Guida a BitLocker per Windows Server 2016 e 2019
BitLocker in Windows Server 2016 può proteggere i volumi del server, ma la mancanza di una funzionalità o la comparsa di una schermata di ripristino inaspettata possono interrompere l'operazione. Lo stesso vale per BitLocker in Windows Server 2019. Questa guida illustra le procedure di installazione, crittografia, backup delle chiavi e ripristino. Per situazioni di ripristino correlate, consultare la nostra Guida al ripristino di BitLocker. Se una chiave salvata è andata persa, Magic Recovery Key può aiutare a cercare in uno spazio di archiviazione accessibile le informazioni chiave recuperabili.
Prima di iniziare, valuta la tua situazione: stai proteggendo un server accessibile o stai cercando di sbloccarne uno? Per un server bloccato è necessario un metodo di sblocco già esistente. Reinstallare BitLocker non genererà una chiave sostitutiva per l'unità crittografata.
Indice dei contenuti
Windows Server 2016 supporta BitLocker?
Sì. BitLocker in Windows Server 2016 supporta la crittografia del volume, e anche Windows Server 2019 la supporta. Tuttavia, nessuna delle due versioni installa la funzionalità BitLocker per impostazione predefinita. È necessario aggiungerla prima di poter configurare la crittografia. Microsoft descrive la stessa procedura di installazione della funzionalità per entrambe le versioni.
BitLocker protegge i dati inattivi. Ad esempio, impedisce che qualcuno possa leggere il contenuto di un disco rimosso da un server su un altro computer. Non sostituisce i backup né impedisce a un utente autorizzato di eliminare i file accessibili.
Per la maggior parte delle implementazioni di piccole dimensioni, le differenze più rilevanti riguardano la configurazione del server:
Dettagli sull'implementazione | Windows Server 2016 | Windows Server 2019 |
Funzionalità BitLocker | Installare prima della configurazione | Installare prima della configurazione |
Esperienza desktop | Server Manager e strumenti grafici disponibili | Server Manager e strumenti grafici disponibili |
Server Core | Utilizzo della gestione tramite riga di comando | Utilizzo della gestione tramite riga di comando |
Pianificazione del ripristino | Eseguire il backup delle informazioni di ripristino di ciascun volume | Eseguire il backup delle informazioni di ripristino di ciascun volume |
A BitLocker su Server 2016 L'implementazione richiede quindi la stessa pianificazione di base di un'implementazione del 2019: un metodo di sblocco, un percorso di ripristino indipendente e un riavvio controllato.
Prima di abilitare BitLocker su un server
Un file server può completare con successo la crittografia e tuttavia causare problemi al riavvio successivo. Ad esempio, un amministratore potrebbe proteggere l'unità C: ma dimenticare che anche le applicazioni necessitano di un'unità D: crittografata separatamente.
Per BitLocker su Server 2019 e per le installazioni più datate, preparare prima questi elementi:
- Un backup verificato: Verifica di poter ripristinare i dati importanti e la configurazione del server.
- Una finestra di manutenzione: L'installazione della funzionalità richiede un riavvio. Coordinare il periodo di inattività del servizio.
- Accesso alla console: Predisporre l'accesso alla console di gestione, sia fisica che remota. Il protocollo RDP non è utile nella schermata di ripristino pre-avvio.
- Una destinazione di ripristino: Utilizza il sistema di backup delle directory approvato dalla tua organizzazione oppure una posizione sicura indipendente dal server.
- Un inventario dei volumi: Registrare le lettere di unità, le etichette dei volumi e quali applicazioni dipendono da ciascun volume.
Comprendere il TPM e i requisiti di avvio
Un Trusted Platform Module (TPM) contribuisce a proteggere la chiave di crittografia del sistema operativo e a verificare l'ambiente di avvio. Il TPM non è un requisito indispensabile per tutti i casi d'uso di BitLocker: un volume di dati può avvalersi di altri meccanismi di protezione.
Per la crittografia del sistema operativo in assenza di un TPM compatibile, Windows supporta l'utilizzo di una chiave di avvio USB, purché le politiche e il firmware lo consentano. Ciò richiede una pianificazione per ogni riavvio. Inoltre, il TPM 2.0 richiede l'UEFI anziché la modalità Legacy o CSM.
Per BitLocker in Windows Server 2016 Su una macchina virtuale, verificare la configurazione del TPM virtuale supportata dall’hypervisor prima di scegliere una configurazione basata su TPM. Non dare per scontato che il sistema ospite abbia automaticamente accesso al TPM fisico dell’host.
