BitLocker设备策略
Windows 10和Windows 11包括一个名为BitLocker的磁盘加密功能，它提供了额外的文件和系统保护，防止丢失或被盗的Windows设备未经授权的访问。为了获得更多的保护，您可以使用带有可信平台模块(TPM)芯片的BitLocker，版本1.2或更高。TPM芯片处理加密操作，生成、存储和限制加密密钥的使用。
从Windows 10 build 1703开始，MDM策略可以控制BitLocker。您可以使用端点管理中的BitLocker设备策略，在Windows 10和Windows 11设备上配置BitLocker向导中可用的设置。例如，在启用BitLocker的设备上，BitLocker会提示用户以下几个选项:
- 他们想在启动时如何解锁驱动器
- 如何备份自己的恢复密钥
- 如何解锁固定驱动器。
BitLocker设备策略设置还配置是否:
- 在没有TPM芯片的设备上启用BitLocker。
- 在BitLocker界面显示恢复选项。
- 当BitLocker未启用时，拒绝对固定或可移动驱动器的写访问。
- 安全保存加密的BitLocker恢复密钥供用户访问，以防他们忘记或放错密钥。这个钥匙可以在自助门户网站上找到。
请注意
在设备上启动BitLocker加密后，您不能通过部署更新的BitLocker设备策略来更改设备上的BitLocker设置。
若要添加或配置此策略，请转到配置>设备策略．有关更多信息，请参见设备的政策．
需求
BitLocker设备策略要求Windows 10企业版或Windows 11企业版。
在部署BitLocker设备策略之前，请准备好使用BitLocker的环境。有关微软的详细信息，包括BitLocker系统要求和设置，请参阅磁盘加密．
Windows Phone设置
要求设备加密:确定是否提示用户在Windows Phone系统卡上启用BitLocker加密。如果在时，注册完成后设备会提示企业需要设备加密。如果用户选择不使用设备加密，则不会授予用户对系统卡的写访问权。如果从时，不会提示用户，由BitLocker策略决定设备是否加密。默认为从．
要求存储卡加密:确定是否提示用户在Windows Phone存储卡上启用BitLocker加密。如果在，需要对存储卡进行加密，才能获得对存储卡的写权限。默认为从．
Windows桌面和平板电脑设置
驱动器加密设置
- 要求设备加密:确定是否提示用户在Windows台式机或平板电脑上启用BitLocker加密。如果在时，注册完成后设备会提示企业需要设备加密。如果从，用户不会被提示，BitLocker使用策略设置。默认为从．
加密设置
- 配置加密方式:确定用于特定驱动器类型的加密方法。如果从， BitLocker向导会提示设备用户要为驱动器类型使用的加密方法。所有驱动器的加密方法默认为XTS-AES 128位。可移动驱动器的加密方法默认为AES-CBC 128-bit。如果在， BitLocker使用策略中指定的加密方法。如果在，这些额外的设置显示:操作系统驱动器，固定的驱动器,可移动驱动器．为每个驱动器类型选择默认加密方法。默认为从．
操作系统驱动器设置
启动时需要额外的身份验证:指定设备启动期间所需的额外身份验证。还指定是否允许在没有TPM芯片的设备上使用BitLocker。如果从，没有TPM的设备不能使用BitLocker加密。有关TPM的信息，请参阅微软的文章，可信平台模块技术概述．如果在时，会出现以下额外设置。默认为从．
在没有TPM芯片的设备上Block BitLocker:在没有TPM芯片的设备上，BitLocker要求用户创建解锁密码或启动密钥。启动密钥存储在USB驱动器中，用户必须在启动之前连接到设备上。解锁密码至少为8个字符。默认为从．
TPM启动:在有TPM的设备上，有四种解锁方式:TPM-only、TPM + PIN、TPM + Key和TPM + PIN + Key。TPM启动为TPM-only模式，加密密钥存储在TPM芯片中。该模式不需要用户提供额外的解锁数据。用户设备在重新启动时自动解锁，使用来自TPM芯片的加密密钥。默认为允许TPM．
TPM启动PIN:此设置为TPM + PIN解锁模式。一个PIN最多可以有20位数字。使用最小PIN长度设置为指定最小PIN长度。用户在BitLocker设置时配置PIN码，在设备启动时提供PIN码。
