Windows Server

BitLocker — Chiffrement de disques

Activer et gérer BitLocker pour chiffrer les disques, stocker les clés de récupération dans Active Directory et déployer la configuration via GPO.

← Retour aux tutoriels Windows
📚 C'est quoi BitLocker ? BitLocker est une fonctionnalité de chiffrement de volumes intégrée à Windows. Il protège les données en chiffrant l'intégralité du disque. Si un disque est volé ou un serveur est compromis physiquement, les données restent illisibles sans la clé de récupération. En entreprise, les clés sont centralisées dans Active Directory.
ⓘ Prérequis Windows Server 2019+ ou Windows 10/11 Pro/Entreprise — Un domaine Active Directory — Un module TPM 2.0 (recommandé) ou une GPO autorisant BitLocker sans TPM.

Installer la fonctionnalité BitLocker

Sur Windows Server

  1. Ouvrez Server Manager → Add Roles and Features.
  2. Avancez jusqu'à Features.
  3. Cochez BitLocker Drive Encryption.
  4. Cliquez Install et redémarrez.

Configurer la GPO pour AD

Avant d'activer BitLocker, configurez la GPO pour que les clés de récupération soient sauvegardées dans Active Directory :

  1. Ouvrir Gestion des stratégies de groupe (gpmc.msc)
  2. Créer ou modifier une GPO liée à l'OU des machines
  3. Naviguer vers :
    Configuration ordinateur > Stratégies > Modèles d'administration > Composants Windows > Chiffrement de lecteur BitLocker > Lecteurs du système d'exploitation
  4. Activer : Sauvegarder les informations de récupération BitLocker dans les services de domaine AD
  5. Cocher : Ne pas activer BitLocker tant que les informations de récupération ne sont pas stockées dans AD

GPO pour machines sans TPM (optionnel)

Si certaines machines n'ont pas de puce TPM :

  1. Même chemin que ci-dessus
  2. Activer : Exiger une authentification supplémentaire au démarrage
  3. Cocher : Autoriser BitLocker sans un module TPM compatible

Activer BitLocker sur un volume

L'activation de BitLocker se fait via l'interface graphique ou PowerShell (voir section en bas de page).

Via l'interface graphique

  1. Ouvrez le Panneau de configuration → Système et sécurité → Chiffrement de lecteur BitLocker.
  2. Cliquez sur Activer BitLocker à côté du volume C:.
  3. Choisissez la méthode d'authentification (TPM, mot de passe, clé USB).
  4. Sauvegardez la clé de récupération (dans AD si la GPO est configurée).
  5. Choisissez Chiffrer l'intégralité du lecteur.
  6. Cliquez Démarrer le chiffrement.

Récupérer une clé depuis AD

Via PowerShell (depuis un DC)

Consultez la section Version PowerShell en bas de page.

Via la console ADUC

  1. Ouvrir Utilisateurs et ordinateurs Active Directory
  2. Clic droit sur l'objet ordinateur → Propriétés
  3. Onglet Récupération BitLocker
  4. La clé de récupération (48 chiffres) est affichée

Commandes de gestion courantes

La gestion de BitLocker au quotidien se fait via l'interface graphique (Panneau de configuration → BitLocker) ou via PowerShell (voir section en bas de page).

⌨️ Version PowerShell

Voici les commandes PowerShell équivalentes pour chaque étape du tutoriel.

Étape 1 — Installer BitLocker

Install-WindowsFeature BitLocker -IncludeManagementTools -Restart
Get-WindowsFeature BitLocker

Étape 3 — Activer BitLocker

# Chiffrer avec TPM
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -TpmProtector
Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector

# Chiffrer sans TPM (mot de passe)
$SecurePassword = ConvertTo-SecureString "Password" -AsPlainText -Force
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -PasswordProtector -Password $SecurePassword
Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector

# Sauvegarder la clé dans AD
$BLV = Get-BitLockerVolume -MountPoint "C:"
$RecoveryProtector = $BLV.KeyProtector | Where-Object { $_.KeyProtectorType -eq "RecoveryPassword" }
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId $RecoveryProtector.KeyProtectorId

Étape 4 — Récupérer une clé depuis AD

Install-WindowsFeature RSAT-Feature-Tools-BitLocker-BdeAducExt

Get-ADObject -Filter 'objectClass -eq "msFVE-RecoveryInformation"' `
    -SearchBase (Get-ADComputer "PC-CIBLE").DistinguishedName `
    -Properties msFVE-RecoveryPassword | 
    Select-Object @{N="Date";E={$_.Name.Split('{')[0]}}, msFVE-RecoveryPassword

Étape 5 — Gestion courante

Get-BitLockerVolume
Get-BitLockerVolume -MountPoint "C:" | Select-Object MountPoint, VolumeStatus, EncryptionPercentage
Suspend-BitLocker -MountPoint "C:" -RebootCount 1
Resume-BitLocker -MountPoint "C:"
Disable-BitLocker -MountPoint "C:"
✔ Résultat BitLocker est actif, les clés de récupération sont stockées dans Active Directory. En cas de perte de machine ou de panne de TPM, vous pouvez récupérer la clé depuis AD et déverrouiller le volume.