Un Surface Pro 9 aziendale non avvia Windows dopo che un dipendente ha rimosso il dispositivo (e la chiave BitLocker) dal proprio profilo Microsoft. In questa guida trovi cause, percorsi di ripristino sicuri, procedure passo‑passo e best practice IT per evitare che accada di nuovo.
Scenario e sintomi
Il dispositivo è un Surface Pro 9 assegnato a un dipendente. Il dipendente ha eliminato il PC dal proprio profilo Microsoft e ha rimosso la chiave di ripristino BitLocker collegata a quell’account. Al riavvio, Windows richiede la chiave di ripristino oppure non consente l’accesso al sistema con i vecchi account. Nessuno riesce più ad entrare.
- All’accensione compare la schermata “Inserisci la chiave di ripristino BitLocker” o un errore di accesso.
- Non si dispone di una copia della chiave in Azure AD/Intune (Entra ID) o nell’account Microsoft precedente.
- La partizione di ripristino potrebbe essere inaccessibile oppure l’utente non ha i privilegi per sbloccare il disco.
Perché accade
BitLocker protegge il contenuto del disco cifrandolo. Le chiavi possono essere archiviate nel TPM, nel profilo Microsoft (MSA), in Azure AD/Intune (oggi Entra ID/Intune) o in altri archivi aziendali.
- Se il dispositivo viene rimosso dal profilo che custodiva la chiave di ripristino, e non esiste una copia altrove, il volume resta cifrato e non può essere sbloccato.
- La cancellazione del record del device dall’account del dipendente può eliminare l’associazione alla chiave. Senza chiave, non c’è modo supportato di recuperare i dati: l’unica strada è il ripristino.
Percorso rapido di soluzione
Se cerchi il “che cosa fare ora” in breve, ecco la tabella con i passaggi consigliati.
| Passo | Cosa fare | Perché è necessario |
|---|---|---|
| 1. Ripristino di fabbrica (factory reset) | Eseguire il reset da Windows Recovery Environment (WinRE) oppure avviare da una USB di ripristino con immagine ufficiale Surface. | Rimuove la vecchia configurazione account e qualsiasi protezione BitLocker collegata al profilo precedente, consentendo una nuova configurazione pulita. |
| 2. Creazione della USB di ripristino | Scaricare l’immagine di recupero per Surface Pro 9, copiarla su una chiavetta ≥ 16 GB e avviare tenendo premuto Volume– e premendo Power. | Necessaria se la partizione di ripristino interna non è accessibile o se la chiave BitLocker è perduta. |
| 3. Avvertenze sui dati | Il reset cancella tutti i file sul disco; valutare backup o confronto con l’IT prima di procedere. | Evita la perdita di dati aziendali non ancora salvati altrove. |
| 4. Coinvolgere l’IT | Se il device è (o era) gestito con Intune/Azure AD (Entra ID), l’IT può tentare un Remote Wipe o un Autopilot Reset prima di intervenire manualmente. | Mantiene la conformità alle policy aziendali e semplifica la nuova registrazione del dispositivo. |
Checklist decisionale prima di toccare il dispositivo
- La chiave BitLocker esiste altrove? Controlla rispettando le policy: portale Intune/Entra ID, archivio interno, gestione ticket. Se c’è, recupera e inserisci la chiave, poi esegui un reset controllato da Windows.
- Il dispositivo era registrato in Intune/Autopilot? Se sì, prova prima Wipe o Autopilot Reset (richiedono connettività).
- Ci sono dati non sincronizzati da salvare? Con BitLocker attivo e senza chiave, non è possibile accedere ai file. Pianifica con l’IT eventuali adempimenti di conformità o conservazione.
- Conferma il modello esatto: Surface Pro 9 Intel oppure Surface Pro 9 5G (ARM/SQ3). Le immagini di ripristino non sono intercambiabili.
Procedura dettagliata
Opzione A — Ripristino dal Windows Recovery Environment (WinRE)
Usa questo percorso se WinRE è ancora avviabile senza chiave (a volte lo è) e se il menu “Ripristina il PC” è accessibile.
