BitLocker nie działa z RAID

BitLocker niedziałający z macierzą RAID wskazuje na ograniczenie tej funkcji — szyfrowanie działa najpewniej na pojedynczych dyskach lub woluminach programowych, nie zawsze wspiera sprzętowe konfiguracje RAID.

Czym jest problem „BitLocker nie działa z RAID”

Komunikat „BitLocker nie działa z RAID” opisuje sytuację, w której szyfrowanie dysku w systemie Windows nie może zostać prawidłowo włączone, odblokowane albo wznowione po zmianie konfiguracji pamięci masowej. Nie oznacza to automatycznie, że sama technologia RAID jest uszkodzona. Przyczyną bywa sposób, w jaki system operacyjny, firmware płyty głównej i moduł TPM rozpoznają macierz oraz wolumin uruchomieniowy.

RAID łączy kilka nośników w jeden logiczny układ. W zależności od użytego rozwiązania może być obsługiwany przez kontroler sprzętowy, funkcje firmware płyty głównej albo mechanizmy systemowe. Dla użytkownika w Eksploratorze Windows widoczny jest zwykle pojedynczy wolumin, lecz podczas startu komputera dostęp do niego odbywa się przez dodatkową warstwę kontrolera. BitLocker musi natomiast prawidłowo ustalić, gdzie znajduje się partycja systemowa, w jaki sposób przekazywane są dane uwierzytelniające oraz czy środowisko rozruchowe nie uległo zmianie.

W praktyce problem może pojawić się już podczas próby szyfrowania, po przełączeniu trybu kontrolera z AHCI na RAID, po aktualizacji firmware, po zmianie kolejności urządzeń rozruchowych albo po odtworzeniu kopii zapasowej. Czasem szyfrowanie zostaje rozpoczęte, ale później system żąda klucza odzyskiwania przy każdym uruchomieniu. W innym przypadku opcja BitLocker pozostaje niedostępna, ponieważ Windows nie uznaje bieżącej konfiguracji za zgodną z wymaganiami automatycznego odblokowania.

Kontekst techniczny i porównanie sposobów przechowywania danych - BitLocker nie działa z RAID

Najłatwiejszym środowiskiem dla BitLockera jest zazwyczaj pojedynczy dysk systemowy z prawidłowo działającym TPM, trybem UEFI oraz niezmienioną konfiguracją rozruchową. W takim układzie moduł TPM może przechować informacje potrzebne do sprawdzenia, czy komputer uruchamia się w oczekiwanym stanie. Jeżeli parametry startowe pozostają zgodne, odblokowanie może odbywać się bez ręcznego wpisywania hasła lub klucza.

Macierz RAID dodaje do tego schematu kolejne elementy: kontroler, sterownik, metadane macierzy oraz sposób prezentowania logicznego woluminu systemowi. Z punktu widzenia BitLockera znaczenie ma nie tylko liczba dysków, lecz przede wszystkim typ macierzy, sposób jej utworzenia i to, czy kontroler jest obsługiwany przed uruchomieniem Windows. Inaczej może zachowywać się macierz przygotowana przez firmware płyty głównej, inaczej zestaw obsługiwany przez osobny kontroler, a jeszcze inaczej wolumin utworzony bezpośrednio przez system.

Warto odróżnić ochronę całego woluminu systemowego od szyfrowania dodatkowego woluminu z danymi. Systemowy dysk wymaga poprawnej współpracy z mechanizmem rozruchowym, partycją EFI, TPM i sterownikiem kontrolera. Przy woluminie przeznaczonym wyłącznie na dane problem może dotyczyć głównie dostępności sterownika oraz sposobu montowania macierzy. Nie można więc zakładać, że skoro szyfrowanie jednego woluminu działa, identycznie zadziała szyfrowanie całego środowiska startowego.

Przed zmianą konfiguracji należy zabezpieczyć klucz odzyskiwania BitLocker. Jest on potrzebny między innymi po zmianie płyty głównej, wyłączeniu TPM, modyfikacji ustawień UEFI, aktualizacji firmware lub zmianie kontrolera pamięci masowej. Samo posiadanie kopii danych nie zastępuje klucza odzyskiwania, ponieważ kopia może nie zawierać informacji umożliwiających odblokowanie zaszyfrowanego woluminu.

