BitLocker 加密策略冲突

你好 Yu-Ching Lin,

当同时接受 Active Directory 组策略与 MDM（例如 Microsoft Intune）的 BitLocker 设置管理时，首先要确认实际生效的是哪一组原则。建议先检查组策略结果（gpresult）与 MDM 诊断报告，并比对 HKLM\SOFTWARE\Policies\Microsoft\FVE 中的 BitLocker 相关设置，确认 TPM、PIN、恢复密钥、加密方法（XTS-AES） 128/256）及静默加密等参数的最终值。

若装置为 Azure AD Join 或 Hybrid Join 环境，常见问题是 Intune 的 BitLocker 原则与网域 GPO 同时设定相同项目，导致事件记录中出现原则冲突或设定无法下发。此时应检查事件查看器 > 应用程序和服务日志 > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider 与 BitLocker-API 记录，以识别冲突的设定来源。

解决时不建议直接降低安全性，而是统一管理来源。例如若组织主要采用Intune管理BitLocker，则删除或取消套用重复的GPO设置；若以网域GPO为主，则避免MDM重新下发的BitLocker原则。请特别确认最终仍保留TPM保护、恢复密码备份，以及符合组织标准的XTS-AES加密强度，在排除冲突时意外降低保护等级。完成验证调整后重新同步对应原则并并BitLocker 状态，确认实际加密设置与组织预期一致即可。

如果我的回答对您有用，请帮我点击接受答案。

HL。