تشغيل Add-BitLockerTPMPin.ps1 (مسؤول)
       │
       ▼
  [فحص الإصدار] ──→ يخرج بلطف على Windows 10 (غير متأثر)
       │
       ▼
  [فحص حالة BitLocker] ──→ يؤكد أن التشفير نشط على C:
       │
       ▼
  [إصلاح نهج المجموعة] ──→ يضبط UseAdvancedStartup + UseTPMPIN + UseEnhancedPin
       │                   (مطلوب — رفض manage-bde لـ TPM+PIN بدون هذه)
       ▼
  [gpupdate /force] ──→ يطبق النهج فورًا دون إعادة تشغيل
       │
       ▼
  [manage-bde -protectors -add C: -TPMAndPIN] ──→ يطلب PIN بشكل تفاعلي
       │
       ▼
  [عرض الحماة] ──→ يظهر جميع الحماة الحالية للتحقق
       │
       ▼
  [إزالة حامي TPM-only] ──→ اختياري، يطلب تأكيدًا

# قم بتشغيل هذين كأمرين منفصلين في موجه PowerShell مرتفع:
Set-ExecutionPolicy Bypass -Scope Process -Force

# جميع الأقراص المحمية بـ BitLocker (اكتشاف تلقائي):
.\Add-BitLockerTPMPin.ps1

# أو استهداف قرص معين:
.\Add-BitLockerTPMPin.ps1 -Drive C
.\Add-BitLockerTPMPin.ps1 -Drive D

تم العثور على أقراص محمية بـ BitLocker:
  C:\  FullyEncrypted  Protection: On
  D:\  FullyEncrypted  Protection: On

تم ضبط مفاتيح نهج المجموعة. جاري تحديث النهج...

==============================
القرص: C:\
==============================
جاري إضافة حامي TPM+PIN. سيُطلب منك إدخال PIN.
يجب أن يكون PIN مكونًا من 6 أحرف أو أكثر. الأبجدي العددي مدعوم.

أدخل PIN لاستخدامه لحماية وحدة التخزين:
قم بتأكيد PIN بإعادة كتابته:
تمت إضافة حماة المفتاح:
  TPM And PIN:
    ID: {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}

الحماة الحالية على C:\:
  ...

تم العثور على حامي TPM-only: {YYYYYYYY-YYYY-YYYY-YYYY-YYYYYYYYYYYY}
إزالة حامي TPM-only على C:\؟ هذا يترك فقط TPM+PIN. (y/N): y
تمت إزالة حامي TPM-only.

==============================
القرص: D:\
==============================
D:\ ليس لديه حامي TPM — TPM+PIN ينطبق فقط على قرص النظام. يتم التخطي.

تم. تحقق باستخدام: manage-bde -status <drive>

manage-bde -status C:
# يجب أن يظهر: Key Protectors: TPM And PIN
# Protection Status: Protection On

# طباعة مفتاح الاسترداد إلى وحدة التحكم (قم بتخزينه في مكان آمن)
manage-bde -protectors -get C: -Type RecoveryPassword

# 1. تعيين مفاتيح سجل نهج المجموعة
$p = "HKLM:\SOFTWARE\Policies\Microsoft\FVE"
if (-not (Test-Path $p)) { New-Item -Path $p -Force }
Set-ItemProperty -Path $p -Name "UseAdvancedStartup" -Value 1 -Type DWord -Force
Set-ItemProperty -Path $p -Name "UseTPMPIN"          -Value 2 -Type DWord -Force
Set-ItemProperty -Path $p -Name "UseTPM"             -Value 2 -Type DWord -Force
Set-ItemProperty -Path $p -Name "UseEnhancedPin"     -Value 1 -Type DWord -Force
gpupdate /force

# 2. إضافة حامي TPM+PIN
manage-bde -protectors -add C: -TPMAndPIN

# 3. العثور على معرف حامي TPM-only
manage-bde -protectors -get C:

# 4. إزالته (استبدل GUID بالمعرف من الخطوة 3)
manage-bde -protectors -delete C: -id {YOUR-TPM-ONLY-GUID}

# 5. التحقق
manage-bde -status C:

yellowkey-mitigation/
├── Add-BitLockerTPMPin.ps1   # السكريبت الرئيسي للتخفيف
└── README.md