BitLocker实务指南 ── 从恢复密钥管理入手的驱动器加密

「电脑重置之后，下次开机出现了从没见过的蓝色界面，要求输入48位密钥」「明明只是更新了BIOS，却跳出了恢复密钥输入画面。我们根本没有保管过这样的密钥」「打开新电脑的设置一看，「设备加密」不知何时被自动打开了。担心业务应用会变卡，能不能干脆关掉」── 最近一年左右，客户的这类咨询明显增多。

背景很明确。从 Windows 11 版本 24H2 开始，全新安装的电脑上「设备加密」（BitLocker 的自动启用）默认就会运作。硬件要求也随之放宽，适用的电脑范围大幅扩大。也就是说，BitLocker 已经不再是「大企业有意识引入的东西」，而变成了「悄无声息地进入中小企业电脑」的存在。这时唯一的生命线就是恢复密钥，而”恢复密钥不在任何人的管理之下、加密却在悄悄推进”的状态，才是最危险的。

本文面向中小企业的信息系统负责人、经营者，以及负责业务应用和设备用 PC 的开发者，将 BitLocker 定位为「用好它」而不是「关掉它」进行梳理。内容涵盖各版本之间的差异、TPM 与密钥关系这一最基本的原理、恢复密钥保存位置判断表、组织内的启用与运维、事故应对，直至与报废处置的关系，均基于截至 2026 年 8 月的 Microsoft Learn 等一手资料进行说明。

1. 先说结论

• BitLocker 是 Windows 中对整个驱动器进行加密的功能，可以防止因丢失、被盗或不当报废而导致的数据泄露。即使遭遇拔出磁盘接到另一台电脑上读取的攻击，只要驱动器已加密，数据也无法被读取。¹
• 能够启用完整功能 BitLocker 的版本仅限 Pro / Enterprise / Pro Education / Education。其简化版「设备加密」则在包括 Home 在内的所有版本中均可使用。¹
• 从 Windows 11 24H2 开始，自动设备加密的要求被放宽。HSTI / Modern Standby 要求以及「不存在未经许可的 DMA 接口」这一要求均已撤销，全新安装后完成 OOBE（初始设置）时，只要满足 TPM + UEFI 安全启动，许多电脑上的加密就会默认自动初始化。²
• 加密的「开始」与保护的「启用」是两回事。只有当恢复密钥成功备份到 Microsoft 账户、Entra ID、或（已配置恢复策略的）AD DS 三者之一后，保护才会被启用（进入受保护状态）。仅使用本地账户、无处可备份的电脑，即使已加密，也会一直处于未受保护的状态。¹²
• 恢复密钥（48位数字的恢复密码）的保存位置实际上只有四种选择：Entra ID / AD DS / Microsoft 账户 / 打印件・文件。若已加入 Entra ID 则保存到 Entra ID，若已加入 AD 域则保存到 AD DS，两者都未加入则保存到管理员的 Microsoft 账户 —— 这是默认流程。¹³
• 系统要求输入恢复密钥的场景并不仅限于异常情况。固件更新、安全启动设置变更、清除 TPM、更换主板、更换驱动器等启动环境的变化，都可能成为触发条件。在进行计划性作业之前，先暂停保护（Suspend）是通行做法。³
• 默认的加密方式是 XTS-AES 128 位。日后想更改方式需要先解密再重新加密，因此最好在第一次就确定下来。如果是全新驱动器，选择「仅加密已用空间」可以大幅缩短首次加密所需时间。⁴⁵
• 如果系统要求恢复密钥却拿不出来，那台电脑上的数据就只能放弃了。即便是 Microsoft 支持团队，也无法找回丢失的密钥。正因如此，本文的主题不是「要不要加密」，而是「恢复密钥保存在哪里、由谁能够取出它」。⁶

2. BitLocker 与设备加密的区别 ── 各版本分别能用什么

首先整理一下概念。「BitLocker」与「设备加密」是同一套加密技术的两副面孔。

• BitLocker（完整功能）：以驱动器为单位启用，包含 TPM+PIN、启动密钥等认证方式，可通过组策略 / Intune 进行控制，也能用 manage-bde.exe 或 PowerShell 管理，是面向管理员的形态。
• 设备加密（Device Encryption）：在满足条件的电脑上自动启用 BitLocker 的机制。设置应用中会出现「设备加密」开关，只加密操作系统驱动器与内置固定驱动器（不包括外置 / USB 驱动器）。¹

