核心目标是防止物理介质被移走后数据泄露，需Windows Server 2016+、NTFS/ReFS文件系统及TPM 2.0支持；CSV加密须先置维护模式，推荐PowerShell执行Enable-BitLocker命令。
windows 文件服务器上启用 bitlocker，核心目标是防止物理介质被移走后数据泄露。它不适用于网络访问控制，而是为硬盘、卷或群集共享卷（csv）提供离线加密保护。关键前提是：服务器系统必须为 windows server 2016 及以上版本（如 2019、2022、2025），且磁盘使用 ntfs 或 refs 文件系统；硬件需配备并启用 tpm 2.0（或通过组策略绕过，但不推荐用于生产环境）。
确认服务器环境与磁盘准备
BitLocker 在文件服务器场景中不支持 FAT32/exFAT，也不支持动态卷或跨区卷。操作前请检查：
- 运行 diskmgmt.msc，确认目标卷为“基本”类型、状态正常、未设为“脱机”或“未初始化”
- 打开 tpm.msc，验证 TPM 已就绪且状态为“可用”；若显示“已关闭”或“未就绪”，需进入 BIOS/UEFI 启用 TPM 并清除所有权
- 对群集共享卷（CSV），必须先将该卷置于维护模式，再执行加密；否则操作会被拒绝
- 确保系统分区（通常是 C:）已启用 BitLocker 或至少完成 TPM 初始化，否则部分 CSV 加密流程可能失败
为普通数据卷启用 BitLocker（图形界面）
适用于独立文件服务器上的 D:、E: 等固定数据卷，操作直观、适合初次配置：
- 以管理员身份打开“服务器管理器”，点击右上角“工具” → “BitLocker 驱动器加密”
- 在列表中找到目标卷，确认状态为“已关闭”，点击右侧“启用 BitLocker”
- 选择“使用密码解锁驱动器”，输入强密码（建议含大小写字母、数字、符号，≥10 位）
- 恢复密钥必须保存到外部位置——推荐勾选“保存到 Active Directory 域服务”（AD DS），由域控制器统一存档；若非域环境，则保存为文件并离线备份至可信设备
- 加密范围选“仅加密已用磁盘空间”（速度快）；若该卷曾存放过敏感历史数据，务必选“加密整个驱动器”
- 加密模式选“新加密模式”，它默认启用 XTS-AES 128 位算法，兼顾性能与安全性
为群集共享卷（CSV）启用 BitLocker（PowerShell 推荐）
CSV 是故障转移群集中的关键共享存储，图形界面不直接支持其加密，必须使用 PowerShell 或 manage-bde.exe。这是生产环境的标准做法：
- 在群集节点上以管理员身份打开 PowerShell
- 执行 Get-ClusterSharedVolume 查看 CSV 名称（如 “Cluster Disk 1”）
- 先将目标 CSV 设为维护模式：Suspend-ClusterResource "Cluster Disk 1"
- 执行加密命令：Enable-BitLocker -MountPoint "C:\ClusterStorage\Volume1" -EncryptionMethod XtsAes256 -UsedSpaceOnly -RecoveryPasswordProtector
- 命令成功后，恢复资源：Resume-ClusterResource "Cluster Disk 1"
- 恢复密钥会自动生成并显示在控制台，请立即复制保存；也可用 Add-BitLockerKeyProtector 添加 AD 或 TPM 保护器
后续管理与注意事项
启用后不是一劳永逸。日常运维中需注意：
- 定期验证恢复密钥有效性：在域环境中，可通过“Active Directory 用户和计算机” → 查看对应计算机对象的“BitLocker Recovery”选项卡确认
- 禁用自动解锁功能：文件服务器不应依赖 TPM 自动解密系统卷来间接解锁数据卷，避免重启后服务中断
- 不要将恢复密钥保存在被加密卷内，也不建议仅保存在本地系统盘；最佳实践是 AD DS + 离线副本双备份
- 加密过程后台运行，不影响客户端访问（CSV 除外，加密期间需暂停）；但首次全盘加密可能持续数小时，建议在业务低峰期执行
