Windows 11 で BIOS（UEFI）アップデートをすると、再起動時に突然 BitLocker の回復キー入力画面が出て焦った…という経験は珍しくありません。本記事では、「アップデート前に何をしておけば安全か」「BitLocker を一時停止／無効化する具体的な手順」「トラブル時の対処」まで、はじめての方でも迷わないように詳しく解説します。
Windows 11 で BIOS アップデート時に BitLocker 回復キーが求められる理由
まずは、なぜ BIOS（正確には UEFI ファームウェア）を更新すると BitLocker の回復キーが必要になるのかを整理しておきます。
- BitLocker は TPM（セキュリティチップ）やブート構成の「状態」を監視しています。
- その状態（測定値）が大きく変わると、「改ざんの可能性がある」と判断し、安全のため回復キーを要求します。
- BIOS/UEFI のアップデートは、まさにこの「状態」を変える代表的な操作です。
回復キーが求められる代表的なケースは次のとおりです。
- BIOS/UEFI ファームウェアのアップデート
- TPM のクリア・無効化・有効化設定の変更
- Secure Boot の有効／無効の切り替え
- ブート順の変更や、SATA → NVMe などのストレージ設定変更
- 一部のハードウェア増設・取り外し
これらは故障ではなく、BitLocker が正常に働いている結果です。ただし、あらかじめ回復キーを控えていなかったり、そもそも BitLocker が有効になっていることに気付いていないと、起動できずにパニックになってしまいます。
結論：基本は「保護の一時停止」、必要なときだけ「完全無効化」
BIOS アップデート前に取れる対策は大きく分けて次の2つです。
- BitLocker の「保護の一時停止」（Suspend）…推奨・最小限の対処
- BitLocker の「完全無効化（復号）」（暗号化解除）…どうしても必要な場合のみ
両者の違いを表にまとめると次のようになります。
| 項目 | 保護の一時停止 | 完全無効化（復号） |
|---|---|---|
| 暗号化状態 | ドライブは暗号化されたまま | ドライブが平文に復号される |
| 所要時間 | 数秒～数十秒程度 | 容量によっては数十分～数時間 |
| セキュリティ | 平常時とほぼ同等（起動プロセスのみ一時的に緩和） | 復号中～再暗号化完了までは盗難時のリスク増大 |
| 再起動後の挙動 | 指定回数の再起動後に自動で保護再開（または手動） | 手動で再暗号化を開始するまで暗号化されない |
| おすすめ度 | BIOS 更新時の基本パターン | ポリシー／トラブルでやむを得ない場合のみ |
多くの環境では、「保護の一時停止」だけで BIOS アップデートを安全に行えます。完全無効化（復号）は、会社ポリシーや特殊な要件があるときだけ検討した方が無難です。
作業前に必ずやっておきたい準備
どの方法を取るにしても、以下の準備は必須です。ここを省略すると、最悪の場合、PC が起動できなくなってしまいます。
BitLocker 回復キーを必ず確認・保管する
まずは 回復キーがどこにあるか を必ず確認しておきます。
- 自分の Microsoft アカウントで管理している PC
ブラウザでhttps://aka.ms/myrecoverykeyにアクセスし、Windows 11 で使っている Microsoft アカウントでサインインします。 - 会社や学校から支給された PC
回復キーは Azure AD / Intune / 管理サーバー側に保管されていることが多いため、必ずシステム管理者に確認してください。
見つかった回復キーは、次のような方法で複数の場所に控えておくと安心です。
- 紙に印刷して、机の引き出しや金庫などに保管
- 暗号化された USB メモリにテキストファイルとして保存
- スマートフォンのパスワード管理アプリに登録（スクリーンショットではなく文字で）
バックアップと電源（バッテリー）の確保
BIOS アップデートと BitLocker 設定変更の前には、次の点も必ず確認します。
- 重要なデータは、外付け HDD / SSD やクラウドにバックアップしておく
- ノート PC の場合は AC アダプターを接続し、バッテリー残量が十分であることを確認
- 復号／再暗号化を行う場合は、処理中にスリープや強制終了をしないように電源設定も見直す
現在の BitLocker 状態をコマンドで確認する
自分の環境で BitLocker がどのドライブに有効になっているかを、事前に確認しておきましょう。
manage-bde -status
このコマンドは「管理者として実行したコマンド プロンプト」で使用します。代表的な読み取りポイントは次のとおりです。
| 表示例 | 意味 | 対処方針 |
|---|---|---|
| 変換状態: 暗号化 | BitLocker が有効で、ドライブは暗号化済み | 一時停止または復号の対象 |
| 変換状態: 暗号化解除中 | 現在復号処理の途中 | 処理完了まで PC の電源を切らない |
