Win10专业版升级过程中控制Bitlocker的技巧

将受BitLocker保护的Windows 10设备升级到新的Windows 10功能更新版本时（例如，从Windows 10版本1703升级到Windows 10版本1803），升级过程中会暂停BitLocker。

暂停并不意味着整个驱动器在该过程中被解密; 相反，它使得加密密钥“明确”可用，以便数据“可供所有人”使用。

写入磁盘的数据仍然是加密的。 设备上暂停的BitLocker保护在启动期间不会运行验证检查。 例如，在升级到Windows的新版本或升级设备固件之前，管理员可以使用过去的挂起BitLocker Powershell脚本暂停BitLocker保护。

安全研究人员在升级访问BitLocker加密数据期间发现了旁路选项。

Windows 10专业版升级过程中控制Bitlocker

在功能升级到新版本时，Windows会自动暂停BitLocker加密。

Microsoft在Windows 10版本1803中添加了新的命令行选项，以在升级过程中控制BitLocker的行为：

--Setup.exe / BitLocker AlwaysSuspend - 在升级过程中始终挂起BitLocker。

--Setup.exe / BitLocker TryKeepActive - 在不挂起bitlocker的情况下启用升级，但如果升级不起作用，则挂起bitlocker并完成升级。

--Setup.exe / BitLocker ForceKeepActive - 在不挂起bitlocker的情况下启用升级，但如果升级不起作用，则升级失败。

新的安装选项适用于Windows 10版本1803及更高版本，并且仅适用于运行Windows 10 Professional或Enterprise的设备。其他要求是需要启用安全启动，并且TPM可用，并且仅使用TPM保护器。

Michael Niehaus报告说，您可以在升级到版本1803的Windows 10版本1709机器上使用这些命令。

零售设备上的默认升级选项设置为/ BitLocker AlwaysSuspend。这不会改变过去的行为，因为如果您不提供其他命令行参数，则在升级过程中将会暂停BitLocker。

您可以使用/ BitLocker TryKeepActive在升级过程中尝试保持BitLocker的启用。 Windows 10会尝试保持启用状态，但如果不起作用，则会暂停BitLocker以处理升级。

另一方面，开关/ BitLocker ForceKeepActive在升级过程中实施BitLocker加密。如果由于启用BitLocker而发生错误，升级将失败。

Microsoft在Windows 10内部人员版本中将默认命令切换到/ BitLocker TryKeepActive。微软很可能会在未来将零售版本转换为参数。