加密硬盘驱动器

加密硬盘驱动器是在硬件级别自加密的一类硬盘驱动器，允许在对用户透明的同时进行完全磁盘硬件加密。 这些驱动器结合了 BitLocker 驱动器加密提供的安全性和管理优势，以及自加密驱动器的功能。

通过将加密操作卸载到硬件上，加密的硬盘驱动器将会增加 BitLocker 性能，并减少 CPU 使用率和电源消耗。 由于加密的硬盘驱动器能迅速地加密数据，企业设备可以在最小化生产效率影响的同时扩展 BitLocker 部署。

加密硬盘驱动器提供：

通过以下机制在操作系统中本机支持加密的硬盘驱动器：

警告

适用于 Windows 的自加密硬盘驱动器 和 加密硬盘驱动器 不是同一类型的设备：

在规划部署时，请务必确认设备类型是否为适用于 Windows 的加密硬盘驱动器。

当操作系统标识加密的硬盘驱动器时，它会激活 安全模式。 此激活允许驱动器控制器为主计算机创建的每个卷生成 媒体密钥 。 媒体密钥永远不会在磁盘外部公开，用于快速加密或解密从磁盘发送或接收的每个字节数据。

如果你是存储设备供应商，正在寻找有关如何实现加密硬盘驱动器的详细信息，请参阅 加密的硬盘驱动器设备指南。

若要使用加密硬盘驱动器，需要满足以下系统要求：

对于用作 数据驱动器的加密硬盘驱动器：

对于用作 启动驱动器的加密硬盘驱动器：

警告

所有加密的硬盘驱动器必须连接到非 RAID 控制器才能正常工作。

下表列出了支持加密硬盘驱动器的 Windows 版本：

加密硬盘许可证权利由以下许可证授予：

有关 Windows 许可的详细信息，请参阅 Windows 许可概述。

若要将加密硬盘驱动器配置为启动驱动器，请使用与标准硬盘驱动器相同的方法：

有三个策略设置用于管理 BitLocker 如何使用基于硬件的加密以及要使用的加密算法。 如果未在配备加密驱动器的系统上配置或禁用这些设置，BitLocker 将使用基于软件的加密：

加密的硬盘驱动器利用设备上的两个加密密钥来控制驱动器上数据的锁定和解锁。 这些加密密钥是 数据加密密钥 (DEK) 和 身份验证密钥 (AK) ：

当具有加密硬盘驱动器的设备处于关闭状态时，驱动器会自动锁定。 当设备打开时，设备将保持锁定状态，并且仅在 AK 解密 DEK 后才会解锁。 AK 解密 DEK 后，可以在设备上执行读写操作。

将数据写入驱动器时，它会在写入操作完成之前通过加密引擎。 同样，从驱动器读取数据需要加密引擎在将该数据传递回用户之前解密数据。 如果需要更改或擦除 AK，则无需重新加密驱动器上的数据。 需要创建新的身份验证密钥，并重新加密 DEK。 完成后，现在可以使用新的 AK 解锁 DEK，并且可以继续对卷进行读写。

许多加密的硬盘驱动器设备已预先配置以供使用。 如果需要重新配置驱动器，请在删除所有可用卷并将驱动器还原为未初始化状态后使用以下过程：