统信UOS用户应使用原生LUKS加密移动硬盘，支持图形化操作与命令行两种方式，加密后可在任意Linux系统挂载访问，无需BitLocker或TPM。
统信UOS用户需要为移动硬盘加密，防止他人在Linux或Windows设备上直接读取敏感数据，又不想依赖Windows BitLocker——此时必须使用UOS原生支持的LUKS分区加密方案，它不依赖TPM芯片、无需Windows环境、全程图形化引导，且加密后在任意Linux发行版中均可挂载访问。
确认移动硬盘是否已分区并处于空闲状态
插入移动硬盘后，先打开“磁盘工具”（可在应用中心搜索安装，若未预装），查看设备列表中是否显示为未挂载的裸设备（如/dev/sdb，而非/dev/sdb1）。【必须确保该硬盘没有正在挂载的分区，否则后续加密操作会失败】
若已自动挂载，请右键点击对应分区→选择“卸载”。卸载后该分区将从文件管理器中消失，但在磁盘工具中仍可见其设备路径和容量信息。
使用文件管理器一键启用LUKS加密
打开“文件管理器”，左侧边栏找到你的移动硬盘设备（通常显示为品牌名+容量，如“SanDisk 1TB”），右键点击→选择“加密此驱动器”。
系统弹出向导窗口，勾选“启用密码解锁”→输入两次高强度密码（建议含大小写字母、数字及符号，至少8位）→点击“下一步”。
此时会提示“该操作将格式化整个驱动器，所有数据将被清除”，确认前请务必确保硬盘内无重要数据，或已提前备份到其他位置。
点击“开始加密”，系统自动创建LUKS容器、格式化为ext4文件系统，并启动后台加密流程。进度条走完即完成，无需重启，硬盘图标旁会出现一把小锁标识。
通过终端命令行加密（适用于无GUI或需自定义参数场景）
方法一：使用cryptsetup快速初始化
打开终端，执行sudo fdisk -l | grep "sd"确认移动硬盘设备名（如/dev/sdc），切勿选错，否则将误擦除系统盘。
对整块硬盘进行LUKS格式化：sudo cryptsetup luksFormat --type luks2 /dev/sdc，按提示输入YES并设置密码。
打开加密容器：sudo cryptsetup open /dev/sdc myusb，此时会在/dev/mapper/下生成映射设备myusb。
格式化映射设备：sudo mkfs.ext4 /dev/mapper/myusb，完成后执行sudo cryptsetup close myusb安全卸载。
方法二：仅加密单一分区（保留其他分区）
假设移动硬盘已有/dev/sdc1用于存储，想单独加密它：运行sudo cryptsetup luksFormat /dev/sdc1→输入密码→再执行sudo cryptsetup open /dev/sdc1 securepart→sudo mkfs.xfs /dev/mapper/securepart（此处用xfs提升大文件性能）→sudo cryptsetup close securepart。
加密后首次挂载与日常使用
重新插入移动硬盘，文件管理器不会自动挂载，需手动双击设备图标，弹出密码框后输入LUKS密码，即可像普通U盘一样拖放文件。
拔出前务必右键→“安全移除”，系统会自动关闭LUKS映射；若直接拔出，下次插入时可能提示“设备忙”，此时需在终端运行sudo cryptsetup close /dev/mapper/xxx强制解除绑定。
在其他Linux电脑上访问该硬盘，只需安装cryptsetup（sudo apt install cryptsetup或sudo dnf install cryptsetup），然后用相同密码打开即可，完全兼容。