- Spegnere il Surface Pro 9 tenendo premuto il tasto Power finché lo schermo si spegne.
- Avviare WinRE:
- Metodo “interruzione avvio”: accendere il device e, quando compare il logo, forzare lo spegnimento. Ripetere 3 volte; alla successiva accensione dovrebbe comparire Ripristino.
- In alternativa, se si accede alla schermata avanzata, scegliere Risoluzione dei problemi → Opzioni avanzate.
- Ripristino: Risoluzione dei problemi → Reimposta il PC → Rimuovi tutto.
- Reinstallazione locale: usa la partizione di ripristino interna.
- Download dal cloud: scarica i file di installazione aggiornati (serve rete).
- Confermare la rimozione di app, account e dati. Il dispositivo verrà azzerato e riavviato nella OOBE (configurazione iniziale).
Nota: se WinRE chiede la chiave BitLocker prima di procedere, passa all’Opzione B (USB).
Opzione B — Ripristino tramite USB di ripristino Surface
Questa è la via più solida quando manca la chiave BitLocker o la partizione di ripristino è danneggiata.
Prerequisiti
- Un PC Windows funzionante per preparare la chiavetta.
- Unità USB ≥ 16 GB, preferibilmente di qualità.
- Immagine di ripristino ufficiale per Surface Pro 9 (attenzione all’architettura: Intel x64 vs 5G ARM64).
Preparazione della chiavetta
- Formattare l’unità USB in FAT32 (garantisce l’avvio UEFI su Surface).
- Estrarre l’archivio dell’immagine di ripristino e copiare i file nella root della USB seguendo le istruzioni del pacchetto (di norma vengono fornite cartelle e script già pronti; non rinominare i file).
- Verificare che siano presenti la cartella di Recovery e i file di configurazione (ad esempio ResetConfig.xml o file .wim/.swm); eventuali file singoli oltre 4 GB sono tipicamente suddivisi (.swm) per FAT32.
Avvio da USB sul Surface Pro 9
- Spegnere completamente il dispositivo.
- Inserire la chiavetta in una porta USB‑C tramite adattatore o hub compatibile.
- Tieni premuto Volume– e premi una volta Power (poi rilascia Power mantenendo Volume– finché appare il logo). Questo forza l’avvio da USB.
- Se non parte dalla USB:
- Entra nell’UEFI tenendo premuto Volume+ e premendo Power, quindi attiva Boot from USB devices e imposta l’ordine di avvio con USB in cima. Non disabilitare Secure Boot se non strettamente necessario.
Procedura di ripristino
- Segui le schermate guidate della recovery Surface (lingua, layout tastiera, ecc.).
- Scegli l’opzione che rimuove tutto e reinstalla Windows nella versione supportata per il modello.
- Attendere il completamento e la comparsa dell’esperienza OOBE.
Opzione C — Intervento da Intune/Autopilot (se ancora fattibile)
Se il dispositivo risultasse ancora online e gestito in Intune:
- Wipe: azzera il PC, rimuove account e app. Può mantenere o meno lo stato di registrazione a seconda dell’opzione scelta.
- Autopilot Reset: riporta il device a una condizione “business‑ready”, mantenendo la registrazione ad Autopilot e le informazioni di join, utile per una rapida riallocazione.
Queste azioni richiedono connettività del device e che l’oggetto sia ancora presente e gestibile. Se il dipendente ha eliminato anche il record aziendale, è probabile che non funzionino: in tal caso resta il ripristino manuale.
Nota cruciale su BitLocker
- Se la chiave di ripristino non è più salvata in Entra ID/Intune o nell’account Microsoft precedente, non esiste un metodo supportato per decrittare il disco. Il ripristino è obbligatorio.
- Non tentare tool di terze parti o procedure non supportate: rischi la perdita definitiva di dati e la non conformità.
- Eventuali dati aziendali locali non sincronizzati andranno persi. Valutare se esistono copie su OneDrive for Business, SharePoint, file server o altre fonti.
Post‑reset: cosa fare subito
- Completare l’OOBE come da policy aziendali (rete aziendale o hotspot sicuro, account autorizzato).
