Необходимо ввести ключ восстановления для доступа к параметрам запуска
Microsoft Surface 2 запрашивает ключ восстановления BitLocker при перезагрузке устройства
Проблемы
При использовании устройства Microsoft Surface 2, вам будет предложено ввести ключ восстановления BitLocker после включения или перезагрузки устройства или выхода устройства из состояния сна. Эти сообщения могут быть случайные или они могут появляться каждый раз при попытке восстановления работы устройства. Примечание. Эти сообщения, связанные с BitLocker, только видимых симптомов. Эта проблема не влияет на систему любым другим способом.
Решение
Чтобы устранить эту проблему, установите обновление, которое теперь доступна для устройства Microsoft Surface 2.
Сведения об обновлении
Получение обновления
Центр обновления Windows
Это обновление доступно в Центре обновления Windows. Примечание. Эта проблема не влияет на Pro 2 Microsoft Surface. Данное обновление относится только к 2 RT Microsoft Surface.
Предварительные условия
Для установки этого обновления не требуется выполнения никаких условий.
Требование к перезапуску
Может потребоваться перезагрузка устройства Microsoft Surface 2 после установки этого обновления.
Сведения о замене обновлений
Это обновление не заменяет ранее выпущенное обновление.
Дополнительная информация
Для получения ключа восстановления BitLocker, если у вас его доступным, выполните следующие действия.
Откройте веб-обозреватель надежные окна на другом компьютере или мобильном устройстве.
Перейдите на веб-сайте Windows.
Вход с использованием того же имени учетной записи Microsoft и пароль, используемые Microsoft Surface 2 устройства.
Поиск ключа восстановления BitLocker в Windows
Помощь и обучение по Windows 11 ожидается в ближайшее время!
Тем временем ознакомьтесь с доступными возможностями Windows 10 на вкладке Windows 10.
Если система запрашивает у вас ключ восстановления BitLocker, следующие инструкции помогут вам найти его и понять, почему ключ был запрошен.
Где найти ключ восстановления BitLocker?
Перед активацией защиты функция BitLocker обеспечивает безопасное создание резервной копии ключа восстановления. Ключ восстановления может находиться в нескольких местах, в зависимости от того, какой параметр был выбран при активации BitLocker.
В учетной записи Майкрософт: войдите в свою учетную запись Майкрософт на другом устройстве, чтобы найти ключ восстановления:
Если вы используете современное устройство, поддерживающее автоматическое шифрование устройств, ключ восстановления, скорее всего, будет находиться в вашей учетной записи Майкрософт. Дополнительные сведения см. в разделе Шифрование устройства в Windows 10.
Если устройство настроил другой пользователь или защита BitLocker была активирована другим пользователем, ключ восстановления может находиться в учетной записи Майкрософт этого пользователя.
В сохраненной распечатке: Ключ восстановления может быть на распечатке, которая была сохранена при активации BitLocker. Проверьте свои важные документы, относящиеся к компьютеру.
На USB-устройстве флэш-памяти: Подключите USB-устройство флэш-памяти к заблокированным компьютерам и следуйте инструкциям. Если ключ сохранен на устройстве флэш-памяти как текстовый файл, прочтите этот файл на другом компьютере.
В учетной Azure Active Directory учетной записи: Если ваше устройство когда-либо вписалось в организацию с помощью учетной записи электронной почты организации или учебного заведения, ключ восстановления может храниться в учетной записи Azure AD этой организации, связанной с вашим устройством. Возможно, вы сможете получить к ключу доступ самостоятельно либо вам может потребоваться обратиться к системному администратору.
Ваш системный администратор: Если устройство подключено к домену (обычно это устройство для работы или учебного заведения), попросите системного администратора получить ключ восстановления.
Что такое ключ восстановления BitLocker?
Ключ восстановления BitLocker — это уникальный 48-значный цифровой пароль, который можно использовать для разблокировки системы, если функция BitLocker не может другим способом точно определить, что попытка доступа к системному диску была санкционированной. Этот ключ может храниться в учетной записи Майкрософт, на распечатке, в сохраненном файле или в организации, управляющей устройством. Запрос ключа восстановления в таких случаях является критически важным условием защиты, при выполнении которого функция BitLocker сможет предоставить вам доступ к вашим данным.
