Guide BitLocker pour Windows Server 2016 et 2019
BitLocker sous Windows Server 2016 peut protéger les volumes du serveur, mais une fonctionnalité manquante ou un écran de restauration inattendu peut interrompre la tâche. Il en va de même pour BitLocker sous Windows Server 2019. Ce guide explique la procédure d'installation, le chiffrement, la sauvegarde des clés et la restauration. Pour les cas de restauration connexes, consultez notre Guide de récupération BitLocker. Si une clé enregistrée a disparu, Magic Recovery Key peut aider à rechercher, dans les espaces de stockage accessibles, des informations clés pouvant être récupérées.
Avant de commencer, déterminez votre situation : s'agit-il de protéger un serveur accessible ou d'en déverrouiller un ? Un serveur verrouillé nécessite une méthode de déverrouillage existante. Réinstaller BitLocker ne créera pas de clé de remplacement pour son disque chiffré.
Table des matières
Windows Server 2016 prend-il en charge BitLocker ?
Oui. BitLocker sous Windows Server 2016 prend en charge le chiffrement de volume, tout comme Windows Server 2019. Cependant, aucune de ces deux versions n'installe la fonctionnalité BitLocker par défaut. Vous devez l'ajouter avant de pouvoir configurer le chiffrement. Microsoft décrit le même processus d'installation de la fonctionnalité pour les deux versions.
BitLocker protège les données au repos. Par exemple, il empêche quiconque de lire le contenu d'un disque dur retiré d'un serveur lorsqu'il est connecté à un autre ordinateur. Il ne remplace pas les sauvegardes et n'empêche pas un compte autorisé de supprimer des fichiers accessibles.
Pour la plupart des petits déploiements, les différences importantes concernent la configuration du serveur :
Détails du déploiement | Windows Server 2016 | Windows Server 2019 |
Fonctionnalité BitLocker | Installer avant de procéder à la configuration | Installer avant de procéder à la configuration |
Expérience utilisateur sur ordinateur de bureau | Gestionnaire de serveur et outils graphiques disponibles | Gestionnaire de serveur et outils graphiques disponibles |
Server Core | Utilisation de l'administration en ligne de commande | Utilisation de l'administration en ligne de commande |
Planification de la reprise des activités | Sauvegardez les informations de restauration de chaque volume | Sauvegardez les informations de restauration de chaque volume |
A BitLocker sur Server 2016 Le déploiement nécessite donc la même planification de base qu'un déploiement de 2019 : une méthode de déverrouillage, une voie de récupération indépendante et un redémarrage contrôlé.
Avant d'activer BitLocker sur un serveur
Un serveur de fichiers peut mener à bien le chiffrement tout en posant des problèmes lors du redémarrage suivant. Par exemple, un administrateur peut protéger le lecteur C: mais oublier que certaines applications ont également besoin d'un volume D: chiffré séparément.
Pour BitLocker sur Server 2019 et pour les installations plus anciennes, préparez d'abord les éléments suivants :
- Une sauvegarde vérifiée : Vérifiez que vous êtes en mesure de restaurer les données importantes et la configuration du serveur.
- Une fenêtre de maintenance : L'installation de cette fonctionnalité nécessite un redémarrage. Veuillez coordonner l'interruption de service.
- Accès à la console : Organisez l'accès à la console de gestion, que ce soit en présentiel ou à distance. Le protocole RDP ne fonctionne pas sur l'écran de récupération avant le démarrage.
- Une destination de restauration : Utilisez la solution de sauvegarde des répertoires approuvée par votre organisation ou un emplacement sécurisé indépendant du serveur.
- Inventaire des volumes : Répertoriez les lettres de lecteur, les noms de volume et les applications qui dépendent de chaque volume.