- Unire il dispositivo a Entra ID/Intune (o ri‑applicare Windows Autopilot se previsto) per automatizzare criteri, app e profili.
- Windows Update → Aggiornamenti (incluso Facoltativi → Surface) per firmware, driver e patch di sicurezza più recenti.
- Abilitare BitLocker secondo il profilo di sicurezza aziendale, assicurandosi che la chiave venga salvata in Entra ID/Intune (e, se previsto, in un vault centrale).
- Verifiche finali: coerenza del nome dispositivo, appartenenza a gruppi, applicazione policy Endpoint Security, conformità, antivirus/EDR attivi.
Best practice per evitare il problema in futuro
- Centralizzare le chiavi BitLocker: configurare in Intune le policy di Disk Encryption in modo che tutte le chiavi di ripristino vengano archiviate in Entra ID. Verificare l’accesso controllato al Self‑Service BitLocker Recovery, se abilitato.
- Abilitare e standardizzare l’MDM per tutti i Surface: registrazione automatica, criteri di sicurezza, EDR, baseline Windows.
- Autopilot: pre‑provisioning (opzionale), profili di distribuzione e Device Enrollment coerenti. Questo permette reset rapidi con Autopilot Reset.
- RBAC e governance: assicurarsi che gli utenti finali non possano rimuovere liberamente i dispositivi aziendali o accedere alle chiavi. Limitare chi può eliminare gli oggetti device dal tenant.
- Playbook di emergenza: documento interno con who‑to‑call, procedure, posizioni delle chiavi, modelli di comunicazione e tracce di audit.
- Asset management: numero di serie, corrispondenza con l’immagine di recovery corretta (Surface Pro 9 Intel vs 5G ARM), inventario aggiornato.
Approfondimento tecnico e consigli operativi
Gestione TPM e UEFI
- Il TPM contiene protezioni legate a BitLocker. Non cancellare il TPM per tentare di “bypassare” BitLocker: non decritterà il disco e potrebbe complicare l’avvio.
- In UEFI, abilita l’avvio da USB solo se necessario. Mantieni Secure Boot attivo per integrità della catena di avvio.
Comandi utili in WinRE (per tecnici)
Talvolta serve verificare lo stato del volume prima del reset:
manage-bde -status manage-bde -protectors -get C:
Questi comandi confermano che il volume è cifrato e che per proseguire serve la chiave; in assenza della chiave si procede al ripristino.
USB boot: errori comuni
- Formato errato: l’UEFI del Surface avvia il supporto in FAT32; exFAT/NTFS possono non partire. Usa FAT32 e pacchetti con install.swm.
- Immagine sbagliata: non confondere Surface Pro 9 Intel con Surface Pro 9 5G (ARM). L’immagine deve combaciare col modello.
- Hub USB non compatibili: se l’avvio fallisce, prova un adattatore USB‑C → USB‑A semplice e alimentato.
Playbook operativo (stampabile)
- Isolare il caso: conferma che il device è Surface Pro 9, identifica il proprietario, verifica stato MDM/Autopilot nel tenant.
- Ricerca chiave: controlla archivi aziendali/Intune. Se la chiave non c’è, pianifica ripristino.
- Se online in Intune: tenta Wipe o Autopilot Reset. Se fallisce o il device non è raggiungibile, vai al punto 4.
- Prepara USB: scarica immagine corretta, formatta FAT32, copia i file.
- Boot da USB: Volume– + Power; se serve, abilita USB boot in UEFI (Volume+ + Power).
- Esegui reset completo: rimuovi tutto, reinstalla Windows.
- OOBE e join: effettua il join a Entra ID/Intune o profilo Autopilot.
- Update e sicurezza: Windows Update (inclusi driver/firmware Surface), BitLocker ri‑abilitato con backup chiave centrale.
- Consegna: verifica compliance, esegui check finale e documenta nel ticket.
Domande frequenti
Posso recuperare i dati senza chiave BitLocker?
No. Senza chiave o metodi di sblocco autorizzati, i dati sono crittograficamente inaccessibili. È un comportamento voluto per protezione.
Serve disattivare Secure Boot per avviare da USB?