Почему система Windows запрашивает ключ восстановления BitLocker?
BitLocker — это технология шифрования Windows, которая защищает данные от несанкционированного доступа путем шифрования диска и отображения запроса на прохождение одного или нескольких этапов проверки подлинности, прежде чем BitLocker сможет разблокировать устройство. Она включается как при обычном использовании Windows, так и при попытке несанкционированного доступа. При обнаружении небезопасного состояния, которым может быть попытка несанкционированного доступа к данным, система Windows запрашивает ключ восстановления BitLocker. Этот дополнительный шаг представляет собой меру безопасности, призванную обеспечить безопасность ваших данных. Внесение изменений определенного характера в оборудование, встроенное ПО и программное обеспечение может приводить к возникновению состояний, которые функция BitLocker не может отличить от возможной атаки. В таких случаях функция BitLocker может требовать прохождение дополнительной проверки безопасности в виде предоставления ключа восстановления, даже если пользователь является авторизованным владельцем устройства. Это позволяет системе защиты абсолютно точно убедиться в том, что попытка разблокировки устройства выполняется полномочным пользователем.
Как функция BitLocker активируется на моем устройстве?
Есть три стандартных способа активировать защиту BitLocker на вашем устройстве.
Ваше устройство — это современное устройство, отвечающее определенным требованиям для автоматического обеспечения шифрования устройства. В этом случае ключ восстановления BitLocker автоматически будет сохранен в вашей учетной записи Майкрософт перед активацией защиты.
Владелец или администратор устройства активировал защиту BitLocker (на некоторых устройствах — шифрование устройств) с помощью приложения Параметры или панели управления: В этом случае пользователь, активировав BitLocker, выбирает, где сохранить ключ, или (в случае шифрования устройства) он автоматически сохраняется в учетной записи Майкрософт.
Организация, управляющая устройством (в настоящее время или в прошлом) активированной защитой BitLocker на вашем устройстве: В этом случае у организации может быть ключ восстановления BitLocker.
Защита BitLocker всегда активируется пользователем (или от его имени), у которого есть полные права доступа к вашему устройству на уровне администратора независимо от того, кто является этим пользователем — вы, другой человек или организация, управляющая вашим устройством. В ходе настройки функции BitLocker автоматически создается ключ восстановления во время активации защиты.
Если вам не удается найти запрашиваемый ключ восстановления BitLocker и вы не можете отменить внесенные в конфигурацию изменения, которые могли стать причиной запроса ключа, необходимо выполнить сброс устройства с помощью одного из параметров восстановления Windows 10. Сброс устройства приведет к удалению всех файлов.
Восстановление BitLocker: известные проблемы
В этой статье описываются распространенные проблемы, которые могут помешать BitLocker вести себя так, как ожидалось при восстановлении диска, или что может привести к неожиданному началу восстановления BitLocker. В статье содержится руководство по устранению этих проблем.
В этой статье «пароль восстановления» ссылается на 48-значный пароль восстановления, а «ключ восстановления» — на 32-значный ключ восстановления. Дополнительные сведения см. в дополнительных сведениях о защитниках ключей BitLocker.
Windows подсказок для несуществуемого пароля восстановления BitLocker
Windows подсказок для пароля восстановления BitLocker. Однако пароль восстановления BitLocker не был настроен.
Разрешение
В задаваемой проблеме BitLocker и Active Directory Domain Services (AD DS) решаются ситуации, которые могут привести к этому симптому, и предоставляется информация о том, как устранить проблему:
Пароль восстановления для ноутбука не был восстановлен, и ноутбук заблокирован
У вас есть Windows или Windows 10 Домашняя ноутбук, и вы должны восстановить его жесткий диск. Диск был зашифрован с помощью шифрования драйвера BitLocker. Однако пароль восстановления BitLocker не был восстановлен, и обычный пользователь ноутбука не может предоставить пароль.
Разрешение
Вы можете использовать любой из следующих методов для ручного восстановления или синхронизации существующей информации о восстановлении клиента в Интернете:
Создайте Windows инструментов управления (WMI), который будет создавать дополнительные сведения. Дополнительные сведения см. в сообщении поставщика шифрования дисков BitLocker.
