manage-bde 是一个用于管理 BitLocker 驱动器加密的命令行工具，广泛应用于 Windows 操作系统。以下是您要求的 manage-bde 命令的详细解释，涵盖了每个命令的功能及其用法。

BitLocker PowerShell Cmdlet ↔ manage-bde.exe 一一映射对照表

底层同源：均调用 fveapi.dll，内核依赖 fvevol.sys + BDESVC；TPM 模式额外依赖 TBS 驱动栈。

说明：

MountPoint = 盘符，示例 C:

🔴高危：涉及解密 / 删除保护者操作，谨慎执行

🟡运维常用：固件升级、备份密钥场景

功能说明	PowerShell BitLocker 命令	manage-bde.exe 等效命令	补充备注
查询所有 BitLocker 卷状态（巡检核心）	`Get-BitLockerVolume`	`manage-bde -status`	PowerShell 输出结构化对象，可筛选导出 CSV；manage-bde 输出纯文本
查询单个盘符状态	`Get-BitLockerVolume -MountPoint C:`	`manage-bde -status C:`	日常故障排查首选
启用 BitLocker（TPM 保护，系统盘）	`Enable-BitLocker -MountPoint C: -TpmProtector`	`manage-bde -on C:`	开启加密并创建 TPM 保护者；后台执行加密转换
启用 BitLocker：TPM+PIN 双因素	`Enable-BitLocker -MountPoint C: -TpmAndPinProtector`	`manage-bde -on C: -tp`	需要交互式设置 PIN
启用 BitLocker：密码保护（数据盘）	`$pw = ConvertTo-SecureString "密码" -AsPlainText -Force` `Enable-BitLocker -MountPoint D: -PasswordProtector -Password $pw`	`manage-bde -on D: -pw`	交互式输入密码
追加【恢复密码保护者】	`Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector`	`manage-bde -protectors -add C: -recoverypassword`	生成恢复密钥，务必备份
导出卷全部保护者信息（查看恢复密钥）	`$vol = Get-BitLockerVolume C:` `$vol.KeyProtector`	`manage-bde -protectors -get C:`	运维最常用，用于导出恢复密钥
将保护者密钥保存至文件	`Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector -RecoveryPasswordPath D:\keys\`	`manage-bde -protectors -get C: -f D:\bitlocker-key.txt`	离线备份恢复凭证
🟡暂停 BitLocker 保护（BIOS / 固件升级标准操作）	`Suspend-BitLocker -MountPoint C: -RebootCount 1`	`manage-bde -pause C:`	临时关闭 TPM PCR 校验；防止重启索要恢复密钥
🟡恢复 BitLocker 保护	`Resume-BitLocker -MountPoint C:`	`manage-bde -resume C:`	固件更新完成后执行
🔴解密磁盘、关闭 BitLocker	`Disable-BitLocker -MountPoint C:`	`manage-bde -off C:`	后台渐进解密，耗时较长
解锁加密数据卷（恢复密码）	`$rpw = ConvertTo-SecureString "恢复密码" -AsPlainText -Force` `Unlock-BitLocker -MountPoint D: -RecoveryPassword $rpw`	`manage-bde -unlock D: -rp 123456-xxxxxx…`	离线 / WinRE 场景应急解锁
解锁加密数据卷（密码）	`$pw = ConvertTo-SecureString "密码" -AsPlainText -Force` `Unlock-BitLocker -MountPoint D: -Password $pw`	`manage-bde -unlock D: -password`	交互式输入密码
手动锁定已解锁数据卷	`Lock-BitLocker -MountPoint D: -ForceDismount`	`manage-bde -lock D:`	强制卸载，未保存数据会丢失
删除指定保护者	`$kp = (Get-BitLockerVolume C:).KeyProtector[0]` `Remove-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $kp.KeyProtectorId`	`manage-bde -protectors -delete C: -id {保护者ID}`	先查询 ID 再删除，不要误删唯一保护者
获取加密转换进度	`Get-BitLockerVolume C:	Select EncryptionPercentage`	`manage-bde -status C:`	持续监控加密 / 解密进度
更改加密算法	`Enable-BitLocker -MountPoint C: -EncryptionMethod Aes256`	`manage-bde -on C: -em aes256`	仅新建加密卷生效；已加密卷无法直接变更

补充重要差异点（运维避坑）

1. 输出能力

PowerShell：返回对象，支持管道 Where-Object、Export-Csv、远程 Invoke-Command，适合自动化批量巡检、域 / MDM 脚本。
manage-bde：纯文本输出，适合本地临时快速操作、CMD 批处理，文本解析复杂。

2. 独有能力（互不覆盖）

✅ PowerShell 独有：

安全字符串 SecureString，支持非交互式注入密码；
原生远程 WinRM 执行；
条件循环批量处理多台终端。

✅ manage-bde 独有快捷参数：

-protectors -backup 一键备份保护者到 AD；
简单单行命令，无需编写 PowerShell 语法。

3. 通用前置条件（两套命令全部适用）

必须管理员权限运行；
BDESVC BitLocker 服务正常启动；
TPM 自动解锁场景：Get-Tpm 确认 TpmPresent=$true;TpmReady=$true。

运维选型建议

批量自动化、巡检报表、远程运维 → 使用 PowerShell BitLocker 模块
本机现场快速排查、临时应急操作、简易批处理 → 使用 manage-bde.exe

manage-bde.exe（BitLocker Drive Encryption 命令行工具）完整拆解

基础定位

程序路径：%SystemRoot%\System32\manage-bde.exe

职能：Windows 原生 BitLocker 磁盘加密命令行管理工具，用于操作系统卷、数据卷的 BitLocker 启用、解密、恢复密钥备份、暂停保护、解锁、校验状态；图形界面对应 bitlocker.msc。

