Guia de operações do BitLocker

• Aplica-se a:

  ✅ Windows 11, ✅ Windows 10, ✅ Windows Server 2022, ✅ Windows Server 2019, ✅ Windows Server 2016

Existem diferentes ferramentas e opções para gerir e operar o BitLocker:

• o módulo bitLocker do PowerShell
• as ferramentas de encriptação de unidade bitLocker
• Painel de Controle

As ferramentas de encriptação de unidade BitLocker e o módulo BitLocker PowerShell podem ser utilizados para realizar quaisquer tarefas que possam ser realizadas através do Painel de Controlo do BitLocker. São adequados para utilização para implementações automatizadas e outros cenários de scripting.
O applet do Painel de Controlo do BitLocker permite que os utilizadores executem tarefas básicas, como ativar o BitLocker numa unidade e especificar métodos de desbloqueio e métodos de autenticação. O applet do Painel de Controlo do BitLocker é adequado para utilizar para tarefas bitLocker básicas.

Este artigo descreve as ferramentas de gestão do BitLocker e como utilizá-las, fornecendo exemplos práticos.

Módulo bitLocker do PowerShell

O módulo BitLocker powerShell permite que os administradores integrem facilmente as opções do BitLocker em scripts existentes. Para obter uma lista dos cmdlets incluídos no módulo, a respetiva descrição e sintaxe, veja o artigo de referência do PowerShell do BitLocker.

Ferramentas de encriptação de unidade BitLocker

As ferramentas de encriptação de unidade BitLocker incluem as duas ferramentas de linha de comandos:

• A Ferramenta de Configuração (manage-bde.exe) pode ser utilizada para criar scripts de operações do BitLocker, oferecendo opções que não estão presentes no applet do Painel de Controlo do BitLocker. Para obter uma lista completa das manage-bde.exe opções, veja a referência Manage-bde
• A Ferramenta de Reparação (repair-bde.exe) é útil para cenários de recuperação após desastre, nos quais uma unidade protegida por BitLocker não pode ser desbloqueada normalmente ou utilizar a consola de recuperação

Applet do Painel de Controlo do BitLocker

Encriptar volumes com o Painel de Controlo do BitLocker (selecione Iniciar, introduza BitLocker, selecione Gerir BitLocker) é o número de utilizadores que irão utilizar o BitLocker. O nome do applet do Painel de Controlo do BitLocker é Encriptação de Unidade BitLocker. A applet suporta a encriptação do sistema operativo, dados fixos e volumes de dados amovíveis. O Painel de Controlo do BitLocker organiza as unidades disponíveis na categoria adequada com base na forma como o dispositivo se comunica ao Windows. Apenas os volumes formatados com letras de unidade atribuídas aparecem corretamente no applet do Painel de Controlo do BitLocker.

Utilizar o BitLocker no Explorador do Windows

O Explorador do Windows permite que os utilizadores iniciem o Assistente de Encriptação de Unidade BitLocker ao clicar com o botão direito do rato num volume e selecionar Ativar o BitLocker. Esta opção está disponível em computadores cliente por predefinição. Nos servidores, a funcionalidade BitLocker e a funcionalidade Desktop-Experience têm primeiro de ser instaladas para que esta opção esteja disponível. Depois de selecionar Ativar o BitLocker, o assistente funciona exatamente como quando é iniciado com o Painel de Controlo do BitLocker.

Verificar o estado do BitLocker

Para verificar o estado do BitLocker de um determinado volume, os administradores podem ver o estado da unidade no applet do Painel de Controlo do BitLocker, no Explorador do Windows, manage-bde.exe na ferramenta de linha de comandos ou nos cmdlets do Windows PowerShell. Cada opção oferece diferentes níveis de detalhe e facilidade de utilização.

Siga as instruções abaixo para verificar o estado do BitLocker, selecionando a ferramenta à sua escolha.

