【项目背景】
周一一早青山区一家贸易公司财务打来电话：周末换了个主板电池，开机突然要48位BitLocker恢复密钥，全公司没人记得。硬盘里是三年的总账和发票扫描件，急得半天没法开张。这是典型的TPM保护触发，处理得当十分钟的事，处理不当就是一场数据事故。
【咨询设计】
BitLocker密钥托管在TPM 2.0芯片里，主板清CMOS、换硬件、固件升级都会触发恢复模式。现场先安抚客户：错误输入不会锁死硬盘，但别乱改BIOS设置。恢复密钥合法来源只有三处：微软账户后台、域控AD托管、纸质应急卡。我们在客户的域控AD里翻到了绑定这台机器的48位密钥，输入解锁，开机进系统，账目分毫未动。
【施工规划】
顺手把全公司11台机器盘了一遍，发现三个隐患：3台开了BitLocker但密钥没备份（当场导出托管到AD DS）；2台本地管理员共用一个密码"123.com"——这种密码等于裸奔；1台笔记本锁屏策略没启用。逐台修正，密钥全部集中托管。
【安全补丁】
部署LAPS方案：每台电脑本地管理员密码随机生成、60天轮换、只读权限存AD里，员工和IT都记不住密码才安全；域策略强制密码复杂度12位以上、锁屏10分钟；BitLocker恢复密钥禁止打印放抽屉——抽屉密码纸是社工入侵的经典入口。
【验收交付】
给财务做了半天培训：什么是TPM触发条件、换机换电池前要做什么、U盘插陌生电脑为什么会被拦截；交付一份全公司BitLocker状态与密码策略现状表，老板看完只说了一句：早该这么弄。
再补两个容易踩的坑：一是换了主板电池后BIOS时间归零，证书校验失败也会触发恢复模式，所以财务机器换电池这种小事，最好也走IT报备；二是恢复密钥验证环节我们做了实测——用错误的密钥试了两次，系统正常允许重试，不存在'试错就锁死数据'的谣言，但保险起见，任何情况下都不要在没有密钥的情况下反复折腾BIOS。处理完这台，我们把全公司的恢复密钥做了一次可用性验证：随机抽3台，从AD里导出密钥现场解锁，全部一次通过。密钥躺在AD里不等于密钥可用，验证过才算数，这是我们的规矩。
【售后承诺】
2小时上门响应，大年三十 17704868686 随叫随到，终身免费技术咨询。以后再遇到恢复密钥提示，先打电话，别自己试。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）