1、制作模板機(jī)

1.1 把一臺電腦安裝好操作系統(tǒng)、官網(wǎng)原版驅(qū)動和需要標(biāo)準(zhǔn)化安裝的軟件。

注意事項：
（1）操作系統(tǒng)最好是到Windows官網(wǎng)或者msdn下載安裝官方純凈版的，不要用戴爾聯(lián)想等廠商出廠的系統(tǒng)，出廠的系統(tǒng)往往做過一些改動，封裝之后容易出很多奇奇怪怪的問題；
（2）安裝電腦必備常用的軟件和工具；
（3）最好不要封裝殺毒軟件；
（4）如果要安裝語言包，必須要使用lpksetup來安裝語言包才行，否則封裝會報錯；
（5）不要打開微軟商店，因為打開之后微軟商店可能會對系統(tǒng)里的用戶UWP應(yīng)用自動更新，這些應(yīng)用都是安裝給當(dāng)前用戶的，安裝后會導(dǎo)致封裝報錯。同理，也不要在微軟商店安裝UWP應(yīng)用；
（6）不要加域，因為每臺電腦主機(jī)名都不一樣，要等裝完系統(tǒng)手動更改后再加域；
（7）如果企業(yè)里有多種型號的電腦的話，為了減少驅(qū)動問題帶來的影響，建議對每個型號的電腦都分開封裝，避免以后帶來不必要的麻煩。不過因為現(xiàn)在Win10可以自動下載兼容性的驅(qū)動，也可以嘗試給其他型號的電腦安裝；
（8）所有安裝設(shè)置完成后重啟電腦，封裝系統(tǒng)前要確保此次開機(jī)電腦沒有任何更改且系統(tǒng)沒有任何異常。

1.2 創(chuàng)建首次登陸計劃任務(wù)

創(chuàng)建首次首次登陸計劃任務(wù)主要是為了解決一些無法在系統(tǒng)封裝前解決的問題，目前我遇到的問題主要有3點(diǎn)：

（1）筆記本帶有NVIDIA的獨(dú)顯，系統(tǒng)彈出提示要到微軟商店安裝NVIDIA控制面板，但是前面說到不能到微軟商店下載安裝（戴爾的一些電腦需要安裝Waves MaxxAudio Pro才能使用耳機(jī)的麥克風(fēng)功能，要實(shí)現(xiàn)封裝也可以參考這個案例）；
（2）Windows 11系統(tǒng)封裝后會出現(xiàn)無法打開Windows安全中心的問題，必須要使用powershell命令重置一下Windows安全中心這個應(yīng)用；
（3）現(xiàn)在的筆記本安裝Windows 11后會自動開啟bitlocker加密（部門版本W(wǎng)in10也會），但是用戶們不懂管理秘鑰，有的公司又是使用本地賬戶，這對于管理員來說簡直就是噩夢，萬一出了問題又搞不到秘鑰，數(shù)據(jù)就都沒了，詳情可參考這篇文章《為了你的數(shù)據(jù)安全，請立即關(guān)閉新電腦的bitlocker！》。所以我這邊一般不打開bitlocker加密，對于財務(wù)HR等電腦保存的信息比較敏感的人，可以再手動弄下bitlocker加密，并把秘鑰保存到服務(wù)器上。

1.2.1 獲取NVIDIA控制面板的appx文件

（1）先在網(wǎng)頁Microsoft應(yīng)用商店這里找到NVIDIA 控制面板，將鏈接地址復(fù)制下；

（2）到https://store.rg-adguard.net/這個網(wǎng)址粘貼鏈接，點(diǎn)擊確定后會出現(xiàn)下載列表，點(diǎn)擊最新版本的.appx格式文件即可下載，下載后在C盤新建一個名為“Tools”的文件夾，把下載的文件放在里面。

