Windows 11 BitLocker：什么时候开，怎么不把自己锁在外面

核验于 2026-10-283 分钟阅读

BitLocker 保护静态数据，不保护正在运行的系统。理解 TPM 要求、恢复密钥、挂起流程，以及导致锁死的常见错误。

测试环境Pro / Enterprise · 版本号 26300.9457 · x64

一句话结论

BitLocker 加密磁盘，让拿走硬盘或启动另一个系统的人读不到文件。它不阻止你登录后运行的恶意软件，也不替代备份。

设备会离开你的控制时（笔记本、移动硬盘、共享办公室），在准备好恢复密钥方案后开启。最常见的事故不是算法被破，而是固件更新、换主板或 TPM 重置后密钥丢了。

备份文件。 加密转换通常安全，但断电/固件 bug 会发生。
保存恢复密钥到 Microsoft 账户（如果使用）、密码管理器，以及打印/离线副本。
检查 TPM 和 Secure Boot。 tpm.msc、msinfo32。TPM 2.0 + UEFI + Secure Boot 是现代基线。
知道固件更新流程。 有些 BIOS/TPM 更新要先挂起 BitLocker。
规划双系统。 Linux 读不了锁定的 BitLocker 卷；读写共享是坏主意。

选你能真正运维的最弱保护器。没人记得住的 PIN，最后都会变成恢复事件。

“设备加密”是受支持现代设备上的自动、受限体验；“管理 BitLocker”才暴露 TPM/PIN、恢复密钥导出和额外磁盘。不要假设设置页和 manage-bde 在每个版本上显示相同选项。

支持的现代设备：设置 → 隐私和安全性 → 设备加密。可能自动开启。确认恢复密钥已保存。

Pro/Enterprise：管理 BitLocker，或：

Get-BitLockerVolume
manage-bde -status C:

用向导开启，选择 TPM 或 TPM + PIN。PIN 增加预启动密码，也增加锁定/恢复路径。容易被偷的笔记本，TPM + PIN 对关机攻击更强；固定台式机 TPM-only 更简单。

manage-bde -status C: 显示 Percentage Encrypted: 100%、Protection Status: On。
manage-bde -protectors -get C: 列出 TPM/PIN/密码/恢复密钥。
打开恢复密钥 URL/账户，确认密钥在那里。
重启一次。加密后从未重启的机器不算验证。

BIOS/UEFI/TPM 更新前，挂起一次重启：

manage-bde -protectors -disable C: -RebootCount 1

更新固件，启动 Windows，再确认保护已恢复。不要长期让 BitLocker 处于挂起状态。

在恢复提示输入 48 位恢复密钥。只有 key ID 不够，你仍然需要密钥本身。恢复后重新开启保护，并调查触发原因（TPM 变化、启动顺序、固件、硬件）。