Qué vas a conseguir
Saber en un minuto si un equipo está cifrado y con qué protector, encontrar la clave de recuperación en Entra ID o en Active Directory, y devolver a un usuario su portátil cuando aparece la pantalla azul que pide 48 dígitos.
Antes de empezar
- Para leer el estado del equipo necesitas una consola de PowerShell como administrador en ese equipo.
- Para ver claves de recuperación necesitas un rol que las muestre: en Entra ID, Helpdesk Administrator o un rol personalizado con
microsoft.directory/bitlockerKeys/key/read; en Active Directory, permiso de lectura sobre el objeto equipo con RSAT y la pestaña de recuperación de BitLocker instalada. - Cada lectura de una clave queda en el registro de auditoría. Es normal y es bueno: escribe el número de ticket en tus notas.
1. Comprueba el estado del cifrado
manage-bde -status C:Volumen C: [Windows][Volumen del sistema operativo] Tamaño: 476,00 GB Versión de BitLocker: 2.0 Estado de la conversión: Cifrado completo Porcentaje cifrado: 100,0 % Método de cifrado: XTS-AES 128 Estado de la protección: Protección activada Protectores de clave: TPM Contraseña numéricaGet-BitLockerVolume C: | Select-Object VolumeStatus, ProtectionStatus, EncryptionPercentage, KeyProtectorVolumeStatus : FullyEncryptedProtectionStatus : OnEncryptionPercentage : 100KeyProtector : {Tpm, RecoveryPassword}Lo que quieres ver: Cifrado completo, Protección activada y dos protectores, TPM y Contraseña numérica (la clave de recuperación). Si la protección está desactivada, el disco está cifrado pero cualquiera puede arrancarlo: suele ser porque alguien la suspendió para una actualización de firmware y no se reanudó.
# Reanudar la protección si estaba suspendidaResume-BitLocker -MountPoint C:# Confirmar que la clave de recuperación está guardada en Entra ID (equipos unidos o registrados en Entra)$kp = (Get-BitLockerVolume C:).KeyProtector | Where-Object KeyProtectorType -eq "RecoveryPassword"BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $kp.KeyProtectorId2. Encuentra la clave de recuperación
En un equipo gestionado con Intune la clave está en Entra ID. Busca el equipo por nombre y abre Claves de BitLocker.
En un dominio clásico, la clave está en el objeto equipo de Active Directory, pestaña Recuperación de BitLocker, siempre que la directiva de grupo la guarde allí. Si el equipo es híbrido, mira primero en Entra ID.
Comprueba que el Id. de clave coincide con los 8 primeros caracteres que muestra la pantalla azul del portátil. Un equipo puede tener varias claves (una por cada vez que se cifró) y solo una vale.
3. El portátil pide la clave de recuperación
Pasa casi siempre después de una de estas cosas: actualización de BIOS/firmware, cambio en la placa o en el orden de arranque, Secure Boot desactivado, o un disco que se ha movido de equipo. Es BitLocker haciendo su trabajo.
- Pide al usuario el Id. de clave que ve en pantalla (los primeros 8 caracteres bastan) y el nombre del equipo (en la etiqueta o en el ticket).
- Busca la clave como en el paso 2 y dictásela por teléfono o por un canal cifrado. Nunca la pegues en el ticket ni en un correo.
- Cuando arranque, inicia sesión y comprueba por qué saltó: si fue una actualización de firmware ya está; si Secure Boot está desactivado, actívalo.
- Si va a volver a pedirla en cada arranque, suspende y reanuda la protección una vez para que el TPM vuelva a sellar las medidas de arranque:
Suspend-BitLocker -MountPoint C: -RebootCount 1Restart-Computer# Tras el reinicio, la protección se reanuda sola. Compruébalo:(Get-BitLockerVolume C:).ProtectionStatusOn- Si tu política lo exige, rota la clave de recuperación después de usarla. Desde Intune: el dispositivo → Rotación de la clave de BitLocker. Así la clave que se dictó por teléfono deja de valer.
4. Un equipo nuevo no se cifra
En Intune, el informe Dispositivos → Supervisar → Informe de cifrado te dice el motivo. Los más frecuentes: el TPM no está listo (Get-Tpm muestra TpmReady : False), el usuario no es administrador local y la política no permite cifrado silencioso, o el perfil de cifrado no está asignado al equipo.
