运行 Add-BitLockerTPMPin.ps1（管理员权限）
       │
       ▼
  [版本检查] ──→ 在 Windows 10 上优雅退出（不受影响）
       │
       ▼
  [BitLocker 状态检查] ──→ 确认 C: 盘加密已激活
       │
       ▼
  [组策略修复] ──→ 设置 UseAdvancedStartup + UseTPMPIN + UseEnhancedPin
       │                   （必需——否则 manage-bde 会拒绝 TPM+PIN）
       ▼
  [gpupdate /force] ──→ 立即应用策略，无需重启
       │
       ▼
  [manage-bde -protectors -add C: -TPMAndPIN] ──→ 交互式提示输入 PIN
       │
       ▼
  [列出保护器] ──→ 显示所有当前保护器以供验证
       │
       ▼
  [移除仅 TPM 保护器] ──→ 可选，带确认提示

# 在提升的 PowerShell 提示符下，分别运行以下两条命令：
Set-ExecutionPolicy Bypass -Scope Process -Force

# 所有受 BitLocker 保护的驱动器（自动检测）：
.\Add-BitLockerTPMPin.ps1

# 或指定特定驱动器：
.\Add-BitLockerTPMPin.ps1 -Drive C
.\Add-BitLockerTPMPin.ps1 -Drive D

找到受 BitLocker 保护的驱动器：
  C:\  完全加密  保护：开启
  D:\  完全加密  保护：开启

已设置组策略键。正在刷新策略...

==============================
驱动器：C:\
==============================
正在添加 TPM+PIN 保护器。系统将提示您输入 PIN。
PIN 必须为 6 个字符或以上。支持字母数字。

输入用于保护卷的 PIN：
再次输入 PIN 以确认：
已添加密钥保护器：
  TPM 和 PIN：
    ID：{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}

C:\ 上的当前保护器：
  ...

找到仅 TPM 保护器：{YYYYYYYY-YYYY-YYYY-YYYY-YYYYYYYYYYYY}
是否移除 C:\ 上的仅 TPM 保护器？这将仅保留 TPM+PIN。(y/N)：y
已移除仅 TPM 保护器。

==============================
驱动器：D:\
==============================
D:\ 没有 TPM 保护器——TPM+PIN 仅适用于操作系统驱动器。跳过。

完成。使用以下命令验证：manage-bde -status <drive>

manage-bde -status C:
# 应显示：密钥保护器：TPM 和 PIN
# 保护状态：保护已开启

# 将恢复密钥打印到控制台（存储到安全位置）
manage-bde -protectors -get C: -Type RecoveryPassword

# 1. 设置组策略注册表键
$p = "HKLM:\SOFTWARE\Policies\Microsoft\FVE"
if (-not (Test-Path $p)) { New-Item -Path $p -Force }
Set-ItemProperty -Path $p -Name "UseAdvancedStartup" -Value 1 -Type DWord -Force
Set-ItemProperty -Path $p -Name "UseTPMPIN"          -Value 2 -Type DWord -Force
Set-ItemProperty -Path $p -Name "UseTPM"             -Value 2 -Type DWord -Force
Set-ItemProperty -Path $p -Name "UseEnhancedPin"     -Value 1 -Type DWord -Force
gpupdate /force

# 2. 添加 TPM+PIN 保护器
manage-bde -protectors -add C: -TPMAndPIN

# 3. 找到仅 TPM 保护器 ID
manage-bde -protectors -get C:

# 4. 移除它（用第 3 步得到的 ID 替换 GUID）
manage-bde -protectors -delete C: -id {YOUR-TPM-ONLY-GUID}

# 5. 验证
manage-bde -status C:

yellowkey-mitigation/
├── Add-BitLockerTPMPin.ps1   # 主要缓解脚本
└── README.md