Tieni separate queste tre credenziali
Credenziale | Scopo |
Codice prodotto di Windows Server | Attiva Windows; non sblocca i volumi crittografati |
PIN di avvio di BitLocker o password dell'unità | Fornisce un metodo di sblocco normale già configurato |
Password di ripristino di BitLocker | Fornisce la credenziale di ripristino a 48 cifre quando lo sblocco normale non va a buon fine |
Spesso la password di ripristino a 48 cifre viene chiamata “chiave di ripristino”. Anche Microsoft utilizza il termine “chiave di ripristino” per indicare un file chiave esterno. Abbina le credenziali alla richiesta di ripristino.
Come installare BitLocker su Windows Server 2016
I seguenti metodi di installazione si applicano anche a BitLocker in Windows Server 2019. L'installazione aggiunge la funzionalità, ma non crittografa automaticamente i volumi.
Opzione 1: Utilizzare Server Manager
Su un server con Desktop Experience:
1. Aprire Gestione server.
2. Selezionare Gestisci → Aggiungi ruoli e funzionalità.
3. Scegliere Installazione basata sui ruoli o sulle funzionalità.
4. Selezionare il server di destinazione corretto.
5. Proseguire oltre Ruoli del server a Caratteristiche.
6. Seleziona Crittografia unità BitLocker e accettare le aggiunte richieste.
7. Verificare la selezione, procedere all'installazione e riavviare il sistema durante la finestra di manutenzione.
Evita di attivare il riavvio automatico, a meno che tu non abbia già programmato l'interruzione del servizio.
Opzione 2: Utilizzare PowerShell
Apri Windows PowerShell come amministratore. Verifica innanzitutto la presenza della funzionalità:
Get-WindowsFeature -Name BitLocker
Quindi installalo insieme ai relativi strumenti di gestione:
- Install-WindowsFeature -Name BitLocker -IncludeManagementTools
Riavviare il sistema all'ora prevista per completare l'installazione. Microsoft mette a disposizione anche opzioni di installazione per tutte le sottofunzionalità; aggiungerle solo se necessarie per la propria implementazione.
Dopo il riavvio, verificare che i comandi BitLocker siano disponibili:
Get-Command Get-BitLockerVolume
Se il comando non è disponibile, verificare l'esito dell'installazione e la presenza di eventuali riavvii in sospeso prima di procedere.
Come abilitare BitLocker su Windows Server 2019
Il flusso di lavoro di base si applica anche a BitLocker su Server 2016. Inizia con un server e un volume, in modo da poter verificare il processo di ripristino prima di estendere l'implementazione.
Crittografare l'unità del sistema operativo
Per un'installazione semplice di Desktop Experience:
- Aperto Pannello di controllo → Sistema e sicurezza → Crittografia unità BitLocker.
- Individua il volume del sistema operativo, solitamente C:.
- Selezionare Attivare BitLocker.
- Segui la procedura guidata per configurare un metodo di avvio disponibile.
- Eseguire il backup delle credenziali di ripristino al di fuori di questo server.
- Scegli l'ambito e la modalità di crittografia in base alla tua politica.
- Lascia attiva la verifica del sistema e riavvia quando richiesto.
Nel caso di un server che contiene già dei dati, la crittografia completa del volume copre anche lo spazio libero, che potrebbe contenere residui di file precedentemente eliminati. La crittografia limitata allo spazio utilizzato è indicata per un nuovo volume che non ha mai contenuto dati sensibili non crittografati.
Per BitLocker in Windows Server 2019, scegliete l'algoritmo di crittografia in base alla politica della vostra organizzazione e ai requisiti di portabilità dei dispositivi. Evitate di dare per scontato che la dimensione massima della chiave sia l'unico fattore rilevante nella decisione di implementazione.
Utilizzo di PowerShell su Server Core
Per un nuovo volume C: non crittografato dotato di un TPM pronto all'uso, un amministratore può innanzitutto creare una protezione tramite password di ripristino:
- Add-BitLockerKeyProtector -MountPoint “C:” -RecoveryPasswordProtector
Recupera i dettagli di quel protettore in una sessione amministrativa privata:
- (Get-BitLockerVolume -MountPoint “C:”).KeyProtector |
- Where-Object KeyProtectorType -eq “RecoveryPassword” |
- Elenco dei formati KeyProtectorId, RecoveryPassword
Annota la password di ripristino in un luogo sicuro e autorizzato. Questo output contiene un’informazione riservata; evita di inserirla in registri condivisi e screenshot. L’aggiunta di un protettore da sola non avvia la crittografia.
