Execute Add-BitLockerTPMPin.ps1 (admin)
       │
       ▼
  [Verificação de Versão] ──→ sai graciosamente no Windows 10 (não afetado)
       │
       ▼
  [Verificação de Status do BitLocker] ──→ confirma que a criptografia está ativa em C:
       │
       ▼
  [Correção de Política de Grupo] ──→ define UseAdvancedStartup + UseTPMPIN + UseEnhancedPin
       │                   (necessário — manage-bde rejeita TPM+PIN sem eles)
       ▼
  [gpupdate /force] ──→ aplica a política imediatamente sem reinicialização
       │
       ▼
  [manage-bde -protectors -add C: -TPMAndPIN] ──→ solicita o PIN interativamente
       │
       ▼
  [Listar Protetores] ──→ mostra todos os protetores atuais para verificação
       │
       ▼
  [Remover Protetor Somente TPM] ──→ opcional, solicitado com confirmação

# Execute estes como dois comandos separados em um prompt PowerShell elevado:
Set-ExecutionPolicy Bypass -Scope Process -Force

# Todas as unidades protegidas por BitLocker (detecção automática):
.\Add-BitLockerTPMPin.ps1

# Ou direcione uma unidade específica:
.\Add-BitLockerTPMPin.ps1 -Drive C
.\Add-BitLockerTPMPin.ps1 -Drive D

Unidades protegidas por BitLocker encontradas:
  C:\  TotalmenteCriptografado  Proteção: Ativada
  D:\  TotalmenteCriptografado  Proteção: Ativada

Chaves de Política de Grupo definidas. Atualizando política...

==============================
Unidade: C:\
==============================
Adicionando protetor TPM+PIN. Você será solicitado a fornecer um PIN.
O PIN deve ter 6+ caracteres. Alfanumérico é suportado.

Digite o PIN a ser usado para proteger o volume:
Confirme o PIN digitando-o novamente:
Protetores de Chave Adicionados:
  TPM E PIN:
    ID: {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}

Protetores atuais em C:\:
  ...

Protetor somente TPM encontrado: {YYYYYYYY-YYYY-YYYY-YYYY-YYYYYYYYYYYY}
Remover protetor somente TPM em C:\? Isso deixa apenas TPM+PIN. (s/N): s
Protetor somente TPM removido.

==============================
Unidade: D:\
==============================
D:\ não possui protetor TPM — TPM+PIN se aplica apenas à unidade do sistema. Pulando.

Concluído. Verifique com: manage-bde -status <unidade>

manage-bde -status C:
# Deve mostrar: Key Protectors: TPM And PIN
# Protection Status: Protection On

# Imprima a chave de recuperação no console (armazene-a em um local seguro)
manage-bde -protectors -get C: -Type RecoveryPassword

# 1. Definir chaves de registro da Política de Grupo
$p = "HKLM:\SOFTWARE\Policies\Microsoft\FVE"
if (-not (Test-Path $p)) { New-Item -Path $p -Force }
Set-ItemProperty -Path $p -Name "UseAdvancedStartup" -Value 1 -Type DWord -Force
Set-ItemProperty -Path $p -Name "UseTPMPIN"          -Value 2 -Type DWord -Force
Set-ItemProperty -Path $p -Name "UseTPM"             -Value 2 -Type DWord -Force
Set-ItemProperty -Path $p -Name "UseEnhancedPin"     -Value 1 -Type DWord -Force
gpupdate /force

# 2. Adicionar protetor TPM+PIN
manage-bde -protectors -add C: -TPMAndPIN

# 3. Encontrar o ID do protetor somente TPM
manage-bde -protectors -get C:

# 4. Removê-lo (substituir GUID pelo ID da etapa 3)
manage-bde -protectors -delete C: -id {SEU-GUID-SOMENTE-TPM}

# 5. Verificar
manage-bde -status C:

yellowkey-mitigation/
├── Add-BitLockerTPMPin.ps1   # Script principal de mitigação
└── README.md