Windows PowerShell

Para determinar o estado atual de um volume, pode utilizar o Get-BitLockerVolume cmdlet , que fornece informações sobre o tipo de volume, protetores, estado de proteção e outros detalhes. Por exemplo:

PS C:\> Get-BitLockerVolume C: | fl

ComputerName         : DESKTOP
MountPoint           : C:
EncryptionMethod     : XtsAes128
AutoUnlockEnabled    :
AutoUnlockKeyStored  : False
MetadataVersion      : 2
VolumeStatus         : FullyEncrypted
ProtectionStatus     : On
LockStatus           : Unlocked
EncryptionPercentage : 100
WipePercentage       : 0
VolumeType           : OperatingSystem
CapacityGB           : 1000
KeyProtector         : {Tpm, RecoveryPassword}

Prompt de Comando

Com manage-bde.exe o pode determinar o estado do volume no sistema de destino, por exemplo:

manage-bde.exe -status

Este comando devolve os volumes no destino, estado de encriptação atual, método de encriptação e tipo de volume (sistema operativo ou dados) para cada volume.

C:\>manage-bde -status

Volume C: [Local Disk]
[OS Volume]

    Size:                 1000 GB
    BitLocker Version:    2.0
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100.0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection On
    Lock Status:          Unlocked
    Identification Field: Unknown
    Key Protectors:
        TPM
        Numerical Password

Painel de Controle

Verificar o estado do BitLocker com o Painel de Controlo é um método comum utilizado pela maioria dos utilizadores. Depois de aberto, o estado de cada volume é apresentado junto à descrição do volume e à letra de unidade. Os valores de retorno do estado disponível com applet incluem:

Status	Descrição
Ativado	O BitLocker está ativado para o volume
Desativado	O BitLocker não está ativado para o volume
Suspenso	O BitLocker está suspenso e não protege ativamente o volume
A Aguardar Ativação	O BitLocker está ativado com uma chave de proteção clara e requer que sejam totalmente protegidas outras ações

Se uma unidade for pré-aprovisionada com o BitLocker, é apresentado o estado A Aguardar Ativação com um ícone de exclamação amarelo no volume. Este estado significa que só foi utilizado um protetor claro ao encriptar o volume. Neste caso, o volume não está num estado protegido e precisa de ter uma chave segura adicionada ao volume antes de a unidade estar totalmente protegida. Os administradores podem utilizar o Painel de Controlo, o PowerShell ou manage-bde.exe para adicionar um protetor de chave adequado. Depois de concluído, o Painel de Controlo é atualizado para refletir o novo estado.

Ativar o BitLocker

Unidade de SO com protetor TPM

O exemplo seguinte mostra como ativar o BitLocker numa unidade do sistema operativo utilizando apenas o protetor TPM e sem chave de recuperação:

Windows PowerShell

Enable-BitLocker C: -TpmProtector

Prompt de Comando

manage-bde.exe -on C:

Painel de Controle

No applet do Painel de Controlo de Encriptação de Unidade BitLocker :

1. Expanda a unidade do SO e selecione a opção Ativar o BitLocker

2. Quando lhe for pedido, selecione a opção Permitir que o BitLocker desbloqueie automaticamente a minha unidade

3. Faça uma cópia de segurança da chave de recuperação com um dos seguintes métodos:

   • Guardar na sua conta microsoft Entra ID ou Conta Microsoft (se aplicável)
   • Guardar numa pen USB
   • Guardar num ficheiro – o ficheiro tem de ser guardado numa localização que não esteja no próprio dispositivo, como uma pasta de rede
   • Imprimir a chave de recuperação

4. Selecione Seguinte

5. Escolha uma das opções para encriptar apenas o espaço em disco utilizado ou encriptar toda a unidade e selecione Seguinte

   • Encriptar apenas o espaço em disco utilizado – encripta apenas o espaço em disco que contém dados
   • Encriptar toda a unidade – encripta todo o volume, incluindo espaço livre. Também conhecido como encriptação de disco completa

   Cada um dos métodos é recomendado nos seguintes cenários:

   • Encriptar apenas o espaço em disco utilizado:

     • A unidade nunca teve dados
     • Unidades formatadas ou apagadas que no passado nunca tiveram dados confidenciais que nunca foram encriptados

   • Encriptar toda a unidade (encriptação de disco completa):

     • Unidades que têm atualmente dados
     • Unidades que têm atualmente um sistema operativo
     • Unidades formatadas ou apagadas que no passado tinham dados confidenciais que nunca foram encriptados

   Importante

   Os ficheiros eliminados aparecem como espaço livre para o sistema de ficheiros, que não é encriptado apenas pelo espaço em disco utilizado. Até serem apagados ou substituídos, os ficheiros eliminados contêm informações que podem ser recuperadas com ferramentas forenses de dados comuns.