1.2.2 編寫powershell腳本

將以下代碼復(fù)制到記事本，重命名為.ps1格式的powershell腳本文件，放在剛剛新建的“Tools”文件夾里，腳本名稱最好用英文名，且不要有空格。

#重置Windows安全中心
Get-AppxPackage Microsoft.SecHealthUI -AllUsers | Reset-AppxPackage
#安裝NVIDIA控制面板
add-appxprovisionedpackage -online -packagepath C:\Tools\NVIDIACorp.NVIDIAControlPanel_8.1.962.0_x64__56jybvy8sckqj.Appx -skiplicense
#關(guān)閉c,d,e,f,g驅(qū)動器的bitlocker加密
manage-bde -off c:
manage-bde -off d:
manage-bde -off e:
manage-bde -off f:
manage-bde -off g:
#禁用計劃任務(wù)
Disable-ScheduledTask -TaskName "FixSomeProblemsOnFirstLogin"
pause
12345678910111213

1.2.3 創(chuàng)建計劃任務(wù)

（1）創(chuàng)建一個名為“FixSomeProblemsOnFirstLogin”的計劃任務(wù)，可以選擇其他名字，但是必須是英文且沒有空格，且要與上面腳本中禁用的計劃任務(wù)名字一致，勾選【使用最高權(quán)限運(yùn)行】，配置選擇【W(wǎng)indows 10】；

（2）新建觸發(fā)器，開始任務(wù)選擇【登錄時】；

（3）新建操作，操作選擇【啟動程序】，程序或腳本處填寫powershell的路徑：

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
1

添加參數(shù)處輸入：

-executionpolicy unrestricted -file "C:\Tools\FixSomeProblemsOnFirstLogin.ps1"
1

【-executionpolicy unrestricted】 參數(shù)是為了不受限制的執(zhí)行腳本，【-file】參數(shù)后面跟著的是腳本路徑；

（4）取消勾選【只有在計算機(jī)使用交流電源時才啟動此任務(wù)】，其他的選項可以自己按需配置；

（5）點(diǎn)擊確定后完成計劃任務(wù)的創(chuàng)建，想要的效果就是系統(tǒng)在安裝之后第一次登錄時自動運(yùn)行這個計劃任務(wù)，運(yùn)行腳本來修復(fù)一些我們想要解決的問題，然后最后一行腳本自動禁用這個計劃任務(wù)，實(shí)現(xiàn)只在首次登錄時運(yùn)行一次的效果?？梢灾貑⑾码娔X來看下效果是否符合自己的預(yù)期，封裝前記得要啟用這個計劃任務(wù)。

1.3 檢查系統(tǒng)文件是否有損壞并嘗試修復(fù)

打開CMD，運(yùn)行以下命令

sfc /scannow
DISM /Online/Cleanup-Image /RestoreHealth
12

2、實(shí)現(xiàn)無人值守自動應(yīng)答安裝

電腦在第一次安裝后會進(jìn)入oobe開箱體驗階段，創(chuàng)建此文件可以實(shí)現(xiàn)無人值守自動安裝，跳過oobe階段，同時還可以設(shè)置一些電腦設(shè)置。

2.1 安裝 Windows ADK

到https://docs.microsoft.com/zh-cn/windows-hardware/get-started/adk-install下載適用于匹配你當(dāng)前系統(tǒng)版本的ADK工具，只需要安裝里面的部署工具功能，要在其他電腦上安裝，不要在要封裝的電腦上安裝。

2.2 創(chuàng)建自動應(yīng)答文件

（1）提前將Windows鏡像中的ISO/sources/install.wim文件復(fù)制出來，在Windows系統(tǒng)映像管理器中選擇此文件來創(chuàng)建自動應(yīng)答文件；

（2）新建應(yīng)答文件；

（3）目前我的需求是只需要跳過oobe階段，設(shè)置個電腦型號就行了，以下以實(shí)現(xiàn)我的需求為例，展開【Components】，再展開【amd64_Microsoft-Windows-Shell-Setup_10.0.22000.65_neutral】找到【OEMInformation】，右鍵選擇【添加設(shè)置以傳送4 specialize(4)】；

（4）參考下圖進(jìn)行設(shè)置，“Junson”改成自己的公司英文簡稱；

（5）參考下圖設(shè)置電腦型號；

（6）找到【OOBE】，右鍵選擇【添加設(shè)置以傳送7 oobeSystem(7)】；

（7）參考下圖進(jìn)行設(shè)置，用于跳過oobe階段；

（8）更多設(shè)置可參考以下這篇文章：
How to create an unattended installation of Windows 10
完成后將應(yīng)答文件保存并命名為【unattend.xml】。

