BitLocker 故障排除指南

本文介绍 BitLocker 中的常见问题，并提供解决这些问题的指南。 本文还提供了一些信息，例如要收集哪些数据以及要检查哪些设置。 此信息使故障排除过程更加容易。

查看事件日志

打开事件查看器并查看“应用程序和服务日志”“Microsoft>Windows”下的以下日志>：

• BitLocker-API。 查看 管理 日志、 操作 日志以及此文件夹中生成的任何其他日志。 默认日志具有以下唯一名称：

  • Microsoft-Windows-BitLocker-API/Management
  • Microsoft-Windows-BitLocker-API/Operational
  • Microsoft-Windows-BitLocker-API/Tracing - 仅在启用 “显示分析和调试日志 ”时显示

• BitLocker-DrivePreparationTool。 查看此文件夹中生成的管理员日志、操作日志和任何其他日志。 默认日志具有以下唯一名称：

  • Microsoft-Windows-BitLocker-DrivePreparationTool/管理员
  • Microsoft-Windows-BitLocker-DrivePreparationTool/Operational

此外，请查看 Windows 日志>系统 日志，了解 TPM 和 TPM-WMI 事件源生成的事件。

若要筛选和显示或导出日志，可以使用 wevtutil.exe 命令行工具或 Get-WinEvent PowerShell cmdlet。

例如，若要使用 wevtutil.exe 将操作日志的内容从 BitLocker-API 文件夹导出到名为 BitLockerAPIOpsLog.txt的文本文件，请打开命令提示符窗口，并运行以下命令：

wevtutil.exe qe "Microsoft-Windows-BitLocker/BitLocker Operational" /f:text > BitLockerAPIOpsLog.txt

若要使用 Get-WinEvent cmdlet 将同一日志导出到逗号分隔的文本文件，请打开Windows PowerShell窗口并运行以下命令：

Get-WinEvent -logname "Microsoft-Windows-BitLocker/BitLocker Operational"  | Export-Csv -Path Bitlocker-Operational.csv

Get-WinEvent 可以在提升的 PowerShell 窗口中使用，以便使用以下语法显示系统或应用程序日志中的筛选信息：

• 显示与 BitLocker 相关的信息：

  Get-WinEvent -FilterHashtable @{LogName='System'} | Where-Object -Property Message -Match 'BitLocker' | fl
  

  此类命令的输出如下所示：

  

• 若要导出与 BitLocker 相关的信息，请执行以下操作：

  Get-WinEvent -FilterHashtable @{LogName='System'} | Where-Object -Property Message -Match 'BitLocker' | Export-Csv -Path System-BitLocker.csv
  

• 显示 TPM 相关信息：

  Get-WinEvent -FilterHashtable @{LogName='System'} | Where-Object -Property Message -Match 'TPM' | fl
  

• 若要导出与 TPM 相关的信息，请执行以下操作：

  Get-WinEvent -FilterHashtable @{LogName='System'} | Where-Object -Property Message -Match 'TPM' | Export-Csv -Path System-TPM.csv
  

  此类命令的输出如下所示。

  

注意

联系Microsoft 支持部门时，建议导出本节中列出的日志。

从 BitLocker 技术收集状态信息

打开提升的Windows PowerShell窗口，并运行以下命令：

命令	注意	更多信息
Get-Tpm > C:\TPM.txt	PowerShell cmdlet，用于导出有关本地计算机的受信任平台模块的信息 (TPM) 。 此 cmdlet 显示不同的值，具体取决于 TPM 芯片是版本 1.2 还是 2.0。 Windows 7 不支持此 cmdlet。	Get-Tpm
manage-bde.exe -status > C:\BDEStatus.txt	导出有关计算机上所有驱动器的常规加密状态的信息。	manage-bde.exe 状态
manage-bde.exe c: -protectors -get > C:\Protectors	导出有关用于 BitLocker 加密密钥的保护方法的信息。	manage-bde.exe 保护程序
reagentc.exe /info > C:\reagent.txt	导出有关 Windows 恢复环境当前状态的联机或脱机映像的信息， (WindowsRE) 和任何可用的恢复映像。	reagentc.exe
Get-BitLockerVolume \| fl	PowerShell cmdlet，获取有关 BitLocker 驱动器加密可以保护的卷的信息。	Get-BitLockerVolume

查看配置信息

1. 打开提升的命令提示符窗口，并运行以下命令：

   命令	注意	更多信息
   gpresult.exe /h <Filename>	导出策略的结果集信息，并将信息保存为 HTML 文件。	gpresult.exe
   msinfo.exe /report <Path> /computer <ComputerName>	导出有关本地计算机上的硬件、系统组件和软件环境的综合信息。 /report 选项将信息保存为 .txt 文件。	msinfo.exe

2. 打开注册表编辑器，并导出以下子项中的条目：

   • HKLM\SOFTWARE\Policies\Microsoft\FVE
   • HKLM\SYSTEM\CurrentControlSet\Services\TPM\

检查 BitLocker 先决条件

可能导致 BitLocker 问题的常见设置包括以下方案：

• 必须解锁 TPM。 检查 get-tpm PowerShell cmdlet 命令的输出以获取 TPM 的状态。

• 必须启用Windows RE。 检查 reagentc.exe 命令的输出，了解 WindowsRE 的状态。

• 系统保留分区必须使用正确的格式。

  • 在统一可扩展固件接口 (UEFI) 计算机上，系统保留分区的格式必须为 FAT32。
  • 在旧计算机上，系统保留分区的格式必须为 NTFS。

• 如果出现问题的设备是平板电脑或平板电脑，请使用 https://gpsearch.azurewebsites.net/#8153 验证 “启用 BitLocker 身份验证，要求在平板电脑上预先启动键盘输入” 选项的状态。

有关 BitLocker 先决条件的详细信息，请参阅 BitLocker 基本部署：使用 BitLocker 加密卷

后续步骤

如果到目前为止检查的信息指示特定问题 (例如未启用 WindowsRE) ，则此问题可能具有简单的解决方法。

解决没有明显原因的问题取决于具体涉及哪些组件以及看到的行为。 收集的信息有助于缩小要调查的范围。

• 如果正在出现问题的设备由Microsoft Intune管理，请参阅使用 Intune：已知问题强制实施 BitLocker 策略。

• 如果 BitLocker 无法启动或无法加密驱动器，并且发生了与 TPM 相关的错误或事件，请参阅 BitLocker 无法加密驱动器：已知 TPM 问题。

• 如果 BitLocker 无法启动或无法加密驱动器，请参阅 BitLocker 无法加密驱动器：已知问题。

• 如果 BitLocker 网络解锁的行为不符合预期，请参阅 BitLocker 网络解锁：已知问题。

• 如果恢复加密驱动器时 BitLocker 的行为不符合预期，或者 BitLocker 意外恢复了驱动器，请参阅 BitLocker 恢复：已知问题。

• 如果 BitLocker 或加密驱动器的行为不符合预期，并且发生了与 TPM 相关的错误或事件，请参阅 BitLocker 和 TPM：其他已知问题。

• 如果 BitLocker 或加密驱动器的行为不符合预期，请参阅 BitLocker 配置：已知问题。

建议将收集的信息放在方便的位置，以防联系Microsoft 支持部门以获取解决问题的帮助。