Comprendre le TPM et les exigences de démarrage
Un module de plateforme sécurisée (TPM) permet de protéger la clé de chiffrement du système d'exploitation et de vérifier l'environnement de démarrage. Le TPM n'est pas une exigence universelle pour tous les cas d'utilisation de BitLocker : un volume de données peut recourir à d'autres mécanismes de protection.
Pour le chiffrement du système d'exploitation en l'absence d'un module TPM compatible, Windows prend en charge l'utilisation d'une clé de démarrage USB lorsque la stratégie et le micrologiciel le permettent. Cela nécessite une préparation préalable à chaque redémarrage. Par ailleurs, le TPM 2.0 nécessite le mode UEFI plutôt que le mode Legacy ou CSM.
Pour BitLocker sous Windows Server 2016 Sur une machine virtuelle, vérifiez la configuration TPM virtuelle prise en charge par l’hyperviseur avant d’opter pour une configuration basée sur le TPM. Ne partez pas du principe que la machine invitée a automatiquement accès au TPM physique de l’hôte.
Veillez à bien séparer ces trois identifiants
Certificat | Objectif |
Clé de produit Windows Server | Active Windows ; ne déverrouille pas les volumes chiffrés |
Code PIN de démarrage BitLocker ou mot de passe du disque | Fournit une méthode de déverrouillage standard configurée |
Mot de passe de récupération BitLocker | Fournit le code de récupération à 48 chiffres lorsque le déverrouillage normal échoue |
On appelle souvent le mot de passe de récupération à 48 chiffres une “ clé de récupération ”. Microsoft utilise également le terme “ clé de récupération ” pour désigner un fichier de clé externe. Faites correspondre les identifiants à l'invite de récupération.
Comment installer BitLocker sous Windows Server 2016
Les méthodes d'installation suivantes s'appliquent également à BitLocker sous Windows Server 2019. L'installation active cette fonctionnalité ; elle ne crypte pas automatiquement vos volumes.
Option 1 : Utiliser le Gestionnaire de serveur
Sur un serveur équipé de Desktop Experience :
1. Ouvrir Gestionnaire de serveurs.
2. Sélectionner Gérer → Ajouter des rôles et des fonctionnalités.
3. Choisir Installation basée sur les rôles ou sur les fonctionnalités.
4. Sélectionnez le serveur de destination approprié.
5. Continuer tout droit Rôles du serveur à Caractéristiques.
6. Sélectionnez BitLocker Drive Encryption et accepter les ajouts requis.
7. Vérifiez la sélection, procédez à l'installation, puis redémarrez pendant votre fenêtre de maintenance.
Évitez d'activer le redémarrage automatique, sauf si vous avez déjà prévu cette interruption de service.
Option 2 : Utiliser PowerShell
Ouvrez Windows PowerShell en tant qu'administrateur. Vérifiez d'abord la fonctionnalité :
Get-WindowsFeature -Name BitLocker
Installez-le ensuite avec ses outils de gestion :
- Install-WindowsFeature -Name BitLocker -IncludeManagementTools
Redémarrez à l'heure prévue pour terminer l'installation. Microsoft propose également des options d'installation pour toutes les sous-fonctionnalités ; n'ajoutez celles-ci que si votre déploiement en a besoin.
Après le redémarrage, vérifiez que les commandes BitLocker sont disponibles :
Get-Command Get-BitLockerVolume
Si la commande n'est pas disponible, vérifiez le résultat de l'installation et le redémarrage en attente avant de continuer.
Comment activer BitLocker sous Windows Server 2019
Le processus de base s'applique également à BitLocker sur Server 2016. Commencez par un serveur et un volume afin de pouvoir vérifier le processus de restauration avant d'étendre le déploiement.
Chiffrer le disque du système d'exploitation
Pour une installation simple de Desktop Experience :
- Ouvrir Panneau de configuration → Système et sécurité → BitLocker Drive Encryption.
- Recherchez le volume du système d'exploitation, généralement C:.
- Sélectionner Activer BitLocker.
