Guia do BitLocker para Windows Server 2016 e 2019
BitLocker do Windows Server 2016 pode proteger os volumes do servidor, mas a falta de um recurso ou uma tela de recuperação inesperada pode interromper a tarefa. O mesmo se aplica a BitLocker do Windows Server 2019. Este guia explica a instalação, a criptografia, o backup da chave e a recuperação. Para situações relacionadas à recuperação, consulte nosso Guia de recuperação do BitLocker. Se uma chave salva tiver sumido, Magic Recovery Key pode ajudar a procurar em áreas de armazenamento acessíveis por informações-chave recuperáveis.
Antes de começar, identifique sua situação: você está protegendo um servidor acessível ou tentando desbloquear um? Um servidor bloqueado requer um método de desbloqueio já existente. Instalar o BitLocker novamente não criará uma chave substituta para sua unidade criptografada.
Índice
O Windows Server 2016 é compatível com o BitLocker?
Sim. BitLocker do Windows Server 2016 suporta criptografia de volume, e o Windows Server 2019 também oferece esse suporte. No entanto, nenhuma das duas versões instala o recurso BitLocker por padrão. É necessário adicioná-lo antes de poder configurar a criptografia. A Microsoft documenta o mesmo processo de instalação do recurso para ambas as versões.
O BitLocker protege os dados em repouso. Por exemplo, ele ajuda a impedir que alguém leia uma unidade removida de um servidor em outro computador. Ele não substitui os backups nem impede que uma conta autorizada exclua arquivos acessíveis.
Na maioria das pequenas implantações, as diferenças importantes dizem respeito à configuração do servidor:
Detalhes da implantação | Windows Server 2016 | Windows Server 2019 |
Recurso BitLocker | Instale antes da configuração | Instale antes da configuração |
Experiência no desktop | Gerenciador de Servidores e ferramentas gráficas disponíveis | Gerenciador de Servidores e ferramentas gráficas disponíveis |
Server Core | Utilizar a administração por linha de comando | Utilizar a administração por linha de comando |
Planejamento de recuperação | Faça backup das informações de recuperação de cada volume | Faça backup das informações de recuperação de cada volume |
A BitLocker no Server 2016 Portanto, a implantação requer o mesmo planejamento básico que uma implantação de 2019: um método de desbloqueio, uma rota de recuperação independente e uma reinicialização controlada.
Antes de ativar o BitLocker em um servidor
Um servidor de arquivos pode concluir a criptografia com sucesso e, mesmo assim, causar problemas na próxima reinicialização. Por exemplo, um administrador pode proteger a unidade C:, mas esquecer que os aplicativos também precisam de um volume D: criptografado separadamente.
Para BitLocker no Server 2019 e, no caso de instalações mais antigas, prepare primeiro estes itens:
- Um backup verificado: Confirme se é possível restaurar dados importantes e a configuração do servidor.
- Uma janela de manutenção: A instalação do recurso requer uma reinicialização. Coordene o tempo de inatividade do serviço.
- Acesso ao console: Providencie acesso ao console de gerenciamento, seja presencial ou remoto. O RDP não funciona na tela de recuperação pré-inicialização.
- Um destino de recuperação: Utilize o backup do diretório aprovado pela sua organização ou um local seguro independente do servidor.
- Um inventário de volumes: Registre as letras das unidades, os rótulos dos volumes e quais aplicativos dependem de cada volume.
Entenda o TPM e os requisitos de inicialização
Um Módulo de Plataforma Confiável (TPM) ajuda a proteger a chave de criptografia do sistema operacional e a verificar o ambiente de inicialização. O TPM não é um requisito obrigatório para todos os casos de uso do BitLocker: um volume de dados pode utilizar outros mecanismos de proteção.
Para a criptografia do sistema operacional sem um TPM compatível, o Windows oferece suporte a uma abordagem com chave de inicialização USB, desde que a política e o firmware permitam. Isso exige planejamento para cada reinicialização. Além disso, o TPM 2.0 requer o modo UEFI, em vez dos modos Legacy ou CSM.
Para BitLocker do Windows Server 2016 Em uma máquina virtual, verifique a configuração do TPM virtual compatível com o hipervisor antes de escolher uma configuração baseada em TPM. Não presuma que o sistema convidado tenha acesso automático ao TPM físico do host.
