企业官网建设流程全解析

你在搜索引擎里敲下“win10如何安装使用bitlocker”的时候，大概率不是出于好奇，而是遇到了两种情况：一种是被迫面对那个蓝色恢复界面，屏幕上赫然写着“BitLocker恢复”，要求你输入48位恢复密钥；另一种是想给手头的移动硬盘或者重要资料加一道锁。BitLocker就是Windows 10专业版/企业版自带的整盘加密功能，它能把整个分区变成一块看似普通、实际所有数据都已加密的磁盘，写入时即时加密，读取时自动解密，没有密钥的人拿到硬盘也读不出任何有效内容。这篇内容不会给你念官方文档，我会按自己给办公笔记本、移动硬盘和旧台式机做过加密的实际经验来写，不仅讲清楚每一步怎么点、怎么填，还会解释每一步背后的逻辑，以及我踩过的坑。

1. 先搞明白 BitLocker 到底在锁什么：原理比步骤更重要

很多人一上来就点“启用BitLocker”，结果等到系统突然弹恢复界面，或者换了一台电脑发现移动硬盘打不开，才开始后悔没弄懂原理。实际上，BitLocker的原理并不复杂，但理解了它，你才知道自己每一步在干什么。

1.1 它和文件夹加密、压缩包密码不是一回事

给文件夹加密、给压缩包设置密码，代码逻辑上是“应用层”的事。你压缩一个带密码的ZIP，里面每个文件仍然可以被其他工具逐个解剖，文件系统也看得见文件名和目录结构，只是内容被变形保存。BitLocker是“卷加密”，也叫全盘加密，它在Windows内核层面拦截所有读写请求，把数据以AES算法加密后写到磁盘的每一个扇区。也就是说，硬盘拔下来接到另一台电脑上，对方看到的不是“有密码的文件”，而是一个未初始化、没有文件系统签名的随机数据盘，和一块空盘差不多。

BitLocker使用的加密算法默认是XTS-AES 128位，也支持256位，可以在组策略里改。这个强度对个人场景来说已经足够了，现实中绝大多数BitLocker“被破解”的案例，都发生在恢复密钥泄露、而不是算法被攻破。

1.2 启动之后为什么不需要输密码：TPM在替你把关

加密系统盘之后，你会发现开机并没有多一个输入密码的步骤，就像没加密一样。这在很多人看来很矛盾：电脑丢了别人开机不就能直接用吗？其实这里的关键是TPM，也就是可信平台模块。

TPM是一颗独立在主板上或者固件里的安全芯片，它存储BitLocker的密钥信息，同时记录系统启动环境的关键度量值，包括UEFI固件、引导加载程序、安全启动策略等。每次开机时，TPM会比对当前启动环境的“指纹”和系统加密时记录的是否一致。如果一致，就释放密钥去解密系统盘；如果不一致，比如引导文件被改动、安全启动被关闭、或者硬盘被摘走放到别的机器，TPM不会释放密钥，系统就会停在BitLocker恢复界面。

这个概念像什么呢？就好比你家的门锁同时配了一把电子钥匙，这把钥匙只有在家门口指纹验证通过时才肯出示。BitLocker默认的TPM解锁方式，就是让开机过程“无感但安全”。不过代价是，一旦硬件或者启动引导发生变化，恢复密钥就是唯一的后备钥匙。

1.3 恢复密钥：48位数字，平时用不上，丢了真要命

恢复密钥是48位纯数字，分成8组，每组6位，形如“123456-123456-123456-123456-123456-123456-123456-123456”。它和用户设置的密码、TPM芯片里的密钥是独立的两套凭证，专门用于应急恢复。比如TPM换了、主板换了、引导文件受损、或者你忘了开机PIN码，只有恢复密钥能解围。

所以我给所有找我咨询的朋友都会强调一句话：开启BitLocker的一瞬间，最重要的事不是选加密模式，而是把恢复密钥存到安全且自己知道的地方。建议至少保存两份，一份存微软账户，一份打印出来放自己手里。不要只放在同一个盘里，否则那个加密盘本身坏了，密钥也跟着没了。

2. 开启前的自检：系统版本、TPM、分区缺一不可

以前很多人装的是Windows 10家庭版，结果在控制面板里翻来翻去找不到“BitLocker驱动器加密”这一项，以为是系统出问题了。这不是故障，是版本限制。所以在动手之前，先把几个前提条件检查一遍。

2.1 确认系统版本：专业版/企业版才有完整BitLocker

微软对Windows 10的版本做了明确划分。家庭版只有“设备加密”（Device Encryption），这是一个简化版的全盘加密，通常用于现代支持InstantGo的笔记本，而且它不提供完整的BitLocker管理界面，你很难自定义解锁方式。完整版BitLocker是专业版、企业版和教育版才有的功能。