- Suivez les instructions de l'assistant pour configurer une méthode de démarrage disponible.
- Sauvegardez les identifiants de restauration en dehors de ce serveur.
- Choisissez la portée et le mode de chiffrement en fonction de votre politique.
- Laissez la vérification du système activée et redémarrez lorsque vous y êtes invité.
Pour un serveur contenant déjà des données, le chiffrement complet du volume couvre également l'espace libre, qui peut contenir des traces de fichiers précédemment supprimés. Le chiffrement de l'espace utilisé uniquement convient à un nouveau volume qui n'a jamais contenu de données sensibles non chiffrées.
Pour BitLocker sous Windows Server 2019, choisissez l'algorithme de chiffrement en fonction de la politique de votre organisation et des exigences de portabilité. Évitez de partir du principe que la taille de clé la plus élevée est le seul critère déterminant pour le déploiement.
Utilisation de PowerShell sur Server Core
Pour un nouveau volume C: non chiffré équipé d'un module TPM prêt à l'emploi, un administrateur peut commencer par créer un mot de passe de récupération :
- Add-BitLockerKeyProtector -MountPoint “ C: ” -RecoveryPasswordProtector
Récupérer les informations relatives à ce protecteur lors d'une session administrative privée :
- (Get-BitLockerVolume -MountPoint “ C: ”).KeyProtector |
- Where-Object KeyProtectorType -eq “ RecoveryPassword ” |
- Liste de formats : KeyProtectorId, mot de passe de récupération
Notez le mot de passe de récupération dans un emplacement sécurisé de votre choix. Cette sortie contient une information confidentielle ; veillez à ne pas l'inclure dans des journaux ou des captures d'écran partagés. Le simple fait d'ajouter un protecteur ne suffit pas à lancer le chiffrement.
Après avoir vérifié la sauvegarde, activez la protection basée sur le TPM :
- Enable-BitLocker -MountPoint “ C: ” -TpmProtector -EncryptionMethod XtsAes128
Cet exemple utilise le chiffrement complet du volume tout en conservant la vérification matérielle habituelle. La présence de protecteurs existants, d'une stratégie de domaine ou d'une autre condition de démarrage peut nécessiter l'utilisation d'une commande différente. Microsoft recommande de configurer une option de récupération avant d'activer le chiffrement du disque du système d'exploitation.
Protéger les volumes de données séparément
Ne partez pas du principe que le chiffrement du lecteur C: protège également le lecteur D:. Dans l'assistant graphique, sélectionnez chaque volume de données concerné, configurez sa méthode de déverrouillage et enregistrez ses identifiants de récupération spécifiques.
Une pratique BitLocker sur Server 2019 Prenons l'exemple d'un serveur de fichiers doté d'un volume de système d'exploitation chiffré et d'un volume de documents distinct. Vérifiez que les deux volumes se déverrouillent après le redémarrage avant de remettre le serveur à la disposition des utilisateurs.
Le déverrouillage automatique permet de réduire le travail manuel pour les volumes de données fixes, mais il nécessite un volume du système d'exploitation protégé. Conservez une copie de récupération indépendante pour chaque volume de données, même lorsque vous activez le déverrouillage automatique.
Sauvegarder les informations de restauration dans Active Directory
Pour les domaines gérés BitLocker sous Windows Server 2016 Dans ces installations, les services de domaine Active Directory (AD DS) peuvent servir de destination centrale pour la restauration.
Dans la Stratégie de groupe, ouvrez :
Configuration de l'ordinateur → Modèles d'administration → Composants Windows → Chiffrement de lecteur BitLocker
Vérifiez les paramètres de récupération sous Disques du système d'exploitation et Disques durs. Configurez la sauvegarde d'AD DS et, le cas échéant, exigez que les informations de restauration soient correctement stockées avant que le chiffrement puisse commencer. L'appartenance au domaine ne suffit pas à elle seule à garantir cette protection.