按版本划分的支持情况如下。¹

Windows 11 24H2 带来了哪些变化

自动设备加密其实早已存在，但适用对象以满足「符合 Modern Standby 或 HSTI」「不存在可从外部进行 DMA 访问的端口」等条件、相对较新的移动电脑为主。在 Windows 11 版本 24H2 中，这两项要求被撤销，剩下的主要条件被收窄为「搭载 TPM（1.2 或 2.0）」「已启用 UEFI 安全启动」等。OEM 将未经许可的 DMA 总线注册到注册表（AllowedBuses）的做法也不再需要，这个键本身从 24H2 起会被忽略。需要注意的是，这项要求放宽并不适用于 Windows IoT 版本。²

结果就是，在全新安装（包括重置、重新设置）后完成 OOBE，哪怕是极为普通的台式电脑，加密也会默认被初始化。这里的关键，是要区分「初始化」与「保护的启用」。

• 在 OOBE 完成的时点，驱动器处于用明钥（未受保护的临时密钥）加密的状态。资源管理器中会显示警告图标。¹
• 只有当使用 Microsoft 账户或 Entra ID 账户登录，或者对已加入域的电脑成功备份到（已配置恢复策略的）AD DS 之后，才会创建 TPM 保护器并移除明钥。此时保护才第一次被启用。¹²
• 仅使用本地账户的电脑，即便已加密，也会一直处于未受保护的状态。¹

把这个流程画成图，就是下面这样。

flowchart TB
    A["全新安装、重置<br/>Windows 11 24H2 及以后"] --> B{"是否满足 TPM+UEFI 安全启动等<br/>要求"}
    B -- "不满足" --> Z["不会加密"]
    B -- "满足" --> C["OOBE 完成时初始化加密<br/>明钥－未受保护的临时密钥"]
    C --> D{"恢复密钥的<br/>备份位置是？"}
    D -- "Microsoft 账户 / Entra ID /<br/>AD DS－已配置恢复策略" --> E["恢复密钥备份成功"]
    E --> F["创建 TPM 保护器、移除明钥<br/>＝保护启用，进入受保护状态"]
    D -- "仅本地账户<br/>没有可备份的位置" --> G["保持加密但保护未启用<br/>会显示警告图标"]

「不知不觉就被加密了」的真相，就是这套机制。正在因 Windows 10 停止支持而推进向 Windows 11 电脑更换的组织（参见「Windows 10 停止支持的应对判断」），应当以新电脑从一开始就会处于这种状态为前提，把恢复密钥的管理纳入装机流程。

要确认自己电脑的支持状况，可以以管理员身份打开系统信息（msinfo32.exe），查看「设备加密支持」这一行。如果显示「满足前提条件」，就说明该电脑属于适用对象。¹

3. 原理最低限 ── TPM 与密钥的关系

守护 BitLocker 密钥的是 TPM（Trusted Platform Module，可信平台模块）。TPM 承担着在操作系统离线期间确认设备未被篡改的角色，只有通过启动时的验证，才会允许使用加密密钥。正因如此，才能同时做到：正版 Windows 正常启动时用户无需输入任何内容即可使用，而一旦磁盘被单独拔出，就无法读取其中的数据。¹ 关于 TPM 本身的原理（不外泄密钥的结构、PCR、度量启动），在「Windows 的 TPM 是什么」中有图解说明。

把每次开机时发生的事情画成图，就是这样。

flowchart TB
    ON["电源开启"] --> M["TPM 度量启动环境<br/>固件、启动配置等"]
    M --> Q{"度量结果<br/>与往常一致吗"}
    Q -- "一致" --> UN["TPM 释放加密密钥"]
    UN --> BOOT["正常启动<br/>用户无需输入任何内容"]
    Q -- "不一致" --> REC["恢复模式<br/>要求输入 48 位恢复密钥"]
    REC --> K1["能输入恢复密钥则可启动"]
    REC --> K2["无法输入<br/>则数据无法取出"]