Mantenha essas três credenciais separadas
Credencial | Finalidade |
Chave de produto do Windows Server | Ativa o Windows; não desbloqueia volumes criptografados |
PIN de inicialização do BitLocker ou senha da unidade | Fornece um método de desbloqueio normal configurado |
Senha de recuperação do BitLocker | Fornece a senha de recuperação de 48 dígitos quando o desbloqueio normal falha |
As pessoas costumam chamar a senha de recuperação de 48 dígitos de “chave de recuperação”. A Microsoft também usa o termo “chave de recuperação” para se referir a um arquivo de chave externo. Associe a credencial ao prompt de recuperação.
Como instalar o BitLocker no Windows Server 2016
Os métodos de instalação a seguir também se aplicam a BitLocker do Windows Server 2019. A instalação adiciona o recurso; ela não criptografa automaticamente seus volumes.
Opção 1: Usar o Gerenciador do Servidor
Em um servidor com o Desktop Experience:
1. Abrir Gerenciador de Servidores.
2. Selecione Gerenciar → Adicionar funções e recursos.
3. Escolha Instalação baseada em funções ou em recursos.
4. Selecione o servidor de destino correto.
5. Continue em frente Funções do servidor para Recursos.
6. Selecione Criptografia de unidade BitLocker e aceitar as adições necessárias.
7. Verifique a seleção, instale e reinicie durante o seu período de manutenção.
Evite ativar a reinicialização automática, a menos que você já tenha programado a interrupção no serviço.
Opção 2: Usar o PowerShell
Abra o Windows PowerShell como administrador. Verifique primeiro se o recurso está disponível:
Get-WindowsFeature -Name BitLocker
Em seguida, instale-o com suas ferramentas de gerenciamento:
- Install-WindowsFeature -Name BitLocker -IncludeManagementTools
Reinicie no horário programado para concluir a instalação. A Microsoft também oferece opções de instalação para todos os recursos secundários; adicione-os somente quando forem necessários para sua implantação.
Após reiniciar, verifique se os comandos do BitLocker estão disponíveis:
Get-Command Get-BitLockerVolume
Se o comando não estiver disponível, verifique o resultado da instalação e se há alguma reinicialização pendente antes de prosseguir.
Como ativar o BitLocker no Windows Server 2019
O fluxo de trabalho básico também se aplica a BitLocker no Server 2016. Comece com um servidor e um volume para que você possa verificar o processo de recuperação antes de expandir a implantação.
Criptografar a unidade do sistema operacional
Para uma instalação simples do Desktop Experience:
- Aberto Painel de controle → System and Security → BitLocker Drive Encryption.
- Encontre o volume do sistema operacional, geralmente C:.
- Selecione Ativar o BitLocker.
- Siga as instruções do assistente para configurar um método de inicialização disponível.
- Faça backup das credenciais de recuperação fora deste servidor.
- Escolha o escopo e o modo de criptografia de acordo com sua política.
- Mantenha a verificação do sistema ativada e reinicie quando solicitado.
No caso de um servidor que já contém dados, a criptografia de volume completo também abrange o espaço livre, que pode conter resquícios de arquivos excluídos anteriormente. A criptografia apenas do espaço utilizado é adequada para um novo volume que nunca tenha contido dados confidenciais não criptografados.
Para BitLocker do Windows Server 2019, escolha o algoritmo de criptografia de acordo com a política da sua organização e os requisitos de portabilidade das unidades. Evite presumir que o maior tamanho de chave seja a única decisão de implantação que importa.
Usar o PowerShell no Server Core
Para um volume C: novo e não criptografado com um TPM pronto, um administrador pode, primeiro, criar uma senha de proteção para recuperação:
- Add-BitLockerKeyProtector -MountPoint “C:” -RecoveryPasswordProtector
Recupere os detalhes desse protetor em uma sessão administrativa privada:
- (Get-BitLockerVolume -MountPoint “C:”).KeyProtector |
- Where-Object KeyProtectorType -eq “RecoveryPassword” |
- Formatar a lista KeyProtectorId, RecoveryPassword
Anote a senha de recuperação em um local seguro e aprovado. Essa informação contém um segredo; evite incluí-la em registros compartilhados e capturas de tela. A simples adição de um protetor não inicia a criptografia.