Pour un dispositif de protection par mot de passe de récupération existant, utilisez son identifiant réel :
- Backup-BitLockerKeyProtector -MountPoint “ C: ” -KeyProtectorId “ {RECOVERY-PROTECTOR-GUID} ”
Remplacez l'espace réservé, y compris son contenu, par le GUID du protecteur de récupération. Cette commande s'applique à AD DS ; elle ne crée pas de sauvegarde locale sous forme de fichier texte. Vérifiez qu'un administrateur autorisé peut récupérer l'enregistrement de récupération ainsi créé.
Pour BitLocker sur Server 2016 Sur un serveur autonome, utilisez plutôt un espace de récupération externe sécurisé. Une clé enregistrée uniquement sur le serveur chiffré risque de devenir inaccessible au pire moment.
Vérifier l'état du chiffrement et de la protection
Une fois l'installation terminée, vérifiez tous les volumes :
- manage-bde -status
Vérifiez l'état de la conversion, le pourcentage de chiffrement, l'état de la protection et l'état du verrouillage. La mention “ Entièrement chiffré ” indique que la conversion est terminée ; assurez-vous également que la protection est activée.
Quelle que soit la version du serveur, effectuez un redémarrage contrôlé, puis vérifiez :
- Windows démarre selon la méthode de déverrouillage prévue.
- Les volumes de données requis sont désormais disponibles.
- Le partage de fichiers et les applications associées fonctionnent correctement.
- Un autre administrateur habilité peut localiser la sauvegarde de secours.
Ces vérifications permettent de transformer une tâche de chiffrement terminée en un plan de reprise exploitable.
Résoudre les problèmes courants liés à BitLocker sur Server 2016/2019
Problème | Ce qu'il faut vérifier en premier |
L'option BitLocker est manquante | Installation de fonctionnalités, droits d'administration et redémarrage en attente |
“Erreur ” TPM compatible » | État de préparation du TPM, configuration du micrologiciel et politique de démarrage |
Le chiffrement ne démarre pas | Sauvegarde de récupération requise, politique en vigueur et message d'erreur exact |
L'écran de récupération s'affiche après la maintenance | Modifications apportées au système d'amorçage ou au micrologiciel, et identifiants de récupération correspondants |
Le volume de données reste verrouillé après le redémarrage | Sa méthode de déverrouillage distincte et toute configuration de déverrouillage automatique |
Pour BitLocker sur Server 2016 Consultez les instructions de récupération et vérifiez les modifications récentes avant de modifier d'autres paramètres. La réinitialisation du TPM ne remplace pas la recherche d'un identifiant de récupération valide.
Certaines modifications du micrologiciel nécessitent une suspension planifiée. La suspension permet de conserver le chiffrement des données, mais modifie temporairement le niveau de protection ; la désactivation de BitLocker déchiffre le volume. Suivez les instructions de mise à jour fournies par le fabricant du matériel et vérifiez que la protection est rétablie par la suite.
A BitLocker sous Windows Server 2019 Le problème survenant après le redémarrage peut ne concerner qu'un seul volume de données. Vérifiez le volume concerné avant de modifier la configuration de chiffrement de l'ensemble du serveur.
Retrouver une clé perdue avec Magic Recovery Key
Commencez par consulter les documents de récupération officiels de votre organisation : AD DS, un coffre-fort d'identifiants approuvé, des fichiers de récupération enregistrés, des sauvegardes sur clé USB ou des documents imprimés. Associez l'identifiant de la clé de récupération au disque concerné. Un compte Microsoft personnel n'est pas la destination de récupération par défaut pour un serveur géré par le domaine.
Si ces vérifications échouent, Magic Recovery Key propose une autre méthode de recherche. Il peut rechercher des informations de récupération BitLocker précédemment enregistrées dans des emplacements pris en charge et accessibles. Amagicsoft prend également en charge la récupération des clés de licence logicielle, des identifiants de navigateur enregistrés et des mots de passe Wi-Fi. La disponibilité dépend des données encore stockées sur le système source.
