昨晚一位重要客户发来“红色”升级指令：本周内完成整柜 Windows 服务器的硬盘级加密与文件级细粒度加密，保证数据库落盘密文、应用日志细粒度管控，还要兼顾线上性能和凌晨维护窗口。我知道，这意味着要把 BitLocker（全盘/卷加密） 和 EFS（Encrypting File System，文件/目录级加密） 一起落地，且要把恢复、审计、自动化都考虑周全。下面是一整套我在香港机房真实落地的做法和踩坑复盘，尽量把细节掰开了讲，既让新手能照着做，也让老手能挑出关键处做自己的裁剪。

场景与目标（Threat Model & 目标态）

场景：香港机房托管，Windows Server 2019/2022（多数是 2022 Datacenter），既有物理机也有VM（vSphere/Hyper-V）。数据盘为 NVMe SSD，系统盘为 SATA SSD，部分机型主板带 TPM2.0，部分老机器无 TPM。

目标：

BitLocker：系统盘 + 数据盘全部加密；支持自动解锁与远程重启；丢失硬盘或整机被窃也无法读盘。

EFS：只对应用配置、导出报表、特定日志做文件级加密，配合**DRA（恢复代理）**和证书备份，满足“谁加密谁能读”的原则。

可运维：统一密钥托管/备份、可审计、自动化脚本化、可在凌晨窗口一次性批量落地。

性能友好：尽量选择 XTS-AES 128（必要时 256），利用 CPU 的 AES-NI，保证 NVMe 上的延迟抖动不超过 5–8%。

1. 基础环境与硬件参数（样例）

2. BitLocker 与 EFS：谁负责什么？

BitLocker：对整个卷加密（系统盘、数据盘）。对硬盘/主机被盗、下线盘交还、RMA、托管中被拔盘等威胁尤其有效。它在文件系统之下工作，对应用透明。

EFS：对文件/文件夹精细加密，天然支持多用户/证书访问控制，适合把“并非全盘都敏感”的场景和“少数目录更敏感”的需求做细分。EFS 依赖证书（用户或恢复代理）。

实战经验：两者并不冲突。我的做法是“BitLocker 兜底 + EFS 定点加强”：系统盘 + 所有数据卷 BitLocker；应用方特别敏感的目录再用 EFS（并配置 DRA）做精细访问控制与可撤销性。

3. 变更前自检清单（Pre-flight Checklist）

补丁与重启窗口：确保系统已打到最新 CU；准备好凌晨 2:00–4:00 的重启窗口。

TPM 状态：

• 物理机：BIOS 中启用 PTT/TPM2.0；
• vSphere：为 VM 添加 vTPM（需配置 Key Provider）；
• Hyper-V Gen2：启用 安全启动与 虚拟 TPM。

无 TPM 的机器，需选择 密码/启动 U 盘 或 Network Unlock（域内 PXE + WDS）。

AD/GPO：准备好 BitLocker 的 GPO（恢复信息写入 AD），以及 EFS 的 DRA 证书策略。

备份/快照：对关键 VM 做快照；物理机至少备份系统状态；导出计划任务。

容量与健康：chkdsk /scan，Get-PhysicalDisk 查看介质健康；加密前确保卷无错误。

性能基线：抓一次延迟与 IOPS 基线（DiskSpd/FIO/内置性能计数器），以便对比。

4. BitLocker 落地步骤（含有/无 TPM 的两套路径）

4.1 推荐加密算法与策略

算法：XTS-AES 128（大多数场景够用，性能更优）；确有合规/客户要求再用 256。

启动保护：TPM + PIN（生产机我通常设置 6–8 位 PIN；无人值守可只 TPM/配合 Network Unlock）。

恢复密钥：写入 AD DS（Computer 对象属性里）、同时导出到安全的密钥共享（离线备份）。

示例 GPO（域控上）

计算机配置 → 管理模板 → Windows 组件 → BitLocker 驱动器加密：

选择加密方法：XTS-AES 128（系统/固定/可移动分别设定）

在 Active Directory 中存储恢复信息：启用

操作系统驱动器：允许 TPM + PIN

固定数据驱动器：允许自动解锁

4.2 有 TPM 的常规路径（最稳）

# 以管理员 PowerShell 运行
# 1) 统一设定加密方法
Set-BitLockerVolume -MountPoint "C:" -EncryptionMethod XtsAes128 -UsedSpaceOnly
Set-BitLockerVolume -MountPoint "D:" -EncryptionMethod XtsAes128
Set-BitLockerVolume -MountPoint "E:" -EncryptionMethod XtsAes128

# 2) 为系统盘启用 TPM+PIN
$SecurePin = Read-Host "Set TPM PIN (6-20 digits)" -AsSecureString
Enable-BitLocker -MountPoint "C:" -TpmAndPinProtector -Pin $SecurePin -UsedSpaceOnly -RecoveryPasswordProtector

