Bitlocker + TPM + PIN + código de erro 0x80310031

Question

Quando tento adicionar proteção de PIN à configuração do meu bitlocker, recebo o seguinte erro:

ERROR: An error occurred (code 0x80310031): This key protector cannot be added. Only one key protector of this type is allowed for this drive.

Selecionei "Exigir PIN de inicialização com o TPM" nas configurações da política de grupo. O resto está definido para 'permitir'.

Então usei o seguinte comando:

manage-bde -protectors -add c: -TPMAndPIN

Pelo que me lembro, esta é uma configuração adequada (não estou configurando o Bitlocker TPM + PIN pela primeira vez).

Idéias?

    

Answer 1

Aqui estão os passos que eu usei, note que isso era para um volume compartilhado de cluster, mas presumivelmente funcionará tão bem para um volume local.

$BLV = Get-BitLockerVolume -MountPoint "C:\clusterstorage\volume3"
Remove-BitlockerKeyProtector -MountPoint "C:\clusterstorage\volume3" -KeyProtectorId $BLV.KeyProtector[0].KeyProtectorId

Note que na documentação do MS ele usa o índice 1, mas se você tiver apenas um protetor, ele deve ser o índice 0! Você pode verificar isso comparando a saída de $ BLV.KeyProtector [0] com a saída (provavelmente zero) de $ BLV.KeyProtector [1] .

Além disso, até eu adicionar o .KeyProtectorID final, continuei recebendo "string de classe inválida".

Referência: link

    

Answer 2

Eu não tenho nenhuma experiência com o seu problema, mas a partir de sua descrição, parece que já existe um protetor de chave promulgada. A lógica sugere que você teria que remover o protetor de chave anterior antes de adicionar um novo. Aguardo minha educação. :)

    

Answer 3

Get-BitLockerVolume C: | fl

ComputerName: xxxxxxx
MountPoint: C:
EncryptionMethod: None
AutoUnlockEnabled:
AutoUnlockKeyStored: false
MetadataVersion: 2
VolumeStatus: FullyDecrypted
ProtectionStatus: Fora de linha LockStatus: Desbloqueado
EncryptionPercentage: 0
LimparPercentagem: 0
VolumeType: OperatingSystem
CapacityGB: 464,1874
KeyProtector: {tpm}

mit Remover o BitLockerKeyProtector kann er gelöscht werden.

$BLV = Get-BitLockerVolume -MountPoint "C:"
Remove-BitlockerKeyProtector -MountPoint "C:" -KeyProtectorId $BLV.KeyProtector[1]