支援這項功能的版本：Frontline Starter 和 Frontline Standard；Business Plus；Enterprise Standard 和 Enterprise Plus；Education Standard、Education Plus 和 Endpoint Education Upgrade；Enterprise Essentials 和 Enterprise Essentials Plus；Cloud Identity 進階版。 版本比較
管理員可以為已註冊 Windows 裝置管理服務的 Microsoft Windows 10 或 11 裝置指定加密方式。如果裝置已開啟 BitLocker 磁碟機加密功能，您選擇的設定就會生效。最常見的設定有：
- 磁碟機加密
- 其他啟動驗證方式
- 開機前復原選項
- 固定式磁碟機加密
- 固定式磁碟機復原選項
- 卸除式磁碟機加密
事前準備
如要套用這些設定，請先為裝置註冊 Windows 裝置管理服務。瞭解詳情
設定 BitLocker 磁碟機加密方式
-
-
在管理控制台中，依序點選「選單」圖示
「裝置」
「行動裝置和端點」
- 按一下 [BitLocker 設定]。
- (選用) 如要為特定部門或團隊套用設定，請選取側邊的「機構單位」。操作示範
- 在「磁碟機加密」下方的項目清單中選取「已啟用」。
- 設定選項 (全部展開)：磁碟機加密
固定式磁碟機加密
- 系統磁碟機的加密選項：為作業系統磁碟機選擇加密方式和金鑰加密強度。
- 其他啟動驗證方式：選擇 BitLocker 是否會在電腦每次啟動時要求以其他方式進行驗證，以及是否使用可信任平台模組 (TPM)。啟用後，您可以進行以下設定：
- 允許不含相容 TPM 的 BitLocker：勾選這個方塊即可要求啟動時使用者必須輸入密碼或插入 USB 隨身碟。
- 設定 TPM 啟動 (不需要 PIN 碼或金鑰)：您可以要求以 TPM 做為啟動驗證方式，而非透過 PIN 碼或金鑰進行驗證。
- TPM 啟動 PIN 碼：啟動前必須輸入 6 至 20 位數的 PIN 碼。您也可以設定 PIN 碼長度下限。
- TPM 啟動金鑰：您可以要求使用者以 TPM 啟動金鑰做為驗證方式來存取磁碟機。啟動金鑰是 USB 金鑰，內含用於加密磁碟機的資訊。將這個 USB 金鑰插入裝置後，系統會驗證您對磁碟機的存取權，然後開放存取磁碟機。
- TPM 啟動金鑰和 PIN 碼：您可以要求同時使用啟動金鑰和 PIN 碼。
- 開機前復原選項：啟用後即可設定復原訊息或自訂網址。這段訊息或網址會在作業系統磁碟機遭到鎖定時，顯示於開機前的金鑰復原畫面上。
- 系統磁碟機復原選項：啟用後即可設定選項，讓使用者從受 BitLocker 保護的作業系統磁碟機中復原資料。啟用後，您可以進行以下設定：
- 允許資料修復代理人：資料修復代理人是指使用公用金鑰基礎架構 (PKI) 憑證建立 BitLocker 金鑰保護工具的人員；如果啟用這項設定，這些代理人便可使用自己的 PKI 憑證解鎖受 BitLocker 保護的磁碟機。
- 指定 48 位數的復原密碼：選擇這項設定可控管使用者是否能夠或必須產生 48 位數的復原密碼。
- 256 位元的備援金鑰：選擇這項設定可控管使用者是否能夠或必須產生 256 位元的備援金鑰。
- 在 BitLocker 設定精靈中隱藏復原選項：勾選這個方塊即可禁止使用者在開啟 BitLocker 時指定復原選項。
- 將 BitLocker 復原資訊儲存至 Active Directory Domain Services：勾選這個方塊即可選擇要將哪些 BitLocker 復原資訊儲存在 Active Directory 中。您可以選取 [備份復原密碼及金鑰封裝] 或 [僅備份復原密碼]。啟用後，您可以進行以下設定：