# 3) 为数据盘启用并自动解锁
Enable-BitLocker -MountPoint "D:" -RecoveryPasswordProtector
Enable-BitLocker -MountPoint "E:" -RecoveryPasswordProtector
Add-BitLockerKeyProtector -MountPoint "D:" -TpmProtector
Add-BitLockerKeyProtector -MountPoint "E:" -TpmProtector
Enable-BitLockerAutoUnlock -MountPoint "D:"
Enable-BitLockerAutoUnlock -MountPoint "E:"

# 4) 导出恢复密钥到安全共享（域内只读共享，ACL 限制）
$share="\\HK-FS01\BitLockerKeys$\$env:COMPUTERNAME"
New-Item -ItemType Directory -Path $share -Force | Out-Null
(Get-BitLockerVolume -MountPoint "C:").KeyProtector | 
  Where-Object {$_.KeyProtectorType -eq "RecoveryPassword"} |
  ForEach-Object { $_.RecoveryPassword } | 
  Out-File "$share\C_recovery.txt" -Encoding ASCII
(Get-BitLockerVolume -MountPoint "D:").KeyProtector | 
  Where-Object {$_.KeyProtectorType -eq "RecoveryPassword"} |
  ForEach-Object { $_.RecoveryPassword } | 
  Out-File "$share\D_recovery.txt" -Encoding ASCII

验证：

• Get-BitLockerVolume 或 manage-bde -status 查看进度与保护器。
• 重启一次确认 TPM+PIN 生效（维护窗口内执行）。

4.3 无 TPM 的备选路径（密码/启动 U 盘/Network Unlock）

A. 启动密码（OS 盘） + 自动解锁（数据盘）：

# 设置系统盘使用密码保护
$SecurePwd = Read-Host "Startup Password" -AsSecureString
Enable-BitLocker -MountPoint "C:" -PasswordProtector -Password $SecurePwd -UsedSpaceOnly -RecoveryPasswordProtector

# 数据盘自动解锁
Enable-BitLocker -MountPoint "D:" -PasswordProtector
Enable-BitLockerAutoUnlock -MountPoint "D:"

B. 启动 U 盘（遗留硬件）：

manage-bde -on C: -sk X: -rp

其中 X: 是插入的启动 U 盘，生产上要有 双备份、贴标签、上机房资产台账。

C. Network Unlock（域环境 + WDS）

配置略复杂，需要：

• 配置 WDS 角色、部署 Network Unlock 提供程序；
• 服务器 BIOS 开启 PXE；
• 同网段 DHCP；
• 客户端 GPO 允许 Network Unlock。

优点是无人值守重启可自动解锁；缺点是跨机房网络、维护要求高。我在跨房区场景更倾向 TPM+PIN。

5. EFS 部署（含 DRA 恢复代理）

5.1 为什么仍然需要 EFS？

合规/内控要求区分谁能读哪些文件（而不仅仅是“盘拿走读不了”）。

某些应用导出/报表需要按人授权；BitLocker 无法做到文件级授权撤销。

5.2 关键概念

EFS 以证书为单位；加密者默认能读。

DRA（Data Recovery Agent）：组织级“主钥匙”，防止人员离任/证书丢失导致永不可读。

5.3 生成 DRA 并下发（域控上）

在安全管理机上生成 DRA：

:: 生成 EFS 恢复代理证书与私钥
cipher /r:HK_EFS_DRA
:: 生成两个文件：
:: HK_EFS_DRA.cer（公钥证书）
:: HK_EFS_DRA.pfx（含私钥，务必妥善保管与离线备份）