| 変換状態: 暗号化されていません | BitLocker は無効 | BIOS 更新に伴う BitLocker 対策は不要 |
システムドライブ（通常 C:）以外にも、D: やデータ用 SSD が暗号化されている場合があります。必要に応じて、それらのドライブについても同様に方針を決めておきましょう。
推奨：BitLocker 保護を一時停止してから BIOS アップデートする
ここからは、最もおすすめの手順である「BitLocker 保護の一時停止 → BIOS アップデート → 保護再開」の流れを具体的に解説します。
PowerShell（管理者）で BitLocker を一時停止する方法
- スタートボタンを右クリックし、「Windows ターミナル（管理者）」または「Windows PowerShell（管理者）」を選択します。
- ユーザーアカウント制御（UAC）が表示されたら「はい」をクリックします。
- 次のコマンドを入力し、Enter キーを押します。
Suspend-BitLocker -MountPoint "C:" -RebootCount 1
このコマンドのポイントは次の通りです。
-MountPoint "C:"：Windows が入っているドライブ（通常 C:）を指定-RebootCount 1：1回の再起動分だけ保護を一時停止する、という意味
BIOS アップデートでたいていは 1 回だけ再起動が掛かるため、この指定で十分なことが多いです。「念のため余裕を持たせたい」という場合は、-RebootCount 2 のように増やしても構いません。
コマンド プロンプト（管理者）で BitLocker を一時停止する方法
- スタートボタンを右クリックし、「ターミナル（管理者）」または「コマンド プロンプト（管理者）」を開きます。
- 次のコマンドを入力し、Enter キーを押します。
manage-bde -protectors -disable C:
このコマンドは、再有効化するまでずっと保護が停止したままになります。そのため、BIOS アップデート後に必ず自分で保護を再有効化することを忘れないでください。
BIOS アップデートまでの具体的な流れ
全体の流れを整理すると、次のようになります。
- 回復キーを確認・保管（事前準備）
- PowerShell またはコマンド プロンプトで BitLocker を一時停止
- PC メーカー提供の BIOS/UEFI アップデートユーティリティを起動
- 画面の指示に従ってアップデートを開始
- アップデート完了後、自動で再起動
- Windows 11 が正常に起動することを確認
- BitLocker 保護を再有効化（後述）
アップデート後に BitLocker 保護を再有効化する
PowerShell で一時停止した場合は、次のコマンドで保護を再開できます。
Resume-BitLocker -MountPoint "C:"
コマンド プロンプトで一時停止した場合は、次のコマンドです。
manage-bde -protectors -enable C:
最後に、状態を確認しておくと安心です。
manage-bde -status
「変換状態: 暗号化」「ロック状態: ロック解除」などと表示されていれば、BitLocker は有効かつ正常に動作しています。
どうしても必要な場合だけ：BitLocker を完全に無効化（復号）する
以下のような場合、BitLocker の完全無効化（復号）を検討することがあります。
- グループポリシーや MDM により「一時停止」が禁止されている
- 一時停止しても毎回回復キーを求められるなど、環境が不安定
- PC の譲渡・廃棄前に、暗号化を解除した状態にしておきたい
ただし、復号中と再暗号化が完了するまでの間は、物理的に PC を盗まれた場合のリスクが高くなります。自宅や安全なオフィス内で作業し、PC を持ち歩かないタイミングで行うことをおすすめします。
BitLocker を完全に無効化（復号）する手順
- 管理者としてコマンド プロンプトを開きます。
- 現在の状態を確認します。
manage-bde -status
- システムドライブ（例: C:）の復号を開始します。
manage-bde -off C:
このコマンドを実行すると、バックグラウンドで復号処理が進みます。大容量 SSD ではかなり時間がかかる可能性があります。
- 進行状況をときどき確認します。
manage-bde -status
「変換状態: 暗号化解除中 X%」のように表示されている間は、まだ処理中です。
「変換状態: 暗号化されていません」になれば復号完了です。
- 復号完了を確認したら、BIOS/UEFI アップデートを実施します。
- アップデートが正常に終わり、しばらく運用して問題がないことを確認したうえで、必要であれば再度 BitLocker を有効化します。
manage-bde -on C:
再暗号化もバックグラウンドで進みます。ある程度負荷は掛かりますが、通常の作業をしながらでも利用可能です。
エディション別：GUI から BitLocker／デバイスの暗号化を操作する