底层依赖：BitLocker 驱动栈 + TBS/TPM 驱动栈；支持 TPM、TPM+PIN、密码、启动密钥、USB 密钥 多种保护方式。

常用核心语法概览

cmd

manage-bde -status        # 查询加密状态
manage-bde -on C:         # 开启加密
manage-bde -off C:        # 解密驱动器
manage-bde -protectors    # 保护密钥管理（备份恢复密钥、添加PIN）
manage-bde -pause / -resume # 暂停/继续加密
manage-bde -recoverykey   # 导出恢复密钥

一、底层原理

1. 设计目标

提供脚本化、远程可执行的 BitLocker 管理入口，适配批量装机、服务器运维；
封装 BitLocker 用户态 API，统一操作FVE（Full Volume Encryption） 全卷加密子系统；
对接 TPM 栈，实现 TPM 绑定解锁策略（PCR 验证平台完整性）；
管理多类密钥保护者：TPM、PIN、恢复密码、外部启动密钥。

2. 软件分层架构

plaintext

管理员 CMD/PowerShell
        ↓
manage-bde.exe（用户态控制台程序）
        ↓ Win32 FVEAPI（fveapi.dll）
fveapi.dll 【BitLocker用户态接口】
        ↓ IOCTL系统调用
fvevol.sys（内核FVE卷加密驱动，核心）
        ↓
┌────────────────────────────────────────┐
│ 两条分支：                               │
│ 分支A【TPM解锁路径】                     │
│ fvevol.sys → tbs.dll ←→ tbs.sys → tpm.sys → TPM2.0(PTT)
│ 分支B【非TPM路径：密码/USB启动密钥】      │
│ fvevol.sys 直接处理密钥派生，不经过TPM    │
└────────────────────────────────────────┘
        ↓
volmgr.sys / disk.sys 磁盘存储驱动
        ↓
NTFS/FAT磁盘卷

分层职责详解

manage-bde.exe

命令解析、参数校验、调用fveapi.dll接口；仅作为管理入口，不执行加密运算、不直接读写磁盘扇区。
fveapi.dll

BitLocker 对外标准用户态 API 库；所有 BitLocker 工具（manage-bde、bitlocker.msc、设置界面）统一调用此库。
fvevol.sys（核心内核驱动）

全卷实时加解密；
维护卷主密钥（VMK）；
处理保护者策略、PCR 策略校验；
和 TPM 栈通信，请求 TPM 解封 VMK；
透明拦截磁盘读写 IRP，完成扇区加密 / 解密。

TPM 驱动栈（tbs.dll/tbs.sys/tpm.sys）

当保护者选择 TPM/TPM+PIN 模式时：

fvevol 通过 TBS 下发指令，让 TPM 校验 PCR 值、释放卷主密钥。

关键安全逻辑：

BitLocker 不直接加密文件；加密对象是整个磁盘卷。

生成卷主密钥 VMK；

VMK 被各类保护者加密保存（TPM 内部、恢复密码、USB 密钥）；

系统启动时，验证保护者，解密得到 VMK；

fvevol.sys 使用 VMK 完成扇区实时加解密。

二、依赖文件

用户态依赖

manage-bde.exe 主程序
fveapi.dll 【强依赖】BitLocker 核心 API
kernel32.dll、advapi32.dll 标准 Win32 库
tbs.dll（使用 TPM 保护模式时必需）

内核强制驱动依赖

fvevol.sys — BitLocker 卷加密驱动（不可或缺）
volmgr.sys、disk.sys 磁盘栈驱动
TPM 模式额外依赖：tbs.sys、tpm.sys
Wdf01000.sys Windows 驱动框架

系统配套服务

plaintext

BDESVC （BitLocker Drive Encryption Service）
sc query bdesvc

BDESVC 负责加密进度后台任务、保护者同步、状态通知；manage-bde 绝大多数操作依赖该服务运行。

固件前置依赖（TPM 自动解锁场景）

BIOS 开启 TPM2.0/Intel PTT、安全启动；TPM 完成预配；PCR7 基线稳定。

三、依赖关系

调用执行顺序（典型场景：`manage-bde -on C: -protectors -add tpm`）

管理员运行 manage-bde
程序加载 fveapi.dll，发起启用加密请求
API 通知内核 fvevol.sys 准备卷加密环境
fvevol 创建卷主密钥 VMK，调用 TBS 栈，将 VMK 加密绑定至 TPM PCR 策略
后台启动加密转换任务（BDESVC 托管进度）
manage-bde 持续轮询加密状态，控制台输出进度

横向业务依赖链

plaintext

manage-bde.exe
        ↓
fveapi.dll → fvevol.sys ←→ BDESVC服务
        ↳【TPM路径】→ TBS驱动栈 → TPM2.0
        ↳【非TPM路径】→ 密码/USB密钥
        ↓
磁盘驱动栈 → 加密分区

工具边界对比

工具	定位	底层公共依赖
manage-bde.exe	命令行批量 BitLocker 运维	fveapi.dll / fvevol.sys / BDESVC
bitlocker.msc	图形化 BitLocker 控制台	同一套 fveapi.dll
PowerShell BitLocker 模块（BitLocker）	脚本自动化	同样调用 fveapi.dll
tpmtool.exe	TPM 诊断	TBS 栈；不直接参与 BitLocker 加密逻辑