Di norma no. È sufficiente abilitare “Boot from USB devices” nell’UEFI. Disattivare Secure Boot espone a rischi e non è richiesto per immagini ufficiali.
È meglio “Reinstallazione locale” o “Download dal cloud”?
Se la partizione di ripristino è integra e si vuole rapidità, Reinstallazione locale. Se si preferisce avere file più aggiornati e si dispone di rete affidabile, Download dal cloud.
Che differenza c’è tra Wipe e Autopilot Reset?
- Wipe: azzera completamente. Puoi scegliere se mantenere lo stato di registrazione MDM.
- Autopilot Reset: resetta mantenendo l’associazione ad Autopilot per un rientro rapidissimo nel flusso aziendale.
Dopo il reset vedo ancora la richiesta della chiave
Se ripristini sulla stessa unità senza formattazione completa, in casi rari un residuo di configurazione può far comparire BitLocker in fase di OOBE. Esegui un reset rimuovi tutto dalla USB di ripristino ufficiale e verifica che le partizioni siano ricreate dal processo.
Template di comunicazione (verso l’utente interno)
Oggetto: Ripristino Surface Pro 9 – chiave BitLocker rimossa
Testo:
Abbiamo riscontrato che la chiave di ripristino BitLocker associata al tuo Surface è stata rimossa e il dispositivo non è più accessibile. Per ragioni di sicurezza, procederemo con un ripristino completo che eliminerà i dati locali. I tuoi file aziendali sincronizzati (OneDrive/SharePoint) resteranno disponibili. Al termine, il dispositivo verrà riconfigurato con i profili standard. Per eventuali dubbi rispondi a questo messaggio o contatta l’help desk.
Promemoria conformità e sicurezza
- Registrare l’attività nel sistema di ticketing (chi ha autorizzato, chi ha eseguito, quando, su quale asset).
- Mantenere i log dell’operazione di wipe/reset per audit.
- Se l’utente era cessato, applicare la checklist HR/IT: disabilitazione account, revoca sessioni, riassegnazione licenze, ritiro asset.
Riepilogo operativo
La rimozione del Surface Pro 9 dal profilo Microsoft del dipendente, insieme all’eliminazione della chiave BitLocker, rende impossibile accedere ai dati. La risposta corretta è ripristinare il dispositivo via WinRE o, più spesso, con USB di ripristino ufficiale, quindi ri‑enroll in Entra ID/Intune, aggiornare driver/firmware Surface, riattivare BitLocker con salvataggio della chiave in archivio centrale e riallocare il PC. Prevenzione: centralizzazione chiavi, MDM obbligatorio, Autopilot e RBAC rigoroso.
Appendice: mini‑glossario
- BitLocker: tecnologia di cifratura disco di Microsoft.
- TPM: chip hardware che protegge le chiavi di cifratura.
- WinRE: ambiente di ripristino di Windows.
- OOBE: esperienza di configurazione iniziale dopo l’installazione.
- Autopilot: servizio per distribuire e reimpostare PC Windows in modo automatizzato in azienda.
- Intune: piattaforma MDM/MAM per gestione e conformità.
- Entra ID: nuovo nome di Azure AD; directory e identità cloud Microsoft.
Checklist di prevenzione (da incollare nella tua runbook IT)
- Policy Intune di Disk Encryption applicata a tutti i gruppi di dispositivi Surface.
- Verifica trimestrale: chiavi BitLocker effettivamente presenti in Entra ID e accessibili ai soli ruoli autorizzati.
- Autopilot configurato; profili di distribuzione assegnati; processi di Autopilot Reset testati.
- RBAC e Privileged Access definiti; utenti finali senza permessi di rimozione dispositivi dal tenant.
- Playbook di emergenza aggiornato; inventario asset con seriale/sku e corrispondente immagine di recovery.
In breve: se la chiave BitLocker non è recuperabile, non perdere tempo in tentativi “creativi”. Prepara la USB ufficiale, avvia con Volume– + Power, ripristina, aggiorna, ri‑registra in Intune e riattiva BitLocker con salvataggio chiavi centralizzato. E, da domani, automatizza tutto con Autopilot.