powershell 是管理 bitlocker 最高效可控的方式，需先验证系统版本、tpm 2.0 和 gpt 分区三项条件；启用时分步添加恢复密钥与加密；支持查询状态、修复异常及批量操作。
powershell 是管理 bitlocker 最高效、最可控的方式，尤其适合批量操作和集成进现有运维流程。它不依赖图形界面，能直接调用系统底层模块，支持条件判断、错误处理和日志记录，真正实现“一次写脚本，百台设备跑”。
确认环境是否支持 BitLocker
不是所有 Windows 设备都能启用 BitLocker，脚本执行前必须验证三项硬性条件：
- 操作系统版本为 Windows 10/11 Pro、Enterprise 或 Server 系列（家庭版不支持）
- 设备搭载 TPM 2.0 芯片且已初始化（可用 Get-Tpm 检查 TpmPresent 和 TpmReady 均为 True）
- 系统盘为 GPT 分区格式，并存在至少一个恢复分区（可用 diskpart 或 Get-Disk | Get-Partition 验证）
缺少任一条件，Enable-BitLocker 命令会失败或降级为仅密码保护（无 TPM 绑定），安全性大幅降低。
启用加密：分步控制更稳妥
直接运行 Enable-BitLocker 容易因缺少密钥保护器而报错。推荐拆解为两步，确保合规且可恢复：
- 先添加恢复密钥保护器：Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector（生成并返回 48 位数字密钥）
- 再启用加密：Enable-BitLocker -MountPoint C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -SkipHardwareTest
注意：-UsedSpaceOnly 参数可显著缩短首次加密耗时；-SkipHardwareTest 用于跳过 TPM 自检（仅限测试环境或已确认 TPM 正常时使用）。
查询与修复常见异常状态
实际运维中，等待激活、保护关闭、锁定但未解锁 是高频问题。对应命令如下：
- 查全部卷状态：Get-BitLockerVolume（返回 ProtectionStatus、VolumeStatus、KeyProtector 类型等关键字段）
- 查“等待激活”盘：Get-BitLockerVolume | Where-Object {$_.VolumeStatus -eq 'FullyDecrypted' -and $_.ProtectionStatus -eq 'Off'}
- 强制刷新策略缓存（解决已登录却提示锁定）：Suspend-BitLocker -MountPoint C: -RebootCount 0 后立即 Resume-BitLocker -MountPoint C:
批量解密或暂停加密
解密操作需谨慎，建议先备份密钥再执行。对多台设备统一操作时，推荐用 Invoke-Command 远程调用：
- 安全解密（保留密钥）：Disable-BitLocker -MountPoint D:
- 彻底移除所有保护器（慎用）：Remove-BitLockerKeyProtector -MountPoint C: -KeyProtectorId [ID]（ID 来自 Get-BitLockerVolume 输出）
- 暂停加密进程（如中途需重启）：Suspend-BitLocker -MountPoint C: -RebootCount 1（下次启动自动继续）
不复杂但容易忽略