Siguientes pasos
- Haz que la clave se guarde en Entra ID por política antes de cifrar: un equipo cifrado sin clave guardada es un equipo perdido el día que la pida.
- Revisa el informe de cifrado de Intune cada semana y persigue los equipos que llevan días en "pendiente".
- En el Nivel 3 verás cómo configurar el perfil de cifrado de Intune con cifrado silencioso y rotación automática.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
Know in a minute whether a device is encrypted and with which protector, find the recovery key in Entra ID or Active Directory, and give a user their laptop back when the blue screen asking for 48 digits appears.
Before you start
- To read a device's status you need a PowerShell console as administrator on that device.
- To view recovery keys you need a role that shows them: in Entra ID, Helpdesk Administrator or a custom role with
microsoft.directory/bitlockerKeys/key/read; in Active Directory, read permission on the computer object with RSAT and the BitLocker recovery tab installed. - Every key read lands in the audit log. That is normal and good: put the ticket number in your notes.
1. Check the encryption status
manage-bde -status C:Volume C: [Windows][OS Volume] Size: 476.00 GB BitLocker Version: 2.0 Conversion Status: Fully Encrypted Percentage Encrypted: 100.0% Encryption Method: XTS-AES 128 Protection Status: Protection On Key Protectors: TPM Numerical PasswordGet-BitLockerVolume C: | Select-Object VolumeStatus, ProtectionStatus, EncryptionPercentage, KeyProtectorVolumeStatus : FullyEncryptedProtectionStatus : OnEncryptionPercentage : 100KeyProtector : {Tpm, RecoveryPassword}What you want to see: Fully Encrypted, Protection On and two protectors, TPM and Numerical Password (the recovery key). If protection is Off, the disk is encrypted but anyone can boot it: usually someone suspended it for a firmware update and it was never resumed.
# Resume protection if it was suspendedResume-BitLocker -MountPoint C:# Confirm the recovery key is stored in Entra ID (Entra joined or registered devices)$kp = (Get-BitLockerVolume C:).KeyProtector | Where-Object KeyProtectorType -eq "RecoveryPassword"BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $kp.KeyProtectorId2. Find the recovery key
On a device managed with Intune the key is in Entra ID. Search the device by name and open BitLocker keys.
In a classic domain the key sits on the computer object in Active Directory, BitLocker Recovery tab, as long as Group Policy stores it there. On a hybrid device, look in Entra ID first.
Check that the Key ID matches the first 8 characters shown on the laptop's blue screen. A device can have several keys (one per time it was encrypted) and only one works.
3. The laptop asks for the recovery key
It almost always happens after one of these: a BIOS/firmware update, a change to the board or the boot order, Secure Boot turned off, or a disk moved to another device. That is BitLocker doing its job.
- Ask the user for the Key ID on screen (the first 8 characters are enough) and the device name (on the label or in the ticket).
- Find the key as in step 2 and read it out by phone or over an encrypted channel. Never paste it into the ticket or an email.
- Once it boots, sign in and check why it triggered: a firmware update needs nothing more; if Secure Boot is off, turn it on.
- If it will ask again at every boot, suspend and resume protection once so the TPM re-seals the boot measurements:
Suspend-BitLocker -MountPoint C: -RebootCount 1Restart-Computer# After the reboot, protection resumes on its own. Check it:(Get-BitLockerVolume C:).ProtectionStatusOn- If your policy requires it, rotate the recovery key after using it. From Intune: the device → BitLocker key rotation. The key read out by phone then stops working.
4. A new device won't encrypt
In Intune, the report Devices → Monitor → Encryption report gives the reason. The most frequent: the TPM is not ready (Get-Tpm shows TpmReady : False), the user is not a local administrator and the policy does not allow silent encryption, or the encryption profile is not assigned to the device.
Next steps
- Make the key back up to Entra ID by policy before encrypting: an encrypted device with no stored key is a lost device the day it asks.
- Review the Intune encryption report weekly and chase devices that have been "pending" for days.
- In Level 3 you'll see how to configure the Intune encryption profile with silent encryption and automatic rotation.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →