今回は、Windows 11のデバイスの暗号化が有効になっているかを確かめる方法と、回復キーの保存先を確認しておく手順を紹介します。
パソコンの修理やBIOS（UEFI）の設定変更、部品の交換のあとで、起動時に突然「回復キーを入力してください」という画面が表示されることがあります。このとき回復キーが手元になければ、ドライブの中身を読み出せません。困る前に暗号化の状態と回復キーの場所を確認しておくことが、データを守るためのいちばん確実な備えです。
デバイスの暗号化と回復キーの基本
デバイスの暗号化とは
デバイスの暗号化は、Windowsが搭載されたドライブや内蔵の固定ドライブを、BitLockerの仕組みで自動的に暗号化する機能です。パソコンが盗まれたり、ドライブを取り外されたりしても、中のデータを読み取られにくくなります。
BitLockerドライブ暗号化はPro、Enterprise、Educationの各エディション向けの機能ですが、デバイスの暗号化はWindows 11 Homeを含む幅広いパソコンで使える点が特徴です。
自動で有効になる条件
対応しているパソコンでは、Microsoftアカウント、または職場や学校のアカウントで初めてサインインやセットアップをしたときに、デバイスの暗号化が自動で有効になり、回復キーがそのアカウントにひも付けられます。一方、ローカルアカウントで使っている場合は自動では有効になりません。
つまり、自分では何も設定した覚えがなくても、実は暗号化されていて、回復キーがアカウントに保存されているというケースがよくあります。
回復キーとは
回復キーは48桁の数字で、Windowsが暗号化されたドライブのロックを自動で解除できないときに必要になります。セキュリティ上の問題が検知された場合や、ハードウェアの構成が変わった場合に、起動時に入力を求められることがあります。
注意したいのは、Microsoftのサポート窓口でも、なくした回復キーを取り出したり作り直したりすることはできないという点です。自分で保存場所を把握しておく必要があります。
デバイスの暗号化の状態を確認する方法
設定アプリで確認する
- 管理者のアカウントでWindowsにサインインする
- 「設定」を開き、「プライバシーとセキュリティ」を選択する
- 「デバイスの暗号化」を選び、スイッチがオンになっているかを確認する
スイッチがオンであれば暗号化は有効です。オフになっている場合は、このスイッチをオンにすると暗号化を始められます。
「デバイスの暗号化」が見つからないとき
項目が表示されない場合は、そのパソコンが機能に対応していないか、標準ユーザーのアカウントでサインインしている可能性があります。対応状況は「システム情報」で調べられます。
- スタートで「システム情報」（System Information）と入力する
- 検索結果の「システム情報」を右クリックし、「管理者として実行」を選ぶ
- 「システムの要約」の一覧で「自動デバイス暗号化のサポート」または「デバイス暗号化のサポート」の値を確認する
値の主な意味は次のとおりです。
- 前提条件を満たしている：デバイスの暗号化を利用できる
- TPMが使用できない：TPMが搭載されていないか、BIOSやUEFIで無効になっている
- WinREが構成されていない：Windows回復環境が設定されていない
- PCR7バインドがサポートされていない：セキュアブートが無効になっている、または起動時に特殊な周辺機器（ドッキングステーションなど）が接続されている
ドッキングステーションなどを外して再起動すると状態が変わることもあるため、周辺機器を外してから確かめ直すのも一つの方法です。
回復キーの保存先を確認する方法
回復キーがどこにあるかは、暗号化が有効になったときの状況によって変わります。主な保存先を順番に確認していきましょう。
Microsoftアカウントで確認する
個人のパソコンで最も多いのが、Microsoftアカウントに保存されているケースです。
- Webブラウザーで「https://aka.ms/myrecoverykey」を開く
- パソコンで使っているMicrosoftアカウントでサインインする
- 一覧に表示されたデバイス名とキーIDを確認する
パソコンの初期設定を家族などが行った場合は、その人のMicrosoftアカウントに回復キーが保存されていることもあります。自分のアカウントで見つからないときは、セットアップをした人のアカウントも確かめてみてください。なお、Windows 11のバージョン24H2以降では、回復キーの入力画面に、キーがひも付いているMicrosoftアカウントのヒントが表示されます。
職場や学校のアカウントで確認する
職場や学校のアカウントでサインインしたことがあるパソコンは、組織のアカウントに回復キーが保存されている場合があります。「https://aka.ms/aadrecoverykey」にサインインし、「デバイス」から対象のパソコンを開いて「BitLockerキーの表示」を選ぶと確認できます。表示できない場合は、組織のIT担当者に問い合わせましょう。
印刷物やUSBメモリを確認する
暗号化を有効にしたときに、回復キーを紙に印刷したり、USBメモリやテキストファイルに保存したりしていることもあります。パソコンの保証書など、重要な書類をまとめている場所を探してみてください。
回復キーで困らないためのTips
キーIDの先頭8桁で照合する
回復キーの入力画面には「回復キーID」が表示されます。このIDの先頭8桁をメモしておくと、アカウントに複数のキーが保存されているときでも、どれを使えばよいか判断できます。パソコンを買い替えてきた人ほど、キーが複数並んでいることが多いので役立ちます。
別のバックアップも作っておく
Pro以上のエディションなど、「BitLockerの管理」の画面が使えるパソコンでは、スタートで「BitLocker」と検索して画面を開き、ドライブの横にある「回復キーのバックアップ」から追加の保存ができます。保存先はMicrosoftアカウント、USBメモリ、ファイル、印刷から選べ、バックアップは何か所に作っても問題ありません。
- USBメモリや印刷した紙は、パソコンと同じ場所に保管しない
- ファイルとして保存する場合は、暗号化されたドライブ以外の場所に置く
- OneDriveの個人用Vaultにコピーしておくと、別の端末からも確認しやすい
スマートフォンからも開けるようにしておく
回復キーの入力画面が出ると、そのパソコンではブラウザーが使えません。スマートフォンでMicrosoftアカウントにサインインできることを、事前に確かめておくと、いざというときに落ち着いて対応できます。2段階認証を使っている場合は、認証に使うアプリや電話番号も手元で使える状態にしておきましょう。
BIOSの変更や修理の前に確認する
セキュアブートの設定変更や、マザーボード・ストレージの交換などを行う前には、回復キーを確認しておくのが安全です。作業の前に保存先を一度開いて、キーが表示されることを確かめる習慣をつけておくと安心です。
回復キーが見つからない場合
どこを探しても回復キーが見つからず、入力画面を抜けられない場合は、Windowsの回復オプションでパソコンをリセットする必要があります。リセットするとドライブ内のファイルはすべて消えるため、普段から大切なデータはOneDriveや外付けドライブなど、別の場所にもバックアップしておきましょう。組織で管理されているパソコンであれば、先にIT担当者へ相談してください。
まとめ
Windows 11のデバイスの暗号化は、Microsoftアカウントでセットアップしたパソコンでは自動で有効になっていることが多く、回復キーはそのアカウントに保存されています。
- 「設定」→「プライバシーとセキュリティ」→「デバイスの暗号化」で状態を確認する
- 項目がないときは「システム情報」で対応状況を調べる
- 回復キーは「https://aka.ms/myrecoverykey」でMicrosoftアカウントから確認できる
- キーIDの先頭8桁で照合し、必要に応じて別のバックアップも作る
- 修理や設定変更の前に、キーが表示できることを確かめておく
回復キーは困ったときにしか使いませんが、そのときに見つからなければデータを取り出せません。時間のあるときに一度保存先を確認しておきましょう。