MundoWin » 教程 » 禁用安全启动时 Windows 提示启用 BitLocker：原因及解决方法
禁用安全启动会改变 TPM 测量值，并且 BitLocker 需要恢复密钥。
在修改 BIOS/UEFI/TPM 之前暂停 BitLocker，修改完成后再重新启用它。
恢复安全启动密钥并将 PCR/TPM 保持默认设置可防止将来出现锁定。
如果没有恢复密钥，就无法访问加密数据。
如果您禁用了安全启动以从 USB 驱动器启动 Ubuntu，并且在返回 Windows 时遇到要求输入 BitLocker 恢复密钥的蓝屏，请不要担心： 你不是唯一一个遇到这种情况的人当设备启动方式改变、固件更新或TPM/UEFI设置修改时，这种情况非常常见。本文将解释其原因以及如何在不丢失数据的情况下修复此问题。
在诸如使用 Ventoy 以持久模式启动 Ubuntu 之类的场景中，如果启用了安全启动，BIOS 通常会阻止启动过程，因此许多人会将其禁用。这样做之后， BitLocker 检测到关键启动更改 它可能会要求输入恢复密钥。下面我将逐步解释如何避免陷入恢复循环，如果您手头没有密钥该怎么办，如何正确地重新激活安全启动，以及如何在 Windows 10 和 11 中管理 BitLocker。
为什么禁用安全启动时 BitLocker 会要求输入密码
BitLocker 依赖于存储在 TPM 中的启动测量数据（例如 PCR 7 和 11）。如果您更改了安全启动、UEFI/TPM 或固件签名等元素，这些测量数据将会发生变化。 Windows 认为环境可能已被篡改。出于安全考虑，需要恢复密钥。微软已对此进行说明，尤其是在以下情况下：
安全启动已禁用 或者 PCR 不是默认值（例如，由策略定义）。
应用系统或 TPM 固件更新，从而改变特征或测量值。
微软描述了 Surface 设备上 UEFI/TPM 更改后出现的典型症状： 每次启动时都会请求恢复密钥直接启动到 UEFI 设置或出现重启循环。受影响的机型包括 Surface Studio 1、Surface Pro 4、Surface Pro 3、Surface Book、Surface Laptop（第一代）、Surface Pro（第五代）、Surface Book 2（13 英寸和 15 英寸）以及配备 LTE Advanced 的 Surface Pro。
还有其他一些原因也会触发恢复模式，例如：错误等。 0xc0000098 （这会改变启动环境）、待处理/失败的更新、自动解锁策略的更改、过时的 BIOS 或切换安全启动。所有这些都可能导致 BitLocker 要求输入 PIN 码、暂时禁用 Windows Hello 或需要冷启动恢复密钥。
你生活中可能会遇到的真实场景
如果您想使用 Ventoy 以持久模式从 USB 驱动器启动 Ubuntu，您会发现启用安全启动后，可能会遇到“安全违规”错误。快速解决方法是禁用安全启动，这样 USB 驱动器就可以启动，但是当您返回 Windows 时， BitLocker检测到更改后会要求输入密钥。如果在访问 BIOS 之前没有暂停保护功能，则会出现这种预期行为。
另一个常见的例子是：一台华硕 Vivobook 笔记本电脑，在一段时间未使用后，启动时会要求输入 BitLocker 密钥，并发出警告。 安全启动已禁用更糟糕的是，一些使用本地帐户（没有微软帐户）的用户无法通过 aka.ms/recoverykey 恢复密钥，而且 BIOS 中的“安全启动”选项也呈灰色不可用状态。在这种情况下，通常需要启用“安全启动”控制。 恢复出厂密钥 （密钥管理）重新激活安全启动，并找到当时保存的恢复密钥（打印出来、保存在另一个驱动器上或公司管理中，如果适用）。
最后，有些人通过 USB 重新安装 Windows 系统后发现，启用安全启动后， BitLocker 已自动激活 （设备加密或标准 BitLocker）。如果不保存密钥，任何固件或启动更改都可能导致您被锁定。
在进行任何操作之前：请恢复您的密码或暂停 BitLocker。
理想情况下，在更新 BIOS/TPM、更改安全启动或启动其他操作系统之前，您应该： 暂时中止 BitLocker这样可以防止TPM检测到更改并在下次启动时要求输入密码：
以管理员身份打开 PowerShell。
跑 Suspend-BitLocker -MountPoint "C:" -RebootCount 0 暂停保护功能，但不会自动重新激活。
进行更改（UEFI/TPM 更新、切换安全启动等）。
然后运行 Resume-BitLocker -MountPoint "C:" 为 简历保护.
如果您已经进入恢复屏幕，则需要…… 48位密钥请前往以下地址查找：
如果您使用 Microsoft 帐户登录，或者计算机将恢复密钥保存在 Microsoft 帐户中，则该帐户为 (aka.ms/recoverykey)。
您在 BitLocker 激活期间保存的文件或打印输出（许多指南明确建议这样做）。
企业环境：如果计算机受管理，您的管理员可以从 Active Directory 或 MBAM 中检索密钥。
获得密钥后，您可以从恢复环境中解锁并暂时禁用保护程序：
从恢复驱动器或高级选项启动。
打开 命令提示 并执行：
manage-bde -unlock C: -RecoveryPassword TU-CLAVE-DE-48-DIGITOS
manage-bde -protectors -disable C:
重启电脑，确认一切正常后，重新激活：
manage-bde -protectors -enable C:
此步骤允许您在恢复推荐启动状态的同时继续工作。即便如此， 务必妥善保管您的恢复密钥。 这至关重要，因为没有它就无法访问加密数据。
安全地重新启用安全启动
许多制造商，例如华硕，都会提供启用/禁用安全启动的文档，如果它显示为“未激活”或“灰色”， 重置安全启动密钥在 UEFI 模式或“MyASUS in UEFI”中，典型步骤如下：
进入 BIOS/UEFI F2 (o 苏普 在桌面上）从关机状态开始。
按 F7 进入高级模式并打开安全或启动。
在安全启动中，启用“安全启动控制”或选择“Windows UEFI 模式”。
进入 密钥管理使用“重置到设置模式”清除数据库，然后“恢复出厂密钥”/“安装默认安全启动密钥”。
节省 F10 然后重新启动 应用更改.
如果状态显示为“未激活”，通常是因为按键未加载或控制功能已被禁用。恢复出厂设置后，状态将变为“用户”。 安全启动功能现已启用在华硕台式电脑上，“Windows UEFI 模式”中的“操作系统类型”设置也会启用安全启动；“其他操作系统”则会禁用它。
TPM、PCR 和固件更新：最佳实践
为避免意外情况，最好检查一下…… TPM 工作 并计划任何与固件/UEFI相关的更新：
检查TPM Win+R → tpm.msc如果未启用，请启用它。 PTT/TPM 2.0 在 BIOS 中（它可能被称为“安全芯片”或类似名称）。
更新 BIOS、UEFI 或 TPM 之前，请暂停 BitLocker： Suspend-BitLocker -MountPoint "C:" -RebootCount 0流程结束后，运行 Resume-BitLocker -MountPoint "C:".
在 Surface 上，微软也建议保留 已启用安全启动 使用默认 PCR 来减少固件更新后的恢复请求。
如果 Surface 设备即使使用正确的密钥仍然无法启动，微软建议暂时移除 BitLocker 的“保护层”。 表面恢复图像:
在另一台电脑上从 Surface 网站下载恢复映像，并创建 USB 驱动器。
从该 USB 启动，选择语言和键盘，进入故障排除 → 高级选项 → 命令提示符。
跑：
manage-bde -unlock C: -RecoveryPassword TU-CLAVE-DE-48-DIGITOS
manage-bde -protectors -disable C:
重启系统，待一切稳定后，重新启用保护程序。
如果仍然无法启动，请选择“无操作系统恢复（BMR）允许您使用密钥解锁驱动器，并复制数据 copy/xcopy 将恢复映像文件复制到另一个驱动器，然后使用恢复映像文件重置设备。
卡在恢复屏幕时的解决方案
让我们从一组有序的度量开始： 打破恢复循环 在不泄露您数据的前提下：
检查胎压监测系统: tpm.msc如果已禁用，请在 BIOS (PTT/TPM 2.0) 中启用它，然后再次尝试启动。
启用安全启动进入 UEFI 并启用它。如果显示为灰色，请按照之前的步骤恢复出厂设置。
暂时中止 BitLocker在 Windows 或恢复环境中，使用 manage-bde -protectors -disable C:重启系统并验证系统是否稳定启动。
更新视窗设置 → Windows 更新。待处理的更新可能会干扰启动过程、PIN 码或 Windows Hello。
重置密码/你好设置 → 帐户 → 登录选项。某些启动更改会暂时使快速凭据失效。
使用传统启动菜单 作为临时措施：以管理员身份打开 CMD 并运行 bcdedit /set {default} bootmenupolicy legacy它有助于解决 Windows 10/11 图形菜单激活恢复功能的问题，尽管理想情况下它应该 恢复推荐设置 后。
更新 BIOS/UEFI从制造商网站下载最新的 BIOS 版本。如果您的主板支持 BIOS Flashback 功能，请准备一个包含 BIOS 二进制文件的 FAT32 格式 U 盘，并按照官方步骤操作。请记住在刷新 BIOS 前禁用 BitLocker。
重要提示：如果您没有恢复密钥，则没有合法的方法可以恢复系统。 绕过加密另一种可行的办法是格式化硬盘并重新安装Windows系统，但这会清除所有数据。如果没有密钥，恢复工具无法从BitLocker卷中恢复信息。
在 Windows 10/11 中管理、暂停或禁用 BitLocker
Windows 提供了多种打开“管理 BitLocker”的方法。从“开始”菜单中搜索即可。 Manage BitLocker从控制面板 → 系统和安全 → BitLocker 驱动器加密，或从设置中搜索“设备加密在 Windows 11 家庭版中，或者在资源管理器中右键单击 C 盘，所有这些操作都会打开同一个面板。 激活、暂停、恢复或停用.