3、開始封裝

將應(yīng)答文件unattend.xml放到要封裝的電腦的C:\Windows\System32\Sysprep目錄中，封裝系統(tǒng)前要確保此次開機(jī)電腦沒有任何更改且系統(tǒng)沒有任何異常。打開CMD，運(yùn)行以下命令

C:\Windows\System32\Sysprep\Sysprep /generalize /oobe /shutdown /unattend:C:\Windows\System32\Sysprep\unattend.xml
1

如果到這步提示封裝失敗可以找C:\Windows\System32\Sysprep\Panther里的setupact.log和setuperr.log日志排錯

注意，這里封裝完成后電腦會自動關(guān)機(jī)，下次開機(jī)一定不要進(jìn)系統(tǒng)，一定要直接進(jìn)入PE系統(tǒng)來導(dǎo)出鏡像，否則剛封裝好的系統(tǒng)又進(jìn)去的話會直接打開安裝，就無法封裝了。

4、導(dǎo)出鏡像

進(jìn)入PE系統(tǒng)，打開cmd，使用DISM命令把鏡像導(dǎo)出成.wim格式

例如：把 C 分區(qū)的系統(tǒng)備份到 D 分區(qū)的根目錄中，備份文件名為 Thinkpad_T14_Win11.wim，可以封裝好后在PE系統(tǒng)的CMD中運(yùn)行以下命令

Dism /Capture-Image /ImageFile:D:\Thinkpad_T14_Win11.wim /CaptureDir:C:\ /Name:Thinkpad_T14_Win11 /Description:2022-06-24
1

命令解釋：
/Capture-Image - 指定捕獲映像。
/ImageFile: - 指定映像文件路徑。                
/CaptureDir: - 指定捕獲目錄。
/Name: - 指定名稱。此項不能省略。
/Description: - 指定描述。描述是為了說明這次備份的具體情況，我們這里用了日期。此項可省略。
123456

導(dǎo)出成功后，我們就得到.wim格式的系統(tǒng)安裝映像了，保存好此文件，可以放到WDS服務(wù)器上進(jìn)行WDS部署，也可以用PE里的Windows安裝器來安裝。

5、常見問題

問題一、封裝失敗，查看日志提示：

Package Microsoft.OneDriveSync_21220.1024.5.0_neutral__8wekyb3d8bbwe was installed for a user, but not provisioned for all users. This package will not function properly in the sysprep image.

原因：
系統(tǒng)里有某些UWP應(yīng)用自動更新安裝了，但是更新只是針對當(dāng)前用戶更新，所以需要卸載，如果要安裝UWP應(yīng)用，請參考上面安裝NVIDIA控制面板的方法。

解決方法：
使用powershell進(jìn)行卸載，以管理員方式打開powershell，輸入以下命令，找到這個應(yīng)用，星號為通配符：

Get-AppxPackage *Microsoft.OneDriveSync*
1

找到之后再在上條命令加上| Remove-AppxPackage，卸載這個UWP應(yīng)用：

Get-AppxPackage *Microsoft.OneDriveSync* | Remove-AppxPackage
1

問題二、封裝搜狗輸入法或者WinRAR等某些軟件報錯

原因：網(wǎng)上搜索資料后，某些國內(nèi)軟件有外殼，或者是安裝包有某些原因，導(dǎo)致無法封裝或封裝后無法使用。

解決方法：封裝之后使用首次登錄任務(wù)腳本，加上靜默參數(shù)來靜默安裝。

問題三、某些設(shè)置在封裝之后就沒有了

原因：封裝不是克隆，并不是封裝前什么樣子，安裝之后就是什么樣子。

封裝和克隆的區(qū)別

最近，老看到一些一些諸如“封裝后輸入法設(shè)置丟了啊”、“封裝后IE設(shè)置丟了啊”、“封裝后自動更新又打開了啊”、“我明明封裝前設(shè)置好了的，封裝后防火墻又打開了啊”之類的帖子，甚至于因此引出了“ES重大bug”或者強(qiáng)烈要求ES更新解決bug之類的，究其原因，是因為沒有搞清楚封裝到底是什么，封裝到底做了哪些操作，封裝與克隆的區(qū)別。在此基于自己的理解，簡單介紹一下封裝與克隆，因水平有限，如有謬誤，歡迎指正。

