baobao1270

1. 是不是必须关闭 BitLocker ？不是。Linux 上可以用第三方软件访问 BitLocker 卷，Windows 上也有第三方软件可以访问 LUKS 卷。但是对于系统盘，只能选择原生的加密方案：Linux 只能用 LUKS (以及其他 Kernel 支持的方案)，Windows 也只能用 BitLocker 。

2. 是不是「启动时必须输入密钥」？是的。原因是不管是什么加密磁盘的方法，要进行系统盘加密，必须在系统启动前解密系统卷。这需要将解密密钥放入 TPM 中。而 TPM 可以被配置为不同的「平台配置寄存器 (PCR) 清除模式」，即在系统发生特定行为（上次启动设备改变、硬件改变、BIOS 设置改变等）行为时，清除 TPM 中的硬盘解密密钥。对于 BitLocker ，这个模式由 Microsoft 选定并不允许用户配置。对于 LUKS ，systemd-boot 允许用户配置 PCR 清除模式，相关的文档可以参见 https://wiki.archlinux.org/title/Trusted_Platform_Module#Accessing_PCR_registers

3. 如果想要加密 Windows 系统盘，并且可以在 Linux 上访问，#3 说的 VeraCrypt 是一个解决方法，但是似乎不支持 TPM （因为其理念是与 TPM 的设计目的相悖，所以永远不会支持 TPM ）。需要指出，想要将系统盘加密，不仅需要 Bootloader 支持，也需要操作系统本身支持。VeraCrypt 写了一个 Bootloader 并添加内核驱动来实现这一点。