В окне Командная подсказка с повышенными уровнями используйте команду manage-bde для обратного использования данных.
Например, чтобы выполнить back up all of the recovery information for the C: drive to AD DS, open an elevated Command Prompt window and run the following command:
BitLocker не управляет этим процессом резервного копирования автоматически.
Планшетные устройства не поддерживают использование manage-bde-forcerecovery для тестирования режима восстановления
У вас есть планшетное или шиферное устройство, и вы пытаетесь протестировать восстановление BitLocker, подав следующую команду:
Однако после ввода пароля восстановления устройство не может запуститься.
Причина
Планшетные устройства не поддерживают команду manage-bde-forcerecovery.
Эта проблема возникает из-за того Windows менеджер загрузки не может обрабатывать сенсорный ввод на этапе предварительной загрузки запуска. Если boot Manager обнаруживает, что устройство является планшетом, он перенаправляет процесс запуска в Windows среды восстановления (WinRE), которая может обрабатывать сенсорный ввод.
Если WindowsRE обнаруживает протектор TPM на жестком диске, он делает повторное окно PCR. Однако команда manage-bde-forcerecovery удаляет защитники TPM на жестком диске. Таким образом, WinRE не может повторно переопроверять PCRs. Этот сбой запускает бесконечный цикл восстановления BitLocker и Windows запуска.
Это поведение по дизайну для всех версий Windows.
Обходной путь
Чтобы устранить цикл перезагрузки, выполните следующие действия:
После установки обновлений прошивки UEFI или TPM на Surface BitLocker подсказок для пароля восстановления
У вас есть устройство Surface, включающее шифрование диска BitLocker. Вы обновляете прошивку TPM устройства или устанавливаете обновление, которое меняет подпись прошивки системы. Например, вы устанавливаете обновление Surface TPM (IFX).
На устройстве Surface вы испытываете один или несколько следующих симптомов:
Причина
Эта проблема возникает, если TPM устройства Surface настроен на использование значений реестра конфигурации платформы (PCR), помимо значений PCR 7 и PCR 11 по умолчанию. Например, следующие параметры могут настроить TPM следующим образом:
Устройства, поддерживают подключение к режиму ожидания (также известные как InstantGO или Always On, всегдаподключенные компьютеры), включая устройства Surface, должны использовать PCR 7 TPM. В конфигурации по умолчанию в таких системах BitLocker связывается с PCR 7 и PCR 11, если правильно настроены PCR 7 и Secure Boot. Дополнительные сведения см. в странице «О реестре конфигурации платформы (PCR)» в группе BitLocker policy Параметры).
Разрешение
Чтобы проверить значения PCR, которые используются на устройстве, откройте окно Командная подсказка и запустите следующую команду:
В этой команде операционной системы.
Чтобы устранить эту проблему и отремонтировать устройство, выполните следующие действия.
Шаг 1. Отключите защитники TPM на накопителе загрузки
Если установлено обновление TPM или UEFI, и устройство не может запуститься, даже если вы введите правильный пароль восстановления BitLocker, вы можете восстановить возможность начать с помощью пароля восстановления BitLocker и изображения восстановления Surface для удаления протекторов TPM с загрузочного диска.
Для этого выполните следующие действия:
Дополнительные сведения об использовании этой команды см. в пункте manage-bde: unlock.
После отключения протекторов TPM шифрование диска BitLocker больше не защищает ваше устройство. Чтобы повторно включить шифрование диска BitLocker, выберите Начните, введите Управление BitLockerи нажмите кнопку Ввод. Выполните действия по шифрованию диска.
Шаг 2. Использование surface BMR для восстановления данных и сброса устройства
Чтобы восстановить данные с устройства Surface, если вы не можете Windows, выполните шаги 1-5 шага 1, чтобы вернуться в окно Командная подсказка, а затем выполните следующие действия:
В командной подсказке запустите следующую команду:
В этой команде находится пароль восстановления BitLocker, полученный на шаге 1 шага 1, и является буквой диска, назначенной диску операционной системы.
После разблокировки диска используйте команду копирования или xcopy для копирования пользовательских данных на другой диск.
Дополнительные сведения об этих командах см. в Windows.