Após verificar o backup, habilite a proteção baseada em TPM:
- Enable-BitLocker -MountPoint “C:” -TpmProtector -EncryptionMethod XtsAes128
Este exemplo utiliza criptografia de volume completo e mantém a verificação normal de hardware. Protetores existentes, políticas de domínio ou um requisito de inicialização diferente podem exigir um comando diferente. A Microsoft recomenda definir uma opção de recuperação antes de ativar a criptografia da unidade do sistema operacional.
Proteger volumes de dados separadamente
Não presuma que criptografar a unidade C: também proteja a unidade D:. No assistente gráfico, selecione cada volume de dados necessário, configure seu método de desbloqueio e salve sua própria credencial de recuperação.
Uma prática BitLocker no Server 2019 Um exemplo é um servidor de arquivos com um volume do sistema operacional criptografado e um volume separado para documentos. Verifique se ambos são desbloqueados após a reinicialização antes de devolver o servidor aos usuários.
O desbloqueio automático pode reduzir o trabalho manual para volumes de dados fixos, mas requer um volume do sistema operacional protegido. Mantenha uma cópia de recuperação independente para cada volume de dados, mesmo quando ativar o desbloqueio automático.
Fazer backup das informações de recuperação no Active Directory
Para domínios gerenciados BitLocker do Windows Server 2016 nas instalações, os Serviços de Domínio do Active Directory (AD DS) podem servir como um destino central de recuperação.
Na Política de Grupo, abra:
Configuração do computador → Modelos administrativos → Componentes do Windows → Criptografia de unidade do BitLocker
Verifique as configurações de recuperação em Unidades do sistema operacional e Unidades de dados fixas. Configure o backup do AD DS e, quando for o caso, exija que as informações de recuperação tenham sido armazenadas com sucesso antes que a criptografia possa começar. A simples adesão ao domínio não garante essa proteção.
Para um protetor de senha de recuperação já existente, use o ID dele:
- Backup-BitLockerKeyProtector -MountPoint “C:” -KeyProtectorId “{RECOVERY-PROTECTOR-GUID}”
Substitua o espaço reservado, incluindo seu conteúdo, pelo GUID do protetor de recuperação. Este comando se destina ao AD DS; ele não cria um backup local em arquivo de texto. Confirme se um administrador autorizado pode recuperar o registro de recuperação resultante.
Para BitLocker no Server 2016 em um servidor independente, utilize, em vez disso, um repositório de recuperação externo seguro. Uma chave salva apenas no servidor criptografado pode ficar inacessível justamente no momento menos oportuno.
Verificar o status da criptografia e da proteção
Após a configuração, verifique todos os volumes:
- manage-bde -status
Verifique o status da conversão, a porcentagem de criptografia, o status da proteção e o status do bloqueio. A mensagem “Totalmente criptografado” indica que a conversão foi concluída; confirme também se a proteção está ativada.
Para qualquer uma das versões do servidor, execute uma reinicialização controlada e verifique:
- O Windows é iniciado por meio do método de desbloqueio esperado.
- Os volumes de dados necessários ficam disponíveis.
- O compartilhamento de arquivos e os aplicativos dependentes funcionam.
- Outro administrador autorizado pode localizar o backup de recuperação.
Essas verificações transformam uma tarefa de criptografia concluída em um plano de recuperação viável.
Corrigir problemas comuns do BitLocker no Server 2016/2019
Problema | O que verificar primeiro |
A opção BitLocker não está disponível | Instalação do recurso, direitos administrativos e reinicialização pendente |
“Erro ”TPM compatível” | Preparação do TPM, configuração do firmware e política de inicialização |
A criptografia não inicia | Backup de recuperação necessário, política em vigor e a mensagem de erro exata |
A tela de recuperação aparece após a manutenção | Alterações na inicialização ou no firmware e a credencial de recuperação correspondente |
O volume de dados permanece bloqueado após a reinicialização | Seu método de desbloqueio independente e qualquer configuração de desbloqueio automático |
Para BitLocker no Server 2016 solicitações de recuperação, verifique as alterações recentes antes de alterar mais configurações. Limpar o TPM não substitui a necessidade de encontrar uma credencial de recuperação válida.
Algumas alterações no firmware exigem a suspensão programada. A suspensão mantém os dados criptografados, mas altera temporariamente a proteção; desativar o BitLocker descriptografa o volume. Siga as orientações de atualização do fabricante do hardware e confirme se a proteção foi restabelecida após o processo.