Windows 11 はエディションによって、暗号化の UI が少し異なります。代表的な違いを整理しておきます。
| エディション | 機能名 | 設定画面 | 一時停止 |
|---|---|---|---|
| Pro / Enterprise / Education | BitLocker ドライブ暗号化 | コントロール パネル > BitLocker ドライブ暗号化 | GUI から「保護の一時停止」が可能 |
| Home | デバイスの暗号化 | 設定 > プライバシーとセキュリティ > デバイスの暗号化 | 基本的に一時停止 UI なし（コマンド利用） |
Windows 11 Pro / Enterprise で GUI から一時停止する
- スタートメニューで「コントロール パネル」を検索し、開きます。
- 「システムとセキュリティ」>「BitLocker ドライブ暗号化」をクリックします。
- システムドライブ（C:）の欄で、「保護の一時停止」をクリックします。
- 確認ダイアログが出たら内容を確認し、「はい」や「保護の一時停止」を選択します。
- BIOS アップデート後に同じ画面から「保護を再開」をクリックします。
Windows 11 Home（デバイスの暗号化）での操作
Home エディションは、従来の BitLocker UI ではなく「デバイスの暗号化」として提供されている場合があります。
- スタートメニューから「設定」を開きます。
- 「プライバシーとセキュリティ」を選択します。
- 画面下部の「デバイスの暗号化」を開きます。
- 「デバイスの暗号化」のスイッチをオフにすると、復号が開始されます。
この UI には「一時停止」のような項目は基本的にありません。
「BIOS アップデートのときだけ保護を弱めたい」場合は、コマンドライン（manage-bde / Suspend-BitLocker）を利用するのが現実的です。
PC メーカー製アップデートツールと BitLocker の関係
Dell / HP / Lenovo などの大手メーカー製 PC では、BIOS アップデートユーティリティが
- BitLocker の状態を検出し、一時的に自動で保護を停止する
- アップデート完了後に自動で保護を再開する
といった機能を持っている場合があります。
しかし、次のような理由から、あらかじめ自分でも一時停止しておく方が安全です。
- 機種やバージョンによって挙動が異なり、「BitLocker 対応」が明示されていないことも多い
- 法人向けにカスタマイズされたイメージでは、メーカー標準の挙動が変わっていることがある
- アップデートツールが失敗した場合、想定通りに再有効化されないリスクがある
メーカーのマニュアルやリリースノートに「BitLocker 利用時の注意」が書かれていないかを確認したうえで、心配であれば自分の手で一時停止してから実行するのが無難です。
よくあるつまずきと対処法
「BitLocker の保護の一時停止」がグレーアウトしている
BitLocker の画面やコマンドで一時停止しようとしても、次のような状況になることがあります。
- 「保護の一時停止」ボタンがグレーアウトして選べない
- コマンド実行時に「この操作はグループ ポリシーによって制限されています」と表示される
この場合、多くは 会社や学校のポリシー（グループポリシー / MDM）で操作が制御されている状態です。
自力で回避しようとせず、必ずシステム管理者に相談してください。
管理者権限がないと言われる
BitLocker の操作は、基本的に ローカル管理者権限が必要です。次の点を確認しましょう。
- スタートボタン右クリック → 「ターミナル（管理者）」から開いているか
- 会社 PC でローカル管理者を剥奪されている場合は、管理者に作業を依頼する
BIOS アップデート後に回復キーの入力を求められた場合
事前に対策していても、状況によってはアップデート後に回復キーの入力が求められることがあります。慌てずに、次の順で確認してください。
- 事前に控えておいた回復キー（紙・USB・スマホのメモなど）を確認する。
- 見つからない場合は、別のデバイスから
https://aka.ms/myrecoverykeyにアクセスし、Microsoft アカウントに保存されていないか確認する。 - 会社や学校の PC の場合は、システム管理者に「BitLocker 回復キー」を問い合わせる。
回復キーがどうしても用意できない場合、ドライブの内容にアクセスすることはできません。これは BitLocker のセキュリティ仕様であり、残念ながら裏技のようなものは存在しません。だからこそ、アップデート前に回復キーを必ず控えておくことが最重要です。
再起動後、BitLocker が自動で再有効化されない
PowerShell の Suspend-BitLocker で -RebootCount 1 を指定した場合、通常は再起動後に自動で保護が戻りますが、環境によっては自動復帰しないことがあります。その場合は、手動で次のコマンドを実行します。