6. Selecione um modo de encriptação e selecione Seguinte

   • Novo modo de encriptação
   • Modo compatível

   Observação

   Normalmente, deve ser escolhido o Novo modo de encriptação , mas se a unidade for potencialmente movida para outro dispositivo com um sistema operativo Windows mais antigo, selecione Modo compatível

7. Selecione Continuar>Reiniciar agora

8. Após o reinício, o SO efetua uma verificação do sistema BitLocker e inicia a encriptação

Os utilizadores podem verificar o estado de encriptação com o applet do Painel de Controlo do BitLocker.

Observação

Após a criação de uma chave de recuperação, o Painel de Controlo do BitLocker pode ser utilizado para fazer cópias adicionais da chave de recuperação.

Unidade de SO com proteção TPM e chave de arranque

O exemplo seguinte mostra como ativar o BitLocker numa unidade do sistema operativo com o TPM e os protetores de chaves de arranque .

Partindo do princípio de que a letra da unidade do SO é C: e a pen USB é a letra E:de unidade , eis o comando:

Windows PowerShell

Se optar por ignorar o teste de hardware do BitLocker, a encriptação é iniciada imediatamente sem a necessidade de um reinício.

Enable-BitLocker C: -StartupKeyProtector -StartupKeyPath E: -SkipHardwareTest

Prompt de Comando

manage-bde.exe -protectors -add C: -TPMAndStartupKey E:
manage-bde.exe -on C:

Se lhe for pedido, reinicie o computador para concluir o processo de encriptação.

Observação

Depois de concluída a encriptação, a chave de arranque USB tem de ser inserida antes de o sistema operativo poder ser iniciado.

Painel de Controle

O applet do Painel de Controlo não permite ativar o BitLocker e adicionar um protetor de chave de arranque ao mesmo tempo. Para adicionar um protetor de chave de arranque, siga estes passos:

• No applet do Painel de Controlo de Encriptação de Unidade BitLocker , na unidade do SO, selecione a opção Alterar a forma como a unidade é desbloqueada no arranque
• Quando lhe for pedido, selecione a opção Inserir uma pen USB
• Selecione a pen USB onde pretende armazenar a chave de arranque e selecione Guardar

Após o reinício, o ecrã de pré-arranque do BitLocker é apresentado e a chave de arranque USB tem de ser inserida antes de o sistema operativo poder ser iniciado:

Volumes de dados

Os volumes de dados utilizam um processo semelhante à encriptação como volumes do sistema operativo, mas não necessitam de proteções para que a operação seja concluída.

Windows PowerShell

Adicione os protetores pretendidos antes de encriptar o volume. O exemplo seguinte adiciona um protetor de palavra-passe ao E: volume com a variável $pw como palavra-passe. A $pw variável é mantida como um valor SecureString para armazenar a palavra-passe definida pelo utilizador:

$pw = Read-Host -AsSecureString
<user inputs password>
Add-BitLockerKeyProtector E: -PasswordProtector -Password $pw

Observação

O cmdlet BitLocker requer o GUID do protetor de chaves entre aspas para ser executado. Certifique-se de que todo o GUID, com chavetas, está incluído no comando .

Exemplo: Utilizar o PowerShell para ativar o BitLocker com um protetor TPM

Enable-BitLocker D: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

Exemplo: utilize o PowerShell para ativar o BitLocker com um protetor TPM+PIN, neste caso com um PIN definido como 123456:

$SecureString = ConvertTo-SecureString "123456" -AsPlainText -Force
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $SecureString -TPMandPinProtector

Prompt de Comando

A encriptação de volumes de dados pode ser feita com o comando base:

manage-bde.exe -on <drive letter>

ou podem ser adicionados protetores adicionais ao volume primeiro. Recomenda-se adicionar, pelo menos, um protetor primário e um protetor de recuperação a um volume de dados.