如果你不确定自己的版本，可以在运行里输入winver查看系统信息，或右键开始菜单进入“系统”页面，看“Windows规格”。如果是专业版，后续步骤都能正常走；如果是家庭版，要么用系统自带的设备加密（如果硬件支持），要么升级系统版本。市面上有些精简版Win10会把BitLocker组件裁掉，即便系统显示专业版也找不到入口，这种情况就需要重新安装完整镜像，或者用系统自带的“启用或关闭Windows功能”检查BitLocker相关功能是否被关闭。

2.2 用 tpm.msc 检查TPM状态：数据盘可以不用，系统盘必须要有

TPM不是BitLocker的必要条件。加密非系统盘时，你可以选择用密码解锁，完全不依赖TPM。但加密系统盘时，如果走“仅TPM解锁”模式，TPM必须存在且可用。这也是为什么很多老电脑、自己组装台式机、或者虚拟机上装Win10会卡在“此设备不能使用受信任的平台模块”这一步。

检查方法非常简单：按Win + R，输入tpm.msc回车，查看TPM状态是否为“已就绪（Ready）”，规格版本是否2.0。如果提示“找不到兼容的TPM”，去主板BIOS里找类似“Security Device Support”、“TPM State”、“Intel PTT”的选项把它启用。Intel平台从6代酷睿开始普遍支持固件TPM（Intel PTT），AMD平台对应的是fTPM，默认可能关闭，需要手动开。

另外，虚拟机里也能体验BitLocker，VMware Workstation可以在虚拟机设置里勾选“加密虚拟机”或添加“可信平台模块”设备，VirtualBox则需要额外配置。不过实际项目里我很少建议在虚拟机上测试系统盘BitLocker，因为快照和加密在某些场景下会打架，容易触发恢复界面。

2.3 磁盘结构要求：系统盘加密需要满足分区条件

BitLocker加密系统盘时，Windows必须能找到一个未加密的系统保留分区用来存放引导文件。通常安装Win10时，会自动划分出EFI系统分区、Microsoft保留分区和C盘。如果你的磁盘是后来用第三方工具压缩合并出来的，或者从旧系统直接迁移过来，引导分区可能和C盘在同一个卷上，这时点启用BitLocker会提示“由于该驱动器包含系统启动信息，因此无法对其进行加密。请创建一个单独的启动分区”。

解决办法不是硬来，而是把这个系统盘当成数据盘去处理，或者重建引导分区。最常见的操作是用干净方式重新创建UEFI引导结构，具体步骤如下：

• 备份重要数据。
• 进入Win10安装U盘，使用diskpart把磁盘转换成GPT格式。
• 建立一个100MB以上的EFI分区、一个16MB的MSR分区，然后安装Windows到剩余空间。

这个过程不适合在正文里展开太多，但结论是：如果你想加密系统盘，磁盘必须是GPT分区结构，并且有一个独立的小分区专门放启动信息。如果只是加密D盘或者移动硬盘，分区就没有这么多讲究。

2.4 想清楚恢复密钥怎么存：至少两份，最好别只有电子版

我在实际帮人处理BitLocker故障时，遇到过太多因为恢复密钥找不到而来求助的人。最崩溃的一种是，他把恢复密钥截图存在了手机相册里，结果自己也忘了截图内容，最后只能看手机上有没有备份到云端，或者干脆放弃数据。

所以保存恢复密钥要养成习惯。整个流程里，系统会强制你选择恢复密钥的保存方式，可选选项有：

• 保存到Microsoft账户：最推荐，加密后可以在https://account.microsoft.com/devices/recoverykey查到，前提是你要能登录自己的微软账号。
• 保存到文件：会生成一个.BEK文本文件，格式是明文。如果保存到另一个已加密的U盘里，安全等级更高，但要注意文件路径别搞乱。
• 打印：把密钥打印到纸上，夹在文件夹里，是抗电子灾难最稳的方法。

我个人的习惯是：微软账户保存一份，再打印一份压在抽屉里。电子设备可能一起丢失，但纸质文件不会自动消失。

3. 实操：给C盘系统盘开启BitLocker（完整步骤记录）

自检做完，下面进入正题：加密系统盘。这一节我按Windows 10专业版“控制面板入口”的标准流程写，这是最通用、也最容易在其他电脑上复现的方式。

3.1 找到BitLocker管理入口：两种路径，选你顺手的

第一种：按Win + R输入control回车，打开控制面板，选择“系统和安全”，再点“BitLocker驱动器加密”。第二种更直接：在任务栏左下角搜索框输入“BitLocker”，点结果里的“管理BitLocker”。