四、核心逻辑链路（分高频场景）

链路 1：查询加密状态 `manage-bde -status C:`

plaintext

manage-bde → fveapi.dll → IOCTL向fvevol.sys查询卷信息
        ↓
返回：加密百分比、保护者类型、转换状态、锁状态
        ↓
控制台格式化输出

链路 2：启用 TPM 保护加密 `manage-bde -on C:`

plaintext

1. fvevol生成卷主密钥 VMK
2. 请求TBS将VMK加密，绑定TPM指定PCR索引（PCR0/7为主）
3. 将加密后的VMK元数据写入卷元信息
4. BDESVC后台执行磁盘在线加密转换
5. 完成后重启，启动阶段固件读取TPM，校验PCR，解封VMK，挂载系统盘

链路 3：备份恢复密钥 `manage-bde -protectors -get C: -f D:\recovery.key`

plaintext

manage-bde调用fveapi读取卷上所有保护者对象
筛选【恢复密码保护者】，导出明文恢复密钥文本/文件
⚠️ 恢复密码可以绕过TPM直接解锁磁盘，属于核心应急凭证

链路 4：暂停保护 `manage-bde -pause C:`

重要场景：系统更新、BIOS 升级（修改 PCR 会导致 TPM 无法解锁）

plaintext

fvevol临时缓存VMK，不再要求启动时TPM校验；
重启后依然可以进系统；操作完成执行 `-resume` 恢复保护。

链路 5：解锁数据盘（密码方式）`manage-bde -unlock D: -password`

plaintext

manage-bde接收用户输入密码
fvevol使用密码派生密钥，解密保存在卷上的VMK
解密成功后，挂载加密卷，应用读写权限

五、配套链

Windows 原生配套工具

bitlocker.msc：图形管理控制台
PowerShell BitLocker 模块：Get-BitLockerVolume、Enable-BitLocker（自动化脚本首选）
tpmtool.exe：排查 PCR 变更、TPM 就绪状态（BitLocker 无法自动解锁首要排查工具）
事件查看器：Microsoft-Windows-BitLocker-DriveEncryption 事件日志

运维配套操作组合（标准故障排查流程）

cmd

:: 1. 查询卷状态
manage-bde -status C:
:: 2. 查看所有保护者
manage-bde -protectors -get C:
:: 3. 导出恢复密钥
manage-bde -protectors -get C: -f C:\bitlocker_recovery.txt
:: 4. BIOS升级前临时暂停保护
manage-bde -pause C:
:: 升级完成后
manage-bde -resume C:

调试工具

ETW 跟踪：Microsoft-Windows-BitLocker 提供程序，跟踪加密转换、密钥解封事件
RWEverything：底层排查 TPM CRB、PCR 基线（定位 TPM 解锁失败）

六、典型故障清单

manage-bde -on 报错：无法访问 TPM

根因：TPM 未就绪、TBS 服务异常、BIOS 关闭 PTT；先用 Get-Tpm / tpmtool getdeviceinformation 诊断 TPM。
更新 BIOS 后开机提示输入 BitLocker 恢复密钥

根因：BIOS 修改导致 PCR0/PCR7 哈希变更，TPM 策略校验失败；变更固件前务必执行 -pause。
加密进度卡住不动

根因：BDESVC 服务异常、磁盘坏道；检查事件日志，重启 BDESVC。
无法添加 TPM 保护者

根因：系统卷未启用安全启动、TPM 策略不满足 BitLocker 基线。
manage-bde 命令执行拒绝访问

必须管理员权限；组策略阻止 BitLocker 操作。

七、极简总结汇报提纲

manage-bde.exe 是 BitLocker 命令行运维工具，依托fveapi.dll、内核驱动fvevol.sys与 BDESVC 服务实现磁盘全卷加密管理。

TPM 自动解锁场景下，联动 TBS/TPM 驱动栈完成平台完整性校验与密钥解封；

适用场景：批量部署、服务器、无图形终端运维；

运维最佳实践：固件 / BIOS 操作前暂停 BitLocker 保护；同步备份恢复密钥；出现解锁故障联合tpmtool核查 PCR 与 TPM 状态。

进一步改进和扩展 manage-bde 命令表格，我加入了更多的使用场景、详细的错误诊断、解决方案以及与其他 Windows 安全工具的对比。还增加了一些高级命令，并进行了详细的说明，以便提高实用性和完整性。

