适用于: Configuration Manager(current branch)
使用 Configuration Manager 管理已加入 Active Directory 的本地 Windows 客户端的 BitLocker 驱动器加密 (BDE) 。 它提供完整的 BitLocker 生命周期管理，可以替换使用 Microsoft BitLocker 管理和监视 (MBAM) 。
注意
默认情况下，Configuration Manager 不启用此可选功能。 使用前必须启用此功能。 有关详细信息，请参阅启用更新中的可选功能。
有关 BitLocker 的更多常规信息，请参阅 BitLocker 概述。 有关 BitLocker 部署和要求的比较，请参阅 BitLocker 部署比较图表。
提示
若要使用 Microsoft Intune 云服务管理共同管理的 Windows 10 或更高版本设备上的加密，请将 Endpoint Protection 工作负载切换到 Intune。 有关使用 Intune 的详细信息，请参阅 Windows 加密。
功能
Configuration Manager 为 BitLocker 驱动器加密提供以下管理功能：
客户端部署
将 BitLocker 客户端部署到运行 Windows 8.1、Windows 10 或 Windows 11 的托管 Windows 设备。
管理本地和基于 Internet 的客户端的 BitLocker 策略和托管恢复密钥
管理加密策略
例如：选择驱动器加密和密码强度、配置用户豁免策略、固定数据驱动器加密设置。
确定用于加密设备的算法，以及加密目标磁盘。
强制用户在使用设备之前符合新的安全策略。
根据设备自定义组织的安全配置文件。
当用户解锁 OS 驱动器时，请指定是仅解锁一个 OS 驱动器还是解锁所有连接的驱动器。
合规性报告
用于以下目标的内置报告：
- 每个卷或每个设备的加密状态
- 设备的主要用户
- 符合性状态
- 不合规的原因
管理和监视网站
允许组织中的 Configuration Manager 控制台外部的其他角色帮助进行密钥恢复，包括密钥轮换和其他与 BitLocker 相关的支持。 例如，技术支持管理员可以帮助用户恢复密钥。
提示
从版本 2107 开始，还可以从 Microsoft Intune 管理中心获取租户附加设备的 BitLocker 恢复密钥。 有关详细信息，请参阅 租户附加：BitLocker 恢复密钥。
用户自助服务门户
让用户使用一次性密钥自行解锁 BitLocker 加密设备。 使用此密钥后，它将为设备生成一个新密钥。
先决条件
一般先决条件
若要创建 BitLocker 管理策略，需要 Configuration Manager 中的完全管理员角色。
若要使用 BitLocker 管理报告，请安装报告服务点站点系统角色。 有关详细信息，请参阅 配置报告。
注意
若要使 恢复审核报告 在管理和监视网站上正常工作，请仅使用主站点上的报告服务点。
客户端的先决条件
设备需要一个在 BIOS 中启用并且可从 Windows 重置的 TPM 芯片。
Microsoft 建议使用具有 TPM 版本 2.0 或更高版本的设备。 具有 TPM 版本 1.2 的设备可能无法正确支持所有 BitLocker 功能。
计算机的硬盘需要一个与 TPM 兼容并在计算机启动期间支持 USB 设备的 BIOS。
注意
TPM 密码哈希的上传主要与 Windows 10 之前的 Windows 版本相关。 默认情况下，Windows 10 或更高版本不会保存 TPM 密码哈希，因此这些设备通常不会上传它。 有关详细信息，请参阅关于 TPM 所有者密码。
BitLocker 管理不支持 Configuration Manager 支持的所有客户端类型。 有关详细信息，请参阅 支持的配置。
恢复服务的先决条件
在版本 2010 及更早版本中，BitLocker 恢复服务需要 HTTPS 来加密从 Configuration Manager 客户端到管理点的整个网络的恢复密钥。 使用下面的任一选项：
在托管恢复服务的管理点上通过 HTTPS 启用 IIS 网站。
为 HTTPS 配置管理点。
有关详细信息，请参阅 通过网络加密恢复数据。
注意
当站点和客户端都在运行 Configuration Manager 版本 2103 或更高版本时，客户端会通过安全客户端通知通道将其恢复密钥发送到管理点。 如果任何客户端使用的是版本 2010 或更早版本，则它们需要管理点上启用 HTTPS 的恢复服务来托管其密钥。
从版本 2103 开始，由于客户端使用安全客户端通知通道托管密钥，因此可以启用 Configuration Manager 站点以增强 HTTP。 此配置不会影响 Configuration Manager 中 BitLocker 管理的功能。