Painel de Controle

Encriptar volumes de dados com o Painel de Controlo do BitLocker funciona de forma semelhante à encriptação dos volumes do sistema operativo. Os utilizadores selecionam Ativar o BitLocker no Painel de Controlo do BitLocker para iniciar o Assistente de Encriptação de Unidade BitLocker.

Gerir protetores BitLocker

A gestão de protetores BitLocker consiste em adicionar, remover e criar cópias de segurança de protetores.

Protetores BitLocker geridos com as seguintes instruções, selecionando a opção mais adequada às suas necessidades.

Listar protetores

A lista de protetores disponíveis para um volume (C: no exemplo) pode ser listada ao executar o seguinte comando:

Windows PowerShell

(Get-BitLockerVolume -mountpoint C).KeyProtector

Prompt de Comando

 manage-bde.exe -protectors -get C:

Painel de Controle

Estas informações não estão disponíveis no Painel de Controlo.

Adicionar protetores

Adicionar um protetor de palavra-passe de recuperação

Windows PowerShell

Add-BitLockerKeyProtector -MountPoint C -RecoveryPasswordProtector

Prompt de Comando

manage-bde.exe -protectors -add -recoverypassword C:

Painel de Controle

No applet do Painel de Controlo de Encriptação de Unidade BitLocker , selecione o volume onde pretende adicionar um protetor e selecione a opção Fazer cópia de segurança da chave de recuperação.

Adicionar um protetor de palavra-passe

Um protetor comum para um volume de dados é o protetor de palavras-passe. No exemplo seguinte, é adicionado um protetor de palavra-passe a um volume.

Windows PowerShell

Add-BitLockerKeyProtector -MountPoint D -PasswordProtector

Prompt de Comando

manage-bde.exe -protectors -add -pw D:

Painel de Controle

No applet do Painel de Controlo de Encriptação de Unidade BitLocker , expanda a unidade onde pretende adicionar um protetor de palavra-passe e selecione a opção Adicionar palavra-passe. Quando lhe for pedido, introduza e confirme uma palavra-passe para desbloquear a unidade. Selecione Concluir para concluir o processo.

Adicionar um protetor do Active Directory

O protetor do Active Directory é um protetor baseado em SID que pode ser adicionado ao sistema operativo e aos volumes de dados, embora não desbloqueie os volumes do sistema operativo no ambiente de pré-arranque. O protetor requer que o SID da conta de domínio ou grupo se ligue ao protetor. O BitLocker pode proteger um disco com suporte para clusters ao adicionar um protetor baseado em SID para o Objeto de Nome de Cluster (CNO) que permite que o disco faça a ativação pós-falha e desbloqueie corretamente para qualquer computador membro do cluster.

Importante

O protetor baseado em SID requer a utilização de um protetor adicional, como TPM, PIN, chave de recuperação, etc. quando utilizado em volumes do sistema operativo.

Observação

Esta opção não está disponível para dispositivos associados ao Microsoft Entra.

Neste exemplo, um protetor baseado em SID de domínio é adicionado a um volume anteriormente encriptado. O utilizador conhece o SID da conta de utilizador ou grupo que pretende adicionar e utiliza o seguinte comando:

Windows PowerShell

Add-BitLockerKeyProtector C: -ADAccountOrGroupProtector -ADAccountOrGroup "<SID>"

Para adicionar o protetor a um volume, é necessário o SID do domínio ou o nome do grupo precedido pelo domínio e uma barra invertida. No exemplo seguinte, a conta CONTOSO\Administrador é adicionada como um protetor ao volume de dados G.

Enable-BitLocker G: -AdAccountOrGroupProtector -AdAccountOrGroup CONTOSO\Administrator

Para utilizar o SID para a conta ou grupo, o primeiro passo é determinar o SID associado ao principal de segurança. Para obter o SID específico de uma conta de utilizador no Windows PowerShell, utilize o seguinte comando:

Get-ADUser -filter {samaccountname -eq "administrator"}

Observação

A utilização deste comando requer a funcionalidade RSAT-AD-PowerShell.

Dica

Pode encontrar informações sobre a associação de utilizador e grupo com sessão iniciada localmente com: whoami.exe /all.

Prompt de Comando

manage-bde.exe -protectors -add -sid <user or group>

Painel de Controle

Esta opção não está disponível no Painel de Controlo.