manage-bde -protectors -enable C:
または
Resume-BitLocker -MountPoint "C:"
その後、manage-bde -status で状態を再確認してください。
「このドライブは BitLocker で保護されていません」と表示される
manage-bde -status を実行したときに、システムドライブ C: が「暗号化されていません」と表示される場合、そもそも BitLocker が有効になっていません。この場合は BIOS アップデートによる BitLocker 関連トラブルは発生しません。
ただし、Windows 11 Home などで「デバイスの暗号化」が有効になっていると、manage-bde では一部の情報しか表示されないことがあります。その場合は、先述の「設定 > プライバシーとセキュリティ > デバイスの暗号化」画面も併せて確認しましょう。
用途別：どの方法を選べばいいかの目安
| 利用シーン | おすすめの方法 | ひと言メモ |
|---|---|---|
| 自作 PC / 個人所有 PC での BIOS 更新 | 保護の一時停止（Suspend） | 回復キーを控えたうえで、PowerShell または manage-bde で一時停止するのが基本 |
| 会社支給 PC での BIOS 更新 | まずシステム管理者に相談 | 勝手に無効化するとポリシー違反になることも。管理者側で手順が決まっている可能性が高い |
| PC を譲渡・廃棄する前 | 完全無効化（復号）を検討 | データ削除と合わせて、復号してからリカバリメディアでクリーンインストールなどを実施 |
| 毎回 BIOS 更新のたびにトラブルが起きる | 状況によっては一時停止ではなく復号を検討 | ただし原因が別にあることも多いので、まずはログや設定を確認 |
参考：主要コマンド一覧と用途
ここまでに登場したコマンドを、「何をしたいときに使うか」でまとめておきます。
| 目的 | コマンド（管理者） | 補足 |
|---|---|---|
| BitLocker の状態を確認 | manage-bde -status | 全ドライブの暗号化状態や進行状況を確認できる |
| （推奨）C: の保護を一時停止 （コマンド プロンプト） | manage-bde -protectors -disable C: | 再度 -enable するまで保護停止。再有効化を忘れないこと |
| （推奨）C: の保護を一時停止 （PowerShell） | Suspend-BitLocker -MountPoint "C:" -RebootCount 1 | 指定した回数の再起動後に自動で保護再開（環境による） |
| 一時停止した保護を再有効化（コマンド プロンプト） | manage-bde -protectors -enable C: | アップデート後に必ず実行しておきたいコマンド |
| 一時停止した保護を再有効化（PowerShell） | Resume-BitLocker -MountPoint "C:" | PowerShell から操作する場合はこちら |
| C: ドライブの BitLocker を完全無効化（復号） | manage-bde -off C: | 復号完了まで電源断は厳禁。時間に余裕があるときに実施 |
| C: ドライブの BitLocker を再有効化 | manage-bde -on C: | 再暗号化も時間がかかる。バックグラウンドで進む |
セキュリティと手間のバランスを取るためのポイント
最後に、Windows 11 で BitLocker を使いながら BIOS アップデートを安全に行うための心得をまとめます。
- 回復キーの確保が何より最優先
一時停止にせよ復号にせよ、「どこかに回復キーがある状態」を作っていなければ意味がありません。 - できる限り「保護の一時停止」で済ませる
データは暗号化されたままなので、誤って PC を紛失してもリスクを抑えられます。 - 復号する場合は時間と場所を選ぶ
自宅など安全な環境で、落ち着いて作業できるタイミングで実行しましょう。 - 会社 PC では自己判断で無効化しない
ポリシー違反になるだけでなく、サポート対象外になってしまうこともあります。 - アップデート後の確認も忘れない
BIOS アップデートが成功したかだけでなく、BitLocker の状態もmanage-bde -statusでチェックしておくと安心です。
まとめ：BIOS 更新前は「回復キー」と「一時停止」をセットで
Windows 11 で BIOS（UEFI）アップデートを行うときは、
- まず BitLocker 回復キーを確実に控える
- 可能であれば BitLocker の保護を一時停止してからアップデートを実行する
- アップデート後は BitLocker の保護が再開されているか確認する
という 3 ステップを習慣にしておくと、回復キー画面で慌てることもぐっと減らせます。
特別な事情がない限り、「復号（完全無効化）」までは行わない、これがセキュリティと手間を両立する現実的な落としどころです。
コメント