Typowe problemy, błędy i ich przyczyny - BitLocker nie działa z RAID

Jednym z częstych objawów jest żądanie klucza odzyskiwania po każdym restarcie. Może to wskazywać na zmianę pomiarów rozruchu, niezgodność ustawień UEFI, wyłączony lub wyczyszczony TPM albo brak właściwego sterownika kontrolera na etapie startu. Jeżeli macierz jest widoczna dopiero po załadowaniu sterownika Windows, środowisko odzyskiwania może nie mieć dostępu do woluminu i zgłaszać błąd, mimo że system uruchomiony w zwykłym trybie rozpoznaje dyski.

Inny scenariusz występuje po zmianie trybu kontrolera w ustawieniach firmware. Przełączenie AHCI, RAID lub innego dostępnego trybu bez przygotowania systemu może doprowadzić do błędu uruchamiania, a zaszyfrowany wolumin dodatkowo utrudnia rozpoznanie, czy problem dotyczy sterownika, konfiguracji macierzy czy samego mechanizmu ochrony. Nie powinno się wykonywać takich zmian metodą prób, zwłaszcza gdy nie ma potwierdzenia, że klucz odzyskiwania został zapisany w bezpiecznym miejscu.

Problemy mogą wystąpić także po wymianie jednego z dysków macierzy, przebudowie RAID, zmianie kolejności bootowania albo odtworzeniu obrazu systemu na innym zestawie urządzeń. BitLocker może potraktować nową konfigurację jako nieznane środowisko. Wtedy potrzebne może być ręczne odblokowanie, zawieszenie ochrony przed planowaną zmianą, ponowne włączenie ochrony po zakończeniu prac lub weryfikacja wpisów rozruchowych.

Nie każdy komunikat związany z BitLockerem oznacza uszkodzenie dysku. W diagnostyce należy rozdzielić kilka warstw: stan fizyczny nośników, kondycję macierzy, widoczność logicznego woluminu, działanie sterownika, ustawienia UEFI, stan TPM, konfigurację partycji rozruchowej oraz uprawnienia użytkownika. Pomocne bywa sprawdzenie statusu szyfrowania, identyfikatora woluminu, obecności partycji systemowej i komunikatów środowiska odzyskiwania. Należy przy tym unikać formatowania, inicjalizacji dysków i tworzenia nowej macierzy przed ustaleniem, czy dane są nadal dostępne.

Ryzyko utraty dostępu rośnie, gdy klucz odzyskiwania nie został zapisany, macierz ma błędy synchronizacji albo jeden z dysków zgłasza problemy. W takiej sytuacji priorytetem jest zachowanie istniejącego układu i wykonanie kopii ważnych danych, o ile wolumin można bezpiecznie odblokować. Próby naprawy struktury RAID, instalowania przypadkowych sterowników lub wielokrotnego zmieniania ustawień mogą pogorszyć stan środowiska.

Kiedy trzeba skorzystać z pomocy serwisu - BitLocker nie działa z RAID

Zgłoszenie do serwisu jest uzasadnione, gdy BitLocker żąda klucza po każdej zmianie ustawień, system nie widzi macierzy podczas uruchamiania, pojawia się niebieski ekran po przełączeniu trybu kontrolera, macierz przechodzi w stan obniżonej sprawności albo nie ma pewności, czy klucz odzyskiwania został prawidłowo zapisany. Warto przekazać informację o modelu płyty głównej lub kontrolera, typie macierzy, ostatnio wykonanych zmianach oraz dokładnej treści komunikatu.

W Warszawskim Pogotowiu Komputerowym 24/7 można rozpocząć od darmowej diagnozy laptopa, podczas której sprawdzana jest zależność między konfiguracją RAID, ustawieniami rozruchu, TPM i stanem szyfrowania. Przed ingerencją w macierz powinno zostać ustalone, czy celem jest odzyskanie dostępu do istniejących danych, przywrócenie automatycznego odblokowania, bezpieczna zmiana konfiguracji czy przygotowanie nowego środowiska po wykonaniu kopii zapasowej.

W przypadku zaszyfrowanego woluminu nie należy przekazywać przypadkowych haseł ani usuwać partycji odzyskiwania bez potwierdzenia zakresu prac. Jeżeli klucz BitLocker jest dostępny, powinien zostać zachowany poza naprawianym komputerem. Gdy występują również objawy awarii nośnika, priorytetem staje się ograniczenie liczby operacji zapisu i ocena ryzyka dalszego uruchamiania systemu. Dopiero po rozpoznaniu całego układu można dobrać właściwą kolejność działań i ocenić, czy przywrócenie szyfrowania będzie bezpieczne dla danych.