通过 GPO 下发 DRA：

计算机配置 → Windows 设置 → 安全设置 → 公钥策略 → 加密文件系统

右键“数据恢复代理”→ 添加恢复代理 → 选择 HK_EFS_DRA.cer

同步/应用 GPO，目标服务器上 gpupdate /force

验证：cipher /y 可查看当前 EFS 证书；新加密文件应自动包含 DRA 条目。

5.4 在服务器上启用与使用 EFS

（1）为某业务目录启用 EFS（示例：D:\App\conf、D:\App\reports）

# 打开 EFS 使用高强度哈希（Windows 10/Server 2016+）
cipher /h

# 为目录加密（包含子目录/文件）
cipher /e /s:"D:\App\conf"
cipher /e /s:"D:\App\reports"

# 验证加密状态
cipher /c "D:\App\conf\web.config"

（2）将 EFS 访问授权给特定服务账号（域用户）

# 导出当前加密文件的 EFS 证书信息
$path="D:\App\conf\secrets.json"
cipher /c $path

# 为域用户 svc_app@corp.local 添加访问（需其有 EFS 证书；可先为其加密一个空文件生成证书）
# 使用 Windows UI 更直观：文件属性 -> 高级 -> 详细信息 -> 添加 -> 选择用户证书

（3）备份自己的 EFS 私钥（防止重装后读不了自己加密的文件）

# UI：certmgr.msc -> 个人 -> 证书 -> 带“用于 EFS”的证书 -> 右键“所有任务”-> 导出(PFX)
# 或 PowerShell（示意）
$pwd = Read-Host "PFX password" -AsSecureString
Get-ChildItem Cert:\CurrentUser\My -EKU "1.3.6.1.4.1.311.10.3.4" |
  Export-PfxCertificate -FilePath "C:\Secure\EFS_My.pfx" -Password $pwd

6. 自动化：一键脚本骨架（可批量）

BitLocker 批量启用（带日志与兜底）

# Save as: Deploy-BitLocker.ps1
param(
  [string[]]$DataVolumes = @("D:","E:"),
  [ValidateSet("XtsAes128","XtsAes256")] [string]$Algo = "XtsAes128",
  [switch]$UsedSpaceOnly
)

$log="C:\ProgramData\BitLocker\deploy_$(Get-Date -Format yyyyMMdd_HHmm).log"
New-Item -ItemType Directory -Force -Path (Split-Path $log) | Out-Null
function Log($m){ "$((Get-Date).ToString('s')) $m" | Tee-Object -FilePath $log -Append }

try{
  Log "Set method $Algo"
  Set-BitLockerVolume -MountPoint "C:" -EncryptionMethod $Algo -UsedSpaceOnly:$UsedSpaceOnly
  foreach($v in $DataVolumes){
    Set-BitLockerVolume -MountPoint $v -EncryptionMethod $Algo
  }

  if((Get-Tpm).TpmPresent -and (Get-Tpm).TpmReady){
    $pin = Read-Host "TPM PIN" -AsSecureString
    Enable-BitLocker -MountPoint "C:" -TpmAndPinProtector -Pin $pin -UsedSpaceOnly:$UsedSpaceOnly -RecoveryPasswordProtector
    Log "Enabled C: with TPM+PIN"
    foreach($v in $DataVolumes){
      Enable-BitLocker -MountPoint $v -RecoveryPasswordProtector
      Add-BitLockerKeyProtector -MountPoint $v -TpmProtector | Out-Null
      Enable-BitLockerAutoUnlock -MountPoint $v
      Log "Enabled $v with auto-unlock"
    }
  }else{
    $pwd = Read-Host "Startup password (no TPM)" -AsSecureString
    Enable-BitLocker -MountPoint "C:" -PasswordProtector -Password $pwd -UsedSpaceOnly:$UsedSpaceOnly -RecoveryPasswordProtector
    Log "Enabled C: with password protector"
  }

  Log "STATUS"
  manage-bde -status | Tee-Object -FilePath $log -Append | Out-Null
}catch{
  Log "ERROR: $_"
  throw
}

EFS 目录加密批处理

:: Save as: Protect-EFS.cmd
@echo off
setlocal
set TARGETS=D:\App\conf D:\App\reports
cipher /h
for %%i in (%TARGETS%) do (
  echo Encrypting %%i
  cipher /e /s:"%%i"
)
echo Done.

7. 监控、审计与恢复

7.1 监控与告警点

BitLocker 加密进度：Get-BitLockerVolume | Select MountPoint,EncryptionPercentage,ProtectionStatus

保护器变更（有人新增/删除保护器）：

事件查看器 → 应用和服务日志 → Microsoft-Windows-BitLocker/BitLocker Management

EFS 失败/恢复事件：

安全日志（开启对象访问审核）+ EFS 相关事件。

示例：抓 BitLocker 关键事件

$filter = @{LogName='Microsoft-Windows-BitLocker/BitLocker Management'; StartTime=(Get-Date).AddDays(-1)}
Get-WinEvent -FilterHashtable $filter | Select-Object TimeCreated,Id,LevelDisplayName,Message

7.2 恢复场景

服务器主板/TPM 报废：用**恢复密钥（Recovery Password）**解锁 C:，随后迁移到新硬件；

manage-bde -unlock C: -rp <48位恢复密钥>

误删 EFS 证书：用 DRA 私钥（.pfx） 在安全机导入后，取得文件访问权，解密后重新分配证书。

VM 迁移到无 vTPM 的环境：临时切换保护器为密码，待新宿主机有 vTPM 后再切回 TPM。

8. 性能与影响（我在香港机房的实测片段）

EFS 的开销主要取决于访问的加密文件比例与文件大小（小文件密集元数据操作更敏感）。我们把 EFS 只用在“配置+导出目录”，大多数 IO 仍在 BitLocker 的透明层面，整体影响可控。