Remover protetores

Windows PowerShell

Para remover protetores existentes num volume, utilize o Remove-BitLockerKeyProtector cmdlet . Tem de ser fornecido um GUID associado ao protetor a remover.

Os comandos seguintes devolvem a lista de protetores de chaves e GUIDS:

$vol = Get-BitLockerVolume C
$keyprotectors = $vol.KeyProtector
$keyprotectors

Ao utilizar estas informações, o protetor de chave para um volume específico pode ser removido com o comando :

Remove-BitLockerKeyProtector <volume> -KeyProtectorID "{GUID}"

Observação

O cmdlet BitLocker requer o GUID do protetor de chaves entre aspas para ser executado. Certifique-se de que todo o GUID, com chavetas, está incluído no comando .

Prompt de Comando

Os comandos seguintes devolvem a lista de protetores de chaves:

manage-bde.exe -status C:

O comando seguinte remove o protetor de chaves de um determinado tipo:

manage-bde.exe -protectors -delete C: -type TPMandPIN

Painel de Controle

No applet do Painel de Controlo de Encriptação de Unidade BitLocker , expanda a unidade onde pretende remover um protetor e selecione a opção para removê-lo, se disponível.

Observação

Tem de ter, pelo menos, um método de desbloqueio para quaisquer unidades encriptadas pelo BitLocker.

Suspender e retomar

Algumas alterações de configuração podem exigir a suspensão do BitLocker e, em seguida, retomá-la após a alteração ser aplicada.

Suspenda e retome o BitLocker com as seguintes instruções, selecionando a opção mais adequada às suas necessidades.

Suspender o BitLocker

Windows PowerShell

Suspend-BitLocker -MountPoint D

Prompt de Comando

manage-bde.exe -protectors -disable d:

Painel de Controle

Só pode suspender a proteção do BitLocker para a unidade do SO ao utilizar o Painel de Controlo.

No applet do Painel de Controlo de Encriptação de Unidade BitLocker , selecione a unidade do SO e selecione a opção Suspender proteção.

Retomar o BitLocker

Windows PowerShell

Resume-BitLocker -MountPoint D

Prompt de Comando

manage-bde.exe -protectors -enable d:

Painel de Controle

No painel de controlo do Painel de Controlo de Encriptação de Unidade BitLocker , selecione a unidade do SO e selecione a opção Retomar proteção.

Repor e criar uma cópia de segurança de uma palavra-passe de recuperação

É recomendado invalidar uma palavra-passe de recuperação após a utilização. Neste exemplo, o protetor de palavra-passe de recuperação é removido da unidade do SO, foi adicionado um novo protetor e é efetuada uma cópia de segurança do Microsoft Entra ID ou do Active Directory.

Windows PowerShell

Remova todas as palavras-passe de recuperação do volume do SO:

(Get-BitLockerVolume -MountPoint $env:SystemDrive).KeyProtector | `
  where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | `
  Remove-BitLockerKeyProtector -MountPoint $env:SystemDrive

Adicione um protetor de palavra-passe de recuperação BitLocker para o volume do SO:

Add-BitLockerKeyProtector -MountPoint $env:SystemDrive -RecoveryPasswordProtector

Obtenha o ID da nova palavra-passe de recuperação:

(Get-BitLockerVolume -mountpoint $env:SystemDrive).KeyProtector | where-object {$_.KeyProtectorType -eq 'RecoveryPassword'} | ft KeyProtectorId,RecoveryPassword

Observação

Estes passos seguintes não são necessários se a definição de política Escolher como as unidades do sistema operativo protegidas pelo BitLocker podem ser recuperadas estiver configurada para Exigir a cópia de segurança do BitLocker para o AD DS.

Copie o ID da palavra-passe de recuperação do resultado.

Com o GUID do passo anterior, substitua o {ID} no seguinte comando e utilize o seguinte comando para fazer uma cópia de segurança da palavra-passe de recuperação para o ID do Microsoft Entra:

BackuptoAAD-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

Em alternativa, utilize o seguinte comando para fazer uma cópia de segurança da palavra-passe de recuperação para o Active Directory:

Backup-BitLockerKeyProtector -MountPoint $env:SystemDrive -KeyProtectorId "{ID}"

Observação

As chavetas {} têm de ser incluídas na cadeia de ID.