在版本 2010 及更早版本中，若要使用恢复服务，至少需要一个不在副本 (replica) 配置中的管理点。 尽管 BitLocker 恢复服务安装在使用数据库副本 (replica) 的管理点上，但客户端无法托管恢复密钥。 然后，BitLocker 将不会加密驱动器。 在具有数据库副本 (replica) 的任何管理点上禁用 BitLocker 恢复服务。
从版本 2103 开始，恢复服务支持使用数据库副本 (replica) 的管理点。
BitLocker 门户的先决条件
若要使用自助服务门户或管理和监控网站，你需要一台运行 IIS 的 Windows Server。 可以重复使用 Configuration Manager 站点系统，或使用连接到站点数据库服务器的独立 Web 服务器。 对站点系统服务器使用受支持的操作系统版本。
在将托管自助服务门户的 Web 服务器上，先安装 Microsoft ASP.NET MVC 4.0 和 .NET Framework 3.5 功能，然后再开始安装过程。 在门户安装过程中，将自动安装其他必需的 Windows Server 角色和功能。
提示
无需安装任何带有 ASP.NET MVC 的 Visual Studio 版本。
运行门户安装程序脚本的用户帐户需要对站点数据库服务器具有 SQL Server 系统管理员权限。 在安装过程中，该脚本为 Web 服务器计算机帐户设置登录、用户和 SQL Server 角色权限。 在完成自助服务门户以及管理和监控网站的设置后，可以从系统管理员角色中删除此用户帐户。
支持的配置
虚拟机 (VM) 或服务器版本不支持 BitLocker 管理。 例如，BitLocker 管理不会在虚拟机的固定驱动器上启动加密。 此外，虚拟机中的固定驱动器即使未加密，也可能显示为“兼容”。
从版本 2409 开始，Configuration Manager 现在支持 ARM 设备的 BitLocker 任务序列步骤。 在 BitLocker 管理中，包括使用 TPM 保护程序进行操作系统驱动器加密和使用“自动解锁”选项进行固定驱动器加密的策略现在与 ARM 设备兼容。
在版本 2010 及更早版本中，不支持加入 Microsoft Entra、工作组客户端或不受信任域中的客户端。 在这些早期版本的 Configuration Manager 中，BitLocker 管理仅支持已加入本地 Active Directory 的设备，包括已加入 Microsoft Entra 混合的设备。 此配置用于向恢复服务进行身份验证以托管密钥。
从版本 2103 开始，Configuration Manager 支持所有客户端加入类型以进行 BitLocker 管理。 但是，客户端 BitLocker 用户界面组件仍然仅在加入 Active Directory 和加入 Microsoft Entra 混合的设备上受支持。
从版本 2010 开始，现在可以通过 云管理网关 (CMG) 管理 BitLocker 策略和托管恢复密钥。 此更改还通过基于 Internet 的客户端管理 (IBCM) 提供对 BitLocker 管理的支持。 BitLocker 管理的设置过程没有变化。 此改进支持已加入域和混合域的设备。 有关详细信息，请参阅 部署管理代理：恢复服务。
- 如果你有在更新到版本 2010 之前创建的 BitLocker 管理策略，以通过 CMG 将它们提供给基于 Internet 的客户端：
- 在 Configuration Manager 控制台中，打开现有策略的属性。
- 切换到 “客户端管理 ”选项卡。
- 选择“ 确定” 或 “应用” 以保存策略。 此操作将修改策略，以便它可供通过 CMG 的客户端使用。
- 如果你有在更新到版本 2010 之前创建的 BitLocker 管理策略，以通过 CMG 将它们提供给基于 Internet 的客户端：
默认情况下，“ 启用 BitLocker ”任务序列步骤仅加密驱动器上的 已用空间 。 BitLocker 管理使用 完整磁盘 加密。 配置此任务序列步骤以启用“ 使用完整磁盘加密”选项。
从版本 2203 开始，可以配置此任务序列步骤，以将操作系统卷的 BitLocker 恢复信息托管到 Configuration Manager。
有关详细信息，请参阅 任务序列步骤 - 启用 BitLocker。
重要
Invoke-MbamClientDeployment.ps1 PowerShell 脚本仅适用于独立 MBAM。 它不应与 Configuration Manager BitLocker 管理一起使用。