Active Directory上の古い回復キーを削除する方法

回答

• 

  

  0

  サインインして投票

  チャブーンです。

  BitLockerの回復キー情報は、対象コンピュータオブジェクトの子オブジェクトである"ms-FVE-RecoveryInformation"クラスのオブジェクトとして定義されているそうです。

  https://blogs.technet.microsoft.com/askds/2009/08/18/bitlocker-and-active-directory/

  構造については、したのページを参照なさってください。

  https://technet.microsoft.com/ja-jp/library/cc766015(v=ws.10).aspx

  古い回復キー情報は各"ms-FVE-RecoveryInformation"オブジェクトを確認して(CNをみればいつ作成されたかが事実上わかります)、不要な情報をオブジェクトごと削除すれば、ご希望の結果となりそうですが、「実際に試した」わけではありません。

  したがって、「必ず回復キー情報のバックアップを取得」したうえ、(試すのであれば)試される必要があると思います。できれば完全に試験的なクライアントを用意し、その端末で複数のBilLocker回復キーを作って、うえを試されることをお奨めします。

  ---

  フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

  
  

  • 編集済み チャブーンMVP, Moderator 2017年1月24日 2:21
  • 回答の候補に設定 立花楓Microsoft employee, Moderator 2017年1月27日 2:57
  • 回答としてマーク 立花楓Microsoft employee, Moderator 2017年1月31日 1:13

  2017年1月24日 2:15

  返信

  |

  引用

  モデレータ
• 

  

  0

  サインインして投票

  ローカルに保管されている回復パスワードについては以下様な方法削除できるのですが、ADに保管されている回復パスワードについては、チャブーンさんが記載した内容を参考にして試して頂くしか無さそうです。

   

  BitLocker 回復パスワードの管理方法

  Remove-BitLockerKeyProtector

   

   

  暗号化の有効・無効を繰り返しているとの事ですが、BitLocker は無効だけでなく「中断」も可能です。（OSによっては再起動時に自動的に再開されます）

  事情が分からないので蛇足になるかもしれませんが、もしUEFIアップデート等の作業を行っていらっしゃる様でしたら、この「中断」を試してみてはいかがでしょうか。

   

   

  また以下の様な製品も有りますので参考まで。

   MBAM (Microsoft BitLocker Administration and Monitoring)

   

  AD と MBAM 両方に回復パスワードを保存する事ができ、使用した回復パスワードの使いまわしを防止（使用した回復パスワードの自動削除）したり、Webベースの回復パスワードビューワーを利用する事が可能な BitLocker の管理製品です。

  過去に検証した際の記憶なので曖昧なのですが、MBAM で回復パスワードを検索した場合は、MBAMに格納された回復パスワードから、現在有効な回復パスワードのみが表示される動作だったかと思います。

  
  

  • 回答の候補に設定 立花楓Microsoft employee, Moderator 2017年1月27日 2:57
  • 回答としてマーク 立花楓Microsoft employee, Moderator 2017年1月31日 1:13

  2017年1月24日 6:25

  返信

  |

  引用