PowerShell是Windows下管理加密存储策略最直接、可脚本化、适合批量操作的工具，支持BitLocker全盘/分区加密自动化、本地密码策略配置（含家庭版注册表修改）、密钥安全落盘及合规性快速验证。
powershell 是 windows 环境下管理加密存储策略最直接、可脚本化、适合批量操作的工具。它不依赖图形界面，能对接 bitlocker、注册表密码策略、密钥文件保护等核心机制，适用于本地设备、vhdx 虚拟磁盘、域环境及家庭版系统。
BitLocker 全盘/分区加密自动化
对物理磁盘（如 E:）或挂载的 VHDX（如 E:\vhdx\win10.vhdx），PowerShell 可完整执行启用、加密码、生成恢复密钥等操作：
- 先添加密码保护器：
Add-BitLockerKeyProtector -MountPoint "E:" -PasswordProtector -Password (ConvertTo-SecureString "MyPass123!" -AsPlainText -Force) - 再启用加密（推荐仅加密已用空间，加快首次处理）：
Enable-BitLocker -MountPoint "E:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -RecoveryPasswordProtector -Confirm:$false - 加密后可用
Get-BitLockerVolume -MountPoint "E:"查看状态、密钥ID 和保护器类型 - 恢复密钥默认写入 AD（域环境）或保存在系统提示位置；若需导出到文件，配合
Backup-BitLockerKeyProtector使用
本地密码策略配置（含家庭版兼容）
Windows 家庭版无 gpedit.msc，但所有密码策略实际由注册表控制，PowerShell 可安全修改：
- 最小密码长度（例设为 12）：
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "MinPwdLength" -Value 12 - 启用复杂性要求（必须含大小写字母+数字+符号）：
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "PasswordComplexity" -Value 1 - 密码最长有效期（单位：天，0 表示永不过期）：
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "MaxPwdAge" -Value 90 - 修改后建议运行
gpupdate /force或重启使策略生效（部分项如MinPwdAge需用户下次改密时才体现）
密钥与敏感文件的安全落盘管理
加密策略不仅管“怎么锁”，更要管“密钥放哪”。PowerShell 可协助实现密钥文件的受控存储与权限收紧：
- 将 git-crypt 对称密钥移至用户私有目录并限制访问：
Move-Item .\git-crypt-key "$env:USERPROFILE\.ssh\" -Force; icacls "$env:USERPROFILE\.ssh\git-crypt-key" /inheritance:r /grant:r "$env:USERNAME:(R)" - 对 BitLocker 恢复密钥文本文件启用 NTFS 加密（EFS）：
cipher /e "C:\keys\recovery_2026.txt" - 检查关键路径权限是否过度开放：
Get-Acl "C:\keys" | Format-List，及时清理 Everyone 或 Users 的写权限
策略合规性快速验证与报告
单条命令即可批量检查多台设备是否符合预设加密标准：
- 查本机 BitLocker 状态与加密方法：
Get-BitLockerVolume | Where-Object {$_.VolumeStatus -eq 'FullyEncrypted'} | Select-Object MountPoint, EncryptionMethod, ProtectionStatus - 查当前密码策略值（家庭版）：
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "MinPwdLength","PasswordComplexity","MaxPwdAge" -ErrorAction SilentlyContinue - 远程批量检查（需 WinRM 启用）：
Invoke-Command -ComputerName PC01,PC02 -ScriptBlock { Get-BitLockerVolume -MountPoint "C:" }
