凌晨 2:40，我站在葵涌机房 7 楼的过道里，空调送风像一阵阵冷雾。客户的法务刚打来电话：一台用于财务结算的云主机快照里可能含有未脱敏的报表，必须 今天 把落地的物理服务器盘全加密。

我盯着 iDRAC 的 KVM 窗口，Windows Server 2019 的桌面蓝得发亮——这是我做过很多次的事，却依然不敢有丝毫大意：BitLocker + TPM，既要安全，又要保证远程重启能自动解锁业务盘，不让凌晨三点的值班同事被“请”到机房敲 PIN。下面，就是那一夜我在香港机房边干边记下的全流程。

这台香港服务器的真实配置

现场小记：TPM 2.0 + UEFI + Secure Boot 是我给香港场景的“黄金三件套”。TPM 2.0 保证密钥硬件保护，UEFI + Secure Boot 让 PCR7 更稳定，Windows 升级、驱动更新引发的恢复模式概率显著降低。

总体策略设计（为什么这样做）

• 系统盘（C:）：BitLocker 保护器选择 TPM-only（不开 PIN），保证远程重启能自动解锁，适合无人值守重启、补丁后自动恢复服务。
• 数据盘（D:/E: …）：使用 TPM 保护器 + 恢复密码保护器。业务盘默认随系统盘自动解锁，同时单独留恢复密码以备急用。
• 加密算法：XTS-AES 256（兼顾合规与强度；若极端追求性能可选 128）。
• 强制软件加密：禁用 SSD 硬件加密（曾有固件漏洞的历史包袱），统一用 BitLocker 软件路径，结果可控。
• 密钥托管：域环境则回写 AD；若是非域（香港常见裸机租用），将恢复密钥转存到离机保管的保险库（例如专用密钥盘或加密密码仓）。
• 维护可用性：固件升级、引导项变更前自动 Suspend-BitLocker（临停保护器），避免 PCR 变化触发恢复模式。

开始前的快速自检清单（5 分钟）

# 1) TPM 是否可用
get-tpm

# 2) 确认卷与分区风格
Get-Disk | ft Number, PartitionStyle, IsBoot, IsSystem
Get-Volume | ft DriveLetter, FileSystemLabel, FileSystem, SizeRemaining, Size

# 3) BitLocker 当前状态
Get-BitLockerVolume | fl

# 4) 安全启动与 PCR7 绑定（可在 msinfo32/系统信息中查看）
# "设备加密支持"一项若显示“满足要求”更稳

若发现系统盘是 MBR/Legacy 引导，优先在维护窗用 mbr2gpt 转换为 GPT + UEFI（有快照/镜像再动手）：

mbr2gpt /validate /allowFullOS /disk:0
mbr2gpt /convert /allowFullOS /disk:0
# 转换后到 BIOS 改为 UEFI 引导并启用 Secure Boot

组策略与安全基线（域内强烈推荐）

如果是多台服务器批量实施，我先用 GPO 锁定算法、禁用硬件加密，再实施加密，避免每台手工差异。

GPO 路径与关键设置（计算机配置 → 管理模板 → Windows 组件 → BitLocker 驱动器加密）：

非域环境：跳过 AD 托管，转用离机密钥仓流程（见后文脚本）。

实操分步：在 Windows Server 2019 上开启 BitLocker + TPM

1）确认并初始化 TPM

# 查看 TPM 状态
(get-tpm).tpmready
(get-tpm).tpmpresent
(get-tpm).tpmspecversion

# 需要时可清除/初始化（谨慎！生产谨慎使用）
# Initialize-Tpm

现场坑点：部分托管商的主板把 TPM 设成 Hidden 或 Deactivated。进 iDRAC/iLO → BIOS → Security，把 TPM 2.0 设置为 Enabled + Activated。还要确保 Secure Boot = Enabled，CSM = Disabled。

2）（可选）在 Server Core 上安装 BitLocker 工具

Server Core 默认有 BitLocker 组件，但若缺失：

Enable-WindowsOptionalFeature -Online -FeatureName BitLocker -All

3）设置加密算法（如果无 GPO）

# OS 卷 & 固定卷改为 XTS-AES 256
reg add "HKLM\SOFTWARE\Policies\Microsoft\FVE" /v EncryptionMethodWithXtsOs /t REG_DWORD /d 7 /f
reg add "HKLM\SOFTWARE\Policies\Microsoft\FVE" /v EncryptionMethodWithXtsFdv /t REG_DWORD /d 7 /f

# 禁用硬件加密
reg add "HKLM\SOFTWARE\Policies\Microsoft\FVE" /v OSAllowHardwareEncryption /t REG_DWORD /d 0 /f
reg add "HKLM\SOFTWARE\Policies\Microsoft\FVE" /v FDVAllowHardwareEncryption /t REG_DWORD /d 0 /f