TPM启动键:此设置为“TPM + Key解锁”模式。启动密钥存储在USB或其他可移动驱动器中，用户必须在启动前将其连接到设备上。
TPM启动密钥和PIN:此设置为“TPM + PIN + Key”解锁方式。
解锁成功后，操作系统开始加载。否则，设备进入恢复模式。
针的长度
- 最小PIN长度:TPM启动PIN的最小长度。默认为6．
BitLocker密码恢复设置
- BitLocker恢复备份到端点管理:如果启用该选项，必须解锁设备的用户可以在自助门户上找到他们的BitLocker恢复密钥。端点管理管理员无法看到用户的BitLocker恢复密钥。有关查看BitLocker恢复密钥的更多信息，请参见BitLocker恢复密钥．
操作系统驱动器恢复设置:为bitlocker加密的操作系统驱动器配置恢复选项。
启用操作系统驱动器恢复功能:如果解锁步骤失败，BitLocker会提示用户输入已配置的恢复密钥。如果用户没有解锁密码或USB启动密钥，此设置将配置用户可用的操作系统驱动器恢复选项。默认是从．
允许基于证书的数据恢复代理:指定是否允许基于证书的数据恢复代理。从位于组策略管理控制台(GPMC)或本地组策略编辑器中的公钥策略中添加数据恢复代理。有关数据恢复代理的更多信息，请参阅Microsoft文章BitLocker组策略设置．默认是从．
48位恢复密码:指定是否允许或要求用户使用恢复密码。BitLocker生成密码并将其存储在文件或微软云帐户中。默认是允许48位密码．
256位恢复密钥:指定是否允许或要求用户使用恢复密钥。恢复密钥是存储在u盘上的BEK文件。默认是允许256位恢复密钥．
隐藏操作系统驱动器恢复选项:指定在BitLocker界面中显示或隐藏恢复选项。如果在， BitLocker界面没有恢复选项。请将设备注册到Active Directory，并将恢复选项保存到Active Directory，然后设置保存恢复信息到AD DS来在．默认是从．
将恢复信息保存到Active Directory域服务:是否将恢复选项保存到Active Directory域服务。默认是从．
Active Directory域服务中的恢复信息:BitLocker恢复密码是保存在Active Directory域服务中，还是将恢复密码和密钥包保存在Active Directory域服务中。存储密钥包支持从物理损坏的驱动器恢复数据。默认是备份恢复密码．
在Active Directory Domain Services中存储恢复信息后启用BitLocker:指定是否禁止用户启用BitLocker，除非设备域连接且BitLocker恢复信息备份到Active Directory成功。如果在，在启动BitLocker之前，设备必须是域加入的。默认是从．
预启动恢复消息和URL:指定BitLocker在恢复界面上是否显示自定义消息和URL。如果在时，会出现以下额外设置:使用默认的恢复消息和URL，使用空恢复消息和URL，使用自定义恢复消息，使用自定义恢复URL,使用端点管理恢复消息和URL．如果从，默认的恢复消息和URL显示。默认是从．
固定驱动器恢复设置:为bitlocker加密的固定驱动器配置用户的恢复选项。BitLocker不会向用户显示关于固定驱动器加密的消息。要在启动过程中解锁驱动器，用户需要提供密码或智能卡。启动解锁设置不在此策略中，当用户在固定驱动器上启用BitLocker加密时，会出现在BitLocker界面中。相关设置请参见配置操作系统驱动器恢复在这个列表的前面。默认是从．
固定驱动器设置
- 阻止不使用BitLocker的固定驱动器的写访问:如果在在美国，只有使用BitLocker对固定驱动器进行加密后，用户才能对这些驱动器进行写入操作。默认是从．
可移动驱动器设置
不使用BitLocker阻止可移动驱动器的写访问:如果在在美国，只有使用BitLocker对可移动驱动器进行加密后，用户才能向这些驱动器写入数据。根据您的组织是否允许对其他组织的可移动驱动器进行写访问，配置此设置。默认是从．
阻止对其他组织设备的写访问:如果在在美国，用户无法向其组织内的其他设备(如网络驱动器)写入数据。
其他驱动器设置
其他磁盘加密提示:允许您禁用设备上其他磁盘加密的警告提示。默认为从．