BitLocker 網路解鎖設定

您好 Chien-Hung，BitLocker Network Unlock 的核心條件是：用戶端必須是已加入 AD 網域的 Windows 裝置、使用 UEFI 原生模式且韌體支援 pre-boot DHCP、具備 TPM 與 BitLocker TPM+PIN 保護器，並且開機時連接到有線公司網路；Microsoft 明確說明 Network Unlock 需要 UEFI DHCP driver，且不適用於無線網路開機情境。WDS 端需要一台支援的 Windows Server 安裝 Windows Deployment Services 角色與 BitLocker Network Unlock 功能，功能名稱可用 PowerShell 安裝為 Install-WindowsFeature WDS-Deployment 和 Install-WindowsFeature BitLocker-NetworkUnlock，WDS 服務本身必須保持執行，但不一定要用它來部署映像。DHCP 伺服器是必要條件，而且 Microsoft 文件要求 DHCP server 與 WDS server 分開；Network Unlock 流程會讓用戶端在 UEFI 階段取得 IPv4 位址，然後送出 vendor-specific DHCP request，由 WDS 上的 Network Unlock provider 解密並回覆解鎖所需的 network key。還需要建立 2048-bit RSA X.509 Network Unlock 憑證，私鑰安裝在 WDS server 的 Local Computer certificate store，公鑰則透過 GPO 發佈到用戶端的 Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies > BitLocker Drive Encryption Network Unlock Certificate。GPO 端還要啟用 Allow Network Unlock at startup，並確認用戶端重開機後 manage-bde -protectors -get C: 可以看到 Network (Certificate Based) protector；如果 Network Unlock server 或網路條件不可用，BitLocker 會退回顯示 TPM+PIN 輸入畫面。官方文件可參考 Microsoft Learn 的 BitLocker Network Unlock 說明。