封裝主要的目的是為了將 Windows 映像部署到不同的電腦，那么借用微軟的話來說，就必須從映像中刪除計算機(jī)特定的信息，這是封裝最核心的事情。

當(dāng)然封裝還有其他事情，譬如在部署階段提供各種接口，方便對新建用戶、應(yīng)用軟件進(jìn)行各種配置、方便用戶添加驅(qū)動等。

主要說第一點(diǎn)吧，何謂計算機(jī)特定的信息呢？計算機(jī)名稱，用戶名，用戶的SID，操作系統(tǒng)的授權(quán)許可，硬件驅(qū)動、微軟某些軟件的設(shè)定（譬如IE瀏覽器的各種設(shè)置、windows media player的各種設(shè)定、輸入法的設(shè)定）等等，這些在封裝的過程中都會進(jìn)行處理的，硬件驅(qū)動也相當(dāng)重要，也會在封裝過程中進(jìn)行處理。對于NT5系統(tǒng)來說，微軟會卸載清理掉，對于NT6系統(tǒng)來說，微軟會解除驅(qū)動關(guān)聯(lián)。當(dāng)然，不同版本的Windows，微軟的認(rèn)定、處理方法不盡相同。

如果不處理硬件驅(qū)動，會有什么影響呢？最起碼會有驅(qū)動殘留?。嶑秉h受的了嗎）；驅(qū)動就有可能相互沖突，那么在新機(jī)器上就很有可能藍(lán)屏、無法啟動或者工作不正常；匹配了不合適的驅(qū)動有可能降低性能啊。

如果不處理軟件相關(guān)的設(shè)定，那么用戶名、計算機(jī)名稱、用戶的SID等等在新機(jī)器上也會是一樣的，這樣就世界大同了??；這樣也會有相當(dāng)?shù)娘L(fēng)險的，譬如不處理賬戶SID，造成同一批機(jī)器都是相同的SID，那在局域網(wǎng)環(huán)境中可能就會出現(xiàn)嚴(yán)重的網(wǎng)絡(luò)安全問題了。

其實(shí)封裝本身是個很簡單的事情：

（1）對于WinXP/2003等NT5系統(tǒng)而言，需要從系統(tǒng)源盤工具中提取deploy工具包，提取其中sysprep.exe及相關(guān)程序文件，創(chuàng)建C:\Sysprep目錄，并將sysprep.exe及相關(guān)文件復(fù)制到其中。執(zhí)行C:\Sysprep\sysprep.exe，按照UI的提示說明進(jìn)行操作，即可完成封裝；

（2）對于Win7/8/2008/2012等NT6系統(tǒng)而言，封裝更加簡單，直接運(yùn)行C:\Windows\system32\sysprep\sysprep.exe，按照UI的提示說明操作，即可完成封裝。

所以“封裝”并不復(fù)雜，真正麻煩和復(fù)雜的是我們所提出的各種各樣的需求。例如我們需要增強(qiáng)系統(tǒng)部署范圍，這樣就要集成各種磁盤控制器驅(qū)動；我們需要更多接口，以調(diào)用自己所指定的程序（萬能驅(qū)動、運(yùn)行庫、軟件包、優(yōu)化等）；我們要壓縮C盤軟件節(jié)省體積，并于部署時釋放；我們要讓部署背景更好看，要在部署中顯示更明確的進(jìn)度等等。而正是我們的這些需求，令封裝變的相當(dāng)復(fù)雜，從而一定程度上降低封裝成功率和穩(wěn)定性。

說了以上這些，再說些題外的，假如你要封裝，為了提高封裝和部署的成功率，在封裝時，你就應(yīng)采取“硬件最小化”原則，即盡量減少非必要硬件，譬如去掉軟驅(qū)、串口、并口、軟盤控制器、USB設(shè)備等等，為達(dá)到這個效果建議盡量采用虛擬機(jī)封裝，不要實(shí)體機(jī)封裝。

那么如何實(shí)現(xiàn)自己的設(shè)定呢？導(dǎo)出相關(guān)設(shè)置的注冊表項、或者自己做批處理在部署階段（部署的各個階段自己看一下區(qū)別）調(diào)用、自己編譯可執(zhí)行文件調(diào)用等等，這些要靠自己的長期積累和實(shí)踐了。

