如何使用 active directory 用户和计算机的工具的 bitlocker 恢复

在独立服务器上装了Server 2003 之后，运行“Active Directory 向导”以创建新的 Active Directory 目录林或域，然后将 Server 2003 计算机转换为目录林中的第一个域控制器。若要将 Windows Server 2003 计算机转换为目录林中的第一个域控制器，请按照下列步骤 *** 作：在光驱里面放入server 2003 系统盘(也可用虚拟光驱若是在虚拟机上也可用镜像文件)
1 点击开始-管理工具-管理您的服务器—添加删除角色-域控制器Active Directory（也可以单击 开始-运行 ，然后键入 dcpromo 。）
2 单击 确定 以启动“Active Directory 安装向导”，然后单击 下一步 。
3 单击“新域的域控制器”，然后单击 下一步 。
4 单击“在新目录林中的域”，然后单击 下一步 。
5 为新域指定完整的 DNS 名称。请注意，因为该过程用于实现实验室环境，而不是将该环境集成到现有的 DNS 基础结构中，因此可以在该设置中使用诸如 mycompanylocal 之类的一般名称。单击 下一步 。
6 接受域的默认NetBIOS名（若使用第6中的建议则它为“mycompany”）-'下一步'。
7 将数据库和日志文件的位置设为默认设置 c:\winnt\ntds文件夹下，然后单击下一步
8 将Sysvol文件夹的位置设置为在默认设置 c:\winnt\sysvol 文件夹下然后'下一步’。
9 单击“在这台计算机上安装并配置 DNS 服务器”，然后单击 下一步 。
10 单击“只与2000 或 Server 2003 服务器或 *** 作系统兼容的权限”，然后单击 下一步。
11 因为这是实验室环境，所以将目录服务恢复模式的管理员密码留为空白。请注意，在完整的生产环境中，应通过使用安全密码格式设置此密码。单击 下一步 。
12 检查并确认所选择的选项，然后单击 下一步 。
13 Active Directory 的安装将继续进行。请注意，该 *** 作将需要几分钟。
14 出现提示时，重启计算机。重启后，确认已经为新的域控制器创建了域名系统 (DNS) 服务位置记录。若要确认已创建了 DNS 服务位置记录，请按照下列步骤 *** 作：
1 单击 开始 ，指向 管理工具 ，然后单击 DNS ，以启动 DNS 管理控制台。
2 展开该服务器名称，再展开 正向搜索区域 ，然后展开该域。
3 确认 _msdcs、_sites、_tcp 和 _udp 文件夹已存在。这些文件夹和它们包含的服务位置记录对于 Active Directory 和 Server 2003 的运行至关重要。
将用户和计算机添加到 Active Directory 域中
新的 Active Directory 域建立后，在该域中创建一个用户帐户作为管理帐户。在将
该用户添加到适当的安全组中时，使用该帐户将计算机添加到域中。
4 若要创建新用户，请按照下列步骤 *** 作：
1 单击 开始 ，指向 管理工具 ，然后单击“Active Directory 用户和计算机”，以启动 Active Directory 用户和计算机控制台。
2 单击已创建的域名，然后展开这些目录。
3 右键单击 用户 ，指向 新建 ，然后单击 用户 。
4 键入新用户的名、姓和用户登录名，然后单击 下一步 。
5 键入新密码，确认密码，然后单击以选中以下复选框之一：a, 用户下次登录时须更改密码（推荐多数用户采用）;b 用户不能更改密码;c 密码永不过期;d 帐户已停用 点击 下一步
6 检查提供的信息是否每一项均正确，单击 完成 。
5 创建新用户后，让该用户帐户成为能够允许用户执行管理任务的组中的成员。因为所控制的是实验室环境，所以可以通过使其成为 Schema、Enterprise 和 Domain Administrators 组的成员，授予该用户帐户完全的管理访问权限。若要将帐户添加到 Schema、Enterprise 和 Domain Administrators 组，请按照下列步骤 *** 作：
1 从“Active Directory 用户和计算机”控制台，右键单击已创建的新帐户，然后单击 属性 。
2 单击 隶属于 选项卡，然后单击 添加 。
3 在选择组对话框中指定一个组，然后-确定，将所需添加到列表中。
4 对用户要在其中具有帐户成员资格的每一个组重复选择过程。
5 单击 确定 完成。
6 该过程的最后一步是将成员服务器添加到域中。该过程也适用于工作站。若要向域中添加计算机，请按照下列步骤 *** 作：
1 登录到要将其添加到域的计算机。
2 右键单击 我的电脑 ，然后单击 属性 。
3 单击 计算机名 选项卡，然后单击 更改 。
4 在计算机名更改的对话框里，点击隶属下方的域修改域名，确定。
5 在显示提示后，键入您以前创建的帐户的用户名和密码，然后单击 确定 。 将显示欢迎您来到该域的消息。
6 单击 确定 返回到 计算机名 选项卡，然后单击 确定 完成。
7 出现提示时，重新启动计算机
上述算是基本完成了Active Directory的创建和用户、计算机的添加。具有相应权限的用户还可以创建、删除、修改、移动锁定用户帐户、禁用用户帐户、重设密码、委派控制和设置存储在目录中的对象的权限。这些对象包括组织单位、用户、联系人、组、计算机、打印机和共享的文件对象。

