Windows 11 专业版磁盘加密怎么开：BitLocker 设置、恢复密钥与解锁验证

很多人以为磁盘里装好 Windows 就算“加密完成”，其实系统盘和移动硬盘需要分别开启 BitLocker。真正容易出问题的不是点“开启”，而是恢复密钥没留好，或重启后才发现 PIN 无法使用。下面按 Windows 11 专业版界面一步步操作，并在最后做状态与解锁验证。

适用设备与系统版本

本文适用于安装 Windows 11 专业版、专业教育版、企业版或专业工作站版的台式机、笔记本，也适用于 Windows 11 专业版下的移动硬盘。家庭版没有完整的手动 BitLocker 管理入口；符合条件的家庭版设备可能自动启用“设备加密”，其底层同样基于 BitLocker，但设置和恢复方式不同。单位电脑若由域策略或终端管理软件控制，选项可能变灰或被远程下发，应先按单位要求操作。

第一步：确认版本、TPM，并备份重要数据

1. 按 Win + R，输入 winver 后回车，确认“版本”不是“Windows 11 家庭版”。若已是专业版，再继续下一步。
2. 再按 Win + R，输入 tpm.msc。普通电脑应显示“TPM 已准备就绪”；Windows 11 新电脑通常配有 TPM 2.0。若提示不可用或找不到兼容 TPM，先更新电脑固件并检查硬件状态，不要急着加密。没有 TPM 的老电脑也可使用密码作为启动密钥，但每次开机都要验证，日常使用更麻烦。
3. 先把桌面、文档和浏览器资料备份到未加密的移动硬盘或可信云盘，并保持接通电源。BitLocker 按分区加密，备份不能被它替代。

第二步：打开 BitLocker 管理器

1. 按 Win + R，输入 control 并回车。
2. 依次进入“系统和安全”→“BitLocker 驱动器加密”。页面会分别列出“操作系统驱动器”和“可移动数据驱动器”。
3. 若系统设置里已显示“设备加密已开启”，说明该设备已有 BitLocker 保护，不要重复开启，直接确认恢复密钥是否还能找到。若控制面板完全没有此入口，先复查 Windows 版本和单位管理策略。

第三步：为系统盘设置解锁方式

1. 在“操作系统驱动器”一栏找到通常为 C: 的系统盘，单击“启用 BitLocker”。数据分区若也要保护，需要分别启用。
2. 按向导选择解锁方式。支持 TPM 的设备优先设置启动 PIN，若界面只提供密码，则设置独立强密码；没有 TPM 时选择密码或按提示使用启动密钥。启动 PIN 与 Windows 登录 PIN 不是一回事，建议至少 8 位，避免使用生日和连号。
3. 有“加密整个驱动器”的选项时保持默认，不要只加密空闲空间。确认后继续到恢复密钥页面。

第四步：保存并复核恢复密钥

1. 在“备份 BitLocker 恢复密钥”页面，优先选择“保存到文件”，将密钥放在一只独立的小容量 U 盘；也可以选择“打印”。使用微软账户登录时，还会看到“保存到 Microsoft 账户”。建议至少保留一份离线副本，有条件再把另一份放进可靠的密码管理器。
2. 恢复密钥通常是一串 48 位数字，另有一个用于检索的“密钥 ID”。把数字、密钥 ID、系统盘标签和保存日期一起记下。恢复密钥不是启动 PIN，也不是 Windows 账户密码。
3. 不要只把恢复密钥放在正在加密的 C 盘，也不要把明文密钥随意发到聊天群或邮件。U 盘若会随身携带，应放在不会随意被他人读取的位置。
4. 若选择了 Microsoft 账户，可打开 https://account.microsoft.com/devices/recoverykey 查看保存的密钥。核对数字和密钥 ID 即可，不要为了“试钥匙”在重要系统盘上故意连续输错。

第五步：完成加密并验证解锁

1. 单击“开始加密”，笔记本保持接电。加密期间可以继续使用电脑，但会有一定磁盘占用；到达 100% 后按提示重启。
2. 回到管理器确认状态为“BitLocker 已启用”。还可搜索并以管理员身份运行命令提示符，执行 manage-bde -status C:，查看“Conversion Status”为“Encryption Complete”、“Protection Status”为“Protection On”；其他分区把 C: 换成对应盘符。
3. 从“开始”菜单选择“电源”→“重启”，做一次完整开机验证。出现登录界面后，从“登录选项”选择启动 PIN 或密码。不要只用 Win + L 锁屏代替测试，因为锁屏主要验证的是 Windows 账户登录，不是完整的 BitLocker 启动验证。
4. 若重启后没有直接要求 PIN，先检查“登录选项”里是否保留启动 PIN；不要删除恢复密钥。恢复密钥和启动 PIN 都无法使用时，可能进入 BitLocker 恢复界面，只能用 48 位恢复密钥解锁。

第六步：给移动硬盘开启 BitLocker To Go

1. 插入 U 盘、移动固态硬盘或移动机械硬盘，先备份内容，在“可移动数据驱动器”一栏单击“启用 BitLocker”。
2. 为移动硬盘设置强密码并单独保存恢复密钥，最好给硬盘贴上用途标签。拔出前仍要使用系统的“安全删除硬件”。
3. 在另一台支持 BitLocker To Go 的 Windows 专业版电脑上连接硬盘，输入刚才设置的密码即可解锁。重新格式化会破坏 BitLocker 加密头和数据，操作前务必确认密钥已有可靠副本。

注意事项

• 恢复密钥丢失且没有第二份副本时，BitLocker 加密数据通常无法通过“重装系统、格式化磁盘”找回；这些操作只会让数据更难访问，不能解密。
• BIOS、主板固件或 TPM 状态发生变化时，开机可能被要求输入恢复密钥。换硬件、升级 BIOS 前先把密钥和密钥 ID 放到手边。
• BitLocker 主要防止设备丢失、硬盘被拆走时数据被直接读取；它不会拦截已登录系统中的恶意程序，也不能替代系统更新和可信备份。
• 加密完成不等于所有分区都加密。系统盘、数据盘和移动盘应分别查看状态。
• 日常使用中若发现电脑性能短暂下降，可先等待后台加密结束；现代固态硬盘完成加密后，日常读写通常不会有明显差别。

小结

开启 BitLocker 的关键流程可以概括为：确认专业版与 TPM，做好备份；分别启用系统盘和移动盘；设置启动 PIN 或密码；把 48 位恢复密钥保存在 C 盘之外；最后用管理器、命令和重启三种方式确认保护状态。密钥先保存、再加密，验证时不要拿重要数据冒险，才是更稳妥的做法。