对应数值：XTS-AES 256 = 7；XTS-AES 128 = 6。

4）加密系统盘（TPM-only）

# 仅加密已用空间（速度快），首次部署常用
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 查看进度
Get-BitLockerVolume -MountPoint "C:" | fl

现场建议：第一次启用 OS 卷用 UsedSpaceOnly，快很多；数据盘建议对存量数据 Full 加密（见下），避免历史未覆盖区间泄漏。

5）加密数据盘（TPM + 恢复密码）

# 以 D: 举例，创建恢复密码保护器
$kp = Add-BitLockerKeyProtector -MountPoint "D:" -RecoveryPasswordProtector

# 再绑定 TPM 保护器，实现随系统自动解锁
Add-BitLockerKeyProtector -MountPoint "D:" -TpmProtector

# 启动“全盘”加密（数据盘建议 Full，安全边界更干净）
Enable-BitLocker -MountPoint "D:" -EncryptionMethod XtsAes256 -Full

# 导出恢复密钥（非域环境强烈执行）
$rid = ($kp).KeyProtector.Id
(Get-BitLockerVolume -MountPoint "D:").KeyProtector | ?{$_.KeyProtectorId -eq $rid}

域内机器建议回写 AD（自动/手动）：

# 将指定保护器备份到 AD（域内）
$os = (Get-BitLockerVolume -MountPoint "C:").KeyProtector | ?{$_.KeyProtectorType -like "*RecoveryPassword*"}
if ($os) { Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId $os.KeyProtectorId }

6）验证与自动解锁

# 验证所有卷状态
Get-BitLockerVolume | ft MountPoint, VolumeStatus, ProtectionStatus, EncryptionMethod, AutoUnlockEnabled

# 启用业务盘自动解锁（若未自动生效）
Enable-BitLockerAutoUnlock -MountPoint "D:"

我用来“一键落地”的生产脚本（单机/批量都好用）

适用于 Server Core 或 GUI，域内会自动备份到 AD；非域会把恢复密码写到你指定的离机路径（建议 SMB+只写权限）。

<# 
.SYNOPSIS
  Enable BitLocker with TPM on all fixed drives (C: TPM-only; data drives TPM+Recovery),
  force XTS-AES 256 software encryption, escrow keys (AD or file share).
#>

param(
  [string]$RecoveryShare = "\\filesrv\bitlocker-escrow$\HK-DC01",  # 非域环境：改成你的离机共享
  [switch]$DomainJoined
)

# 1) Policy baseline (software only + XTS-AES 256)
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsOs" -PropertyType DWord -Value 7 -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsFdv" -PropertyType DWord -Value 7 -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "OSAllowHardwareEncryption" -PropertyType DWord -Value 0 -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "FDVAllowHardwareEncryption" -PropertyType DWord -Value 0 -Force | Out-Null

# 2) OS drive
$osDrive = (Get-BitLockerVolume -MountPoint 'C:').MountPoint
if (-not $osDrive) { throw "C: not found." }
if ((Get-BitLockerVolume -MountPoint 'C:').ProtectionStatus -eq 'Off') {
  Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector
}

# 3) Data drives
$fixed = Get-Volume | ?{ $_.DriveType -eq 'Fixed' -and $_.DriveLetter -ne 'C' }
foreach ($v in $fixed) {
  $dl = "$($v.DriveLetter):"
  if ((Get-BitLockerVolume -MountPoint $dl).ProtectionStatus -eq 'Off') {
    $rec = Add-BitLockerKeyProtector -MountPoint $dl -RecoveryPasswordProtector
    Add-BitLockerKeyProtector -MountPoint $dl -TpmProtector
    Enable-BitLocker -MountPoint $dl -EncryptionMethod XtsAes256 -Full

    # 3.1 Escrow
    if ($DomainJoined) {
      Backup-BitLockerKeyProtector -MountPoint $dl -KeyProtectorId $rec.KeyProtector.Id | Out-Null
    } else {
      # 非域：导出到共享（只写权限），文件名含主机名+卷标
      $host = $env:COMPUTERNAME
      $ts = Get-Date -Format "yyyyMMdd-HHmmss"
      $file = "$RecoveryShare\$host-$dl-$ts.bek.txt"
      $kp = (Get-BitLockerVolume -MountPoint $dl).KeyProtector | ?{$_.KeyProtectorType -like "*RecoveryPassword*"}
      if ($kp) { $kp | Out-String | Out-File -FilePath $file -Encoding utf8 -Force }
    }
  }
  Enable-BitLockerAutoUnlock -MountPoint $dl | Out-Null
}

