域内设备自动启用bitlocker并存密钥至ad，需三要素同步：一是tpm启用并清除、系统盘ntfs且有500mb未分配空间、win10/11专业版以上、域功能级别≥2012 r2；二是gpo中启用“启用bitlocker”“保存恢复信息到ad ds”“xts-aes 256-bit加密”“禁止标准用户操作”四项策略；三是ad schema已扩展ms-fve-*属性、domain computers具备写权限、客户端可达dc的ldap端口；生效需重启两次，验证须用manage-bde -status和adsiedit.msc双确认。
要让域内设备自动启用 bitlocker 加密、不依赖人工操作，且恢复密钥可靠存入 active directory，关键不是简单勾选策略，而是确保硬件就绪、策略配置精准、ad 权限到位三者同步生效。
确认设备硬性前提是否全部满足
组策略不会绕过物理和系统限制，任一条件缺失都会导致静默失败或卡在“准备中”：
- TPM 芯片必须已在 BIOS/UEFI 中启用，并执行过“清除 TPM”操作（所有权已重置）
- 系统盘需为 NTFS 格式，且至少保留 500MB 未分配空间（用于创建系统保留分区）
- 客户端操作系统必须是 Windows 10/11 Pro、Enterprise 或 Education 版本（Home 版完全不支持域控下发的 BitLocker 策略）
- 域功能级别不低于 Windows Server 2012 R2（否则“将恢复信息保存到 AD DS”等策略不可用）
配置核心 GPO 策略项（计算机配置路径）
所有设置必须在计算机配置 → 管理模板 → Windows 组件 → BitLocker 驱动器加密 → 操作系统驱动器下完成：
- 启用“启用 BitLocker”，并勾选“拒绝读取访问权限”（增强 TPM 保护）
- 启用“将 BitLocker 恢复信息保存到 AD DS”（这是密钥写入 AD 的强制开关）
- 启用“选择启用 BitLocker 时使用的加密方法”，设为 XTS-AES 256-bit（Windows 10 1709+ 默认且更安全）
- 启用“禁止标准用户启用/解密/暂停 BitLocker”（防止非管理员绕过）
- 如需 PIN 或 USB 启动验证，还需配置“配置 TPM 平台验证程序”，值设为 0x00000000（TPM-only）或配合其他验证方式
确保 AD 架构与权限就绪
密钥无法写入 AD，80% 的失败源于此环节：
- 用 adsiedit.msc 连接“架构”命名上下文，搜索 ms-FVE-RecoveryPassword 属性；若不存在，需运行 adprep /forestprep（使用匹配当前 DC 的 Windows Server 版本 ADPREP 工具）
- 目标计算机对象所在 OU 中，Domain Computers 组需具备对 ms-FVE-* 属性的写权限（默认有，若被显式拒绝需手动修复）
- 客户端必须能通过 TCP 389（LDAP）或 636（LDAPS）访问域控制器，防火墙或网络策略不能拦截
验证策略是否真正生效
不能只看 GPO 是否链接成功，必须双维度实证：
- 在客户端以管理员身份运行：manage-bde -status C:，确认状态为“Protection On”，且“Active Directory 域服务恢复信息”显示为“已启用”
- 用 adsiedit.msc 连接“默认命名上下文”，定位该计算机对象，检查其属性中是否存在 ms-FVE-RecoveryPassword 和 ms-FVE-RecoveryGuid 值
- 注意：策略生效需重启两次——第一次载入策略并初始化服务，第二次进入 Pre-Boot 环境触发实际加密；若此前已手动启用过 BitLocker，策略仅同步密钥，不重复加密