A BitLocker do Windows Server 2019 O problema após a reinicialização pode afetar apenas um volume de dados. Verifique o volume afetado antes de alterar toda a configuração de criptografia do servidor.
Encontre uma chave perdida com o Magic Recovery Key
Comece pelos registros oficiais de recuperação da sua organização: AD DS, um repositório de credenciais aprovado, arquivos de recuperação salvos, backups em USB ou registros impressos. Associe o ID da chave de recuperação à unidade afetada. Uma conta pessoal da Microsoft não é o destino padrão de recuperação para um servidor gerenciado pelo domínio.
Se essas verificações falharem, Magic Recovery Key oferece outra opção de busca. Ele pode procurar informações de recuperação do BitLocker armazenadas anteriormente em locais compatíveis e acessíveis. O Amagicsoft também documenta a recuperação de chaves de licença de software, credenciais salvas no navegador e senhas de Wi-Fi. A disponibilidade depende do que o sistema de origem ainda armazena.
Compatível com Windows 7/8/10/11 e Windows Server
Para BitLocker do Windows Server 2016 recuperação, sua principal vantagem está na identificação precisa dos arquivos. Uma varredura geral de recuperação de arquivos pode retornar documentos sem identificar uma credencial de recuperação utilizável. No entanto, não há base comprovada para afirmar que a taxa de sucesso na recuperação seja maior do que a dos registros de diretório da Microsoft.
Considere um administrador que herda um servidor e uma unidade de manutenção antiga acessível. Se essa unidade contiver uma chave salva recuperável, uma busca direcionada pode ajudar a localizá-la. Este é um cenário ilustrativo, não um teste de produto relatado.
Como procurar chaves do BitLocker armazenadas
1. Baixe o Magic Recovery Key na página oficial do produto.
2. Instale e execute o programa em um sistema Windows compatível e acessível.
3. Selecione Chave de recuperação do BitLocker.
4. Clique em Pesquisa e analisar os resultados.
5. Correlacione a credencial recuperada com o ID da chave de recuperação exigido.
6. Guarde a chave correspondente em local seguro antes de usá-la.
Siga a Manual do usuário do Magic Recovery Key para obter detalhes sobre a interface.
A ferramenta não pode ser executada em uma tela de pré-inicialização bloqueada nem contornar a criptografia do BitLocker. É necessário que exista uma chave de recuperação em um local ao qual a ferramenta tenha acesso. Uma cópia armazenada apenas dentro do volume bloqueado não pode servir como uma rota de recuperação independente.
Para BitLocker no Server 2019 volumes de dados, o Windows pode desbloquear uma unidade com uma senha de recuperação válida de 48 dígitos:
- manage-bde -unlock D: -RecoveryPassword SUA-SENHA-DE-RECUPERAÇÃO-DE-48-DÍGITOS
Substitua o espaço reservado pela senha completa, incluindo os hífens. Confirme primeiro a letra da unidade, especialmente em um ambiente de recuperação. O desbloqueio permite o acesso; ele não descriptografa o volume inteiro.
Conclusão: Torne a criptografia do servidor recuperável
Uma empresa confiável BitLocker do Windows Server 2016 A configuração envolve mais do que apenas criptografia. Faça backup das informações de recuperação, verifique o status da proteção e teste o caminho de reinicialização. Aplique a mesma disciplina a BitLocker do Windows Server 2019, incluindo cada volume de dados individual.
Recomendamos Magic Recovery Key quando você precisar de uma maneira específica de pesquisar em um armazenamento acessível por uma chave de recuperação salva anteriormente. Ele complementa os backups de diretórios e as pesquisas manuais, mantendo claro seu objetivo: localizar credenciais existentes. Para outras situações de bloqueio, continue com nosso Guia de recuperação do BitLocker.
Compatível com Windows 7/8/10/11 e Windows Server
Perguntas frequentes
O Windows Server 2016 inclui o BitLocker?
Como faço para ativar o BitLocker no Windows Server 2019?
O BitLocker do Server 2016 funciona sem um TPM?
Onde devo armazenar a chave de recuperação de um servidor?
O BitLocker vai deixar meu servidor mais lento?
Uma chave de produto do Windows Server pode desbloquear o BitLocker?
O Magic Recovery Key consegue recuperar todas as chaves do BitLocker perdidas?
Desbloquear o BitLocker desativa a criptografia?