激活 BitLocker 时，向导会询问您选择密钥的保存位置（Microsoft 帐户、文件、打印）。安全保存密钥至关重要，因为 没有那把密钥，就无法恢复数据。然后，它会提供仅加密已用空间（速度更快）或加密整个磁盘（更彻底）的选项。对于新电脑，建议使用“新模式”加密。
要通过命令行检查状态，请以管理员身份打开 CMD 并运行 manage-bde -status您将看到驱动器是否已加密、加密百分比以及当前激活的保护程序类型。您还可以通过 CMD 命令暂停和恢复驱动器。 manage-bde -protectors -disable C: y manage-bde -protectors -enable C:变化后很有用 固件或启动.
如果需要彻底禁用 BitLocker，请从控制面板中单击“禁用 BitLocker”，然后等待解密。根据数据量和计算机速度，解密可能需要几分钟到几小时不等。另一方面，暂停/挂起 BitLocker 则无需等待。 无法解读该单位 这是推荐的维护方案。
Surface 设备专用指南
Microsoft 文档 三种主要行动路线 对于 Surface 设备，在 TPM/UEFI 发生更改后，设备会要求输入密钥：
暂停 BitLocker 使用 PowerShell（Suspend-BitLocker -MountPoint "C:" -RebootCount 0），应用固件更新，然后继续 Resume-BitLocker -MountPoint "C:".
重新启用安全启动 默认 PCR：暂停 BitLocker，进入 UEFI，在“安全”→“安全启动”下选择“仅限 Microsoft”，保存并恢复 BitLocker。
移除保护装置 如果使用正确的密钥仍然无法启动，请从 Surface 恢复映像中解锁。 manage-bde -unlock C: -RecoveryPassword 并禁用保护器 manage-bde -protectors -disable C:.
作为最后的手段，“BMR（无操作系统构建恢复）”允许您使用密钥解锁并复制数据。 copy/xcopy 并从……恢复设备 恢复 USB 驱动器当启动过程损坏，即使输入密钥后也无法访问 Windows 时，此方法非常有用。
如何一步步在华硕电脑上重新启用安全启动
总之，当华硕电脑上的安全启动选项呈灰色或“未激活”状态，需要恢复到推荐状态时，以下是关键步骤：
进入BIOS F2 (o 苏普 在桌面上）并进入高级模式（F7).
打开“安全”→“安全启动”并启用它 安全启动控制.
在密钥管理中，按“重置为设置模式”并确认。然后，选择“恢复出厂密钥”/“安装默认安全启动密钥”。
在台式电脑上，将“操作系统类型”设置为“Windows UEFI 模式”。在笔记本电脑/MyASUS 设备上，“安全启动控制”应设置为“启用”。
保存与 F10 并重启。状态应显示为“用户”。 安全启动已激活.
请注意：在启用 BitLocker 的情况下修改 BIOS 可能会触发密码提示。如果可能， 暂停保护 首先，请准备好您的恢复密钥，以防系统在下次启动时需要它。
BitLocker、本地帐户和“默认”激活
许多预装 Windows 11 的现代计算机默认启用“设备加密”或 BitLocker，即使 本地帐户系统会提示您保存密码，但在初始设置过程中很容易错过提示。之后，当设备要求输入密码而您却找不到密码时，感到沮丧是可以理解的。因此，保存密码至关重要：
将密钥保存在计算机以外的位置（Microsoft 帐户、打印机、U盘）。
在启动/固件更改之前暂停 BitLocker。
保持 已启用安全启动 并更新了UEFI。
如果您使用本地帐户且云端没有密钥，请查找打印作业和文件。 .txt 或者你可能保存过备份的地方。如果没有这个密钥，唯一的办法就是格式化并重新安装系统，而这很难做到。 删除所有信息.
禁用安全启动后，Windows 显示 BitLocker 是为了保护您的系统。最佳做法是在修改 UEFI/TPM 之前暂停 BitLocker。 重新启用安全启动 使用出厂密钥，将 PCR/TPM 设置为默认值。如果系统被锁定，请使用密钥解锁，暂时禁用安全功能，然后恢复推荐设置。提前规划好这些步骤并妥善保管恢复密钥，可以避免出现问题，并能流畅地在 Windows 和 USB 工具或系统之间切换。