进一步改进后的 `manage-bde` 命令表格：

类别	命令	简要描述	示例	常见问题及解决方法	其他说明
启用/禁用 BitLocker	`manage-bde -on <驱动器>:`	启用指定驱动器的 BitLocker 加密。	`manage-bde -on c:`	问题: 启用失败，提示驱动器不符合加密要求。解决方法: 确保驱动器支持 TPM 或配置相应的启动选项。	必须在管理员权限下运行命令，且某些硬件和 BIOS 设置可能会影响 BitLocker 的启用。
	`manage-bde -off <驱动器>:`	禁用指定驱动器的 BitLocker 加密，解密驱动器。	`manage-bde -off c:`	问题: 解密过程较慢。解决方法: 等待过程完成，且不要中断解密进程。	在解密过程中，数据会以明文形式存储，务必小心操作。
查看加密状态	`manage-bde -status`	查看所有驱动器的 BitLocker 加密状态。	`manage-bde -status`	问题: 无法显示状态。解决方法: 确保运行命令时具有管理员权限，检查是否启用了 BitLocker。	该命令可以显示加密状态、保护者类型、恢复密钥以及是否启用了 TPM 等详细信息。
恢复密钥管理	`manage-bde -protectors -get <驱动器>:`	查看指定驱动器的恢复密钥保护者信息。	`manage-bde -protectors -get c:`	问题: 未能找到恢复密钥。解决方法: 确保已启用恢复密钥，并检查是否正确存储恢复密钥。	如果丢失恢复密钥，可以通过其他方法恢复访问，或者联系 IT 支持。
	`manage-bde -protectors -add <驱动器> -recoverypassword`	向驱动器添加恢复密码保护者。	`manage-bde -protectors -add c: -recoverypassword`	问题: 添加恢复密钥失败。解决方法: 检查是否启用了 TPM，且在管理员权限下运行命令。	恢复密码用于解锁加密驱动器，确保其保存在安全位置。
	`manage-bde -protectors -delete <驱动器> -type recoverypassword`	删除指定驱动器的恢复密码保护者。	`manage-bde -protectors -delete c: -type recoverypassword`	问题: 删除恢复密码时出现错误。解决方法: 确保恢复密码未被用于当前驱动器的解锁。	删除保护者后，恢复密钥将无法使用。
解锁磁盘	`manage-bde -unlock <驱动器>: -recoverypassword <密码>`	使用恢复密码解锁加密驱动器。	`manage-bde -unlock c: -recoverypassword 12345`	问题: 恢复密码错误。解决方法: 确认恢复密码正确，确保没有输入错误。	恢复密码只能用于解锁被加密的驱动器。
加密磁盘	`manage-bde -encryption start <驱动器>:`	启动加密过程，开始对指定驱动器进行加密。	`manage-bde -encryption start c:`	问题: 加密进程未开始或卡住。解决方法: 检查磁盘空间、文件系统以及是否启用了 TPM。	加密过程可能需要一段时间，取决于磁盘的大小和数据量。
禁用保护	`manage-bde -disable`	禁用 BitLocker 保护，解除对启动驱动器的保护。	`manage-bde -disable`	问题: 无法禁用保护。解决方法: 检查是否有其他进程或软件正在使用磁盘，尝试在安全模式下禁用保护。	禁用保护后，设备会恢复为非加密状态。
更改恢复密钥密码	`manage-bde -changepassword`	更改 BitLocker 恢复密钥的密码。	`manage-bde -changepassword`	问题: 密码更改失败。解决方法: 确保没有正在运行的加密或解密过程，且输入密码符合要求。	更改密码后，新密码必须保存在安全位置，否则将无法恢复驱动器访问权限。
修改启动选项	`manage-bde -setstartuptoken`	设置启动时需要的令牌，确保计算机能正确启动。	`manage-bde -setstartuptoken`	问题: 设置启动令牌失败。解决方法: 确保计算机已正确启用 TPM，并且支持启动令牌。	启动令牌设置后，系统启动时需要提供密钥。
查看加密详细信息	`manage-bde -status <驱动器>:`	查看指定驱动器的加密详细信息。	`manage-bde -status c:`	问题: 状态信息显示不完整。解决方法: 确保 BitLocker 已启用，且磁盘没有处于错误状态。	可用来查看加密状态、密钥保护类型等重要信息。
修复 BitLocker 错误	`manage-bde -repair`	修复 BitLocker 加密驱动器的错误。	`manage-bde -repair c:`	问题: BitLocker 加密驱动器无法解锁。解决方法: 尝试修复并恢复文件系统。	修复操作会影响加密状态，可能需要重新加密驱动器。
暂停和恢复加密	`manage-bde -pause`	暂停正在进行的加密过程。	`manage-bde -pause`	问题: 加密进程无法暂停。解决方法: 检查是否有其他进程或保护在进行加密操作，确保没有干扰。	加密过程暂停后，您可以稍后恢复加密操作。
	`manage-bde -resume`	恢复暂停的加密进程。	`manage-bde -resume`	问题: 无法恢复加密进程。解决方法: 检查加密状态，确保磁盘没有被锁定。	恢复加密进程后，加密将继续进行。
查看 BitLocker 管理日志	`manage-bde -log`	查看 BitLocker 的操作日志，帮助排查问题。	`manage-bde -log`	问题: 日志内容过于庞大。解决方法: 将日志导出为文本文件以便分析。	日志文件通常包含错误代码和警告，分析日志对于解决复杂问题至关重要。

进一步增强的功能和说明：

高级修复功能：
- manage-bde -repair 命令允许管理员在加密驱动器遇到文件系统错误或 BitLocker 错误时进行修复。
- 此功能对于恢复损坏的加密驱动器非常有帮助，尤其在系统崩溃或磁盘出现坏道时。
暂停与恢复加密：
- 通过 manage-bde -pause 和 manage-bde -resume，用户可以在加密过程中暂停并稍后恢复加密操作。这对于需要访问加密数据但不想解锁整个驱动器的用户特别有用。
BitLocker 日志：
- manage-bde -log 命令使管理员可以查看详细的 BitLocker 操作日志，帮助定位加密或解密过程中的具体错误。这对于解决加密过程中的问题至关重要，特别是在企业环境中。
修复加密驱动器：
- manage-bde -repair 也为管理员提供了解决加密驱动器错误的工具。这意味着即使驱动器在加密过程中遇到问题，管理员也能尝试恢复数据或修复问题。

