BitLocker: comprobar el cifrado y recuperar un equipo que pide la clave

Qué vas a conseguir

Saber en un minuto si un equipo está cifrado y con qué protector, encontrar la clave de recuperación en Entra ID o en Active Directory, y devolver a un usuario su portátil cuando aparece la pantalla azul que pide 48 dígitos.

Antes de empezar

• Para leer el estado del equipo necesitas una consola de PowerShell como administrador en ese equipo.
• Para ver claves de recuperación necesitas un rol que las muestre: en Entra ID, Helpdesk Administrator o un rol personalizado con microsoft.directory/bitlockerKeys/key/read; en Active Directory, permiso de lectura sobre el objeto equipo con RSAT y la pestaña de recuperación de BitLocker instalada.
• Cada lectura de una clave queda en el registro de auditoría. Es normal y es bueno: escribe el número de ticket en tus notas.

1. Comprueba el estado del cifrado

›manage-bde -status C:Volumen C: [Windows][Volumen del sistema operativo]    Tamaño:                 476,00 GB    Versión de BitLocker:   2.0    Estado de la conversión: Cifrado completo    Porcentaje cifrado:     100,0 %    Método de cifrado:      XTS-AES 128    Estado de la protección: Protección activada    Protectores de clave:        TPM        Contraseña numérica›Get-BitLockerVolume C: | Select-Object VolumeStatus, ProtectionStatus, EncryptionPercentage, KeyProtectorVolumeStatus         : FullyEncryptedProtectionStatus     : OnEncryptionPercentage : 100KeyProtector         : {Tpm, RecoveryPassword}

Lo que quieres ver: Cifrado completo, Protección activada y dos protectores, TPM y Contraseña numérica (la clave de recuperación). Si la protección está desactivada, el disco está cifrado pero cualquiera puede arrancarlo: suele ser porque alguien la suspendió para una actualización de firmware y no se reanudó.

# Reanudar la protección si estaba suspendida›Resume-BitLocker -MountPoint C:# Confirmar que la clave de recuperación está guardada en Entra ID (equipos unidos o registrados en Entra)›$kp = (Get-BitLockerVolume C:).KeyProtector | Where-Object KeyProtectorType -eq "RecoveryPassword"›BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $kp.KeyProtectorId

2. Encuentra la clave de recuperación

En un equipo gestionado con Intune la clave está en Entra ID. Busca el equipo por nombre y abre Claves de BitLocker.

En un dominio clásico, la clave está en el objeto equipo de Active Directory, pestaña Recuperación de BitLocker, siempre que la directiva de grupo la guarde allí. Si el equipo es híbrido, mira primero en Entra ID.

Comprueba que el Id. de clave coincide con los 8 primeros caracteres que muestra la pantalla azul del portátil. Un equipo puede tener varias claves (una por cada vez que se cifró) y solo una vale.

3. El portátil pide la clave de recuperación

Pasa casi siempre después de una de estas cosas: actualización de BIOS/firmware, cambio en la placa o en el orden de arranque, Secure Boot desactivado, o un disco que se ha movido de equipo. Es BitLocker haciendo su trabajo.

1. Pide al usuario el Id. de clave que ve en pantalla (los primeros 8 caracteres bastan) y el nombre del equipo (en la etiqueta o en el ticket).
2. Busca la clave como en el paso 2 y dictásela por teléfono o por un canal cifrado. Nunca la pegues en el ticket ni en un correo.
3. Cuando arranque, inicia sesión y comprueba por qué saltó: si fue una actualización de firmware ya está; si Secure Boot está desactivado, actívalo.
4. Si va a volver a pedirla en cada arranque, suspende y reanuda la protección una vez para que el TPM vuelva a sellar las medidas de arranque:

›Suspend-BitLocker -MountPoint C: -RebootCount 1›Restart-Computer# Tras el reinicio, la protección se reanuda sola. Compruébalo:›(Get-BitLockerVolume C:).ProtectionStatusOn

1. Si tu política lo exige, rota la clave de recuperación después de usarla. Desde Intune: el dispositivo → Rotación de la clave de BitLocker. Así la clave que se dictó por teléfono deja de valer.

4. Un equipo nuevo no se cifra

En Intune, el informe Dispositivos → Supervisar → Informe de cifrado te dice el motivo. Los más frecuentes: el TPM no está listo (Get-Tpm muestra TpmReady : False), el usuario no es administrador local y la política no permite cifrado silencioso, o el perfil de cifrado no está asignado al equipo.

Siguientes pasos

• Haz que la clave se guarde en Entra ID por política antes de cifrar: un equipo cifrado sin clave guardada es un equipo perdido el día que la pida.
• Revisa el informe de cifrado de Intune cada semana y persigue los equipos que llevan días en "pendiente".
• En el Nivel 3 verás cómo configurar el perfil de cifrado de Intune con cifrado silencioso y rotación automática.

¿Quieres practicarlo? Resuelve los tickets «'Tu dispositivo no cumple los requisitos'» y «El portátil que se congela y avisa de que el disco va a fallar» en SysAdmin Desks, gratis y en el navegador.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.