而克隆基本上是對文件或者磁盤扇區(qū)完整的拷貝（ghost打包操作系統(tǒng)鏡像時其實(shí)會忽略掉頁面文件、休眠文件等），如果對沒有封裝的操作系統(tǒng)直接ghost打包，在異機(jī)上進(jìn)行恢復(fù)操作，那么會缺少部署過程，之前是什么樣，之后還是老樣子。前文所說的封裝的種種操作都不會進(jìn)行，那么用戶名、計算機(jī)名稱、用戶的SID、硬件驅(qū)動等等均是一樣的，那么就有可能出現(xiàn)藍(lán)屏、無法啟動、授權(quán)失效、被識別為同一臺機(jī)器等各種各樣的問題。

有人會說，我用非封裝的ghost克隆鏡像包，在異機(jī)上恢復(fù)沒有出現(xiàn)藍(lán)屏等問題，甚至試過很多臺機(jī)器都沒有出現(xiàn)。我想說的是，如果你機(jī)器只是簡單的一些辦公，使用率不高，如果平臺差異不大，的確幾臺、幾十萬臺或許都不會出現(xiàn)大問題，但是穩(wěn)定性呢？如果是局域網(wǎng)啟用了文件共享那安全性呢？一些通過硬件識別的軟件或許就會報錯用不了或者直接識別為同一臺，又或者啟用了不匹配的驅(qū)動降低了硬件的性能等等不一而足，這些例子中我是遇到過一部分的。最后你再試一下平臺差異性很大的機(jī)器，譬如一臺老奔騰4代的機(jī)器，一臺酷睿8代的機(jī)器試試看呢

有人說通過萬能驅(qū)動或者SkyIAR的“換硬件不換系統(tǒng)”清理掉驅(qū)動，再用萬能驅(qū)動安裝驅(qū)動，那么封裝沒有什么必要。

SkyIAR的換硬件不換系統(tǒng)只是一種應(yīng)急方案，其主要針對的是硬件驅(qū)動中磁盤控制器驅(qū)動和即插即用驅(qū)動，而且其使用條件中也寫明“更換前后的硬件平臺差異不算太大，硬盤讀寫機(jī)制無太大差別”，其清理也不可能做到100%精確，可能會有遺漏和誤刪除，這是由Windows系統(tǒng)復(fù)雜性的客觀條件所決定的，SkyIAR能做的是盡一切可能的精確。一種應(yīng)急方案，拿來當(dāng)通用方案，這真沒什么好說的。

而萬能驅(qū)動的清理驅(qū)動功能說明如下，請仔細(xì)讀一下

說明與注意：
（1）清理驅(qū)動是指切斷已安裝驅(qū)動與系統(tǒng)之間的關(guān)聯(lián)，而不會刪除掉已安裝驅(qū)動的文件（微軟自己的卸載亦是如此）；
（2）本功能一般用于“當(dāng)目標(biāo)系統(tǒng)存在驅(qū)動沖突問題而無法解決時”進(jìn)行補(bǔ)救，或進(jìn)行驅(qū)動測試，非日常功能；
（3）本功能與原SkyIAR中的功能類似但更為完善，亦可達(dá)成“換硬件不換系統(tǒng)”等效果；
（4）離線清理工作不可能100%完善，清理可能導(dǎo)致目標(biāo)系統(tǒng)異常，請謹(jǐn)慎使用。

缺陷已經(jīng)足夠多了，前文所說的封裝的種種操作又無法實(shí)現(xiàn)，你還覺得封裝沒什么必要？？

所以，如果是要用在異機(jī)上，那么最好是采用封裝，ghost克隆一般比較適合于本機(jī)備份。不過如果你是開電腦店的，新進(jìn)一批相同的機(jī)器，你又不會封裝，那么直接克隆一臺機(jī)器再用到其他機(jī)器上一般問題不大，如果用到其他平臺不同的機(jī)器上，就只能祝你好運(yùn)了。

最后，給一些微軟的說明

sysprep（一般化）Windows 安裝

https://msdn.microsoft.com/zh-cn/library/windows/hardware/dn938334

Sysprep 過程概述

https://msdn.microsoft.com/zh-cn/library/windows/hardware/dn938331