PDB Help

Comment enregistrer automatiquement les clés de récupération BitLocker dans Active Directory

📅
🕑 7 minutes de lecture

Gérer BitLocker peut parfois s’avérer complexe. Si vous souhaitez que les clés de récupération soient automatiquement sauvegardées dans Active Directory (AD), notamment sur les machines jointes à un domaine, ce guide devrait vous être utile. L’objectif est que Windows stocke les mots de passe de récupération en toute sécurité dans AD afin que, si un utilisateur oublie son code PIN ou se retrouve bloqué, les administrateurs puissent facilement récupérer les clés sans difficulté. De plus, il est très pratique de consulter ces clés stockées directement dans AD en cas de besoin : fini le suivi manuel ou la recherche fastidieuse dans les journaux. Généralement, tout fonctionne correctement une fois configuré, mais il arrive parfois de rencontrer des problèmes, comme des stratégies qui ne s’appliquent pas immédiatement ou des fonctionnalités manquantes si les rôles appropriés n’ont pas été installés. Voici la procédure concrète pour mettre en œuvre BitLocker dans une configuration d’entreprise classique.

Comment sauvegarder automatiquement les clés de récupération et les mots de passe BitLocker dans Active Directory

Configurer Active Directory pour stocker les données BitLocker

Installation des fonctionnalités de chiffrement de lecteur BitLocker

Pourquoi c’est utile : On ne peut pas sauvegarder ce qui n’est pas installé, n’est-ce pas ? Sur votre serveur de domaine, vous avez besoin des outils de gestion BitLocker, car ils gèrent le stockage et la récupération des informations de récupération. Cette étape garantit que le serveur est prêt à gérer ces clés.

  • Ouvrez le Gestionnaire de serveur, généralement via le menu Démarrer ou en tapant `servermanager.exe` dans la boîte de dialogue Exécuter.
  • Cliquez sur Ajouter des rôles et des fonctionnalités — c’est un assistant, suivez donc les étapes.
  • Sélectionnez Installation basée sur les rôles ou sur les fonctionnalités, puis cliquez sur Suivant.
  • Dans la section Sélection du serveur, assurez-vous que votre contrôleur de domaine est coché, puis cliquez sur Suivant.
  • Ignorez la section « Rôles du serveur » (sauf si vous effectuez d’autres opérations).Sur la page « Fonctionnalités », recherchez et cochez « Chiffrement de lecteur BitLocker » (parfois, cette option figure parmi les fonctionnalités facultatives).
  • Cliquez sur Ajouter des fonctionnalités si vous y êtes invité, puis sur Suivant.
  • Enfin, cliquez sur Installer. Attendez la fin de l’installation. Sur certaines configurations, cela peut prendre quelques minutes.
  • Une fois terminé, cliquez sur Terminer. Il vous faudra probablement redémarrer le serveur pour que tout se stabilise. Car, bien sûr, Windows se doit de compliquer les choses inutilement.

Remarque : Si les fonctionnalités BitLocker ne sont pas listées, vérifiez votre édition de Windows Server et assurez-vous d’utiliser une version compatible. Vérifiez également que votre système est à jour ; l’absence de certaines fonctionnalités peut parfois être liée à la version.

Création d’un objet de stratégie de groupe (GPO) pour automatiser les sauvegardes dans Active Directory

Pourquoi c’est utile : les stratégies sont vos alliées. Au lieu de configurer manuellement chaque machine, cette méthode garantit que les informations de récupération sont enregistrées automatiquement à chaque exécution de BitLocker. C’est comme définir une règle, et Windows s’y conforme.

  • Ouvrez Utilisateurs et ordinateurs Active Directory. Vous pouvez le faire depuis Gestionnaire de serveur > Outils > Utilisateurs et ordinateurs Active Directory.
  • Dans le panneau latéral, cliquez avec le bouton droit sur votre domaine (par exemple ` votredomaine.local` ) et choisissez Créer un GPO dans ce domaine, puis Liez-le ici….
  • Nommez-le quelque chose comme « Stocker les clés BitLocker dans Active Directory ».
  • Cliquez avec le bouton droit sur le nouveau GPO et sélectionnez Modifier.
  • Accédez à : Configuration ordinateur > Stratégies > Modèles d’administration > Composants Windows > Chiffrement de lecteur BitLocker.
  • Ouvrez la stratégie « Stocker les informations de récupération BitLocker dans les services de domaine Active Directory ». Activez-la . Laissez les options par défaut cochées, telles que « Exiger la sauvegarde BitLocker dans AD DS » et « Les mots de passe et les packages de clés de récupération ». Cliquez sur Appliquer, puis sur OK.
  • Ensuite, accédez à Lecteurs du système d’exploitation sous Chiffrement de lecteur BitLocker. Recherchez « Choisissez comment les lecteurs système protégés par BitLocker peuvent être récupérés ».
  • Activez également ce paramètre. Veillez à cocher la case « Ne pas activer BitLocker tant que les informations de récupération ne sont pas stockées dans AD DS pour les lecteurs du système d’exploitation ». Cela empêche les utilisateurs d’activer BitLocker sans que ses informations de récupération soient sauvegardées.

