BitLocker怎么使用 PowerShell 批量配置服务器磁盘加密-windows运维-PHP中文网

powershell是批量配置服务器bitlocker加密最可靠、可审计、可集成的方式，适用于windows server 2012 r2及以上版本，需确认系统版本、磁盘格式、tpm状态、卷占用情况及管理员权限，再分步执行加密启用与保护机制配置。

powershell 是批量配置服务器 bitlocker 加密最可靠、可审计、可集成的方式，尤其适合 windows server（2012 r2 及以上）环境。它不依赖图形界面，支持脚本化、远程执行和策略对齐，但需注意：不是所有操作都能“一键完成”，关键在于分清“加密启用”和“保护状态配置”两类任务。

启用加密前必须确认的几件事

服务器系统版本为 Windows Server Standard / Datacenter（专业版及以上）
磁盘格式为 NTFS 或 ReFS（BitLocker 不支持 FAT32）
TPM 已就绪（Get-Tpm 返回 TpmPresent: True 且 TpmReady: True），或已准备好 USB 启动密钥/密码方案
目标卷未被系统或应用独占占用（如正在写入日志、挂载为 CSV 协调器节点等）
当前 PowerShell 会话以 本地管理员身份运行，且对远程服务器启用 WinRM 或使用 PSSession

批量启用 BitLocker（含系统盘与数据盘）

以下命令适用于单台或多台服务器统一部署，推荐先测试单卷再扩展：

对指定驱动器启用加密（自动使用 TPM）：
```
Enable-BitLocker -MountPoint "D:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -SkipHardwareTest
```
–UsedSpaceOnly 显著缩短首次加密耗时；–SkipHardwareTest 避免在自动化环境中因 BIOS 检查中断。
对系统盘（C:）启用并强制备份恢复密钥到 Active Directory（域环境）：
```
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -AdAccountOrGroupProtector -SkipHardwareTest
```
前提是已配置好 BitLocker AD 恢复信息架构，并赋予计算机账户写入权限。

批量处理多台服务器上的所有固定数据卷（排除系统盘和可移动盘）：

$servers = "SRV01", "SRV02", "SRV03"
$servers | ForEach-Object {
    Invoke-Command -ComputerName $_ -ScriptBlock {
        Get-BitLockerVolume | Where-Object { 
            $_.VolumeType -eq 'DataVolume' -and $_.ProtectionStatus -eq 'Off' 
        } | ForEach-Object {
            Enable-BitLocker -MountPoint $_.MountPoint -EncryptionMethod XtsAes256 -UsedSpaceOnly
        }
    }
}

补充关键保护机制（不能跳过）

仅启用加密不等于安全。以下步骤确保密钥可恢复、验证可强化：

自动添加 PIN 保护（需配合组策略启用“启动时要求输入 PIN”）：

Handsfree Windows Control
通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。

下载
```
$pin = ConvertTo-SecureString "12345678" -AsPlainText -Force
Add-BitLockerKeyProtector -MountPoint "C:" -Pin $pin
```
⚠️ 注意：PIN 必须是 SecureString 类型，明文字符串会报错。

备份恢复密钥到本地安全路径（带时间戳，防覆盖）：

$date = Get-Date -Format "yyyyMMdd_HHmm"
$vol = Get-BitLockerVolume -MountPoint "C:"
$key = $vol.KeyProtector | Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' }
$key.RecoveryPassword | Out-File "D:\BitLockerKeys\C_Recovery_$date.txt"

批量导出所有卷的恢复密钥（CSV 格式，供审计）：

Get-BitLockerVolume | ForEach-Object {
    $vol = $_
    $vol.KeyProtector | Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
        Select-Object @{n='Drive';e={$vol.MountPoint}}, KeyProtectorId, RecoveryPassword
} | Export-Csv "D:\Reports\bitlocker_recovery_keys.csv" -NoTypeInformation

针对集群共享卷（CSV）的特殊处理

若服务器属于故障转移集群，加密 CSV 需使用 AzureStackBitLockerAgent 模块（Windows Server 2022+ 或 Azure Local）：

查询当前 CSV 加密状态：

Get-ASBitLocker -VolumeType ClusterSharedVolume -Local

启用 CSV 加密（需在每个节点上单独执行）：
```
Enable-ASBitLocker -VolumeType ClusterSharedVolume -Local
```
⚠️ 注意：CSV 加密后，所有集群节点必须能访问同一密钥源（如 AD 或集中密钥库），否则故障转移可能失败。

不复杂但容易忽略。