Чтобы сбросить устройство с помощью образа восстановления Surface, выполните инструкции в разделе «Как сбросить поверхность с помощью usb-накопителя восстановления» в разделе Создание и использование накопителя восстановления USB.
Шаг 3. Восстановление значений PCR по умолчанию
Чтобы предотвратить повторение этой проблемы, настоятельно рекомендуется восстановить конфигурацию безопасной загрузки по умолчанию и значения PCR.
Чтобы включить безопасную загрузку на устройстве Surface, выполните следующие действия:
Чтобы сбросить параметры PCR в TPM, выполните следующие действия:
Отключите любые объекты групповой политики, которые настраивают параметры PCR, или удалите устройство из любых групп, которые исполняют такие политики.
Подробнее: Параметры групповой политики BitLocker.
Приостановка BitLocker. Для этого откройте окно повышенной Windows PowerShell и запустите следующий cmdlet:
где это письмо, назначенное вашему диску.
Запустите следующий cmdlet:
Step 4: Suspend BitLocker during TPM or UEFI firmware updates
You can avoid this scenario when you install updates to system firmware or TPM firmware by temporarily suspending BitLocker before you apply such updates.
TPM and UEFI firmware updates may require multiple restarts while they install. To keep BitLocker suspended during this process, you must use Suspend-BitLocker and set the Reboot Count parameter to either of the following values:
To suspend BitLocker while you install TPM or UEFI firmware updates:
Чтобы повторно включить шифрование диска BitLocker, выберите Начните, введите Управление BitLockerи нажмите кнопку Ввод. Выполните действия по шифрованию диска.
После установки обновления на компьютер с поддержкой Hyper V BitLocker подсказок для пароля восстановления и возвращает 0xC0210000
У вас есть устройство, Windows 11, Windows 10 версии 1703, Windows 10, версии 1607 или Windows Server 2016. Кроме того, Hyper-V включен на устройстве. После установки затронутой версии и перезапуска устройства устройство вступает в режим восстановления BitLocker, и вы увидите код ошибки 0xC0210000.
Обходной путь
Если устройство уже находится в этом состоянии, вы можете успешно Windows после приостановки BitLocker из среды восстановления Windows (WinRE). Для этого выполните следующие действия:
Извлеките 48-значный пароль восстановления BitLocker для диска операционной системы с портала организации или из того места, где пароль был сохранен при первом включении шифрования диска BitLocker.
На экране Восстановления нажмите кнопку Ввод. При запросе введите пароль восстановления.
Если устройство запускается в (WinRE) и снова подсказывало пароль восстановления, выберите Пропустить диск.
Выберите дополнительные параметры > Устранение > проблем расширенных параметров > Командная подсказка.
В окне Командная подсказка запустите следующие команды:
Эти команды разблокировать диск, а затем приостановить BitLocker, отключив защитники TPM на диске. Последняя команда закрывает окно Командная подсказка.
Эти команды приостанавливать BitLocker для одного перезапуска устройства. Параметр -rc 1 работает только в операционной системе и не работает в среде восстановления.
Выберите пункт Продолжить. Windows начать.
После Windows откройте окно командной подсказки и запустите следующую команду:
Если вы не приостанавливали BitLocker перед запуском устройства, эта проблема повторяется.
Чтобы временно приостановить работу BitLocker перед перезапуском устройства, откройте окно командной подсказки и запустите следующую команду:
Разрешение
Чтобы устранить эту проблему, установите соответствующее обновление на затронутом устройстве:
Credential Guard/Device Guard на TPM 1.2. При каждом перезапуске BitLocker подсказывая пароль восстановления и возвращает ошибку 0xC0210000
У вас есть устройство, использующее TPM 1.2 и Windows 10, версия 1809 или Windows 11. Кроме того, устройство использует функции безопасности на основе виртуализации, такие как Device Guard и Credential Guard. Каждый раз при запуске устройства устройство вступает в режим восстановления BitLocker, и вы видите код ошибки 0xc0210000 и сообщение, напоминающее следующее.
Компьютер и устройство необходимо отремонтировать. Не удалось получить доступ к необходимому файлу, так как клавиша BitLocker была загружена неправильно.
Код ошибки 0xc0210000
Вам потребуется использовать средства восстановления. Если у вас нет средств установки (например, диска или USB-устройства), обратитесь к администратору ПК или производителю ПК и устройств.