除了 TPM 之外，也可以选择在启动时必须输入 PIN、或插入启动密钥（保存在 U 盘中的密钥文件）的多因素配置。即使是没有 TPM 的电脑，也可以用启动密钥方式对操作系统驱动器进行加密；但密码方式没有锁定机制、难以抵御暴力破解，因此默认处于禁用状态。¹

什么情况下会要求输入恢复密钥

由于 TPM 检查的是「启动环境是否与往常一致」，只要环境发生变化，即便是合法所有者，也会进入恢复模式。Microsoft 列举的代表性触发条件如下。³

• BIOS / UEFI 固件更新等启动早期组件的更新
• 关闭、禁用、清除了 TPM，或 TPM 自检失败
• TPM 验证配置文件所使用的 PCR（平台配置寄存器）发生变化 ── 安全启动设置的变更就属于这一类
• 更换主板（换成新的 TPM）
• 把受 BitLocker 保护的驱动器移到了另一台电脑上
• 扩展坞的插拔、NTFS 分区表的变更、启动管理器的变更、PXE 引导
• 反复输错 PIN、（在 TPM 1.2 机型上）更改了启动设备顺序

也就是说，「更新 BIOS 后被要求输入恢复密钥」既不是故障也不是攻击，而是设计上如此的行为。在进行计划性作业（固件更新、更换硬件）之前先暂停保护（Suspend）是通行做法：暂停期间驱动器仍保持加密状态，作业完成后无需输入恢复密钥即可恢复保护。默认情况下，重启后保护会自动恢复（也可以指定重启次数）。³

# 在固件更新之前先暂停保护。由于默认情况下重启一次保护就会自动恢复，
# 因此在需要多次重启的更新中，第 2 次及以后的重启可能会停在恢复界面。
# 用 -RebootCount 0 阻止自动恢复，并把作业完成后的恢复动作纳入操作步骤
Suspend-BitLocker -MountPoint C: -RebootCount 0
# 作业完成后务必执行恢复（因为 -RebootCount 0 不会自动恢复，所以这一步是必需的）
Resume-BitLocker -MountPoint C:

另外说明一下术语。技术文档中会把 48 位数字称为「恢复密码」（Recovery Password），把保存在 U 盘中的 .bek 文件称为「恢复密钥」（Recovery Key）加以区分³，但在面向普通用户的界面和本文中，我们按照更为通行的叫法，把这 48 位数字统称为「恢复密钥」。

4. 恢复密钥保存位置判断表 ── 如何在四种选择中做判断

这是本文的核心。恢复密钥的保存位置实质上只有四种选择，几乎完全由电脑的登录形态自动决定。首先给出判断表。

对于混合加入（同时加入 AD 和 Entra ID）的设备，恢复密码会同时备份到两处。⁴

作为组织，需要把握的要点有三个。

1. 把「组织的保存位置」确定为唯一一处。已推进 Entra ID 加入的就用 Entra ID，本地部署 AD 的就用 AD DS。如果公司电脑的恢复密钥保存在负责人个人的 Microsoft 账户中，一旦该人离职或调岗，这套机制就会立刻崩溃。
2. 不要以为 AD DS 会「自动生效」。备份到 AD DS 的前提是已配置策略（后文说明）。另外，Active Directory 会持续保留恢复密码的历史记录，旧密钥除非删除计算机对象，否则不会自动消失。³
3. 如果选择以文件形式保存，务必严格管理保存位置。恢复密钥文件必须保存在该电脑本身以外的位置（如网络文件夹等）。⁵ 持有恢复密钥的人可以访问驱动器上的全部数据，因此必须与受保护的电脑分开保管，并对访问权限加以管控。³

确认自己电脑当前的状态

在具有管理员权限的终端中，执行以下任意一种命令。⁵

# PowerShell：确认加密状态与保护器类型
Get-BitLockerVolume C: | Format-List
# 确认恢复密码(48位)及其 ID
(Get-BitLockerVolume -MountPoint C).KeyProtector

:: 命令提示符：确认状态
manage-bde -status
:: 保护器(TPM、恢复密码等)的列表与48位数值
manage-bde -protectors -get C:

manage-bde -protectors -get C: 的输出中以「数字密码」（Numerical Password）形式显示的，就是那 48 位恢复密钥；与之一同显示的 ID 的前 8 位，则是在恢复界面中核对「是哪一把密钥」的线索。⁶