进入后你会看到自己电脑上的所有固定驱动器和可移动驱动器。系统盘的图标旁边如果显示“BitLocker已关闭”，说明可以开启；如果显示“BitLocker正在挂起”或“已加密”，说明这台机器以前设置过，先不要重复操作。点击C盘右侧的“启用BitLocker”，这一步之后才真正进入配置向导。

3.2 设置解锁方式：默认“用它自动解锁”还是“每次输入PIN”

系统盘解锁方式的选择是整个过程中唯一一个值得认真思考的选项。

• “使用TPM自动解锁”：开机时TPM验证环境指纹后自动释放密钥，你什么都不用做。日常体验最顺畅，但缺点是电脑丢了，别人只要按电源键直接就能进桌面，数据对你的保护仅体现在“硬盘拆走无法读”。
• “TPM+PIN码”：每次启动都要先输入一组4到20位的PIN码，这个PIN码不参与加密，只是额外的一层身份验证。丢了电脑的人即使能开机，没有PIN码也进不了系统，相当于把“开机密码”提到安全芯片维度。
• “TPM+U盘启动密钥”：需要插入一个U盘作为密钥启动介质，实际使用中比较麻烦，我不太推荐，因为U盘一坏或忘带就必定要进恢复界面。

如果你是商务本、经常带出办公且电脑里有机密方案，建议选“TPM+PIN码”，安全性明显更好。普通家庭用户和台式机，选默认的第一项就够了。

3.3 备份恢复密钥：这一步不可跳过，也别只存在同一个设备里

选完解锁方式，系统就会要求选择“如何备份恢复密钥”。常见选项就那三样：微软账户、文件、打印。这里不强制全选，但至少选一个才能继续。

我的建议是优先选“保存到Microsoft账户”和“打印”双保险。如果你没有微软账户，可以注册一个，也可以选择“保存到文件”。要注意的是，保存到文件时如果你把文件存到了C盘某一个用户文件夹里，那这个文件本身也在被加密的卷上，万一系统崩了要恢复，这个文件反而取不出来，等于白存。最稳妥的是存到独立的U盘、另一块硬盘，或者干脆打印出来。

3.4 选择加密范围：新电脑选“仅加密已用空间”，老电脑选“加密整个驱动器”

这一步很迷惑，很多人不知道“仅加密已用空间”到底安不安全。机制是这样的：

• “仅加密已用空间”：只把当前已有数据所在的扇区加密，未使用的空白扇区保持原样。速度非常快，新买电脑、硬盘刚装好系统时选这个没问题。
• “加密整个驱动器”：把整块磁盘的所有扇区都过一遍，包括空白区域。新数据写入后自然也会加密，但初始化时间会很长。

如果你是在一台用了很久的旧电脑上启用BitLocker，硬盘里可能残留大量已删除文件的碎片，这些碎片在“仅加密已用空间”模式下不会被加密，理论上可以用数据恢复工具扫描出来。所以对旧电脑、或者曾经装过其他系统的硬盘，最好老实选“加密整个驱动器”。加密一个1TB空盘大约需要半小时到几小时，具体看磁盘性能和CPU负载。

3.5 选择加密模式：Win10不用纠结，但移动硬盘要小心

Win10提供了两种加密模式：“兼容模式”和“新的加密模式”。前者兼容Win8/8.1和旧版Win10，后者只兼容Win10 1511及以上版本，使用的是XTS-AES算法。

固定系统盘直接选“新的加密模式”即可，性能更好。唯一需要注意的是U盘和移动硬盘，如果这块盘经常要插到其他人的旧电脑、老Win7电脑上使用，选“兼容模式”更容易避免读取问题。Win7没有XTS-AES支持，遇到新加密模式的BitLocker盘会不认。确认后点“继续”，系统会提示你重启电脑，点“立即重启”。

3.6 重启之后进入后台加密：该干嘛干嘛，但别强制关机

系统重启后，BitLocker会开始后台加密C盘。此时你不需要一直守在进度条前面，可以正常打开软件写代码做文档，加密过程以较低优先级运行，几乎感觉不到占用。但在加密完成之前，最好不要强制关机、不要进入休眠状态、不要随意断电，不然轻则加密进度重置，严重情况下可能触发恢复界面或文件系统错误。

想确认进度的话，在文件资源管理器里右键系统盘，选择“管理BitLocker”，或者看控制面板里那一行“正在加密”。加密完成后，控制面板会显示“BitLocker已打开”。你可以之后在任务栏通知区域看到一个小锁图标，也可以不显示。