Write-Host "All done. Current status:"
Get-BitLockerVolume | ft MountPoint, VolumeStatus, ProtectionStatus, EncryptionMethod, AutoUnlockEnabled

性能影响：我用 DiskSpd 现场采样的数据

同批 NVMe 盘，RAID10，启用 XTS-AES 256 后的开销主要来自 CPU（AES-NI 加速下仍可接受）。下面是那一夜采样到的 30 秒快速压测数据（Windows Defender 实时防护关闭、I/O 缓存清理、随机 64K 只读）：

测试命令（任选其一）：

# 读随机 64K，无缓存，30 秒
diskspd.exe -c5G -b64K -d30 -r -w0 -Sh -L E:\testfile.dat

结论：在开启 AES-NI 的服务器上，XTS-AES 256 的读性能下降约 3%~7%，写压测通常 5%~12%（取决于控制器与阵列策略），绝大多数业务可接受。

维护与变更：如何不被凌晨叫醒

固件/引导变更前：

Suspend-BitLocker -MountPoint "C:" -RebootCount 1

让下一次重启不校验 PCR，避免进入恢复模式。升级完成会自动恢复保护。数据盘一般不需要 Suspend。

监控日志：事件查看器 → 应用程序和服务日志 → Microsoft-Windows-BitLocker-API/Management，关注异常 ID（如解锁失败、保护器变更）。

定期备份恢复密钥：域内检查 AD 中 msFVE-RecoveryInformation 是否齐全；非域确认你的离机密钥仓可用、可恢复。

变更后自检：

manage-bde -status
Get-BitLockerVolume | fl

现场“坑与解法”复盘

BIOS 打开了 CSM（兼容模式）

现象：PCR 配置不稳定，更新后偶发恢复模式。

解决：关 CSM、开 UEFI + Secure Boot；如是 MBR，先 mbr2gpt 转换。

SSD 自带硬件加密被误用

现象：策略未禁硬件加密，部分 SSD 走厂商固件通道；合规审计过不了。

解决：用 GPO/注册表禁硬件加密，统一软件加密，重新加密卷（需要维护窗）。

TPM 未激活/被隐藏

现象：Get-Tpm 显示 TpmPresent=True、TpmReady=False。

解决：进 iDRAC/iLO → BIOS 把 TPM 设为 Enabled + Activated，必要时清 TPM（先备份密钥！）。

计划加 TPM+PIN，但远程无人敲 PIN

现象：重启停在预启动 PIN 页面。

解决：服务器通常不要 TPM+PIN（除非你有 KVM + 人值守或 Network Unlock 基础设施）。香港多机房网络不在同一广播域，Network Unlock 很难部署；因此 OS 卷用 TPM-only 更实际。

后台加密导致 I/O 尖刺

现象：启用后的 1~2 小时内延迟略升。

解决：对 OS 卷启用 UsedSpaceOnly；数据盘在低谷窗口进行 Full，并限速（存储阵列或磁盘调度）。

标准化交付：给客户的“交接单”模版

常用命令速查

# 查看状态
manage-bde -status
Get-BitLockerVolume | ft

# 添加/删除保护器
Add-BitLockerKeyProtector -MountPoint "D:" -RecoveryPasswordProtector
Remove-BitLockerKeyProtector -MountPoint "D:" -KeyProtectorId "{GUID}"

# 暂停/恢复保护
Suspend-BitLocker -MountPoint "C:" -RebootCount 1
Resume-BitLocker -MountPoint "C:"

# 备份到 AD（域内）
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId "{GUID}"

# 启用/禁用自动解锁（数据卷）
Enable-BitLockerAutoUnlock -MountPoint "D:"
Disable-BitLockerAutoUnlock -MountPoint "D:"

收尾：三点落地原则

早上 5:10，机房外的天色刚泛白，我把最后一个恢复密钥文件拷进离线保险库。回酒店的路上，手里还握着那张交接清单。做 BitLocker，不是点个“开启”就结束了。对我来说，能否在凌晨一次无人的重启后，业务自己站起来，才算真正交付完毕。

安全边界要真实可控：统一 XTS-AES 软件加密、禁用硬件加密，算法与实现路径可审计、可复现。

可运维优先：OS 卷用 TPM-only，数据卷自动解锁 + 留恢复密码；固件变更前先 Suspend。

留证据：GPO/注册表截图、manage-bde -status 输出、压测数据、恢复密钥托管记录，一个都不能少。

如果你也要在香港这样的托管环境里做同样的事，这份笔记可以直接拿去用；若要批量铺开，上面的脚本和 GPO 基线就足够把“凌晨的焦虑”关在机房门外。祝你有个安稳的夜班。