对于已经完成加密的电脑，也可以事后把恢复密码补充备份到 Entra ID 或 AD DS。⁵

# 先确认恢复密码的 ID，然后再执行
# 备份到 Entra ID
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"
# 备份到 AD DS
Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"

:: 使用 manage-bde 的情况
manage-bde -protectors -aadbackup C: -id {ID}
manage-bde -protectors -adbackup C: -id {ID}

「全部电脑的恢复密钥是否都已进入组织的保存位置」这项盘点，与 IPA 面向中小企业的指南中所说的信息安全基本对策一样，并不是做一次就结束的事情，而应当纳入台账运维（参见「中小企业的安全对策，该从何入手」）。

5. 组织内的启用与运维 ── 策略、命令、加密方式

5.1. 用策略禁止「不备份恢复密钥就启用」

BitLocker 的设置既可以通过组策略（GPO）配置，也可以通过 MDM（如 Intune 的 BitLocker CSP）配置。⁴ 从恢复密钥管理的角度来看，最重要的策略是「选择受 BitLocker 保护的操作系统驱动器的恢复方法」。在这里需要配置以下内容。⁴³

• 将恢复信息保存到 AD DS（可选择仅保存恢复密码，或连同密钥包一起保存）
• 启用「在恢复信息备份到 AD DS 之前不要启用 BitLocker」 ── 只有在备份成功之后才允许开始加密，是防止事故的关键。这项配置下恢复密码会自动生成

对于用 Intune 管理已加入 Entra ID 的设备，思路也是一样的：先把恢复密钥的备份设为必须项，然后再启用加密。Entra ID 上的恢复密钥可以从 Entra 管理中心、Intune 管理中心、PowerShell、Microsoft Graph 中获取，也可以委派给服务台处理。³

5.2. 加密方式 ── 默认是 XTS-AES 128

如果不配置加密方式，BitLocker 默认使用 XTS-AES 128 位。设备加密的默认方式同样是 XTS-AES 128。可以通过策略「选择驱动器加密方法和密码强度」改为 XTS-AES 256 等，但 Microsoft 的建议是：所有驱动器统一使用 XTS-AES，密钥长度则根据设备性能（以及行业的合规要求）在 128/256 之间选择。⁴¹

需要注意的是，已经加密完成的驱动器，其加密方式事后无法更改。要更改方式或密钥长度，必须先解密，再重新加密。¹ 如果存在「合规要求需要 256 位」之类的情况，请务必在首次部署时就一次性确定下来。

5.3. 仅加密已用空间 vs 加密整个驱动器

启用时还需要选择加密范围。Microsoft 的使用区分方针很明确。⁵

• 仅加密已用空间：适用于从未存放过数据的全新驱动器。首次加密速度更快
• 加密整个驱动器：适用于已经使用过的驱动器 ── 曾经存放过数据、可能残留已删除文件的驱动器

原因在于，已删除文件所占的区域在文件系统上会显示为「空闲空间」，因此在「仅加密已用空间」模式下不会被加密，在被覆盖之前，仍有可能被取证工具恢复出来。⁵ 在实务中，只需记住：刚装机完成的全新电脑用「仅加密已用空间」即可，而对已经用过一段时间的电脑事后应用加密时则选择整体加密，就足够了。

5.4. 用 PowerShell 启用

脚本化部署的基本形态如下。⁵

# 1. 先添加恢复密码(48位)保护器(此时加密尚未开始)。
#    即使因重试等原因残留了多个恢复密码，也要通过添加前后的 ID 差异，
#    准确定位出这次新添加的那一个
$before = (Get-BitLockerVolume -MountPoint C).KeyProtector.KeyProtectorId
Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector | Out-Null
$rpId = (Get-BitLockerVolume -MountPoint C).KeyProtector |
    Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' -and $_.KeyProtectorId -notin $before } |
    Select-Object -ExpandProperty KeyProtectorId

# 2. 把刚添加的恢复密码备份到组织的保存位置。如果这一步失败就不能
#    继续进行加密，因此用 -ErrorAction Stop 让出错时中止处理
#    (这一步骤应包含确认能在 Entra 管理中心/AD 中看到该密钥)
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop
# 若为 AD DS: Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop

# 3. 备份成功之后，再开始加密。3a 与 3b 是互斥的 ──
#    只能执行其中一个(加密方式、加密范围也要在这里一次性确定)

# 3a. 标准配置: 仅 TPM(需要无人值守重启的终端选这个)
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 3b. TPM+PIN 配置(面向固定放置的高安全性终端)。执行这个时不要执行 3a。
#     PIN 需要针对每台终端在现场分别输入不同的值。如果把它明文写死在脚本中，
#     不仅会导致所有终端使用同一个 PIN，脚本本身也会成为泄露点
$Pin = Read-Host -AsSecureString -Prompt "此终端的 PIN"
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $Pin -TPMandPinProtector

「先寄存好恢复密码，再开始加密」这个顺序非常关键。反过来，如果一开始就执行 Enable-BitLocker -TpmProtector，一旦处理在中途停止，就会留下没有任何恢复手段留底、却已经生效了 TPM 保护的电脑，下一次固件更新或硬件变更就可能连数据一起丢失。而按照上面的顺序，即使中途停止，加密也还没有开始，只需要重新来一遍即可。在组织化部署中，如果预先让 5.1 节中「恢复信息保存完成之前不启用 BitLocker」的策略生效，这种半吊子状态在策略层面也能被防止。「在确认备份成功之前绝不开始加密」，是组织化部署的铁律。

6. 事故应对 ── 当「被要求输入恢复密钥」「找不到密钥」时

6.1. 出现恢复界面时，首先看密钥 ID 的前 8 位

在蓝色的恢复界面上会显示恢复密钥 ID。即使手头有多份备份，也可以通过核对 ID 的前 8 位来锁定正确的那把密钥。⁶ 查找位置按第 4 章的表格顺序依次确认即可。

1. 组织的保存位置（Entra ID 管理中心 / Intune，或 AD DS） ── 通过管理员或服务台
2. 使用者本人的账户 ── 工作账户访问 aka.ms/aadrecoverykey，个人 Microsoft 账户访问 aka.ms/myrecoverykey⁶
3. 启用时留存的备份 ── 打印的纸质文件、U 盘中的文件、保存下来的文本文件⁶

flowchart TB
    REC["蓝色恢复界面<br/>显示恢复密钥 ID"] --> ID["记下密钥 ID 的前 8 位"]
    ID --> ORG["1. 组织的保存位置<br/>Entra ID 管理中心・Intune / AD DS"]
    ORG -- "有 ID 一致的密钥" --> INPUT["输入 48 位密钥启动"]
    ORG -- "找不到" --> SELF["2. 使用者本人的账户<br/>aka.ms/aadrecoverykey / aka.ms/myrecoverykey"]
    SELF -- "有一致的密钥" --> INPUT
    SELF -- "找不到" --> PAPER["3. 启用时留存的备份<br/>打印纸张・U 盘・文件"]
    PAPER -- "有一致的密钥" --> INPUT
    PAPER -- "找不到" --> LOST["只能重置－全部数据丢失<br/>Microsoft 也无法取回"]
    INPUT --> AFTER["确认原因，把用过的恢复密钥<br/>作废并重新签发－见 6.3 节"]

同时，请养成确认「为什么会进入恢复模式」这一原因的习惯。如果前一天刚更新过 BIOS、动过安全启动设置之类，那属于设计上如此的行为。如果毫无头绪却反复发生，就值得连同硬件故障、以及是否存在物理接触导致的篡改等可能性一并调查。³

6.2. 无论如何都找不到时

这是个残酷的事实，但如果找不到恢复密钥，就没有任何办法能取出那个已加密驱动器中的数据。如果是组织管理的电脑，向 IT 部门确认是最后一道防线；就算这样也没有找到，就只剩下重置设备（数据全部丢失）这一条路。Microsoft 支持团队无法提供或重新生成已丢失的恢复密钥。⁶

把这种情况理解为「因为加密才丢了数据」，因果关系其实是反的。真正的原因是没有把恢复密钥的管理制度化，而同样的管理疏漏，一旦发生在被盗时，就会以信息泄露的形式表现出来。