Prompt de Comando

Remova todas as palavras-passe de recuperação do volume do SO:

manage-bde.exe -protectors -delete C: -type RecoveryPassword

Adicione um protetor de palavra-passe de recuperação BitLocker para o volume do SO:

manage-bde.exe -protectors -add C: -RecoveryPassword

Obtenha o ID da nova palavra-passe de recuperação:

manage-bde.exe -protectors -get C: -Type RecoveryPassword

Observação

Estes passos seguintes não são necessários se a definição de política Escolher como as unidades do sistema operativo protegidas pelo BitLocker podem ser recuperadas estiver configurada para Exigir a cópia de segurança do BitLocker para o AD DS.

Com o GUID do passo anterior, substitua o {ID} no seguinte comando e utilize o seguinte comando para fazer uma cópia de segurança da palavra-passe de recuperação para o ID do Microsoft Entra:

manage-bde.exe -protectors -aadbackup C: -id {ID}

Em alternativa, utilize o seguinte comando para fazer uma cópia de segurança da palavra-passe de recuperação para o Active Directory:

manage-bde.exe -protectors -adbackup C: -id {ID}

Observação

As chavetas {} têm de ser incluídas na cadeia de ID.

Painel de Controle

Este processo não pode ser realizado com o Painel de Controlo. Em alternativa, utilize uma das outras opções.

Desativar o BitLocker

Desativar o BitLocker desencripta e remove quaisquer protetores associados dos volumes. A desencriptação deve ocorrer quando a proteção já não é necessária e não como um passo de resolução de problemas.

Desative o BitLocker com as seguintes instruções, selecionando a opção mais adequada às suas necessidades.

Windows PowerShell

O Windows PowerShell oferece a capacidade de desencriptar várias unidades numa só passagem. No exemplo seguinte, o utilizador tem três volumes encriptados, que pretende desencriptar.

Com o comando Disable-BitLocker, podem remover todos os protetores e encriptação ao mesmo tempo sem a necessidade de mais comandos. Um exemplo deste comando é:

Disable-BitLocker

Para evitar especificar cada ponto de montagem individualmente, utilize o -MountPoint parâmetro numa matriz para sequenciar o mesmo comando numa linha, sem que seja necessária uma entrada de utilizador adicional. Exemplo:

Disable-BitLocker -MountPoint C,D

Prompt de Comando

A desencriptação com manage-bde.exe oferece a vantagem de não exigir a confirmação do utilizador para iniciar o processo. Manage-bde utiliza o comando -off para iniciar o processo de desencriptação. Um comando de exemplo para desencriptação é:

manage-bde.exe -off C:

Este comando desativa os protetores enquanto desencripta o volume e remove todos os protetores quando a desencriptação estiver concluída.

Painel de Controle

A desencriptação do BitLocker com o Painel de Controlo é feita com um assistente. Depois de abrir a applet do Painel de Controlo do BitLocker, selecione a opção Desativar BitLocker para iniciar o processo. Para continuar, selecione a caixa de diálogo de confirmação. Com a opção Desativar o BitLocker confirmada, o processo de desencriptação da unidade é iniciado.

Assim que a desencriptação estiver concluída, a unidade atualiza o respetivo estado no Painel de Controlo e fica disponível para encriptação.

Desbloquear uma unidade

Se ligar uma unidade como uma unidade secundária a um dispositivo e tiver a chave de recuperação BitLocker, pode desbloquear uma unidade ativada para BitLocker com as seguintes instruções.

No exemplo seguinte, a D unidade é a que pretende desbloquear. Selecione a opção mais adequada às suas necessidades.

Windows PowerShell

Unlock-BitLocker -MountPoint D -RecoveryPassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Para obter mais informações, veja Unlock-BitLocker

Prompt de Comando

manage-bde.exe -unlock D: -recoverypassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx

Para obter mais informações, veja manage-bde unlock

Painel de Controle

Pode desbloquear a unidade a partir do Painel de Controlo ou do Explorador. Depois de abrir a applet do Painel de Controlo do BitLocker, selecione a opção Desbloquear unidade para iniciar o processo. Quando lhe for pedido, introduza a chave de recuperação de 48 dígitos.