9. 常见坑与现场解法

加密后无人值守重启失败

原因：启用 TPM+PIN 后忘了在夜间批处理里安排人工输入。

解法：生产批量机器建议仅 TPM（或 Network Unlock），在变更窗口人工设 PIN；或暂时用 TPM，待确认运维值班可覆盖再启用 PIN。

VM 未配置 vTPM，Enable-BitLocker 失败

vSphere：需先配置 KMS/Native Key Provider，为 VM 添加 Trusted Platform Module 设备；

Hyper-V：Gen2 + 安全启动 + 受防护 VM/vTPM。

老机器无 TPM，需要启动 U 盘但运维不便

短期：使用启动密码；

中期：评估主板 TPM2.0 模块或更换宿主。

EFS 加密后，应用以服务账号运行却读不了

服务运行账户需要有相应的 EFS 证书访问权限；

UI 或脚本为该账号添加为允许读取的用户，或改为应用自己在启动时以该用户上下文创建/加密文件。

证书遗失

没有备份个人 EFS 私钥时，用 DRA 解密并重新分配；

DRA .pfx 一定要离线冷备 + 多人分权取用（如双人到场）。

BitLocker 加密卡住

检查 chkdsk /scan、事件日志；

若卷很大且开启“仅加密已用空间”可显著加快；必要时关掉实时杀软或配置排除。

跨机房迁移/更换主板后提示需恢复密钥

这是预期行为（防止 Evil-Maid 攻击）。从 AD 或密钥库拿到 Recovery Password 解锁即可。

10. 变更与验收清单（可打印）

•  BIOS/虚拟层已启用 TPM/vTPM
•  GPO 已强制 XTS-AES 128 + 记录恢复信息到 AD
•  所有卷 ProtectionStatus=On，EncryptionPercentage=100
•  关键目录已 EFS 加密，DRA 下发成功
•  恢复密钥已双地备份（AD + 密钥共享/保险柜）
•  监控项与告警已接入（事件日志、保护器变更）
•  性能基线对比在阈值内（±5–8%）
•  演练：在维护窗口实测一次重启与恢复流程

11. FAQ：我在现场最常被问到的三个问题

Q1：BitLocker 选 128 还是 256？

大多数业务选 XTS-AES 128。256 带来极小但可测的性能损耗（尤其重 IO），只有在合规明确要求时才用 256。

Q2：BitLocker + EFS 会不会“重复加密”拖慢性能？

BitLocker 在卷层、EFS 在文件层。不会叠加两倍开销，但 EFS 对频繁小文件访问更敏感，所以只对必要目录启用 EFS。

Q3：云上 VM（香港区）是否需要 vTPM？

建议一定要（Azure、AWS、GCP 都支持），否则重启解锁与安全边界都会受限。

12. 凌晨 3:55 的机房走廊

最后一台服务器完成加密，监控面板从“灰”变“绿”。我把写满恢复密钥校验结果的巡检表对折塞进文件夹，跟夜班同事击了个掌。外面天色微亮，货柜车鸣笛，香港这座城市又要开始新一天的奔忙。
对我们运维来说，把数据以密文落盘，不是炫技，而是把“万一”变成“没事”的那道闸门。BitLocker 兜住了硬件层的风险，EFS 把访问权限收得更紧。它们一起工作，既不打扰日常，又在你最需要的时候站出来。

如果你也要在香港的 Windows 服务器上把这套做法落地，照着本文的步骤、脚本和清单走一遍就行——其余的，是耐心、是演练，也是我们这行最朴素的职业素养。

附：一键巡检脚本（加密状态&证书）

# Save as: Check-Encrypt-Health.ps1
Write-Host "=== BitLocker Status ==="
Get-BitLockerVolume | Select-Object MountPoint, VolumeType, EncryptionMethod, EncryptionPercentage, ProtectionStatus, AutoUnlockEnabled | Format-Table -AutoSize

Write-Host "`n=== EFS Certificates (Current User) ==="
Get-ChildItem Cert:\CurrentUser\My -EKU "1.3.6.1.4.1.311.10.3.4" |
  Select-Object Subject, NotAfter | Format-Table -AutoSize

Write-Host "`n=== Recent BitLocker Events (24h) ==="
$filter = @{LogName='Microsoft-Windows-BitLocker/BitLocker Management'; StartTime=(Get-Date).AddDays(-1)}
Get-WinEvent -FilterHashtable $filter | Select-Object TimeCreated,Id,LevelDisplayName |
  Sort-Object TimeCreated -Descending | Select-Object -First 20 | Format-Table -AutoSize

祝顺利上线。如果你有特定设备型号/虚拟化平台的细节，我也可以把上述脚本再按你的环境改得更“对味”。