6.3. 用过的恢复密钥要一次性作废 ── 维修、丢失、离职时的运维

• 送修时：如果把恢复密钥交给过维修商（或存在交出去的可能性），那么在电脑修好回来之后，要先添加新的恢复密码并确认已成功备份到 Entra ID / AD DS，然后再删除交出去的那个恢复密码。如果先删除，一旦后续的添加或备份失败，该驱动器就会处于没有任何恢复手段的状态，所以顺序很重要。Microsoft 也建议在使用过恢复密码之后将其作废，添加→备份→删除这一整套流程可以用命令一气呵成。⁵ 对于已加入 Entra ID 的设备，还有一项策略可以自动轮换用过的恢复密码。该策略的默认值在已加入 Entra ID 的设备上是启用的，但只有在配置了「强制备份恢复信息」策略（5.1 节）时才会生效。在依赖自动轮换之前，请先确认这个前提条件已经配置好，并确认密钥确实发生了更换。⁴
• 电脑丢失时：通过第 4 章命令输出的记录或管理工具，确认当时保护是否已经启用（TPM 保护器已创建、明钥已移除）。如果确实已加密，就能够对外说明「磁盘上的数据无法被读取」。这正是平时就要做好盘点的最大理由。
• 离职、电脑归还时：首先要避免出现「归还的电脑，其恢复密钥只存在于离职者个人 Microsoft 账户中」这种状态。只要已经做到把恢复密钥集中到组织的保存位置（第 4 章），归还时的工作就只需要重新装机和重新签发恢复密码即可。

以送修场景为例，流程画出来就是这样。

flowchart LR
    S["送去维修<br/>可能已交出恢复密钥"] --> B["电脑修好返回"]
    B --> N["添加新的恢复密码"]
    N --> BK["确认已成功备份到<br/>Entra ID / AD DS"]
    BK --> D["把交出去的恢复密码<br/>作废－删除"]
    D --> OK["更新台账，完成"]

7. 与报废的关系 ── 已加密的磁盘能让报废变得更轻松

BitLocker 的效用并不局限于使用期间。如果驱动器从一开始就已加密，那么在报废时，磁盘上残留的就只有密文。BitLocker 从设计之初，其目的就不只是防止丢失、被盗，也包括防止「不当报废的设备」造成数据泄露，让受保护设备在报废、回收时数据无法被读取正是其设计目标之一。¹

但是，加密并不意味着可以省略报废时的清除步骤（重置、专用清除工具、物理销毁）。因为加密只是「降低清除之前、或无法清除时磁盘被人读出明文的风险」的一种保险，而不是可验证清除的替代方案。在此基础上，采用了加密运维的组织还需要多做一项特有的工作 ── 整理恢复密钥的留底（纸质、文件、AD 或 Entra ID 上的登记记录）。即使磁盘已被清除，如果留底的恢复密钥仍然存在，那么台账上的报废流程就还没有完成。请把删除旧密钥也纳入报废流程的一部分。

当然，电脑报废除了加密之外，还涉及账户与许可证的解除、资产台账、留痕等其他议题。整体流程已经作为检查清单整理在「报废 Windows 电脑前应该做的事」一文中，在完善以加密为前提的报废流程时，请配合该文一并使用。

