通过GPO部署脚本自动启用域计算机Bitlocker，添加密码/PIN报错求助

三个报错方案的根因分析 #

• 第一个方案错误点：manage-bde.exe 是原生可执行程序，不识别PowerShell的SecureString类型变量，直接传$pass给它只会传递类型名而非密码明文，自然报错。且要启用密码保护器，必须先在本地策略/域GPO里允许没有兼容TPM的BitLocker，否则密码/PIN保护器根本无法添加。
• 第二个方案错误点：-TPMandPinProtector参数要求设备必须有正常启用的TPM芯片，测试设备如果无TPM、TPM未初始化、或者GPO禁止TPM+PIN验证方式，就会直接报错。此外1234是4位PIN，不符合默认的PIN复杂度要求（默认最少6位）。
• 第三个方案错误点：添加-PasswordProtector参数但没有同步配置GPO允许操作系统驱动器使用密码保护器，默认域策略是禁止系统盘用纯密码保护的，同时使用的密码本身也不符合复杂度要求（默认要求最少8位，包含大小写、数字、特殊字符至少三类）。

可用修复方案 #

方案1：企业常用TPM+恢复密钥方案（推荐，适合域环境） #

提前在域GPO中配置3个前置策略：

1. 计算机配置>管理模板>Windows组件>BitLocker驱动器加密>操作系统驱动器：启动时需要附加身份验证，设置为已启用，无TPM设备可勾选「允许没有TPM的BitLocker」
2. 同路径下：选择如何恢复受BitLocker保护的操作系统驱动器，设置为已启用，勾选「将BitLocker恢复信息存储在Active Directory域服务中」，选择「存储恢复密码和密钥包」
3. 脚本部署到计算机配置>脚本>启动脚本，不要放在用户脚本下，普通用户权限不足以修改BitLocker配置，启动脚本运行参数添加-ExecutionPolicy Bypass -NoProfile -NonInteractive

部署脚本如下：

# 检查C盘加密状态
$CdriveStatus = Get-BitLockerVolume -MountPoint 'c:'
if ($CdriveStatus.volumeStatus -eq 'FullyDecrypted') {
    # 有TPM优先用TPM保护器，自动生成恢复密码
    Enable-BitLocker -MountPoint 'c:' -EncryptionMethod Aes256 -UsedSpaceOnly -RecoveryPasswordProtector -TpmProtector
    # 强制同步恢复密钥到AD
    $recoveryId = (Get-BitLockerVolume c:).KeyProtector | Where-Object {$_.KeyProtectorType -eq 'RecoveryPassword'} | Select-Object -ExpandProperty KeyProtectorId
    manage-bde.exe -protectors -adbackup c: -id $recoveryId
}

方案2：需要固定密码的场景（不推荐，存在密码泄露风险） #

先在GPO同路径下启用「操作系统驱动器允许密码保护器」，再使用以下脚本：

$CdriveStatus = Get-BitLockerVolume -MountPoint 'c:'
if ($CdriveStatus.volumeStatus -eq 'FullyDecrypted') {
    # 密码需符合复杂度要求：8位以上，包含大小写、数字、特殊字符至少三类
    $plainPass = "Test@2024"
    $securePass = ConvertTo-SecureString $plainPass -AsPlainText -Force
    Enable-BitLocker -MountPoint 'c:' -EncryptionMethod Aes256 -UsedSpaceOnly -Password $securePass -PasswordProtector -RecoveryPasswordProtector
    # 同步恢复密钥到AD
    $recoveryId = (Get-BitLockerVolume c:).KeyProtector | Where-Object {$_.KeyProtectorType -eq 'RecoveryPassword'} | Select-Object -ExpandProperty KeyProtectorId
    manage-bde.exe -protectors -adbackup c: -id $recoveryId
}

内容的提问来源于stack exchange，提问作者Anxo Alonso