PowerShell是批量配置服务器BitLocker加密最可靠、可审计、可集成的方式，适用于Windows Server 2012 R2及以上版本，需确认系统版本、磁盘格式、TPM状态、卷占用情况及管理员权限，再分步执行加密启用与保护机制配置。
powershell 是批量配置服务器 bitlocker 加密最可靠、可审计、可集成的方式，尤其适合 windows server（2012 r2 及以上）环境。它不依赖图形界面，支持脚本化、远程执行和策略对齐，但需注意：不是所有操作都能“一键完成”，关键在于分清“加密启用”和“保护状态配置”两类任务。
启用加密前必须确认的几件事
- 服务器系统版本为 Windows Server Standard / Datacenter（专业版及以上）
- 磁盘格式为 NTFS 或 ReFS（BitLocker 不支持 FAT32）
- TPM 已就绪（
Get-Tpm返回TpmPresent: True且TpmReady: True），或已准备好 USB 启动密钥/密码方案 - 目标卷未被系统或应用独占占用（如正在写入日志、挂载为 CSV 协调器节点等）
- 当前 PowerShell 会话以 本地管理员身份运行，且对远程服务器启用 WinRM 或使用 PSSession
批量启用 BitLocker（含系统盘与数据盘）
以下命令适用于单台或多台服务器统一部署，推荐先测试单卷再扩展：
-
对指定驱动器启用加密（自动使用 TPM）：
Enable-BitLocker -MountPoint "D:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -SkipHardwareTest
–UsedSpaceOnly显著缩短首次加密耗时；–SkipHardwareTest避免在自动化环境中因 BIOS 检查中断。 -
对系统盘（C:）启用并强制备份恢复密钥到 Active Directory（域环境）：
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -AdAccountOrGroupProtector -SkipHardwareTest
前提是已配置好 BitLocker AD 恢复信息架构，并赋予计算机账户写入权限。
-
批量处理多台服务器上的所有固定数据卷（排除系统盘和可移动盘）：
$servers = "SRV01", "SRV02", "SRV03" $servers | ForEach-Object { Invoke-Command -ComputerName $_ -ScriptBlock { Get-BitLockerVolume | Where-Object { $_.VolumeType -eq 'DataVolume' -and $_.ProtectionStatus -eq 'Off' } | ForEach-Object { Enable-BitLocker -MountPoint $_.MountPoint -EncryptionMethod XtsAes256 -UsedSpaceOnly } } }
补充关键保护机制（不能跳过）
仅启用加密不等于安全。以下步骤确保密钥可恢复、验证可强化：
-
自动添加 PIN 保护（需配合组策略启用“启动时要求输入 PIN”）：
Handsfree Windows Control下载通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。
$pin = ConvertTo-SecureString "12345678" -AsPlainText -Force Add-BitLockerKeyProtector -MountPoint "C:" -Pin $pin
⚠️ 注意：PIN 必须是 SecureString 类型，明文字符串会报错。
-
备份恢复密钥到本地安全路径（带时间戳，防覆盖）：
$date = Get-Date -Format "yyyyMMdd_HHmm" $vol = Get-BitLockerVolume -MountPoint "C:" $key = $vol.KeyProtector | Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } $key.RecoveryPassword | Out-File "D:\BitLockerKeys\C_Recovery_$date.txt" -
批量导出所有卷的恢复密钥（CSV 格式，供审计）：
Get-BitLockerVolume | ForEach-Object { $vol = $_ $vol.KeyProtector | Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } | Select-Object @{n='Drive';e={$vol.MountPoint}}, KeyProtectorId, RecoveryPassword } | Export-Csv "D:\Reports\bitlocker_recovery_keys.csv" -NoTypeInformation
针对集群共享卷（CSV）的特殊处理
若服务器属于故障转移集群，加密 CSV 需使用 AzureStackBitLockerAgent 模块（Windows Server 2022+ 或 Azure Local）：
-
查询当前 CSV 加密状态：
Get-ASBitLocker -VolumeType ClusterSharedVolume -Local
-
启用 CSV 加密（需在每个节点上单独执行）：
Enable-ASBitLocker -VolumeType ClusterSharedVolume -Local
⚠️ 注意：CSV 加密后，所有集群节点必须能访问同一密钥源（如 AD 或集中密钥库），否则故障转移可能失败。
不复杂但容易忽略。