8. 业务应用开发者的视角 ── 性能、设备 PC、克隆部署

最后，从负责业务应用与设备控制 PC 的立场出发，给出几点注意事项。

• 对于性能影响，基本原则是「先用默认的 128 位实测」。Microsoft 自己也把密钥长度的选择标准定为「取决于设备性能」：性能较高的驱动器、CPU 可选 256 位，否则选 128 位。⁴ 反过来说，在现代电脑上，默认的 XTS-AES 128 很少会左右业务应用的实际体感，就我们公司的经验来看，除了文件 I/O 特别繁重的应用之外，几乎没有遇到过因此产生问题的情况。如果心存疑虑，应当用接近生产环境的数据量，实测加密前后的 I/O 差异后再做判断；仅凭感觉认为「好像会变慢就关掉」，那是本末倒置。
• 加密对应用而言是透明的。BitLocker 是对整个卷进行加密，文件 API 的行为不会因此改变。反过来说，应用在运行中的机器上所处理的机密信息（连接字符串、API 密钥）是无法靠 BitLocker 来保护的，因为在已登录的机器上，驱动器会以解密后的状态呈现。这方面需要靠 DPAPI 等机制来处理（参见「Windows 应用的机密信息应该保存在哪里」）。
• 设备 PC、Kiosk PC 应根据「能否无人值守重启」来决定配置。仅 TPM 的配置在断电恢复后也能无人值守地正常启动，而 TPM+PIN 或启动密钥方式则每次启动都需要人工介入，不适合无人值守运行的设备。另一方面，仅 TPM 配置也存在因第 3 章所述的触发条件（固件更新等）而停在恢复界面的风险，因此把恢复密钥放在远离现场的位置（上锁保管＋台账），并在设备的维护手册中明确写上「作业前先执行 Suspend-BitLocker」，就成了运维的关键所在。关于无人值守终端整体的加固方法，在「用信息亭模式固化业务终端」中有介绍。另外，24H2 中自动设备加密的要求放宽并不适用于 Windows IoT 版本²，但这并不意味着「IoT 就不会发生自动加密」。对于满足放宽之前那些要求（HSTI / Modern Standby 等）的机型，仍然可能像以往一样发生自动加密，因此即便是设备 PC，把 manage-bde -status 状态确认纳入装机流程也是稳妥的做法。
• 在克隆部署中，不要「先加密再制作镜像」。恢复密码是与创建它的设备一一对应、独一无二的。³ 不要采用复制已启用保护的母机镜像这种做法，而应改为：部署完成后，按每台电脑分别启用加密（或依靠 OOBE 的自动加密）→ 备份恢复密钥，这样的顺序。如果装机流程已经脚本化（参见「用 winget + PowerShell 实现 PC 装机自动化」），只需要把 5.4 节的启用与备份确认追加到最后一道工序即可。

9. 总结

• 在 Windows 11 24H2 及以后的全新安装中，满足 TPM+UEFI 安全启动的电脑，设备加密会默认被初始化。HSTI / Modern Standby 与 DMA 相关的要求已被撤销，适用范围已扩大到普通的台式电脑。
• 面对「不知不觉被加密了」，正确的应对方式不是关闭加密，而是确认恢复密钥的所在位置。一旦关闭，就会失去丢失、被盗、报废时的保护，而且一旦关闭，也不会自动重新启用。
• 恢复密钥的保存位置只有 Entra ID / AD DS / Microsoft 账户 / 打印件・文件这四种选择，几乎完全由登录形态决定。请确定组织统一的保存位置，并盘点全部电脑是否都已纳入其中。
• 状态确认可以用 manage-bde -protectors -get C: 或 (Get-BitLockerVolume -MountPoint C).KeyProtector，事后补做的备份则可以用 BackupToAAD-BitLockerKeyProtector / Backup-BitLockerKeyProtector 一次性完成。
• 固件更新、安全启动设置变更、硬件更换等操作，都会让恢复密钥的输入要求出现在合法所有者面前。请把计划性作业前执行 Suspend-BitLocker 写进操作手册。
• 默认的加密方式是 XTS-AES 128，日后更改需要先解密再重新加密。全新驱动器只需选择「仅加密已用空间」即可。
• 用过的恢复密钥要作废并重新签发，不要把密钥留在离职者的账户中，报废时连密钥的留底也要一并清除 ── 恢复密钥不是「签发一次就结束」，而是需要按生命周期来管理的对象。
• 加密在报废时也能起到保险的作用，但不能替代清除步骤（重置、清除工具、物理销毁）。不去关闭 BitLocker，而是把它与恢复密钥管理配套使用，才是中小企业的现实解决方案。

相关文章

• Windows的TPM是什么 ── 图解「不外泄密钥的保险柜」与度量启动
• 报废 Windows 电脑前应该做的事 —— 数据清除、账户解绑、备份的实务检查清单
• Windows 10 停止支持后的现实解决方案 ── ESU・LTSC・更换设备的判断表
• 中小企业的安全对策，该从何入手 ── IPA《中小企业信息安全对策指南》第4.0版导读
• 用信息亭模式固化业务终端 ── Assigned Access・Shell Launcher 的选择方法与运维设计
• 用 winget + PowerShell 自动化 PC 装机 ── 让操作手册可执行
• Windows 应用程序不要把敏感信息以明文存进配置文件的最佳实践

