配置组策略强制执行bitlocker加密需三要素严丝合缝：一是设备满足tpm启用、ntfs系统盘、500mb未分配空间、win10/11专业版及以上、域功能级别≥2012 r2；二是gpo中启用“启用bitlocker”“保存恢复信息到ad ds”“xts-aes 256-bit加密”“禁止标准用户操作”四项核心策略；三是ad schema已扩展ms-fve-*属性、domain computers具备写权限、客户端可达dc的ldap端口；生效需重启两次，验证须用manage-bde -status和adsiedit.msc双确认。
配置组策略强制执行 bitlocker 磁盘加密，本质是让域内设备在满足前提条件下自动启用加密、不依赖人工操作，并确保恢复密钥可靠存入 active directory。这不是勾选几个选项就能完成的事，关键在于策略配置、环境就绪与生效节奏三者严丝合缝。
确认设备硬性前提是否全部到位
组策略不会绕过物理和系统限制，任一条件不满足，加密会静默失败或卡在“准备中”：
- TPM 芯片必须已启用且所有权已清除（在 BIOS/UEFI 中开启 TPM，并执行“清除 TPM”操作）
- 系统盘为 NTFS 格式，且有至少 500MB 未分配空间（用于创建系统保留分区；缺失时策略可能不报错但不触发加密）
- 客户端操作系统为 Windows 10/11 Pro、Enterprise 或 Education 版本（Home 版完全不支持域控下发的 BitLocker 策略）
- 域功能级别不低于 Windows Server 2012 R2（否则“将恢复信息保存到 AD DS”等关键策略不可用）
配置核心 GPO 策略项（计算机配置路径）
所有设置必须在 计算机配置 → 管理模板 → Windows 组件 → BitLocker 驱动器加密 → 操作系统驱动器 下完成：
- 启用“启用 BitLocker”，并勾选“拒绝读取访问权限”（增强 TPM 保护）
- 启用“将 BitLocker 恢复信息保存到 AD DS”（这是密钥进 AD 的开关，非可选）
- 启用“选择启用 BitLocker 时使用的加密方法”，推荐 XTS-AES 256-bit（Windows 10 1709+ 默认且更安全）
- 启用“禁止标准用户启用/解密/暂停 BitLocker”（防止绕过策略）
- 如需 PIN 或 USB 启动验证，还需额外配置“配置 TPM 平台验证程序”并设值为 0x00000000（TPM-only）或配合其他保护程序
若需加密数据盘，同样进入“固定数据驱动器”节点，重复启用对应策略项。
确保 AD 架构与权限就绪
密钥写不进 AD，80% 的失败都出在这里：
- 检查 AD Schema 是否已扩展：用 adsiedit.msc 连接“架构”命名上下文，搜索 ms-FVE-RecoveryPassword 属性；若不存在，需运行 adprep /forestprep（使用匹配当前 DC 的 Windows Server 版本 ADPREP 工具）
- 确认目标计算机对象所在 OU 中，Domain Computers 组默认拥有 Write ms-FVE-RecoveryPassword 权限；若被显式拒绝，需手动添加写入权限
- 客户端必须能通过 TCP 389（LDAP）或 636（LDAPS）与域控制器通信，防火墙或网络策略不能拦截
验证策略是否真正生效
不要只看 GPO 是否链接成功，要分两层验证：
- 在客户端运行：manage-bde -status C:，确认输出中“Protection Status”为 On，“Encryption Percentage”正在上升，“Active Directory 域服务恢复信息”显示为 已启用
- 在域控制器上用 adsiedit.msc 查看该计算机对象属性，确认 ms-FVE-RecoveryPassword 和 ms-FVE-RecoveryGuid 字段已写入非空值
- 注意：策略生效需重启两次——第一次载入策略，第二次才进入 Pre-Boot 环境启动加密；若设备此前已手动启用过 BitLocker，GPO 只同步密钥，不重复加密