Une fois toutes ces étapes terminées, fermez la fenêtre de stratégie, puis forcez la mise à jour immédiate de la stratégie de groupe en exécutant la commande suivanteCommand Prompt as Administrator :

gpupdate /force

Appliquez-le à vos serveurs et postes de travail pour garantir une synchronisation optimale. Un redémarrage ou une déconnexion peut parfois être nécessaire, mais généralement, les politiques s’appliquent très rapidement.

Activation de BitLocker sur les machines clientes

Pourquoi cela s’applique : Une fois les stratégies en place, l’activation de BitLocker sur une machine devrait déclencher automatiquement le processus de sauvegarde de la clé de récupération, à condition que le client soit joint au domaine et que la stratégie ait été propagée.

  • Connectez-vous avec un compte administrateur. Accédez à Panneau de configuration > Chiffrement de lecteur BitLocker.
  • Cliquez sur « Activer BitLocker » à côté du lecteur (souvent C:).
  • Suivez les instructions de l’assistant, cochez la case « Exécuter la vérification du système BitLocker » et redémarrez ; cette étape permet de vérifier que les informations de récupération seront stockées avant le début du chiffrement.
  • Après le redémarrage, Windows chiffrera le disque et la clé de récupération sera stockée dans Active Directory (presque comme par magie, grâce aux stratégies de sécurité).

Pour vérifier, vous pouvez rechercher dans Active Directory l’objet représentant cette machine et consulter l’onglet de récupération BitLocker, ou utiliser des commandes PowerShell si vous souhaitez aller plus loin.

Comment afficher les clés et mots de passe de récupération BitLocker dans Active Directory

A. Utilisation des propriétés de l’ordinateur dans Active Directory

Une fois que tout est prêt, trouver les clés est simple :

  • Ouvrir Utilisateurs et ordinateurs Active Directory.
  • Cliquez avec le bouton droit sur votre objet ordinateur et choisissez Propriétés.
  • Passez à l’ onglet Récupération BitLocker — oui, il sera là si vous avez tout configuré correctement.
  • Vous trouverez l’ identifiant et le mot de passe de récupération dans la section « Détails ». C’est très pratique si quelqu’un est bloqué et a besoin d’un accès rapide.

B. Utilisation de l’option « Trouver le mot de passe BitLocker »

Si vous disposez de l’identifiant de récupération, cela accélère encore les choses :

  • Dans Utilisateurs et ordinateurs Active Directory, cliquez avec le bouton droit sur votre domaine et choisissez Rechercher le mot de passe BitLocker.
  • Saisissez les 8 premiers caractères de l’identifiant de récupération (cet identifiant est unique pour chaque machine).
  • Lancez la recherche et patientez. Les informations de récupération s’afficheront instantanément. Le problème persiste : cela fonctionne parfois immédiatement et parfois moins bien (probablement un souci de latence de réplication ou d’autorisations), mais en général, c’est fiable.

Voilà ! Vous avez désormais un accès rapide aux clés de récupération stockées en toute sécurité dans Active Directory. Attention toutefois : une mauvaise configuration ou des stratégies oubliées peuvent poser problème. Vérifiez donc ces paramètres si les clés ne s’affichent pas.

Conclure

Cette configuration peut s’avérer salvatrice, surtout pour les grandes organisations où la gestion manuelle des clés devient vite ingérable. Une fois la configuration terminée, les clés de récupération sont généralement accessibles en quelques clics, ce qui évite de devoir rechercher les informations BitLocker sur des disques éparpillés ou de tenter de récupérer des disques chiffrés sans sauvegarde. Bien sûr, il est nécessaire de tester les stratégies sur votre configuration : elles ne s’appliquent pas toujours immédiatement, ou un redémarrage peut être requis. Mais globalement, une fois configurées, elles fonctionnent de manière très fluide. Espérons que cela permettra à certains d’éviter la panique lorsqu’une machine refuse de démarrer faute de clé de récupération.

Résumé

  • Installez les fonctionnalités de gestion BitLocker sur le serveur.
  • Créez et liez un objet de stratégie de groupe (GPO) pour stocker les clés de récupération dans Active Directory.
  • Forcer les mises à jour de stratégie ( gpupdate /force) ou redémarrer les clients.
  • Activez BitLocker sur les machines clientes en suivant l’assistant.
  • Vérifiez que les clés de récupération sont stockées dans Active Directory via les propriétés de l’utilisateur ou de l’ordinateur.
  • Utilisez les outils de recherche pour retrouver facilement les clés en cas de besoin.

J’espère que cela permettra à certains de gagner du temps. Ce n’est pas toujours parfait, mais grâce à ces étapes, la gestion des informations de récupération BitLocker devient beaucoup plus simple.