需通过组策略启用“系统加密：使用 fips 兼容的算法进行加密、哈希和签名”，仅限windows专业版及以上版本，管理员权限操作，启用后系统强制使用nist验证算法，禁用非fips加密，可能影响旧软件及tls通信。
要让系统强制使用 fips 140 认证的加密算法（如 3des、aes-256、sha-1、rsa），需通过组策略启用“系统加密：使用 fips 兼容的算法进行加密、哈希和签名”这一安全策略。该设置会限制系统仅调用经美国国家标准与技术研究院（nist）验证的加密模块，适用于政府、金融等强合规场景。
确认系统版本与权限要求
该策略仅在 Windows Pro、Enterprise、Education 或 Server 版本中可用；家庭版不支持 gpedit.msc。操作必须以本地管理员身份登录，且需有组策略编辑权限。
通过本地组策略编辑器启用FIPS模式
按 Win + R 打开运行框，输入 gpedit.msc 并回车。依次展开：
- 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项
- 在右侧列表中找到并双击：系统加密：使用 FIPS 兼容的算法进行加密、哈希和签名
- 勾选已启用，点击确定
- 关闭组策略编辑器，重启计算机使策略生效
启用后的影响与注意事项
启用后，系统将拒绝非 FIPS 算法的加密操作，可能引发以下情况：
- 某些旧版软件（如未适配 TLS 1.2 的客户端）、自签名证书或弱哈希应用（MD5/SHA-256 未在白名单中）会报错或失败
- 远程桌面默认降级为 3DES 加密，可能影响性能；建议配合 TLS 配置升级通信协议
- EFS 加密文件仍可用，但密钥派生与签名过程强制走 FIPS 模块路径
- BitLocker 恢复密码生成逻辑变更，在 Windows Server 2012 R2 及更新系统中创建的恢复密码无法被旧系统识别
验证是否生效
重启后可通过注册表快速确认：
- 运行 regedit，定位到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FipsAlgorithmPolicy - 检查 Enabled 的 DWORD 值是否为 1
- 也可在 PowerShell 中执行：
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\FipsAlgorithmPolicy" -Name "Enabled"