通过这些改进，manage-bde 工具不仅在执行基本的加密和解密任务时变得更强大，还为用户提供了更多修复和恢复选项，尤其适合企业和专业 IT 环境。

进一步改进并扩展的 manage-bde 命令表格，增加了类别、命令、简要描述、示例、常见问题及解决方法、其他说明等内容：

类别	命令	简要描述	示例	常见问题及解决方法	其他说明
启用/禁用 BitLocker	`manage-bde -on <驱动器>:`	启用指定驱动器的 BitLocker 加密。	`manage-bde -on c:`	问题: 启用失败，提示驱动器不符合加密要求。解决方法: 确保驱动器支持 TPM 或配置相应的启动选项。	必须在管理员权限下运行命令，且某些硬件和 BIOS 设置可能会影响 BitLocker 的启用。
	`manage-bde -off <驱动器>:`	禁用指定驱动器的 BitLocker 加密，解密驱动器。	`manage-bde -off c:`	问题: 解密过程较慢。解决方法: 等待过程完成，且不要中断解密进程。	在解密过程中，数据会以明文形式存储，务必小心操作。
查看加密状态	`manage-bde -status`	查看所有驱动器的 BitLocker 加密状态。	`manage-bde -status`	问题: 无法显示状态。解决方法: 确保运行命令时具有管理员权限，检查是否启用了 BitLocker。	该命令可以显示加密状态、保护者类型等详细信息。
恢复密钥管理	`manage-bde -protectors -get <驱动器>:`	查看指定驱动器的恢复密钥保护者信息。	`manage-bde -protectors -get c:`	问题: 未能找到恢复密钥。解决方法: 确保已启用恢复密钥，并检查是否正确存储恢复密钥。	如果丢失恢复密钥，可以通过其他方法恢复访问，或者联系 IT 支持。
	`manage-bde -protectors -add <驱动器> -recoverypassword`	向驱动器添加恢复密码保护者。	`manage-bde -protectors -add c: -recoverypassword`	问题: 添加恢复密钥失败。解决方法: 检查是否启用了 TPM，且在管理员权限下运行命令。	恢复密码用于解锁加密驱动器，确保其保存在安全位置。
	`manage-bde -protectors -delete <驱动器> -type recoverypassword`	删除指定驱动器的恢复密码保护者。	`manage-bde -protectors -delete c: -type recoverypassword`	问题: 删除恢复密码时出现错误。解决方法: 确保恢复密码未被用于当前驱动器的解锁。	删除保护者后，恢复密钥将无法使用。
解锁磁盘	`manage-bde -unlock <驱动器>: -recoverypassword <密码>`	使用恢复密码解锁加密驱动器。	`manage-bde -unlock c: -recoverypassword 12345`	问题: 恢复密码错误。解决方法: 确认恢复密码正确，确保没有输入错误。	恢复密码只能用于解锁被加密的驱动器。
加密磁盘	`manage-bde -encryption start <驱动器>:`	启动加密过程，开始对指定驱动器进行加密。	`manage-bde -encryption start c:`	问题: 加密进程未开始或卡住。解决方法: 检查磁盘空间、文件系统以及是否启用了 TPM。	加密过程可能需要一段时间，取决于磁盘的大小和数据量。
禁用保护	`manage-bde -disable`	禁用 BitLocker 保护，解除对启动驱动器的保护。	`manage-bde -disable`	问题: 无法禁用保护。解决方法: 检查是否有其他进程或软件正在使用磁盘，尝试在安全模式下禁用保护。	禁用保护后，设备会恢复为非加密状态。
更改恢复密钥密码	`manage-bde -changepassword`	更改 BitLocker 恢复密钥的密码。	`manage-bde -changepassword`	问题: 密码更改失败。解决方法: 确保没有正在运行的加密或解密过程，且输入密码符合要求。	更改密码后，新密码必须保存在安全位置，否则将无法恢复驱动器访问权限。
修改启动选项	`manage-bde -setstartuptoken`	设置启动时需要的令牌，确保计算机能正确启动。	`manage-bde -setstartuptoken`	问题: 设置启动令牌失败。解决方法: 确保计算机已正确启用 TPM，并且支持启动令牌。	启动令牌设置后，系统启动时需要提供密钥。
查看加密详细信息	`manage-bde -status <驱动器>:`	查看指定驱动器的加密详细信息。	`manage-bde -status c:`	问题: 状态信息显示不完整。解决方法: 确保 BitLocker 已启用，且磁盘没有处于错误状态。	可用来查看加密状态、密钥保护类型等重要信息。

其他说明：

管理员权限：大多数 manage-bde 命令需要以管理员身份运行。确保命令提示符或 PowerShell 以管理员权限启动。
TPM (受信任的平台模块)：许多 BitLocker 操作需要启用 TPM，确保硬件支持此功能。
备份恢复密钥：使用 BitLocker 时，强烈建议备份恢复密钥，并将其保存在安全位置。如果没有恢复密钥，数据将无法恢复。
兼容性：某些旧版本的 Windows 或硬件可能不支持某些 BitLocker 功能，确保操作系统和硬件满足 BitLocker 的要求。

