocker | Instalación de funciones, derechos de administrador y reinicio pendiente |
“Error ”TPM compatible» | Preparación para TPM, configuración del firmware y política de arranque |
El cifrado no se inicia | Copia de seguridad necesaria para la recuperación, política vigente y el mensaje de error exacto |
Aparece la pantalla de recuperación tras el mantenimiento | Cambios en el arranque o en el firmware y las credenciales de recuperación correspondientes |
El volumen de datos permanece bloqueado tras reiniciar el sistema | Su método de desbloqueo independiente y cualquier configuración de desbloqueo automático |
Para BitLocker en Server 2016 Siguieras las instrucciones de recuperación e investigaras los cambios recientes antes de modificar más ajustes. Borrar el TPM no sustituye a la búsqueda de una credencial de recuperación válida.
Algunos cambios en el firmware requieren una suspensión planificada. La suspensión mantiene los datos cifrados, pero modifica temporalmente la protección; al desactivar BitLocker, se descifra el volumen. Sigue las instrucciones de actualización del fabricante del hardware y comprueba que la protección se restablezca posteriormente.
A BitLocker en Windows Server 2019 El problema que se produce tras el reinicio puede afectar únicamente a un volumen de datos. Comprueba el volumen afectado antes de modificar la configuración de cifrado de todo el servidor.
Encuentra una llave perdida con Magic Recovery Key
Empieza por los registros de recuperación oficiales de tu organización: AD DS, un almacén de credenciales autorizado, archivos de recuperación guardados, copias de seguridad en USB o registros impresos. Asigna el ID de la clave de recuperación a la unidad afectada. Una cuenta personal de Microsoft no es el destino de recuperación predeterminado para un servidor gestionado por el dominio.
Si esas comprobaciones fallan, Magic Recovery Key ofrece otra vía de búsqueda. Puede buscar información de recuperación de BitLocker almacenada previamente en ubicaciones compatibles a las que se pueda acceder. Amagicsoft también documenta la recuperación de claves de licencia de software, las credenciales guardadas en el navegador y la recuperación de contraseñas de Wi-Fi. La disponibilidad depende de lo que el sistema de origen aún conserve almacenado.
Compatible con Windows 7/8/10/11 y Windows Server
Para BitLocker en Windows Server 2016 En cuanto a la recuperación, su principal ventaja radica en la identificación de elementos clave. Un análisis general de recuperación de archivos puede devolver documentos sin identificar una credencial de recuperación válida. Sin embargo, no existe ninguna base contrastada que permita afirmar que la tasa de éxito en la recuperación sea superior a la de los registros de directorio de Microsoft.
Imaginemos a un administrador que se hace cargo de un servidor y de una unidad de mantenimiento antigua a la que puede acceder. Si esa unidad contiene una clave guardada que se pueda recuperar, una búsqueda específica podría ayudar a localizarla. Se trata de un ejemplo ilustrativo, no de una prueba de producto documentada.
Cómo buscar claves de BitLocker almacenadas
1. Descarga Magic Recovery Key desde su página oficial del producto.
2. Instálalo y ejecútalo en un sistema Windows compatible y al que puedas acceder.
3. Seleccione Clave de recuperación de BitLocker.
4. Haga clic en Buscar en y revisar los resultados.
5. Haz coincidir la credencial recuperada con el ID de la clave de recuperación requerida.
6. Guarda la llave correspondiente en un lugar seguro antes de utilizarla.
Siga las Manual de usuario de Magic Recovery Key para obtener más información sobre la interfaz.
La herramienta no puede ejecutarse desde una pantalla de prearranque bloqueada ni eludir el cifrado de BitLocker. Debe existir una clave de recuperación en una ubicación a la que la herramienta pueda acceder. Una copia almacenada únicamente en el volumen bloqueado no puede constituir una vía de recuperación independiente.
Para BitLocker en Server 2019 En caso de que haya grandes volúmenes de datos, Windows puede desbloquear una unidad con una contraseña de recuperación válida de 48 dígitos:
- manage-bde -unlock D: -RecoveryPassword TU-CONTRASEÑA-DE-RECUPERACIÓN-DE-48-DÍGITOS
Sustituye el marcador de posición por la contraseña completa, incluidos los guiones. Comprueba primero la letra de la unidad, sobre todo en un entorno de recuperación. Al desbloquearla, se permite el acceso, pero no se descifra todo el volumen.
Conclusión: Hacer que el cifrado del servidor sea recuperable
Una empresa fiable BitLocker en Windows Server 2016 La configuración no se limita al cifrado. Haz una copia de seguridad de la información de recuperación, comprueba el estado de la protección y prueba la ruta de reinicio. Aplica la misma disciplina a BitLocker en Windows Server 2019, incluidos todos y cada uno de los volúmenes de datos.
Recomendamos Magic Recovery Key cuando necesites una forma específica de buscar en un almacenamiento accesible una clave de recuperación guardada anteriormente. Complementa las copias de seguridad de directorios y las búsquedas manuales, al tiempo que mantiene clara su función: encontrar credenciales existentes. Para otras situaciones de bloqueo, continúa con nuestro Guía de recuperación de BitLocker.
Compatible con Windows 7/8/10/11 y Windows Server
Preguntas frecuentes
¿Incluye Windows Server 2016 BitLocker?
¿Cómo activo BitLocker en Windows Server 2019?
¿Funciona BitLocker en Server 2016 sin un TPM?
¿Dónde debo guardar la clave de recuperación de un servidor?
¿BitLocker ralentizará mi servidor?
¿Se puede desbloquear BitLocker con una clave de producto de Windows Server?
¿Puede Magic Recovery Key recuperar todas las claves de BitLocker perdidas?
¿Al desbloquear BitLocker se desactiva el cifrado?