如果启动Bitlocker加密时关联了微软帐户，可以登录微软官网账户来试着找回密码。

① 点我登录Microsoft账户（建议在电脑浏览器中打开，服务器原因可能会比较慢，需要耐心等待哦）

② 依次点击管理管理修复密钥，进入后即可看到所有设备的BitLocker修复密钥。

③ 若无法找回密钥，则只能重新安装 *** 作系统，所以平时重要的数据还是尽量要及时备份

在你的 microsoft 帐户中：在另一台设备上登录到你的 microsoft 帐户以查找你的恢复密钥。 如果其他用户在设备上拥有帐户，你可以要求他们登录到他们的 Microsoft 帐户，以查看他们是否有密钥。

在保存的打印输出中： 你的恢复密钥可能位于激活 BitLocker 时保存的打印输出中。 在存放与你的计算机相关的重要文件的位置查找。

在 USB 闪存驱动器上： 将 USB 闪存驱动器插入锁定的 PC，然后按照说明进行 *** 作。 如果你已在 U 盘上将密钥另存为文本文件，则使用另一台计算机阅读此文本文件。

在 Azure Active Directory 帐户中： 如果你的设备曾使用工作或学校电子邮件帐户登录到组织，则你的恢复密钥可能存储在与你的设备关联的该组织的AZURE AD 帐户 中。 你或许可以直接访问它，也可能需要联系系统管理员来访问恢复密钥。

由您的系统管理员拥有： 如果您的设备连接到域 （通常是工作或学校设备） ，请向系统管理员索要恢复密钥。

bitlocker原理：

通过加密整个Windows *** 作系统卷保护数据。

如果计算机安装了兼容TPM，BitLocker将使用TPM锁定保护数据的加密密钥。

因此，在TPM已验证计算机的状态之后，才能访问这些密钥。加密整个卷可以保护所有数据，包括 *** 作系统本身、Windows注册表、临时文件以及休眠文件。因为解密数据所需的密钥保持由TPM锁定，因此攻击者无法通过只是取出硬盘并将其安装在另一台计算机上来读取数据。

在启动过程中，TPM将释放密钥，该密钥仅在将重要 *** 作系统配置值的一个哈希值与一个先前所拍摄的快照进行比较之后解锁加密分区。这将验证Windows启动过程的完整性。如果TPM检测到Windows安装已被篡改，则不会释放密钥。

默认情况下，BitLocker安装向导配置为与TPM无缝使用。管理员可以使用组策略或脚本启用其他功能和选项。

为了增强安全性，可以将TPM与用户输入的PIN或存储在USB闪存驱动器上的启动密钥组合使用。

在不带有兼容TPM的计算机上，BitLocker可以提供加密，而不提供使用TPM锁定密钥的其他安全。在这种情况下，用户需要创建一个存储在USB闪存驱动器上的启动密钥。

如果启动Bitlocker加密时关联了微软帐户，可以登录微软官网账户来试着找回密码。

① 点我登录Microsoft账户（建议在电脑浏览器中打开，服务器原因可能会比较慢，需要耐心等待哦）

② 依次点击管理管理修复密钥，进入后即可看到所有设备的BitLocker修复密钥。

③ 若无法找回密钥，则只能重新安装 *** 作系统，所以平时重要的数据还是尽量要及时备份

---