通过这些增强功能，manage-bde 工具可以有效地帮助用户管理 BitLocker 加密、保护和恢复磁盘。

功能分类	命令	说明	示例
加密与解锁管理	`manage-bde -on <驱动器号>`	启动 BitLocker 加密	`manage-bde -on C:` 启用 C 盘的 BitLocker 加密
	`manage-bde -off <驱动器号>`	关闭 BitLocker 加密	`manage-bde -off C:` 关闭 C 盘的 BitLocker 加密
	`manage-bde -lock <驱动器号>`	锁定已加密的驱动器，要求用户解锁才能访问	`manage-bde -lock C:` 锁定 C 盘
	`manage-bde -unlock <驱动器号> -password <密码>`	使用密码解锁驱动器	`manage-bde -unlock C: -password 1234` 解锁 C 盘，密码为 1234
	`manage-bde -unlock <驱动器号> -recoverypassword <恢复密码>`	使用恢复密码解锁驱动器	`manage-bde -unlock C: -recoverypassword 56B9-2E4A` 解锁 C 盘，恢复密码为 56B9-2E4A
保护者管理	`manage-bde -protectors -add <驱动器号> -recoverypassword`	向驱动器添加恢复密码保护	`manage-bde -protectors -add C: -recoverypassword` 添加恢复密码保护
	`manage-bde -protectors -add <驱动器号> -password`	向驱动器添加密码保护	`manage-bde -protectors -add C: -password` 添加密码保护
	`manage-bde -protectors -add <驱动器号> -TPM`	向驱动器添加 TPM（受信平台模块）保护	`manage-bde -protectors -add C: -TPM` 启用 TPM 保护
	`manage-bde -protectors -delete <驱动器号> -recoverypassword`	删除恢复密码保护	`manage-bde -protectors -delete C: -recoverypassword` 删除恢复密码保护
驱动器状态查询	`manage-bde -status <驱动器号>`	查看指定驱动器的加密状态	`manage-bde -status C:` 查看 C 盘的加密状态
	`manage-bde -status`	查看所有驱动器的加密和解锁状态	`manage-bde -status` 查看所有驱动器的加密状态
自动解锁管理	`manage-bde -autounlock`	启用自动解锁，允许在启动时自动解锁指定驱动器	`manage-bde -autounlock -enable C:` 启用 C 盘的自动解锁
	`manage-bde -autounlock -disable`	禁用自动解锁	`manage-bde -autounlock -disable C:` 禁用 C 盘的自动解锁
修复管理	`manage-bde -repair`	修复驱动器加密的问题（如损坏的加密元数据等）	`manage-bde -repair C:` 修复 C 盘上的加密问题
性能管理	`manage-bde -performance`	调整 BitLocker 加密时的性能参数（例如加密速度）	`manage-bde -performance C:` 调整 C 盘加密性能参数
密钥管理	`manage-bde -keyprotector`	查看、管理或删除保护密钥（例如密码、TPM 密钥等）	`manage-bde -keyprotector C:` 查看 C 盘上的保护密钥
操作日志	`manage-bde -trace`	查看 BitLocker 的操作日志	`manage-bde -trace` 显示 BitLocker 操作日志
锁定管理	`manage-bde -lock <驱动器号>`	锁定加密的驱动器，要求解锁才能访问	`manage-bde -lock D:` 锁定 D 盘

解释：

加密与解锁管理：这些命令帮助你启动加密、解锁、锁定驱动器等操作。
保护者管理：管理驱动器的保护方法，包括添加和删除密码、TPM（受信平台模块）保护或恢复密码。
驱动器状态查询：查看当前驱动器的加密状态，查询是否启用了 BitLocker 加密以及其他加密信息。
自动解锁管理：允许你启用或禁用自动解锁，这样在每次启动时可以自动解锁指定的驱动器。
修复管理：修复因某些错误而导致的 BitLocker 加密问题，帮助你解决损坏或缺失的加密元数据。
性能管理：在加密过程中对性能进行优化或调整，以提高加密速度或降低系统资源占用。
密钥管理：查看和管理 BitLocker 的密钥保护，如密码、TPM 密钥或恢复密钥。
操作日志：查看有关 BitLocker 操作的日志，了解加密、解锁或其他关键操作的历史记录。
锁定管理：控制加密驱动器的访问，锁定驱动器后只有通过正确的解锁方法才能访问它。

这些命令覆盖了 BitLocker 驱动器加密的主要管理功能，可以帮助你更好地管理加密驱动器。

manage-bde 命令按功能分类的表格。manage-bde 是一个用于 BitLocker 驱动器加密管理的命令行工具，提供了许多功能来配置、查询和管理 BitLocker 加密。

功能分类	命令	说明
加密管理	`manage-bde -on <驱动器号>`	启动 BitLocker 加密
	`manage-bde -off <驱动器号>`	关闭 BitLocker 加密
	`manage-bde -lock <驱动器号>`	锁定已加密的驱动器，要求用户解锁才能访问
解锁管理	`manage-bde -unlock <驱动器号> -password <密码>`	使用密码解锁驱动器
	`manage-bde -unlock <驱动器号> -recoverypassword <恢复密码>`	使用恢复密码解锁驱动器
恢复管理	`manage-bde -protectors -add <驱动器号> -recoverypassword`	向驱动器添加恢复密码保护
	`manage-bde -protectors -add <驱动器号> -password`	向驱动器添加密码保护
	`manage-bde -protectors -add <驱动器号> -TPM`	向驱动器添加 TPM（受信平台模块）保护
	`manage-bde -protectors -delete <驱动器号> -recoverypassword`	删除恢复密码保护
状态查看	`manage-bde -status <驱动器号>`	查看指定驱动器的加密状态
进度查看	`manage-bde -status`	查看所有驱动器的加密和解锁状态
锁定管理	`manage-bde -lock <驱动器号>`	锁定加密的驱动器，用户需要解锁才能访问
密钥管理	`manage-bde -keyprotector`	查看、管理或删除保护密钥（例如密码、TPM 密钥等）
自动解锁	`manage-bde -autounlock`	启用自动解锁，允许在启动时自动解锁指定驱动器
操作日志	`manage-bde -trace`	查看 BitLocker 的操作日志
修复管理	`manage-bde -repair`	修复驱动器加密的问题（如损坏的加密元数据等）
性能管理	`manage-bde -performance`	调整 BitLocker 加密时的性能参数（例如加密速度）