Причина
Дополнительные сведения об этой технологии см. в Защитник Windows System Guard: как корневое доверие на основе оборудования помогает защитить Windows
Разрешение
Чтобы устранить эту проблему, сделайте одно из следующих:
Запрашивается ключ восстановления BitLocker после установки обновлений прошивки Surface UEFI или TPM на устройстве Surface
Данная статья содержит сведения о том, как отключить параметры безопасности или понизить уровень безопасности компьютера. Указанные изменения позволяют обойти определенную проблему. Прежде чем вносить эти изменения, рекомендуется оценить риски, связанные с ними в конкретной среде. При реализации этого метода обхода примите все необходимые дополнительные меры для защиты своей системы.
Проблемы
Вы столкнулись с одним или несколькими из следующих симптомов на устройстве Surface:
При запуске вам предложено ввести ключ восстановления BitLocker, вы ввели правильный ключ восстановления, но Windows не запускается.
Вы загружаетесь непосредственно в настройки системы Surface Unified Extensible Firmware Interface (UEFI).
Ваше устройство Surface находится в бесконечном цикле перезагрузки.
Причина
Это может произойти в следующих случаях:
BitLocker включен и настроен на использование значений регистра конфигурации платформы (PCR), отличных от значений по умолчанию PCR 7 и PCR 11, например, когда:
Безопасная загрузка выключена.
Значения PCR были четко определены, например, в рамках групповой политики.
Вы устанавливаете обновление прошивки, которое обновляет прошивку устройства TPM или изменяет подпись системной прошивки. Например, вы устанавливаете обновление Surface dTPM (IFX).
Примечание Проверить значения PCR, которые используются на устройстве, можно, запустив следующую команду из командной строки с повышенными привилегиями:
Примечание PCR 7 является требованием для устройств, которые поддерживают режим ожидания с подключением (также известный как InstantGO или Always On, Always Connected PC), в том числе устройства Surface. На таких системах, если TPM с PCR 7 и Secure Boot правильно настроены, BitLocker связывается с PCR 7 и PCR 11 по умолчанию. Для получения дополнительной информации см. «О реестре конфигурации платформы (PCR)» в разделе Параметры групповой политики BitLocker.
Обходной путь
Шифрование диска BitLocker помогает защитить конфиденциальную информацию организации путем шифрования данных. Это обходное решение для временного отключения BitLocker может подвергнуть риску данные. Корпорация Майкрософт не рекомендует использовать этот метод, но в случае необходимости его можно применить на свой собственный риск. В случае использования данного обходного решения полагайтесь на свой опыт и знания.
Способ 1. Приостановка BitLocker во время обновления прошивки TPM или UEFI
Вы можете избежать этого сценария при установке обновлений для системной прошивки или прошивки TPM, временно приостановив BitLocker перед применением обновлений к прошивке TPM или UEFI с помощью Suspend-BitLocker.
Примечание TPM и UEFI могут потребовать нескольких перезагрузок во время установки. Таким образом, приостановка BitLocker должна быть осуществлена через Suspend-BitLocker cmdlet и с помощью параметра Reboot Count, чтобы указать число перезагрузок, превышающее 2, для приостановки BitLocker во время процесса обновления прошивки. Счетчик перезагрузки, равный 0, приостановит BitLocker на неопределенный срок, пока BitLocker не будет возобновлен с помощью командлета PowerShell Resume-BitLocker или другого механизма.
Приостановка BitLocker для установки обновлений прошивки TPM или UEFI:
Начните административную сессию PowerShell.
Введите следующую команду и нажмите клавишу ВВОД:
где C: — диск, назначенный вашему диску
Установите драйвер устройства Surface и обновления прошивки.
После успешной установки обновлений прошивки возобновите BitLocker с помощью командлета Resume-BitLocker следующим образом:
Способ 2. Включение безопасной загрузки и восстановление значений PCR по умолчанию
Мы настоятельно рекомендуем восстановить по умолчанию рекомендуемую конфигурацию значений Secure Boot и PCR после приостановки BitLocker, чтобы предотвратить ввод BitLocker Recovery при применении будущих обновлений к прошивке TPM или UEFI.
