Configurer le chiffrement BitLocker d’un disque Windows Server 2022 avec PowerShell

Contexte

BitLocker permet de chiffrer les volumes de disque afin de protéger les données en cas de perte ou de vol du serveur. Sur Windows Server 2022, l’activation peut être automatisée avec PowerShell, ce qui convient parfaitement aux environnements où plusieurs serveurs doivent être sécurisés rapidement.

Quand l’utiliser ?

• Nouvelle mise en service d’un serveur physique ou d’une VM qui stocke des données sensibles.
• Après un audit de conformité (PCI‑DSS, ISO 27001, etc.) demandant le chiffrement des disques.
• Pour renforcer la protection contre les accès non autorisés lors de la maintenance ou du remplacement de matériel.

⚙️ Étapes de configuration

1. 🔹 Vérifier la présence du module BitLocker

Import-Module BitLocker

🔹 Identifier le disque à chiffrer
Get-BitLockerVolume

🔹 Configurer le TPM et créer une clé de récupération
# Activer le TPM (si pas déjà fait)
Enable-TpmAutoProvisioning

# Créer une clé de récupération stockée dans AD (si AD DS présent)
Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector -RecoveryPasswordProtectorId (New-Guid)

🔹 Lancer le chiffrement du volume
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

🔹 Vérifier l’état du chiffrement
Get-BitLockerVolume -MountPoint "C:" | Select-Object MountPoint, VolumeStatus, EncryptionPercentage

🔹 Sauvegarder la clé de récupération dans Active Directory
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId (Get-BitLockerVolume -MountPoint "C:").KeyProtector[0].KeyProtectorId

🔁 Méthode alternative

Si vous préférez une interface graphique, vous pouvez utiliser Server Manager → File and Storage Services → Disks → BitLocker Drive Encryption. Cependant, la méthode PowerShell reste plus rapide et scriptable pour plusieurs serveurs.

⚠️ Bonnes pratiques de sécurité

• Utilisez toujours l’algorithme XtsAes256 pour un niveau de protection maximal.
• Stockez les clés de récupération dans Active Directory ou un coffre à mots de passe sécurisé.
• Planifiez la vérification de l’état du chiffrement via une tâche planifiée ou un outil de monitoring.
• Ne désactivez jamais le TPM sur les serveurs de production.
• Testez la récupération de la clé sur un serveur de test avant le déploiement en production.

✅ Conclusion

En quelques lignes de PowerShell, vous avez activé le chiffrement BitLocker sur votre serveur Windows 2022, renforçant ainsi la confidentialité de vos données. Intégrez ces commandes dans vos scripts d’automatisation ou vos GPO pour garantir une protection uniforme sur l’ensemble de votre parc.