相关咨询领域

合同会社小村软件承接包括业务应用、设备 PC 在内的 Windows 环境加密运维设计（恢复密钥保存位置设计、纳入装机流程、设备 PC 上的 BitLocker 配置），以及加密环境下业务应用的性能验证与故障排查相关咨询。从「设备 PC 加密后是否没问题」这一步开始确认起也完全可以。

• 技术咨询・设计评审
• Windows 应用开发
• 故障排查・原因分析
• 联系我们

参考链接

相关文章

共享相同标签的最新文章。可以围绕相近的主题进一步加深理解。

相关主题

与本文相近的主题页面。以本文为起点，可以进一步了解相关服务和其他文章。

与本主题相关的服务

本文与以下服务页面相关联，欢迎从最接近的入口查看。

常见问题

汇总了咨询这一主题时常见的问题。

不知不觉「设备加密」就变成启用状态了。可以把它关掉吗？

不建议关闭。在 Windows 11 版本 24H2 及以后，全新安装的电脑只要满足 TPM 与安全启动等条件，设备加密就会默认被初始化，所以看起来像是「不知不觉自己就打开了」。这是在丢失、被盗时保护数据的机制，关掉就会失去保护，而且一旦关闭，也不会自动重新启用。应该做的不是关闭，而是用 manage-bde -protectors -get C: 等命令确认恢复密钥，让它处于已保存到 Microsoft 账户、Entra ID、AD 等组织所决定的位置的状态。

BitLocker 的恢复密钥在哪里？

保存位置由电脑的登录形态决定。如果电脑是用个人 Microsoft 账户设置的，用同一个账户登录 https://aka.ms/myrecoverykey 就能查看列表。已加入公司 Entra ID（工作账户）的电脑，可以在 https://aka.ms/aadrecoverykey 的「查看 BitLocker 密钥」中确认。已加入本地部署 AD 域的电脑，如果已配置策略，管理员可以从计算机对象下取出。此外也可能存在打印的纸张、U 盘或文件形式的留底。将其与恢复界面上恢复密钥 ID 的前 8 位进行核对，即可锁定正确的密钥。

Windows 11 Home 的电脑也能用 BitLocker 吗？

不同版本能使用的功能不一样。能够启用包含添加 PIN、策略管理在内的完整功能 BitLocker 的，是 Pro / Enterprise / Education 系列，Home 版无法使用。另一方面，简化版的设备加密在包括 Home 在内的所有版本中都可以使用，只要满足 TPM 与 UEFI 安全启动等条件就会自动启用。不过，保护的启用需要使用具有管理员权限的 Microsoft 账户登录，仅使用本地账户是无法获得保护的。如果要作为公司电脑来管理，建议以 Pro 版为前提，构建通过 Entra ID 或 AD 集中管理恢复密钥的方案。

更新 BIOS（UEFI 固件）之后被要求输入恢复密钥，这是为什么？

BitLocker 使用 TPM 来验证启动环境是否被篡改，一旦固件更新、安全启动设置变更、清除 TPM、更换主板等操作导致启动时的度量值发生变化，系统就会判定为「与往常不同的环境」，从而进入恢复模式。这不是故障，而是设计上如此的行为。在进行计划性的更新作业之前，先用 Suspend-BitLocker（或 manage-bde -protectors -disable C:）暂停保护，再进行操作，就可以不用输入恢复密钥完成作业。暂停期间驱动器仍保持加密状态，默认情况下，下次重启时保护会自动恢复。

如果找不到恢复密钥，还能取出数据吗？

只要没有正确的恢复密钥（48位恢复密码）或其他解锁手段，就没有任何办法能取出已加密驱动器中的数据。Microsoft 支持团队也明确表示，无法重新签发或找回已丢失的恢复密钥。如果是组织管理的电脑，请先向 IT 部门确认；如果是个人电脑，请查找 Microsoft 账户的恢复密钥页面、打印的留底，以及 U 盘中的 .bek/.txt 文件。如果还是找不到，就只能重置（重新安装）电脑，数据将会丢失。正因如此，在讨论要不要关闭加密之前，更应该先确认全部电脑的恢复密钥是否都处于组织的管控之下。

作者简介

本文作者的个人简介页面。

Go Komura

小村软件有限公司 代表

以 Windows 软件开发、技术咨询与故障排查为中心，擅长难以复现的故障调查，以及既有资产仍在运行的项目。