用途：为经 Microsoft Intune 管理的 Windows 终端设计 BitLocker 全卷加密方案，集中管理恢复密钥与合规状态。资料未提供安装命令或技能调用步骤。
主要能力：按设备类型选择配置——现代企业笔记本（TPM 2.0、Secure Boot）用仅 TPM 无 PIN + XTS-AES 256 并静默启用；高敏感管理员/Tier 0（PAW）用 TPM+PIN；自助终端用仅 TPM 配合 Network Unlock；可移动介质用 BitLocker To Go（密码或智能卡）；固定数据盘随 OS 盘自动解锁。涵盖 Intune 磁盘加密策略配置、静默启用与恢复密钥自动托管至 Microsoft Entra ID、合规策略与条件访问联动、加密监控与恢复操作。
必要用法与验证：用 Get-Tpm 确认 TpmReady=True，manage-bde -status 确认可加密；在 Endpoint security → Disk encryption 创建 BitLocker 配置文件；先在约 50 台试点设备验证密钥均可在 Entra 中检索后再推广；将磁盘加密纳入合规策略，通过条件访问“Require compliant device”门控企业应用。
限制与注意事项：预启动认证影响用户体验与自动化，TPM+PIN 可能破坏 Wake-on-LAN、远程管理与无人值守重启；可移动盘加密是独立策略决策；无 TPM 时实际无法有效使用 BitLocker，软件加密较弱，应考虑淘汰设备；恢复密钥敏感，帮助台需先核验来电者身份；不要随意轮换密钥；避免未验证托管即启用、全员 TPM+PIN、跳过合规集成、BitLocker To Go 设为可选、未核验身份即读出密钥等反模式。资料仅列 Microsoft Learn 参考链接，未提供价格、平台支持范围等细节。