网络解锁是BitLocker操作系统卷的密钥保护程序，要求UEFI固件支持DHCP驱动、TPM+PIN组合加密，并依赖WDS服务器通过HTTPS分发加密密钥实现无人值守启动。
bitlocker 的 network unlock（网络解锁）能让启用 bitlocker 的设备在企业环境中实现真正的无人值守启动——即开机后无需人工输入 pin、插入 usb 密钥或等待恢复密钥，系统自动从网络获取密钥完成解密并继续启动。但它不是开箱即用的功能，需要特定的服务器组件、网络配置和客户端策略配合。
Network Unlock 的核心前提条件
该功能依赖 Windows Server 的“BitLocker Network Unlock”角色服务，本质是通过 PXE 启动阶段向受信任的 WDS（Windows Deployment Services）服务器发起 HTTPS 请求，获取临时解密密钥（称为 Network Unlock key）。要启用它，必须同时满足：
- 客户端硬件支持 UEFI 2.3.1+ 和 TPM 2.0（必须启用且已初始化），且 BIOS/UEFI 中开启“PXE Boot”和“Secure Boot”
- 域环境（Active Directory 域功能级别 ≥ Windows Server 2012 R2）
- 一台运行 Windows Server 2012 R2 或更高版本（推荐 Server 2022）的服务器，已安装并配置 WDS + BitLocker Network Unlock 角色服务
- 客户端计算机对象（Computer Object）已在 AD 中启用“Trusted for Delegation”（仅委派到指定服务），且已加入域
- 客户端启动时需处于可访问 WDS 服务器的同一子网（或已配置 IP Helper/DHCP 中继支持 PXE 跨网段）
服务器端：部署 Network Unlock 服务
在目标 Windows Server 上执行以下步骤：
Handsfree Windows Control
下载
通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。
- 安装 WDS 角色，并勾选“BitLocker Network Unlock”子功能（安装后会自动生成证书模板“NetworkUnlockCertificateTemplate”）
- 使用“证书颁发机构”（AD CS）发布该模板，确保域计算机能自动注册 Network Unlock 证书（通常通过组策略启用“自动注册计算机证书”）
- 在 WDS 控制台中右键服务器 → “属性” → “客户端”选项卡 → 勾选“启用 BitLocker 网络解锁”并指定证书模板
- 确认 WDS 服务正在运行，且防火墙允许 UDP 67/68（DHCP/PXE）、TCP 443（HTTPS）入站
客户端：启用并验证 Network Unlock
客户端需完成策略配置与 BitLocker 初始化：
- 通过组策略启用：
计算机配置 → 管理模板 → Windows 组件 → BitLocker 驱动器加密 → 操作系统驱动器 → 启用网络解锁 → 设为“已启用” - 确保客户端已成功获取 Network Unlock 证书（检查 certlm.msc → “个人” → “证书”，应存在颁发者为你的 CA、主题为计算机名、增强型密钥用法含“Network Unlock”的证书）
- 对系统卷启用 BitLocker（必须使用 TPM + PIN 或 TPM + 启动 PIN 组合模式；纯 TPM 模式不触发 Network Unlock）
- 重启测试：断开所有外设，确保联网，观察启动过程——若看到“正在连接到网络解锁服务…”提示且顺利进入登录界面，说明生效
常见失败原因与排查要点
Network Unlock 失败通常不报错，而是静默回退到常规解锁方式（如要求输入 PIN）。重点检查：
- PXE 启动是否真正触发：进入 BIOS 确认启动顺序中“Network Boot”排第一，且 Secure Boot 未阻止 bitlocker.efi 加载
- 客户端证书是否有效：过期、吊销、未正确注册都会导致拒绝服务；可用 certutil -verifystore my 查看
- WDS 日志（C:\Windows\System32\WDS\LogFiles\）中是否有“NetworkUnlock”相关错误（如 0x80090302 表示证书问题）
- 组策略是否已刷新（gpupdate /force）且应用到计算机对象（而非用户）
- 网络层面：客户端能否 ping 通 WDS 服务器？是否被交换机 ACL 或 DHCP 选项 60/66 干扰？