Dopo aver verificato il backup, abilitare la protezione basata su TPM:
- Enable-BitLocker -MountPoint “C:” -TpmProtector -EncryptionMethod XtsAes128
In questo esempio viene utilizzata la crittografia dell'intero volume e viene mantenuto il normale controllo hardware. Eventuali protezioni esistenti, criteri di dominio o requisiti di avvio diversi potrebbero richiedere un comando diverso. Microsoft consiglia di configurare un'opzione di ripristino prima di abilitare la crittografia dell'unità del sistema operativo.
Proteggere separatamente i volumi di dati
Non dare per scontato che la crittografia dell'unità C: protegga anche l'unità D:. Nella procedura guidata grafica, seleziona ogni volume di dati richiesto, configura il relativo metodo di sblocco e salva le relative credenziali di ripristino.
Una pratica BitLocker su Server 2019 Un esempio è un file server con un volume del sistema operativo crittografato e un volume separato dedicato ai documenti. Verificare che entrambi si sblocchino dopo il riavvio prima di riconsegnare il server agli utenti.
Lo sblocco automatico può ridurre il lavoro manuale per i volumi di dati fissi, ma richiede che il volume del sistema operativo sia protetto. È consigliabile conservare una copia di ripristino indipendente per ciascun volume di dati anche quando si abilita lo sblocco automatico.
Eseguire il backup delle informazioni di ripristino su Active Directory
Per i domini gestiti BitLocker in Windows Server 2016 Nelle installazioni, Active Directory Domain Services (AD DS) può fungere da destinazione centrale per il ripristino.
In Criteri di gruppo, aprire:
Configurazione del computer → Modelli amministrativi → Componenti di Windows → Crittografia dell'unità con BitLocker
Controlla le impostazioni di ripristino nella sezione Unità del sistema operativo e Unità dati fisse. Configurare il backup di AD DS e, se del caso, richiedere che le informazioni di ripristino siano state correttamente archiviate prima che possa avere inizio la crittografia. La semplice appartenenza al dominio non garantisce questa misura di sicurezza.
Per un sistema di protezione con password di ripristino già esistente, utilizzare il relativo ID effettivo:
- Backup-BitLockerKeyProtector -MountPoint “C:” -KeyProtectorId “{RECOVERY-PROTECTOR-GUID}”
Sostituisci il segnaposto, compreso il suo contenuto, con il GUID del Recovery Protector. Questo comando è destinato ad AD DS; non crea un backup locale in formato file di testo. Verifica che un amministratore autorizzato sia in grado di recuperare il record di ripristino risultante.
Per BitLocker su Server 2016 su un server autonomo, è preferibile utilizzare un archivio di ripristino esterno sicuro. Una chiave salvata esclusivamente sul server crittografato potrebbe diventare inaccessibile proprio nel momento meno opportuno.
Verifica lo stato della crittografia e della protezione
Al termine della configurazione, controllare tutti i volumi:
- gestisci-bde -stato
Verificare lo stato della conversione, la percentuale di crittografia, lo stato della protezione e lo stato del blocco. La dicitura “Completamente crittografato” indica che la conversione è stata completata; verificare inoltre che la protezione sia attiva.
Per entrambe le versioni del server, eseguire un riavvio controllato e verificare quanto segue:
- Windows si avvia utilizzando il metodo di sblocco previsto.
- I volumi di dati richiesti diventano disponibili.
- La condivisione dei file e le applicazioni correlate funzionano correttamente.
- Un altro amministratore autorizzato può individuare il backup di ripristino.
Questi controlli trasformano un’operazione di crittografia completata in un piano di ripristino utilizzabile.
Risoluzione dei problemi più comuni relativi a BitLocker su Server 2016/2019
Problema | Cosa controllare per prima cosa |
Manca l'opzione BitLocker | Installazione della funzionalità, diritti di amministratore e riavvio in sospeso |
“Errore ”TPM compatibile” | Stato di preparazione del TPM, configurazione del firmware e criteri di avvio |
La crittografia non si avvia | Backup di ripristino richiesto, politica in vigore e messaggio di errore esatto |
Dopo la manutenzione compare la schermata di ripristino | Modifiche al sistema di avvio o al firmware e le credenziali di ripristino corrispondenti |
Il volume dei dati rimane bloccato dopo il riavvio | Il suo metodo di sblocco separato e qualsiasi configurazione di sblocco automatico |
Per BitLocker su Server 2016 Seguire le istruzioni di ripristino e verificare le modifiche recenti prima di modificare ulteriori impostazioni. La cancellazione del TPM non sostituisce la ricerca di credenziali di ripristino valide.
Alcune modifiche al firmware richiedono una sospensione programmata. La sospensione mantiene i dati crittografati, ma modifica temporaneamente la protezione; disattivando BitLocker, il volume viene decrittografato. Seguire le istruzioni di aggiornamento fornite dal produttore dell'hardware e verificare che la protezione venga ripristinata al termine dell'operazione.
