| ➔ | BitLocker驱动器加密是Windows内置的全盘加密功能，可以有效防止因设备丢失导致的数据泄露。本文以Windows Server 2022为例，介绍BitLocker的配置和管理。 |
▶一、BitLocker要求
- ●Windows 10/11专业版/企业版 或 Windows Server系列
- ●支持TPM 2.0的主板（推荐）
- ●至少两个分区：系统分区 + 操作系统分区
- ●UEFI启动模式（推荐）
▶二、启用BitLocker
code
# 检查TPM状态
Get-Tpm
# 启用BitLocker（使用TPM保护）
Enable-BitLocker -MountPoint "C:" -TpmProtector -RecoveryPasswordProtector -SkipHardwareTest
# 查看加密进度
Get-BitLockerVolume -MountPoint "C:" | Select-Object ProtectionStatus, EncryptionPercentage
▶三、密码保护器
code
# 使用密码（适合无TPM设备）
Enable-BitLocker -MountPoint "C:" -PasswordProtector -Password (ConvertTo-SecureString "YourStrongP@ssw0rd!" -AsPlainText -Force) -RecoveryPasswordProtector
▶四、恢复密钥管理
code
# 备份到AD
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId (Get-BitLockerVolume -MountPoint "C:").KeyProtector[0].KeyProtectorId
# 导出恢复密钥
(Get-BitLockerVolume -MountPoint "C:").KeyProtector | Where-Object { $_.KeyProtectorType -eq "RecoveryPassword" }
▶五、暂停/关闭
code
# 暂停保护（重启后恢复）
Suspend-BitLocker -MountPoint "C:" -RebootCount 1
# 永久解密
Disable-BitLocker -MountPoint "C:"
▶六、最佳实践
- ●始终保留至少2份恢复密钥备份
- ●不要将恢复密钥存储在加密的同一台机器上
- ●启用BitLocker前更新固件/UEFI
- ●启用Secure Boot提升安全性
▶七、BitLocker组策略管理
code
# 通过组策略集中管理BitLocker
# gpedit.msc > 计算机配置 > 管理模板 > Windows组件 > BitLocker驱动器加密
# 关键策略配置：
# 1. 操作系统驱动器 > 启动时需要附加身份验证 > 已启用
# 2. 操作系统驱动器 > 配置加密方法 > AES 256位
# 3. 固定数据驱动器 > 配置加密方法 > AES 256位
# 4. 可移动数据驱动器 > 控制使用 > 已启用
# AD集中管理恢复密钥
# 组策略 > 计算机配置 > 管理模板 > Windows组件 >
# BitLocker驱动器加密 > 操作系统驱动器 >
# 选择如何恢复受BitLocker保护的操作系统驱动器 >
# 已启用 > 将恢复密码保存到AD
▶八、BitLocker与Active Directory集成
code
# 配置组策略向AD备份恢复信息
# 确保计算机已加入域
# 通过GPO配置AD备份
# 1. 打开组策略管理控制台
# 2. 创建或编辑BitLocker GPO
# 3. 导航到：计算机配置 > 策略 > 管理模板 >
# Windows组件 > BitLocker驱动器加密
# 4. 启用"将恢复信息保存到AD"
# 5. 选择"存储恢复密码和密钥包"
# 从AD中查找恢复密码
# AD用户和计算机 > 查看 > 高级功能 >
# 计算机对象 > 属性 > BitLocker恢复
# 或使用PowerShell查询
Get-ADObject -Filter {objectClass -eq "msFVE-RecoveryInformation"} -Properties msFVE-RecoveryPassword
▶九、BitLocker最佳实践清单
- ●启用前确认TPM固件已更新到最新版本
- ●启用Secure Boot和UEFI
- ●恢复密钥至少保存3个位置（AD + 文件 + 打印）
- ●不要将恢复密钥存储在加密机器上
- ●定期使用Repair-BitLocker检查卷完整性
- ●使用AES 256位加密（默认128位可改）
- ●启用前备份数据
- ●在VMware/Hyper-V虚拟机中使用BitLocker需确认虚拟TPM兼容性
2026-06-30
云上实践
合作伙伴意见反馈