4. 给数据盘、U盘和移动硬盘加锁：BitLocker To Go的正确打开方式

系统盘加密是“防拆硬盘”，而数据盘和移动硬盘加密更多是“防丢失”。我自己的移动硬盘和备份U盘都做过BitLocker加密，因为这类设备太容易丢，丢了以后数据被拷贝的风险远大于电脑被拆。

4.1 数据盘启用流程和系统盘的区别

非系统盘启用位子几乎一样：在控制面板BitLocker管理页面，点击D盘右侧的“启用BitLocker”。之后不需要重启，不需要处理TPM问题，直接进入解锁方式设置，主要区别就在这里。

数据盘可以选择“使用密码解锁驱动器”，密码长度建议8位以上，也可以选择“使用智能卡解锁”（企业环境才用得到，个人直接忽略）。同时还可以在“这个驱动器会自动解锁”（仅限于已经开启了系统盘BitLocker的电脑）里勾选自动解锁，这样每次登录系统后，系统盘通过TPM解锁后会自动用受保护的密钥去解锁D盘，不用再输一遍密码。是个非常顺手的功能。

如果你只是给单独的D盘加密，没有开启系统盘BitLocker，那么“自动解锁”选项会是灰色不可选，每次开机都得手动输密码，这也是安全的代价。

4.2 U盘和移动硬盘的BitLocker To Go

U盘和移动硬盘在右键菜单里一般会直接出现“启用BitLocker”选项，管理器里也会把它们单独归到“BitLocker To Go”一类。启用流程基本同上，但有两个额外建议：

• 密码尽量用一个单独、不复用的强密码。U盘插来插去，在公共电脑上输密码有被记录风险，所以不要跟系统登录密码设置同一个。
• 恢复密钥同样要保存，因为移动硬盘如果忘记密码，恢复密钥是唯一的备用方案。

加密完成后，移动硬盘插到其他电脑，文件资源管理器中会显示一个解锁图标，双击后输入密码就能挂载。如果是在没有BitLocker服务的“Windows家庭版”或者其他系统上，默认情况下无法直接读取，需要用到我们后面提到的“读取器”功能。

4.3 在别的电脑上解锁：家庭版会遇到的小障碍

Win10家庭版没有BitLocker管理功能，但按理说仍然可以输入密码解锁BitLocker加密的移动硬盘和U盘。这里有个容易踩的坑：家庭版默认只支持读取，不支持开启和管理；如果你把移动硬盘插到一台精简版Win10家庭版上，可能会提示“需要使用你的密码来解锁驱动器”但输入密码后依然无法挂载，这大概率是系统服务被精简掉了。

解决办法有三种：换一台专业版电脑解锁；用管理员身份重新注册相关的BitLocker服务；或者在Windows功能里确认是否启用了“BitLocker驱动器加密服务”。如果是从网上下载的优化版系统，这一项经常被干掉，很多人因此误以为自己的移动硬盘坏了，实际上只是系统缺组件。

5. 恢复密钥丢失、报错蓝屏和日常维护的实用排查手册

只要电脑使用BitLocker，就迟早会遇到和“恢复密钥”相关的状况。这一部分我按真实求助案例整理，也是全文最希望你能保存下来的内容。

5.1 开机进入“BitLocker恢复界面”：先别慌，冷静找密钥

蓝屏或黑屏恢复界面的典型触发原因包括：BIOS设置变动、安全启动被关闭、主板电池没电导致时间重置、引导文件被第三方工具修改、更新了BIOS固件、或者把硬盘拔下来插到另一台电脑上。

面对恢复界面，最错误的做法是反复重启，因为每次重启都会再次触发TPM完整性检测。正确做法是：

• 在恢复界面输入48位恢复密钥，按回车。
• 如果密钥正确，系统会正常启动进入桌面。
• 进入系统后，马上到BitLocker管理页面，点击“暂停保护”，然后再做你原本想做的BIOS修改或引导修复。

如果你连恢复密钥也找不到，事情就麻烦了。微软账户页面是唯一可能自动保存的地方，用另一台设备登录account.microsoft.com的恢复密钥页面，看看有没有。如果那里也没有，数据基本只能靠解密工具硬扛，但代价极大，现实里几乎不可行。所以再一次强调，密钥要提前备份。

5.2 安全启动被关闭导致的蓝屏：红米等笔记本的常见场景

最近几年的笔记本默认都会开启安全启动和自带的固件TPM。很多笔记本玩家为了自己换系统、装Linux、或者跑到BIOS里把安全启动关了，导致下一次开机直接停在BitLocker恢复界面。网上说“红米笔记本BitLocker蓝屏”的，多半就是这个问题。