A BitLocker in Windows Server 2019 Il problema che si verifica dopo il riavvio potrebbe riguardare solo un volume di dati. Verificare il volume interessato prima di modificare la configurazione di crittografia dell'intero server.
Trova una chiave smarrita con Magic Recovery Key
Inizia dai registri di ripristino ufficiali della tua organizzazione: AD DS, un archivio di credenziali approvato, file di ripristino salvati, backup su USB o registri stampati. Abbina l'ID della chiave di ripristino all'unità interessata. Un account Microsoft personale non è la destinazione di ripristino predefinita per un server gestito dal dominio.
Se tali controlli non vanno a buon fine, Magic Recovery Key offre un’altra opzione di ricerca. È in grado di cercare le informazioni di ripristino di BitLocker precedentemente salvate in posizioni accessibili e supportate. Amagicsoft documenta inoltre il recupero delle chiavi di licenza software, delle credenziali salvate nel browser e delle password Wi-Fi. La disponibilità dipende da ciò che il sistema di origine conserva ancora.
Supporta Windows 7/8/10/11 e Windows Server
Per BitLocker in Windows Server 2016 Per quanto riguarda il recupero, la sua caratteristica distintiva risiede nell’individuazione mirata dei file chiave. Una scansione generica per il recupero dei file potrebbe restituire documenti senza identificare una credenziale di recupero utilizzabile. Tuttavia, non vi è alcuna base verificata che consenta di affermare che il tasso di successo del recupero sia superiore a quello dei record di directory di Microsoft.
Si consideri il caso di un amministratore che erediti un server e un’unità di manutenzione obsoleta ma accessibile. Se tale unità contiene una chiave salvata recuperabile, una ricerca mirata potrebbe aiutare a individuarla. Si tratta di uno scenario illustrativo, non di un test di prodotto documentato.
Come cercare le chiavi BitLocker archiviate
1. Scarica Magic Recovery Key dalla pagina ufficiale del prodotto.
2. Installarlo e avviarlo su un sistema Windows accessibile e supportato.
3. Selezionare Chiave di recupero BitLocker.
4. Fare clic su Ricerca e esaminare eventuali risultati.
5. Abbina le credenziali recuperate all'ID della chiave di recupero richiesto.
6. Conservare la chiave corrispondente in un luogo sicuro prima di utilizzarla.
Seguire il Guida per l'utente di Magic Recovery Key per i dettagli sull'interfaccia.
Lo strumento non può essere eseguito all'interno di una schermata di preavvio bloccata né aggirare la crittografia BitLocker. È necessario che esista una chiave di ripristino in una posizione accessibile allo strumento. Una copia memorizzata esclusivamente all'interno del volume bloccato non può costituire un percorso di ripristino indipendente.
Per BitLocker su Server 2019 In caso di grandi volumi di dati, Windows può sbloccare un’unità utilizzando una password di ripristino valida di 48 cifre:
- manage-bde -unlock D: -RecoveryPassword LA-TUA-PASSWORD-DI-RECUPERO-DA-48-CIFRE
Sostituisci il segnaposto con la password completa, compresi i trattini. Verifica prima la lettera dell'unità, soprattutto in un ambiente di ripristino. Lo sblocco consente l'accesso, ma non decrittografa l'intero volume.
Conclusione: rendere recuperabile la crittografia del server
Un affidabile BitLocker in Windows Server 2016 La configurazione non si limita alla crittografia. Eseguire il backup delle informazioni di ripristino, verificare lo stato della protezione e testare il percorso di riavvio. Applicare la stessa disciplina a BitLocker in Windows Server 2019, compresi tutti i singoli volumi di dati.
Raccomandiamo Magic Recovery Key quando serve un metodo mirato per cercare in uno spazio di archiviazione accessibile una chiave di ripristino salvata in precedenza. Questo strumento integra i backup delle directory e le ricerche manuali, mantenendo chiaro il proprio ruolo: individuare le credenziali esistenti. Per altre situazioni di blocco dell'accesso, continua con il nostro Guida al ripristino di BitLocker.
Supporta Windows 7/8/10/11 e Windows Server
Domande frequenti
Windows Server 2016 include BitLocker?
Come si attiva BitLocker su Windows Server 2019?
BitLocker su Server 2016 può funzionare senza un TPM?
Dove dovrei conservare la chiave di ripristino di un server?
BitLocker rallenterà il mio server?
È possibile sbloccare BitLocker con un codice prodotto di Windows Server?
Magic Recovery Key è in grado di recuperare tutte le chiavi BitLocker smarrite?
Disattivando BitLocker si disattiva la crittografia?