- 將復原資訊儲存至 Active Directory 前，不允許啟用 BitLocker：勾選這個方塊可禁止使用者在電腦未連線至網域或是 BitLocker 復原資訊未成功備份至 Active Directory 的情況下啟用 BitLocker。
卸除式磁碟機加密- 固定式磁碟機加密：啟用這項設定後，系統就只會在固定式磁碟機都經過加密的情況下才授予寫入權限。啟用後，您可以進行以下設定：
- 固定式磁碟機的加密方式：為固定式磁碟機指定加密方式和金鑰加密強度。
- 固定式磁碟機復原選項：啟用後即可設定選項，讓使用者從受 BitLocker 保護的固定式磁碟機中復原資料。啟用後，您可以進行以下設定：
- 允許資料修復代理人：資料修復代理人是指使用公用金鑰基礎架構 (PKI) 憑證建立 BitLocker 金鑰保護工具的人員；如果啟用這項設定，這些代理人便可使用自己的 PKI 憑證解鎖受 BitLocker 保護的磁碟機。
- 48 位數的復原密碼：選擇這項設定可控管使用者是否能夠或必須產生 48 位數的復原密碼。
- 256 位元的備援金鑰：選擇這項設定可控管使用者是否能夠或必須產生 256 位元的備援金鑰。
- 在 BitLocker 設定精靈中隱藏復原選項：勾選這個方塊即可禁止使用者在開啟 BitLocker 時指定復原選項。
- 將 BitLocker 復原資訊儲存至 Active Directory Domain Services：勾選這個方塊即可選擇要將哪些 BitLocker 復原資訊儲存在 Active Directory 中。您可以選取 [備份復原密碼及金鑰封裝] 或 [僅備份復原密碼]。啟用後，您可以進行以下設定：
- 將復原資訊儲存至 Active Directory 前，不允許啟用 BitLocker：勾選這個方塊可禁止使用者在電腦未連線至網域或是 BitLocker 復原資訊未成功備份至 Active Directory 的情況下啟用 BitLocker。
- 卸除式磁碟機加密：啟用這項設定後，系統就只會在卸除式磁碟機都經過加密的情況下才授予寫入權限。啟用後，您可以設定下列項目：
- 卸除式磁碟機的加密方法：為卸除式磁碟機選擇加密演算法和金鑰加密強度。
- 拒絕其他機構中所設裝置的寫入權限：勾選這個方塊後，只有在磁碟機的識別欄位與電腦的識別欄位相符時，系統才會將寫入權限授予磁碟機。這些欄位是由貴機構的群組政策所定義。
- 按一下 [儲存]。 如果是 機構單位，您也可以按一下「覆寫」。
如果日後要還原沿用的值，請按一下「沿用」。
變更最多可能需要 24 小時才會生效，但通常不會這麼久。瞭解詳情
將磁碟機加密方式設為「未設定」
如果您在「磁碟機加密」部分選取「未設定」，系統便不會再強制執行您在管理控制台中設定的 BitLocker 政策。在使用者裝置上，系統會將該政策還原為先前的設定。如果使用者先前已為該裝置進行加密，系統就不會對該裝置或裝置中的資料做出任何變更。
停用 BitLocker 磁碟機加密
-
-
在管理控制台中，依序點選「選單」圖示
- 按一下 [BitLocker 設定]。
- 如果您只想為部分使用者停用設定檔，請在左側清單中選擇所需機構單位，否則這項設定將套用到所有使用者的帳戶。
- 在「磁碟機加密」下方的項目清單中選取「已停用」。
- 按一下 [儲存]。 如果是 機構單位，您也可以按一下「覆寫」。
如果日後要還原沿用的值，請按一下「沿用」。
相關主題
Google、Google Workspace 與相關符號和標誌均為 Google LLC 的商標。所有其他公司名稱和產品名稱則為相關公司的商標。
