无法通过PowerShell/VBS脚本部署BitLocker，手动运行正常，求排查思路

一、权限验证 #

• 确认脚本执行账户权限：GPO计划任务默认用SYSTEM账户，登录脚本用域用户账户，需确保这些账户拥有BitLocker管理权限（磁盘读写、加密操作权限）。手动运行的用户权限和脚本执行上下文不同，这是常见差异点。
• 检查域组策略的权限限制：排查用户权限分配或磁盘配额设置是否限制了执行账户的磁盘操作。

二、BitLocker与脚本相关GPO配置 #

• BitLocker核心策略：启用计算机配置>管理模板>Windows组件>BitLocker驱动器加密下的必要策略，包括允许系统盘加密、配置恢复密钥存储位置（AD或本地）。恢复密钥存储配置错误会导致脚本因无法备份密钥而终止。
• PowerShell执行策略：在计算机配置>管理模板>Windows组件>Windows PowerShell中设置“启用脚本执行”为允许本地脚本和远程签名脚本（生产环境建议使用签名脚本），避免脚本被阻止。
• 组策略生效范围：确认GPO链接到包含目标计算机/用户的OU，客户端已执行gpupdate /force完成策略更新。

三、脚本执行上下文适配 #

• 计划任务上下文调整：SYSTEM账户为后台账户，不支持交互式操作。脚本中若有依赖用户交互的逻辑（如指定用户恢复密钥），需修改为使用SYSTEM兼容的参数（如备份密钥到AD）。
• 登录脚本时机优化：用户登录脚本运行时磁盘可能未完全就绪，可在脚本开头添加延迟（Start-Sleep -Seconds 30），或先检查bdsvc服务状态（Get-Service bdsvc | Where-Object {$_.Status -eq 'Running'}）再执行加密命令。

四、BitLocker硬件与磁盘前置检查 #

• TPM状态验证：通过tpm.msc确认TPM 1.2/2.0已启用并激活；无TPM设备需在GPO中启用“允许无TPM的BitLocker”，且脚本添加-SkipHardwareTest参数。
• 磁盘分区要求：系统盘需存在至少500MB的系统保留分区（ESP/MSR），可通过Get-Partition命令验证分区结构是否符合要求。

五、日志排查定位 #

• BitLocker操作日志：在事件查看器的应用程序和服务日志>Microsoft>Windows>BitLocker-API>Operational中查找加密失败的错误代码与详细描述。
• 脚本执行日志：在PowerShell脚本中添加日志输出（如Write-Output "[$(Get-Date)] 开始执行加密" | Out-File C:\BitLocker_Deploy.log -Append），或启用组策略的脚本日志功能，定位脚本未执行的具体环节。

内容的提问来源于stack exchange，提问作者Jeffrey Bowers