这些命令覆盖了 BitLocker 驱动器加密管理的各个方面，从加密和解锁，到恢复和保护管理。通过这些命令，可以在命令行环境中完成对 BitLocker 的广泛管理。

manage-bde 命令按功能进行分类，并以表格形式呈现的结果：

功能分类	命令	描述
基本命令	`manage-bde`	启动 `manage-bde` 命令行工具，显示相关帮助信息。
查看加密状态	`manage-bde status`	显示所有驱动器的 BitLocker 加密状态，包括是否启用、加密进度等。
启用/禁用加密	`manage-bde on`	启用指定驱动器的 BitLocker 加密。
	`manage-bde off`	禁用指定驱动器的 BitLocker 加密，并解锁驱动器。
暂停/恢复加密	`manage-bde pause`	暂停正在进行的加密或解密操作。
	`manage-bde resume`	恢复暂停的加密或解密操作。
驱动器状态控制	`manage-bde lock`	锁定指定的驱动器，使其不可访问。
	`manage-bde unlock`	解锁指定驱动器，通常需要密码或恢复密钥。
自动解锁	`manage-bde autounlock`	启用或禁用指定驱动器的自动解锁功能。
保护者管理	`manage-bde protectors`	管理 BitLocker 的保护者（密码、PIN、TPM 等）。
TPM 管理	`manage-bde tpm`	管理受信任的平台模块（TPM）设置。
驱动器标识管理	`manage-bde setidentifier`	设置或更改驱动器的唯一标识符。
恢复模式	`manage-bde forcerecovery`	强制驱动器进入恢复模式，下次启动时要求提供恢复密钥。
密码/PIN 管理	`manage-bde changepassword`	更改指定驱动器的 BitLocker 解锁密码。
	`manage-bde changepin`	更改指定驱动器的 BitLocker 解锁 PIN。
恢复密钥管理	`manage-bde changekey`	更改 BitLocker 的恢复密钥。
密钥包管理	`manage-bde keypackage`	导出加密驱动器的密钥包，用于恢复。
加密格式升级	`manage-bde upgrade`	升级驱动器的 BitLocker 加密格式。
清理空闲空间	`manage-bde wipefreespace`	清除驱动器的空闲空间，防止已删除文件被恢复。

这个表格根据功能分类了每个命令，使得管理和理解 BitLocker 加密工具更加清晰。

manage-bde 是一个用于管理 BitLocker 驱动器加密的命令行工具，广泛应用于 Windows 操作系统。以下是您要求的 manage-bde 命令的详细解释，涵盖了每个命令的功能及其用法。

1. `manage-bde`

描述：这是 manage-bde 命令的基础命令，用于启动命令行界面。没有附加参数时，它会显示有关 BitLocker 加密管理的帮助信息，并列出可以使用的其他命令。

2. `manage-bde status`

描述：显示计算机上所有磁盘驱动器的 BitLocker 加密状态。它会列出驱动器是否启用了 BitLocker、加密进度、锁定状态等信息。
示例：
bashCopy Code
```
manage-bde status
```

3. `manage-bde on`

描述：启用指定驱动器的 BitLocker 加密。该命令开始对指定驱动器进行加密。
示例：
bashCopy Code
```
manage-bde on C:
```

4. `manage-bde off`

描述：禁用指定驱动器的 BitLocker 加密，并解锁驱动器。这会解除驱动器的加密，恢复为未加密状态。通常需要输入密码或恢复密钥来解锁驱动器。
示例：
bashCopy Code
```
manage-bde off C:
```

5. `manage-bde pause`

描述：暂停正在进行的 BitLocker 加密或解密操作。这可以在执行加密或解密时中断操作，稍后可以恢复。
示例：
bashCopy Code
```
manage-bde pause C:
```

6. `manage-bde resume`

描述：恢复暂停的 BitLocker 加密或解密操作。此命令允许继续暂停的加密或解密进程。
示例：
bashCopy Code
```
manage-bde resume C:
```

7. `manage-bde lock`

描述：锁定指定的驱动器。这会强制 BitLocker 驱动器加密在没有解锁的情况下变得不可访问。
示例：
bashCopy Code
```
manage-bde lock C:
```

8. `manage-bde unlock`

描述：解锁指定的驱动器。通常需要输入密码或恢复密钥来解锁 BitLocker 加密的驱动器。
示例：
bashCopy Code
```
manage-bde unlock C: -password
```

9. `manage-bde autounlock`

描述：启用或禁用自动解锁功能。如果启用了自动解锁，Windows 会在启动时自动解锁指定驱动器，而不需要手动输入密码。
示例：
bashCopy Code
```
manage-bde autounlock enable C:
```

10. `manage-bde protectors`

描述：管理 BitLocker 的保护者。保护者是用来解锁驱动器的身份验证方法（例如密码、PIN、TPM 密钥）。您可以列出、添加或删除保护者。
示例：
- 列出保护者：
  bashCopy Code
```
manage-bde protectors -get C:
```
- 添加保护者（例如：密码保护）：
  bashCopy Code
```
manage-bde protectors -add C: -password
```

11. `manage-bde tpm`

描述：管理受信任的平台模块（TPM）。TPM 是一种硬件技术，用于增强系统安全性。在 BitLocker 中，TPM 用来存储密钥和加密信息。
示例：
- 启用 TPM：
  bashCopy Code
```
manage-bde tpm -enable
```
- 清除 TPM 数据（需要管理员权限）：
  bashCopy Code
```
manage-bde tpm -clear
```