Для включения безопасной загрузки на устройстве Surface с включенным BitLocker:
Приостановите BitLocker с помощью командлета Suspend-BitLocker, как описано в способе 1.
Перейдите на вкладку Безопасность.
Нажмите Изменение конфигурации в разделе «Безопасная загрузка».
Выберите только Microsoft и нажмите OK.
Выберите Выход, а затем Перезагрузить для перезагрузки устройства.
Возобновите BitLocker с помощью командлета Resume-BitLocker, как описано в способе 1.
Чтобы изменить значения PCR, используемые для проверки шифрования диска BitLocker:
Отключите любые групповые политики, которые настраивают PCR, или удалите устройство из любых групп, к которым применяются такие политики. Для получения дополнительной информации смотрите «Варианты развертывания» в Справочнике по групповой политике BitLocker.
Приостановите BitLocker с помощью командлета Suspend-BitLocker, как описано в способе 1.
Возобновите BitLocker с помощью командлета Resume-BitLocker, как описано в способе 1.
Способ 3. Удаление устройств защиты с загрузочного диска
Если вы установили обновление TPM или UEFI и устройство не может загрузиться, даже при введении правильного ключа восстановления BitLocker, вы можете восстановить возможность загрузки с помощью ключа восстановления BitLocker и образа восстановления Surface для удаления устройств защиты BitLocker с загрузочного диска.
Чтобы удалить устройства защиты с загрузочного диска с помощью ключа восстановления BitLocker:
Получите ключ восстановления BitLocker с go.microsoft.com/fwlink/p/?LinkId=237614, или если BitLocker управляется другими средствами, такими как Microsoft BitLocker Administration and Monitoring(MBAM), свяжитесь с администратором.
С другого компьютера загрузите образ восстановления Surface с Загрузить образ восстановления для Surface и создайте диск восстановления USB.
Загрузка с образа диска восстановления USB для Surface.
Выберите язык операционной системы, когда вам будет предложено.
Выберите раскладку клавиатуры.
Выберите Устранение неполадок.
Выберите Дополнительные параметры.
Выберите Командная строка.
Выполните следующие команды:
где C: — это диск, назначенный вашему диску, а — ваш ключ восстановления BitLocker, полученный на шаге 1.
Примечание Для получения дополнительной информации об использовании этой команды, см. статью из документации Майкрософт Manage-bde: unlock.
Когда вам будет предложено, введите ключ восстановления BitLocker, полученный на шаге 1.
Примечание После отключения устройств защиты BitLocker загрузочном диске, ваше устройство больше не будет защищено шифрованием диска BitLocker. Для повторного включения BitLocker, выберите Пуск, введите Управление BitLocker и нажмите ВВОД, чтобы запустить приложение панели управления шифрованием диска BitLocker, затем проследуйте инструкциям по шифрованию диска.
Способ 4. Восстановление данных и сброс устройства с помощью Surface Bare Metal Recovery (BMR)
Для восстановления данных с устройства Surface, если вы не можете загрузить Windows:
Получите ключ восстановления BitLocker с https://go.microsoft.com/fwlink/p/?LinkId=237614, или если BitLocker управляется другими средствами, такими как Microsoft BitLocker Administration and Monitoring (MBAM), обратитесь к администратору.
С другого компьютера загрузите образ восстановления Surface с Загрузить образ восстановления для Surface и создайте диск восстановления USB.
Загрузка с образа диска восстановления USB для Surface.
Выберите язык операционной системы, когда вам будет предложено.
Выберите раскладку клавиатуры.
Выберите Устранение неполадок.
Выберите Дополнительные параметры.
Выберите Командная строка.
Выполните следующую команду:
где C: — это диск, назначенный вашему диску, а — ваш ключ восстановления BitLocker, полученный на шаге 1.
После разблокировки диска используйте команды copy или xcopy для копирования данных пользователей на другой диск.
Примечание Для получения дополнительной информации об этих командах, см. Справочник по параметрам командной строки Windows.
Чтобы сбросить устройство с помощью образа восстановления Surface: Следуйте инструкциям в «Как выполнить сброс настроек Surface с помощью USB-накопителя восстановления» в разделе Создание и использование USB-накопителя восстановления.