用途：该技能用于在 Windows 终端上实施 BitLocker 全盘加密，保护静态数据，满足 PCI DSS、HIPAA、GDPR 等合规要求，并支持通过 Intune、SCCM 或 GPO 在企业范围部署。不适用于 Linux（用 LUKS/dm-crypt）或 macOS（用 FileVault）。
前提条件：Windows 10/11 专业版、企业版或教育版；推荐 TPM 2.0（TPM 1.2 有限支持）；推荐启用 Secure Boot 的 UEFI 固件；至少 200 MB 独立系统分区（由 Windows 安装程序自动创建）；需 Active Directory 或 Azure AD 托管恢复密钥。
主要能力与用法：
- 核查环境：用 Get-Tpm 检查 TPM 状态，用 Confirm-SecureBootUEFI 检查 Secure Boot，用 Get-BitLockerVolume 检查就绪状态。
- GPO 配置：在“计算机配置→管理模板→Windows 组件→BitLocker 驱动器加密”下设置启动身份验证（允许 TPM、TPM+PIN、TPM 启动密钥）和恢复信息存储到 AD DS，选择加密方法（如 OS 与固定盘用 XTS-AES 256 位）。
- 命令行启用：Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -TpmProtector -SkipHardwareTest；可用 TpmAndPinProtector 增加 PIN；通过 Add-BitLockerKeyProtector 添加恢复密码保护器，并用 Backup-BitLockerKeyProtector 备份到 AD。
- Intune 部署：在“终结点安全→磁盘加密”创建 BitLocker 配置文件，要求 OS/固定/可移动驱动器加密，设置 XTS-AES 256 位与 Azure AD 托管恢复密钥，再分配给目标设备组。
- 恢复密钥管理：本地可用 PowerShell 查看 RecoveryPassword 保护器；AD 中查询 msFVE-RecoveryInformation 对象；Azure AD 可在门户设备页查看，或通过 Microsoft Graph 的 /devices/{id}/bitlockerRecoveryKeys 获取。
- 状态监控：manage-bde -status C: 查看转换状态、加密百分比、加密方法与保护状态；也可用 PowerShell 判断 ProtectionStatus 为 On 且 VolumeStatus 为 FullyEncrypted。
限制与注意事项：加密前未托管恢复密钥，TPM 故障时密钥可能永久丢失；仅用 TPM 模式对冷启动和 evil maid 攻击较脆弱，笔记本建议加启动 PIN；对曾存敏感数据的复用盘应选全盘加密，而非仅加密已用空间；可移动盘常用作数据泄露渠道，应启用 BitLocker To Go；SCCM 部署建议在 OSD 任务序列中预配置 BitLocker 以避免部署后长时间加密。该技能不涉及收费或价格信息，资料未提供。