解决思路不是去破解恢复界面，而是先把安全启动改回“开启”，同时确认TPM没有被禁用，然后重启。如果BIOS恢复成原状后依然提示恢复，就需要用恢复密钥进入系统。进入系统后，如果你判断安全启动确实和BitLocker无关，就再更新一下TPM驱动，然后用“管理BitLocker > 暂停保护 > 重新启用保护”把当前环境重新登记为可信状态。

这里提醒一句：BitLocker的“暂停保护”不是关闭加密，它只是在你需要修改启动环境时，临时让TPM不再强制进行完整性校验。系统重启后保护会自动恢复，非常方便。

5.3 系统重装和调整分区之前，一定要先解密或备份密钥

后台很多人的习惯是重装系统时直接拿U盘引导，格式化C盘。如果C盘开启了BitLocker，Windows安装程序在格式化和覆盖分区时会碰到各种奇怪问题，比如“检测到分区使用BitLocker加密”，或者安装程序干脆无法识别磁盘结构。这类问题本质上是因为安装程序需要一个未加密的启动分区，而你的磁盘已经被卷加密覆盖。

如果你还想要里面的数据，重装前必须先把系统盘“关闭BitLocker”解密，或者至少把恢复密钥打印好，然后用WinPE之类的工具把重要文件拷贝出来。如果不想要数据了，那就用安装U盘启动到命令行，执行diskpart里的clean命令清掉全部分区，再重新分区安装，此时只是丢失数据，不会再被BitLocker拦路。

5.4 主板的TPM发生变化：新电脑、换主板后的0x8031004A

如果你自己动手更换了主板，或者把硬盘从旧电脑挪到新电脑上，系统盘BitLocker会检测到TPM完全变化，无法自动解锁，百分之百会进入恢复界面。此时恢复密钥是唯一的钥匙。输入密钥成功进入系统后，应该重新把当前TPM加入信任状态，或者干脆把BitLocker关闭，重新用新电脑的TPM做一次完整加密。

常见错误代码0x8031004A表示“TPM无法初始化或状态异常”，多数是因为TPM被重置过、BIOS里TPM状态变成Disabled。去BIOS把TPM重新启用并确认“已就绪”后，再用恢复密钥进入系统并“重新启用保护”即可。

5.5 关闭和解密BitLocker的正确步骤

有的人用了一段时间觉得开机慢或者不想受BitLocker约束，打算彻底关掉。正确路径是在BitLocker管理页面点击系统盘或者数据盘右侧的“关闭BitLocker”，系统会弹出是否解密确认。点“解密驱动器”后，Windows会在后台把整块卷的数据重新写回明文状态，这个过程同样需要时间，期间不要强制关机。

注意，“关闭BitLocker”是真正的全量解密，不是“停止保护”。如果你只是想暂时不让TPM校验，用“暂停保护”就行，解密完数据盘才能被第三方恢复工具直接读取。解密完成后，数据盘的文件系统恢复正常，性能损耗也会消失。

5.6 常见问题速查表

6. 说点别人不会主动告诉你的细节：开启时机和一些使用体会

最后这部分不算是教程，更多的是一些“早知道就好了”的经验。

第一次给办公笔记本开BitLocker，我把时机选得太早了。刚装完系统就点启用BitLocker，后面更新BIOS、调引导、甚至装双系统时，每次都碰到恢复界面。后来我总结出一个规律：尽量在系统装好、常用软件装完、驱动和BIOS都稳定后再开BitLocker，这样后续硬件层面的改动会少很多，也就不容易触发恢复流程。

如果你手上是一台配置比较旧、CPU性能一般的电脑，开BitLocker以后确实会有一点性能损失，尤其是大量小文件读写时会更明显。这种情况下，我通常建议只在数据盘上开启，系统盘可以不开。反过来，带着笔记本到处跑、或者经常放车里、扔行政仓库的人，我强烈建议系统盘和数据盘都开，因为物理丢失是最高风险，性能损失完全可以接受。

另外，一些“优化版Win10”为了追求流畅，会把安全中心服务、CryptSvc服务或者设备加密相关组件关掉，结果BitLocker要么无法启用，要么启用后解锁不稳定。你要是动过这些服务，在动手之前最好先恢复默认，或者直接用原版镜像安装的系统来做加密，别和优化工具较劲。我在一台LTSC精简版上折腾半天，最后老老实实用原版镜像重装，BitLocker才恢复正常。就这样，愿你顺顺利利给自己的数据加好这层保险。