12. `manage-bde setidentifier`

描述：设置或更改指定驱动器的 BitLocker 唯一标识符。此标识符用于区分不同的加密驱动器。

示例：

bashCopy Code

manage-bde setidentifier C: "MyUniqueIdentifier"

13. `manage-bde forcerecovery`

描述：强制驱动器进入恢复模式。这意味着在下次启动时，系统将要求提供 BitLocker 恢复密钥来解锁驱动器。
示例：
bashCopy Code
```
manage-bde forcerecovery C:
```

14. `manage-bde changepassword`

描述：更改指定驱动器的 BitLocker 解锁密码。用户需要提供当前密码并设置新密码。
示例：
bashCopy Code
```
manage-bde changepassword C:
```

15. `manage-bde changepin`

描述：更改指定驱动器的 BitLocker 解锁 PIN。此命令适用于启用了 PIN 解锁的驱动器。
示例：
bashCopy Code
```
manage-bde changepin C:
```

16. `manage-bde changekey`

描述：更改 BitLocker 的恢复密钥。您可以生成新的恢复密钥并删除旧的恢复密钥。
示例：
bashCopy Code
```
manage-bde changekey C:
```

17. `manage-bde keypackage`

描述：导出加密驱动器的密钥包。密钥包包含了恢复密钥和加密驱动器的相关信息，可以用于恢复加密驱动器。

示例：

bashCopy Code

manage-bde keypackage C: -path "D:\BackupKey"

18. `manage-bde upgrade`

描述：升级驱动器的 BitLocker 加密格式。升级可能涉及更改加密算法或改进加密方式，以确保数据安全性。
示例：
bashCopy Code
```
manage-bde upgrade C:
```

19. `manage-bde wipefreespace`

描述：清除驱动器上的空闲空间，以确保已删除的文件无法恢复。这个操作对于提高隐私保护性非常有用。
示例：
bashCopy Code
```
manage-bde wipefreespace C:
```
manage-bde 提供了广泛的命令来管理 BitLocker 加密，包括加密、解密、驱动器锁定、密码保护和密钥管理等功能。
通过这些命令，用户可以控制 BitLocker 加密状态、设置保护者、恢复驱动器、配置自动解锁等操作。

posted @ 2025-01-18 19:34 suv789 阅读(2222) 评论(0) 收藏举报

刷新页面返回顶部

suv789

manage-bde 是一个用于管理 BitLocker 驱动器加密的命令行工具，广泛应用于 Windows 操作系统。以下是您要求的 manage-bde 命令的详细解释，涵盖了每个命令的功能及其用法。

BitLocker PowerShell Cmdlet ↔ manage-bde.exe 一一映射对照表

补充重要差异点（运维避坑）

1. 输出能力

2. 独有能力（互不覆盖）

3. 通用前置条件（两套命令全部适用）

运维选型建议

manage-bde.exe（BitLocker Drive Encryption 命令行工具）完整拆解

基础定位

一、底层原理

1. 设计目标

2. 软件分层架构

二、依赖文件

用户态依赖

内核强制驱动依赖

系统配套服务

固件前置依赖（TPM 自动解锁场景）

三、依赖关系

调用执行顺序（典型场景：manage-bde -on C: -protectors -add tpm）

横向业务依赖链

工具边界对比

四、核心逻辑链路（分高频场景）

链路 1：查询加密状态 manage-bde -status C:

链路 2：启用 TPM 保护加密 manage-bde -on C:

链路 3：备份恢复密钥 manage-bde -protectors -get C: -f D:\recovery.key

链路 4：暂停保护 manage-bde -pause C:

链路 5：解锁数据盘（密码方式）manage-bde -unlock D: -password

五、配套链

Windows 原生配套工具

运维配套操作组合（标准故障排查流程）

调试工具

六、典型故障清单

七、极简总结汇报提纲

进一步改进后的 manage-bde 命令表格：

进一步增强的功能和说明：

其他说明：

解释：

1. manage-bde

2. manage-bde status

3. manage-bde on

4. manage-bde off

5. manage-bde pause

6. manage-bde resume

7. manage-bde lock

8. manage-bde unlock

9. manage-bde autounlock

10. manage-bde protectors

11. manage-bde tpm

12. manage-bde setidentifier

13. manage-bde forcerecovery

14. manage-bde changepassword

15. manage-bde changepin

16. manage-bde changekey

17. manage-bde keypackage

18. manage-bde upgrade

19. manage-bde wipefreespace

公告

调用执行顺序（典型场景：`manage-bde -on C: -protectors -add tpm`）

链路 1：查询加密状态 `manage-bde -status C:`

链路 2：启用 TPM 保护加密 `manage-bde -on C:`

链路 3：备份恢复密钥 `manage-bde -protectors -get C: -f D:\recovery.key`

链路 4：暂停保护 `manage-bde -pause C:`

链路 5：解锁数据盘（密码方式）`manage-bde -unlock D: -password`

进一步改进后的 `manage-bde` 命令表格：

1. `manage-bde`

2. `manage-bde status`

3. `manage-bde on`

4. `manage-bde off`

5. `manage-bde pause`

6. `manage-bde resume`

7. `manage-bde lock`

8. `manage-bde unlock`

9. `manage-bde autounlock`

10. `manage-bde protectors`

11. `manage-bde tpm`

12. `manage-bde setidentifier`

13. `manage-bde forcerecovery`

14. `manage-bde changepassword`

15. `manage-bde changepin`

16. `manage-bde changekey`

17. `manage-bde keypackage`

18. `manage-bde upgrade`

19. `manage-bde wipefreespace`