Prise en charge de Windows 7/8/10/11 et Windows Server
Pour BitLocker sous Windows Server 2016 En matière de récupération, sa particularité réside dans la découverte ciblée. Une analyse générale de récupération de fichiers peut renvoyer des documents sans identifier d'informations d'identification exploitables pour la récupération. Cependant, il n'existe ici aucune base vérifiée permettant d'affirmer que le taux de réussite de la récupération est supérieur à celui des enregistrements d'annuaire de Microsoft.
Imaginons un administrateur qui hérite d'un serveur et d'un ancien disque de maintenance accessible. Si ce disque contient une clé enregistrée récupérable, une recherche ciblée peut permettre de la localiser. Il s'agit d'un scénario à titre d'exemple, et non d'un test de produit avéré.
Comment rechercher des clés BitLocker enregistrées
1. Téléchargez Magic Recovery Key depuis la page officielle du produit.
2. Installez-le et lancez-le sur un système Windows accessible et pris en charge.
3. Sélectionner Clé de récupération BitLocker.
4. Cliquez sur Recherche et examiner les résultats éventuels.
5. Associez les identifiants récupérés à l'identifiant de clé de récupération requis.
6. Conservez la clé correspondante en lieu sûr avant de l'utiliser.
Suivre le Guide d'utilisation du Magic Recovery Key pour plus de détails sur l'interface.
L'outil ne peut pas s'exécuter à partir d'un écran de pré-démarrage verrouillé ni contourner le chiffrement BitLocker. Une clé de récupération doit se trouver à un emplacement accessible par l'outil. Une copie stockée uniquement sur le volume verrouillé ne peut pas constituer une voie de récupération indépendante.
Pour BitLocker sur Server 2019 volumes de données, Windows peut déverrouiller un disque à l'aide d'un mot de passe de récupération valide à 48 chiffres :
- manage-bde -unlock D: -RecoveryPassword VOTRE-MOT-DE-PASSE-DE-RÉCUPÉRATION-À-48-CHIFFRES
Remplacez le texte de remplacement par le mot de passe complet, y compris les tirets. Vérifiez d'abord la lettre du lecteur, en particulier dans un environnement de récupération. Le déverrouillage permet d'accéder au volume ; il ne le déchiffre pas dans son intégralité.
Conclusion : rendre le chiffrement du serveur récupérable
Une personne fiable BitLocker sous Windows Server 2016 La configuration ne se limite pas au chiffrement. Sauvegardez les informations de restauration, vérifiez l'état de la protection et testez la procédure de redémarrage. Appliquez la même rigueur à BitLocker sous Windows Server 2019, y compris chaque volume de données distinct.
Nous recommandons Magic Recovery Key lorsque vous avez besoin d'un moyen ciblé pour rechercher, dans un espace de stockage accessible, une clé de récupération précédemment enregistrée. Cet outil vient compléter les sauvegardes de répertoires et les recherches manuelles, tout en conservant un objectif clair : retrouver les identifiants existants. Pour d'autres situations de blocage, poursuivez avec notre Guide de récupération BitLocker.
Prise en charge de Windows 7/8/10/11 et Windows Server
FAQ
Windows Server 2016 intègre-t-il BitLocker ?
Comment activer BitLocker sous Windows Server 2019 ?
BitLocker sous Server 2016 peut-il fonctionner sans module TPM ?
Où dois-je conserver la clé de récupération d'un serveur ?
BitLocker va-t-il ralentir mon serveur ?
Une clé de produit Windows Server permet-elle de déverrouiller BitLocker ?
Magic Recovery Key permet-il de récupérer toutes les clés BitLocker perdues ?
Le déverrouillage de BitLocker désactive-t-il le chiffrement ?
