需分步配置GPO启用BitLocker并备份密钥至AD：先编辑GPO启用“启用BitLocker”和“将恢复信息保存到AD DS”，再确认AD Schema已扩展含ms-FVE-*属性，最后确保客户端域加入、权限正确、网络可达，并通过manage-bde -status和AD对象属性验证密钥写入。

要通过组策略开启bitlocker全磁盘加密并自动将恢复密钥备份到active directory（ad），关键不是“一键启用”，而是分步确保策略生效、客户端合规、ad可写入。跳过任一环节都可能导致加密未触发或密钥丢失。

配置GPO启用BitLocker并指定AD备份路径

在域控制器或装有GPMC的管理机上编辑目标GPO（如Default Domain Policy或专用GPO）：

• 定位路径：计算机配置 → 管理模板 → Windows组件 → BitLocker驱动器加密 → 操作系统驱动器
• 启用策略：“启用BitLocker”（勾选“已启用”，并建议同时勾选“拒绝读取访问权限”以增强TPM保护）
• 启用策略：“将BitLocker恢复信息保存到AD DS”（这是密钥进AD的核心开关）
• 如需加密数据盘，同样进入“固定数据驱动器”节点，重复启用上述两项策略

确认AD架构已支持BitLocker属性

若AD林功能级别老旧（如Windows 2000混合模式）或未预扩展Schema，ms-FVE-*类属性不存在，密钥无法写入：

• 运行adprep /forestprep（使用与当前域控制器匹配的Windows Server版本ADPREP工具）
• 检查Schema是否含BitLocker属性：用adsiedit.msc连接“架构”命名上下文，搜索ms-FVE-RecoveryPassword或ms-FVE-RecoveryGuid
• 若缺失，需先完成ForestPrep；若存在但未复制到所有DC，等待复制完成或强制同步

确保客户端满足自动备份前提

GPO下发后，客户端必须同时满足以下条件，密钥才会真正写入AD：

• 设备已成功加入域，且gpupdate /force执行后重启（或等待后台刷新完成）
• BitLocker由域账户（非本地管理员）首次启用——本地账户启用会跳过AD备份流程
• 该计算机对象所在OU中，Domain Computers组默认拥有Write ms-FVE-RecoveryPassword权限；若OU权限被显式拒绝，需手动赋权
• 客户端能通过TCP 389（LDAP）或636（LDAPS）与域控制器通信，防火墙/网络策略未拦截

验证与补救：密钥是否真的进了AD？

不要只看GPO是否启用，要实证：

• 在客户端运行：manage-bde -status C:，确认输出中“Active Directory 域服务恢复信息”显示为“已启用”
• 查事件日志：应用程序和服务日志 → Microsoft → Windows → BitLocker-DriveEncryption，筛选ID 245/246/247等错误事件
• 若密钥未出现，可用命令强制同步：manage-bde.exe -protectors -adbackup C:（需管理员权限）
• 最终验证：在AD用户和计算机中启用“高级功能”，右键计算机对象→属性→“对象”选项卡→查看ms-FVE-RecoveryPassword值是否存在