前车之鉴
这篇文章我写了两遍。为什么呢？
一开始大致写好以后，我就放电脑里了。我以为并没有开启 BitLocker 保护，直到几天之后开机时，不愿相信这噩梦般的蓝屏时。
这密钥曾清晰地出现在我眼前，我没有珍惜；直到全盘的数据摆上天平的另一端时，我才意识到这短短的48位数字举足轻重，但为时已晚。我明明记得没有开启 BitLocker 保护的来着，怎么就给我锁了呢……
自然 BitLocker 是很安全的，没有密钥休想解密。几番确认我无法找回密钥后，那只好全盘抹掉。幸亏这电脑里暂时没有很多重要资料。
然后就是重装系统、装驱动、装软件、把丢失的工作资料重新做一遍，折腾我一整天。鉴定为纯纯的手贱。
不过被 BitLocker 捅了一刀后，我应该更有资格写这篇文章了……
“设备加密”简介
在 Windows 10 / 11 家庭版中，BitLocker 的完整支持是没有的，取而代之的是“设备加密”，这个选项可以在设置中找到。简单说的话，它就是一个简化的 BitLocker，仅支持系统安装时所在的分区（系统盘），用户无法添加。这个选项在 Windows 11 中是默认开启的。
如果你的电脑上登录了微软账户，那么你的 BitLocker 密钥也应被上传，可以在帐户的相应页面查看。如果可以查询到就不必担心意外锁定了，但还是建议将这个密钥同时备份到其他地方。也有可能你登录了帐户却查不到密钥，那么就和未登录用户一同往下看吧。
出于不信任云服务的原因，我没有登录微软帐户，于是就会有图中黄色的提示框，表示着设备加密没有全部完成。在该状态下 BitLocker 保护实则尚未启用，此时恢复密钥和 TPM 都没有配置好，和未开启 BitLocker 的安全状态差不多。
主要过程
当然啦，也有办法在不登录微软帐户的情况下完成设备加密，这是本文的重点。在查阅网上的资料后，我发现可以通过 manage-bde 完成后续的 BitLocker 操作。manage-bde 是一个内置的命令行 BitLocker 管理工具，在 Windows 家庭版同样可用，虽然功能有些不完整但足够了。
以下操作需要在管理员权限的终端运行。首先执行 manage-bde -status，查看 BitLocker 状态，大概会输出这样的信息：
可以使用 BitLocker 驱动器加密
保护的磁盘卷:
卷 C: []
[OS 卷]
大小: 1145.14 GB
BitLocker 版本: 2.0
转换状态: 仅加密了已用空间
已加密百分比: 100.0%
加密方法: XTS-AES 128
保护状态: 保护关闭
锁定状态: 已解锁
标识字段: 未知
密钥保护器: 找不到
可以看到，没有添加任何密钥保护器，这是预期的未完成状态。“密钥保护器”可以理解为密码、恢复密钥、TPM 等用于解密 BitLocker 分区手段的统称。假设你的系统盘符是 C:，这时候我们执行以下两条命令，分别添加 TPM 和恢复密钥这两个密钥保护器：
manage-bde -protectors -add C: -tpm
manage-bde -protectors -add C: -rp
TPM 即“受信任的平台模块”，可以理解为内置的安全硬件，在信任的环境自动提供密钥解锁 BitLocker，无需每次输入密码或恢复密钥；它和帐户凭据没有关系，开机之后帐户密码还是要自己输入的。如果修改了启动引导、发生某些硬件配置变动或者更改某些 BIOS 设置，TPM 会拒绝提供密钥，这时才需要自己提供恢复密钥。TPM 是 Windows 11 的硬性要求，虽说也有方法跳过。
恢复密钥是每段6个十进制数字，共8段，每段由连字符隔开的48位随机数字。生成之后，立刻将恢复密钥记录下来！这个提示也会一同显示在屏幕上，自然是因为这步非常重要，经验之谈。我推荐的方法是拿支笔记在纸上，快速、可靠、方便销毁。之后别忘了将其转移到更加安全的地方备份。
保护器添加完成后，执行 manage-bde -on C: 启用 BitLocker 保护。这之后再执行 manage-bde -status 查看状态，应当看到如下结果：
可以使用 BitLocker 驱动器加密
保护的磁盘卷:
卷 C: []
[OS 卷]
大小: 1145.14 GB
BitLocker 版本: 2.0
转换状态: 仅加密了已用空间
已加密百分比: 100.0%
加密方法: XTS-AES 128
保护状态: 保护已启用
锁定状态: 已解锁
标识字段: 未知
密钥保护器:
TPM
数字密码
这样便已经完成设备加密了。可以重新查看一下设置中的设备加密选项，黄色提示框已经消失了。
相关杂项
再来聊聊设备加密有关的杂事吧，赶时间的话也可以不看，最重要的操作过程都在上面了。
首先关于设备加密要不要开的问题。上网查查的话，你可以看到很多人建议关闭这个选项。理由很简单，有潜在的丢数据风险啊。这点属实，但是仅发生在手头没有密钥的情况下。很多人都是看到 BitLocker 恢复的蓝屏才知道自己的电脑开启了加密，毕竟是默认开启嘛。所以，把恢复密钥备份好基本上可以消除这个潜在隐患了。至于我为什么建议开启的话，自然是因为保护数据安全。在开启 BitLocker 的情况下，他人无法通过拆下硬盘或者用修改引导等手段绕过帐户密码保护的方法获取或修改硬盘内的数据。虽然全盘加密对硬盘 I/O 性能有些影响，但是正常使用是无感知的，毕竟现代硬件基本都有 AES 硬件加速；除非你需要极致的硬盘 I/O 性能，非常在意这个瓶颈。
Windows 家庭版中的 manage-bde 无法删除保护器，这意味着一旦添加了恢复密钥便无法修改或删除，所以请一定保管好恢复密钥避免泄露。若非必要也不要添加多余的密钥保护器，否则……删不掉看着很难受，仅此而已。嗯，这个我也试过，然后我使用了一个比较折腾的方法：升级到专业版，使用完整的 manage-bde 删除多余的，然后降级回家庭版。正常人别用这个方法，除非你没事干。题外话，这篇文章的降级方法很受用，亲测有效：如何在保留文件和应用的情况下将windows专业版退回至家庭版 - 知乎
和这个相同的，还有不要用 manage-bde -off 关闭 BitLocker。关闭后设备加密设置中会显示“找不到支持设备加密的驱动器”，重新开启也没有用。安全性不影响，但是就是……看着不舒服，仍然仅此而已。
其实不登录微软帐户的情况 BitLocker 恢复密钥都没生成，理论上来说是不会锁住的（参考中没写，我忘记在哪看到过这种说法），但是也有用户反馈在这种情况下锁盘，所以还是尽早导出恢复密钥比较保险。
然后，如果你真的非常不幸，被 BitLocker 锁了却没有恢复密钥，那么恢复数据就别妄想了，你只能喜提全新电脑（指硬盘数据）了。在这种情况下恢复界面的重置也没法用，需要外部设备引导。在高级选项那里选择命令行，然后输入 format C: 格式化系统分区，然后用烧录好系统镜像的外部存储设备引导启动。
