Enregistrer les informations de récupération BitLocker dans les services de domaine Active Directory (Windows Server 2008 et Windows Vista)
Vérifié avec Windows 11 25H2 — mis à jour le 12 juillet 2026
Pris en charge sur : Windows Server 2008 et Windows XP uniquement
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Composants Windows\Chiffrement de lecteur BitLocker Description
Ce paramètre de stratégie permet de gérer la sauvegarde des informations de récupération de chiffrement de lecteur BitLocker dans les services de domaine Active Directory (AD DS). Il fournit une méthode administrative de récupération des données chiffrées par BitLocker pour éviter la perte de données en l’absence d’informations de clé. Ce paramètre de stratégie n’est applicable qu’aux ordinateurs Windows Server 2008 et Windows Vista. Si vous activez ce paramètre de stratégie, les informations de récupération BitLocker sont sauvegardées automatiquement et silencieusement dans les services de domaine Active Directory quand BitLocker est activé sur un ordinateur. Ce paramètre de stratégie est appliqué lorsque vous activez BitLocker. Remarque : vous devrez peut-être configurer les extensions de schéma et les paramètres de contrôle d’accès appropriés pour le domaine pour que la sauvegarde AD DS puisse réussir. Vous trouverez plus d’informations sur la sauvegarde AD DS pour BitLocker sur Microsoft TechNet. Les informations de récupération BitLocker incluent le mot de passe de récupération et des données d’identificateur unique. Vous pouvez également inclure un package qui contient une clé de chiffrement du lecteur protégé par BitLocker. Ce package de clé est sécurisé par un ou plusieurs mots de passe de récupération et peut aider à effectuer une récupération spécialisée quand le disque est endommagé ou altéré. Si vous sélectionnez l’option « Exiger la sauvegarde BitLocker vers les services de domaine Active Directory (AD DS) », BitLocker ne peut pas être activé sans que l’ordinateur soit connecté au domaine et que la sauvegarde des informations de récupération BitLocker vers les services de domaine Active Directory réussisse. Cette option est sélectionnée par défaut de façon à garantir que la récupération BitLocker est possible. Dans le cas contraire, la sauvegarde des services de domaine Active Directory est tentée mais des échecs réseau ou d’autres échecs de sauvegarde n’ont pas d’impact sur la configuration BitLocker. La sauvegarde n’est pas automatiquement essayée à nouveau et le mot de passe de récupération peut ne pas avoir été stocké dans les services de domaine Active Directory lors de la configuration BitLocker. Si vous désactivez ce paramètre de stratégie ou ne le configurez pas, les informations de récupération BitLocker ne seront pas sauvegardées dans les services de domaine Active Directory. Remarque : l’initialisation du module de plateforme sécurisée peut être nécessaire lors de la configuration de BitLocker. Activez le paramètre de stratégie « Activer la sauvegarde du module de plateforme sécurisée dans les services de domaine Active Directory (AD DS) » dans Système\Services de module de plateforme sécurisée\ pour faire en sorte que les informations du module de plateforme sécurisée soient également sauvegardées.
Registre
Software\Policies\Microsoft\FVE Nom de valeur : ActiveDirectoryBackup
Activé : ActiveDirectoryBackup = 1
Désactivé : ActiveDirectoryBackup = 0
Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Enregistrer les informations de récupération BitLocker dans les services de domaine Active Directory (Windows Server 2008 et Windows Vista)
; State: Enabled
; Supported on: Windows Server 2008 et Windows XP uniquement
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\FVE]
"ActiveDirectoryBackup"=dword:00000001
"RequireActiveDirectoryBackup"=dword:00000001
"ActiveDirectoryInfoToStore"=dword:00000001Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Enregistrer les informations de récupération BitLocker dans les services de domaine Active Directory (Windows Server 2008 et Windows Vista)
# State: Enabled
# Supported on: Windows Server 2008 et Windows XP uniquement
$path = 'HKLM:\Software\Policies\Microsoft\FVE'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'ActiveDirectoryBackup' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'RequireActiveDirectoryBackup' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'ActiveDirectoryInfoToStore' -Value 1 -Type DWordIntune XML
Aucune correspondance directe Policy CSP / OMA-URI pour cette stratégie. Utilisez l'onglet Intune Remediation, ou importez l'ADMX dans Intune.Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Enregistrer les informations de récupération BitLocker dans les services de domaine Active Directory (Windows Server 2008 et Windows Vista)
# State: Enabled
# Supported on: Windows Server 2008 et Windows XP uniquement
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\FVE' -Name 'ActiveDirectoryBackup' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\FVE' -Name 'RequireActiveDirectoryBackup' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\FVE' -Name 'ActiveDirectoryInfoToStore' -Expected 1 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Enregistrer les informations de récupération BitLocker dans les services de domaine Active Directory (Windows Server 2008 et Windows Vista)
# State: Enabled
# Supported on: Windows Server 2008 et Windows XP uniquement
$path = 'HKLM:\Software\Policies\Microsoft\FVE'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'ActiveDirectoryBackup' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'RequireActiveDirectoryBackup' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'ActiveDirectoryInfoToStore' -Value 1 -Type DWordScripts SCCM
# Exported from gporais.com
# Policy: Enregistrer les informations de récupération BitLocker dans les services de domaine Active Directory (Windows Server 2008 et Windows Vista)
# State: Enabled
# Supported on: Windows Server 2008 et Windows XP uniquement
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Enregistrer les informations de récupération BitLocker dans les services de domaine Active Directory (Windows Server 2008 et Windows Vista)
# State: Enabled
# Supported on: Windows Server 2008 et Windows XP uniquement
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\FVE' -Name 'ActiveDirectoryBackup' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\FVE' -Name 'RequireActiveDirectoryBackup' -Expected 1 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\FVE' -Name 'ActiveDirectoryInfoToStore' -Expected 1 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Enregistrer les informations de récupération BitLocker dans les services de domaine Active Directory (Windows Server 2008 et Windows Vista)
# State: Enabled
# Supported on: Windows Server 2008 et Windows XP uniquement
$path = 'HKLM:\Software\Policies\Microsoft\FVE'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'ActiveDirectoryBackup' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'RequireActiveDirectoryBackup' -Value 1 -Type DWord
Set-ItemProperty -Path $path -Name 'ActiveDirectoryInfoToStore' -Value 1 -Type DWordVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).