Klucz odzyskiwania nie zapisuje się do Active Directory

Klucz odzyskiwania nie zapisuje się do Active Directory wskazuje na brak odpowiednich uprawnień komputera w domenie lub niewłaściwie skonfigurowaną politykę zapisu kluczy BitLocker w GPO.

Czym jest problem z zapisem klucza odzyskiwania do Active Directory

Komunikat „Klucz odzyskiwania nie zapisuje się do Active Directory” oznacza, że komputer chroniony funkcją BitLocker nie przekazał do katalogu domenowego informacji potrzebnych do późniejszego odblokowania zaszyfrowanego dysku. Samo szyfrowanie może działać prawidłowo, jednak kopia klucza odzyskiwania nie trafia do obiektu komputera w usłudze Active Directory. W razie awarii modułu TPM, zmiany ustawień zabezpieczeń, wymiany płyty głównej albo uruchomienia systemu w trybie odzyskiwania może wtedy zabraknąć danych umożliwiających dostęp do plików.

Nie jest to zwykle błąd samego mechanizmu szyfrowania, lecz problem z procesem przechowywania klucza w katalogu. Znaczenie ma między innymi to, czy urządzenie rzeczywiście należy do właściwej domeny, czy konto komputera jest dostępne oraz czy używane konto ma możliwość zapisania obiektu odzyskiwania. Należy również odróżnić brak zapisu do Active Directory od sytuacji, w której klucz został zapisany lokalnie, na koncie Microsoft, w systemie zarządzania urządzeniami lub w innym wskazanym miejscu.

Kontekst techniczny i porównanie sposobów przechowywania - Klucz odzyskiwania nie zapisuje się do Active Directory

BitLocker może korzystać z kilku elementów zabezpieczających, takich jak moduł TPM, kod PIN, hasło, klucz USB albo klucz odzyskiwania. Klucz odzyskiwania pełni funkcję awaryjną i powinien być przechowywany poza chronionym dyskiem. W środowisku domenowym często zapisuje się go przy obiekcie komputera w Active Directory, aby osoba uprawniona mogła odnaleźć go po identyfikatorze klucza. Jeżeli wymagania dotyczące przechowywania nie są włączone, zapis może nie nastąpić albo system może pozwolić na kontynuowanie konfiguracji bez prawidłowo zabezpieczonej kopii.

Warto rozróżnić ustawienia dotyczące dołączania klucza do katalogu od ustawień wymuszających zapis przed uruchomieniem szyfrowania. Pierwsze określają, gdzie może zostać umieszczona kopia, natomiast drugie mają zapobiegać rozpoczęciu ochrony dysku, gdy nie ma potwierdzenia bezpiecznego przechowania informacji odzyskiwania. Znaczenie ma także rodzaj używanego katalogu. Active Directory działające lokalnie nie jest tym samym co Microsoft Entra ID, dlatego procedura odczytu klucza, zakres uprawnień oraz narzędzia administracyjne mogą się różnić.

Przy analizie należy sprawdzić, czy urządzenie jest klasycznym członkiem domeny, czy korzysta z dołączenia hybrydowego lub chmurowego, a także czy polityki są stosowane z właściwej jednostki organizacyjnej. Samo istnienie ustawienia w edytorze zasad nie gwarantuje jego zastosowania na konkretnym komputerze. Mogą wystąpić opóźnienia replikacji, konflikt kilku zasad, wyłączone przetwarzanie zasad komputera albo zastosowanie konfiguracji przeznaczonej dla innej wersji systemu.

Typowe problemy i błędy powodujące brak zapisu - Klucz odzyskiwania nie zapisuje się do Active Directory

Częstą przyczyną jest brak odpowiedniej polityki BitLocker w zasadach grupy. Zasada może nie wskazywać Active Directory jako miejsca przechowywania klucza albo może obejmować tylko wybrane typy kluczy odzyskiwania. W takiej sytuacji szyfrowanie zostaje uruchomione, lecz katalog nie otrzymuje oczekiwanego obiektu. Problem może pojawić się również wtedy, gdy zasada wymaga zapisania klucza przed rozpoczęciem ochrony, a konfiguracja urządzenia nie spełnia tego warunku.

Drugą grupę przyczyn stanowią uprawnienia i stan konta komputera. Konto może być przeniesione do niewłaściwej jednostki organizacyjnej, wyłączone, usunięte lub pozbawione prawidłowej relacji z domeną. Nieprawidłowy kanał zabezpieczony, zerwane zaufanie domenowe albo praca poza siecią umożliwiającą kontakt z kontrolerem domeny również mogą uniemożliwić zapis. Przy tym nie zawsze pojawia się czytelny komunikat, ponieważ system może jedynie odnotować nieudaną próbę w dzienniku zdarzeń.

Weryfikacji wymagają także wcześniejsze operacje na urządzeniu. Po ponownym dołączeniu do domeny, przywróceniu obrazu systemu, zmianie właściciela komputera lub odtworzeniu konfiguracji BitLocker może istnieć więcej niż jeden wpis, a administrator może szukać klucza przy niewłaściwym obiekcie. Czasem klucz został wygenerowany, lecz nie został przesłany, ponieważ urządzenie nie miało połączenia z domeną w odpowiednim momencie. Innym razem zapisano nowy klucz, a usunięto lub unieważniono wcześniejszy.

Do sprawdzenia pozostają między innymi wynik zastosowania zasad, stan członkostwa w domenie, identyfikator klucza wyświetlany przez system oraz zdarzenia związane z BitLockerem, usługą katalogową i przetwarzaniem zasad grupy. Nie powinno się usuwać istniejących zabezpieczeń ani uruchamiać ponownego szyfrowania bez wcześniejszego potwierdzenia, że działający klucz odzyskiwania został zapisany w bezpiecznym miejscu. W przeciwnym razie można doprowadzić do utraty dostępu po restarcie lub zmianie komponentów.

Kiedy trzeba skorzystać z pomocy serwisu - Klucz odzyskiwania nie zapisuje się do Active Directory

Zgłoszenie do serwisu jest zasadne, gdy problem powtarza się mimo prawidłowego członkostwa w domenie, gdy nie można ustalić miejsca przechowywania klucza albo gdy komputer żąda odzyskiwania po aktualizacji, zmianie ustawień firmware lub ingerencji w moduł TPM. Pomoc techniczna może obejmować rozpoznanie modelu dołączenia urządzenia, ocenę zasad BitLocker, sprawdzenie komunikacji z domeną, analizę dzienników oraz ustalenie, czy klucz istnieje pod właściwym obiektem komputera.

Przed przekazaniem urządzenia warto zanotować identyfikator klucza odzyskiwania, nazwę komputera w domenie, moment pojawienia się problemu oraz ostatnie wykonywane czynności administracyjne. Nie należy publikować pełnego klucza w wiadomościach ani przekazywać go osobom, które nie powinny uzyskać dostępu do danych. Jeżeli komputer nadal uruchamia system, zalecane jest wykonanie kopii ważnych plików i potwierdzenie, że istnieje co najmniej jedna działająca metoda odzyskiwania.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie analizuje się zarówno konfigurację systemu, jak i zależności między urządzeniem, politykami bezpieczeństwa oraz katalogiem domenowym. Po ustaleniu przyczyny można uporządkować zasady zapisu, odtworzyć prawidłową ścieżkę przechowywania i sprawdzić, czy przyszły klucz odzyskiwania będzie dostępny w przewidzianym miejscu.