BitLocker 恢复演练：密钥在哪、怎么用
恢复密钥可能存放的四个位置、什么会触发恢复界面，以及一次 15 分钟、证明你真能进去的演练。
测试环境Pro (26H2) / Server · 版本号 26300.9457 / 26100.33650 · x64
E1- 版本号
- 26300.9457 / 26100.33650
- 版本
- Pro (26H2) / Server
- 架构
- x64
- 支持
- 文档（E1）
- 证据
- E1官方文档
- 核验日期
- 2026-10-29
- 页面类型
- 清单
从没用过的恢复密钥，等于没有密钥。演练就三步：
- 找出所有密钥保护器。
- 确认你能从机器之外读到那串密钥。
- 故意进入恢复界面，再成功登进去。
现在花十五分钟，而不是在机场报废一台笔记本。
什么会触发恢复界面
Section titled “什么会触发恢复界面”| 触发原因 | 说明 |
|---|---|
| TPM 变更或清除 | 最常见 |
| 安全启动/固件设置变更 | 度量启动结果改变 |
| 启动顺序或启动管理器变更 | 双系统、U 盘启动 |
| 主板或硬盘换机器 | |
| PIN 尝试次数过多 | 锁定 |
| 固件更新（有时） | 所以才有“先挂起”的习惯 |
第一步：列出保护器
Section titled “第一步：列出保护器”manage-bde -status C:manage-bde -protectors -get C:Get-BitLockerVolume | Select-Object MountPoint,VolumeStatus,ProtectionStatus,KeyProtector会看到类似：
- TPM——自动解锁，无需操作；
- TPM + PIN——开机要 PIN；
- 数字密码——那个 48 位恢复密钥；
- 外部密钥——U 盘上的
.bek文件； - 密码——用于数据卷。
恢复界面要的是数字密码。
第二步：证明你能从外部读到它
Section titled “第二步：证明你能从外部读到它”| 位置 | 机器无法启动时怎么拿到 |
|---|---|
| 微软账户 | 任何其他设备，account.microsoft.com/devices/recoverykey |
| Entra ID | 另一台受管设备，或管理门户 |
| Active Directory | 另一台域内机器（管理员） |
| 打印/保存的文件 | 你放的地方——多数人在这里失败 |
manage-bde -protectors -get 输出 |
只在系统能用时 |
写下这台机器适用哪一条。“在我微软账户里”只有在你知道是哪个账户、能登录（含二次验证）时才成立。
第三步：演练
Section titled “第三步：演练”在一台可以随便重启的机器上做：
- 记下当前密钥（截图或导出）：
manage-bde -protectors -get C:。 - 挂起一次重启：
Suspend-BitLocker -MountPoint C: -RebootCount 1。 - 重启，确认没有提示直接进入（说明挂起生效）。
- 现在故意破坏度量启动：改一个固件设置（例如切换安全启动）后开机。
- 应该出现恢复界面。输入 48 位密钥——用外部那份，不是屏幕上的。
- 恢复固件设置。
manage-bde -status——保护状态回到On。
如果第 5 步失败，你在机器还能用的时候发现了真问题。
- 固件更新前、改双系统前、搬硬盘前先挂起。
- 挂起之后确认
manage-bde -status又是Protection On。 - 密钥保留两份外部副本，放在不同地点。
- 不要把唯一副本存在被加密的那块盘上。
Get-BitLockerVolume | Select-Object MountPoint,ProtectionStatus,VolumeStatus,EncryptionPercentageE1。保护器类型与恢复行为有微软文档依据。实验室虚拟机使用 vTPM 但未启用 BitLocker，因此未触发恢复界面。