Проблемы Bitlocker AD Key Protector

Мы используем Bitlocker Active Directory Key Protector для защиты и автоматической разблокировки USB-накопителей, но при разблокировке случаются случайные ошибки.

У нас есть две группы AD, которые мы используем

• DOMAIN \ BitlockerAdmin (содержит системных администраторов)
• ДОМЕН \ BitlockerPerComputer (содержит пользователя, который использует ноутбук)

Все пользователи являются членами доменной группы «DOMAIN \ BitlockerPerComputer», и мы запускаем команду:

Enable-BitLocker -MountPoint F: -EncryptionMethod XtsAes256 -UsedSpaceOnly -AdAccountOrGroup "Domain\BitlockerAdmin" –AdAccountOrGroupProtector 
Add-BitLockerKeyProtector -MountPoint $BACKUPVOL -AdAccountOrGroup "DOMAIN\BitlockerPerComputer" –AdAccountOrGroupProtector

Что мы ожидаем (что работает только иногда)

• Пользователь входит в систему, и диск разблокируется, или системный администратор входит в систему, и диск разблокируется.
• Если мы удалим пользователя из группы AD, диск всегда останется заблокированным, и пользователь не сможет его разблокировать.

Что мы наблюдаем.

• Иногда мы замечаем, что пользователь входит в систему, а диск не разблокируется. Мы можем ждать несколько дней и делать многочисленные перезагрузки, но без изменений в поведении.
• Любой в группе BitlockerAdmin, который входит в систему, всегда разблокирует нормально
• Если мы добавим пользователя в группу BitlockerAdmin, выйдите из системы и зарегистрируйтесь на диске, который иногда разблокируется, т.е. он работает лучше, а иногда - нет.
• Даже после удаления пользователя из группы AD они все еще могут разблокировать диск.

Мы также пытались использовать команды Manage-bde вместо powershell, но получили те же результаты

Изменение порядка групп, которые я добавляю в первую очередь, тоже не имеет значения.

Мы пытались выяснить, как именно работает средство защиты AD, чтобы диагностировать проблему, но информации очень мало.

С благодарностью получены любые указатели, помогающие диагностировать проблему