1. 為什么前三篇做完這一篇才是真正決定成敗的一環(huán)封裝 Windows 10 這件事前幾篇我們聊過(guò)了虛擬機(jī)搭建、原版鏡像的選擇與清洗、以及系統(tǒng)內(nèi)部那些看得見看不見的優(yōu)化。到這一步很多朋友會(huì)覺得“系統(tǒng)裝好了、軟件裝齊了、設(shè)置也調(diào)順了直接打包不就行了”。我早年也是這么想的結(jié)果第一次交付鏡像的時(shí)候裝到目標(biāo)機(jī)器上一開機(jī)就卡在準(zhǔn)備設(shè)備、重啟兩次之后又跑出來(lái)一堆驅(qū)動(dòng)報(bào)錯(cuò)用戶數(shù)據(jù)目錄還因?yàn)榕渲梦募埩糁苯铀{(lán)屏。那一次之后我才明白封裝真正難的不是把系統(tǒng)做好看而是把一臺(tái)已經(jīng)“跑熱”了的系統(tǒng)安全地退回成一個(gè)未初始化的出廠狀態(tài)并且保證它在任何一臺(tái)陌生硬件上都能重新認(rèn)路。這一篇我聚焦的就是封裝流程里最容易被跳過(guò)、也最考驗(yàn)功底的后半段Sysprep 的通用化處理、無(wú)人值守應(yīng)答文件的編寫、鏡像的捕獲與壓縮、以及部署測(cè)試和排錯(cuò)。你可以把它理解成整個(gè)項(xiàng)目的“收尾封口”工序前面做得再漂亮這里出問(wèn)題一樣前功盡棄。它適合已經(jīng)動(dòng)手做過(guò)一兩輪封裝、但交付時(shí)總遇到小毛病的讀者也適合剛接觸系統(tǒng)封裝、想一次性把完整鏈路摸清楚的朋友。我用的環(huán)境是虛擬機(jī)里跑 Windows 10 企業(yè)版 LTSC 2021 作為母盤目標(biāo)交付版本涵蓋 LTSC 2021 和 22H2 兩個(gè)分支工具鏈?zhǔn)窍到y(tǒng)自帶的 Sysprep 加 DISM配合 ADK 里的 Windows System Image Manager 來(lái)生成應(yīng)答文件。這套組合不依賴任何第三方封裝工具可復(fù)現(xiàn)性高出問(wèn)題也好定位。下面是我完整的操作思路和踩坑記錄。2. Sysprep 通用化處理把“我的系統(tǒng)”變回“大家的系統(tǒng)”2.1 Sysprep 到底對(duì)系統(tǒng)做了什么很多人把 Sysprep 當(dāng)成一個(gè)“重置”按鈕其實(shí)它做的事要精細(xì)得多。當(dāng)你執(zhí)行sysprep /generalize系統(tǒng)會(huì)啟動(dòng)一個(gè)叫“通用化”的過(guò)程核心動(dòng)作有三個(gè)第一清除當(dāng)前機(jī)器的 SID讓新部署的機(jī)器重新生成唯一標(biāo)識(shí)第二卸載所有即插即用驅(qū)動(dòng)把硬件相關(guān)的注冊(cè)信息剝離出去這樣鏡像換一臺(tái)機(jī)器也能重新識(shí)別第三把系統(tǒng)狀態(tài)重置為“開箱即用體驗(yàn)”O(jiān)OBE也就是新機(jī)器第一次開機(jī)時(shí)看到的設(shè)置向?qū)А＿@三個(gè)動(dòng)作里SID 重置是基礎(chǔ)驅(qū)動(dòng)剝離是關(guān)鍵OOBE 重置是結(jié)果。我見過(guò)不少人 Sysprep 之后直接打包部署到別的機(jī)器上發(fā)現(xiàn)網(wǎng)卡認(rèn)不出來(lái)就是因?yàn)轵?qū)動(dòng)沒剝干凈——母盤在虛擬機(jī)里裝的是虛擬網(wǎng)卡驅(qū)動(dòng)物理機(jī)上當(dāng)然不認(rèn)。Sysprep 的通用化正是為了解決這個(gè)“硬件綁定”問(wèn)題。但要注意它不是萬(wàn)能的如果母盤里裝了帶硬件授權(quán)的商業(yè)軟件或者某些安全套件通用化之后可能會(huì)失效甚至報(bào)錯(cuò)這類軟件我強(qiáng)烈建議放到部署后再裝或者用腳本在首次登錄時(shí)靜默安裝。執(zhí)行命令本身不復(fù)雜在管理員權(quán)限的命令行里輸入C:\Windows\System32\Sysprep\sysprep.exe /generalize /oobe /shutdown /unattend:C:\unattend.xml這里的/shutdown表示通用化完成后直接關(guān)機(jī)方便你接著掛載鏡像做捕獲/unattend指向應(yīng)答文件這個(gè)后面細(xì)說(shuō)。第一次跑的人大概率會(huì)卡在“系統(tǒng)準(zhǔn)備工具 3.14”的界面或者直接彈出一個(gè)日志報(bào)錯(cuò)。別慌Sysprep 的報(bào)錯(cuò)都會(huì)寫到C:\Windows\System32\Sysprep\Panther\setuperr.log打開這個(gè)文件基本都能找到原因。2.2 那些讓 Sysprep 失敗的常見元兇我整理了幾個(gè)反復(fù)踩到的坑。最典型的是內(nèi)置管理員賬戶被重新命名或啟用了Sysprep 對(duì)此非常敏感母盤里的 Administrator 賬戶最好保持默認(rèn)狀態(tài)不要改名也不要拿來(lái)當(dāng)日常賬戶用。其次是一些應(yīng)用商店應(yīng)用UWP在通用化時(shí)無(wú)法處理尤其是 LTSC 版本自帶應(yīng)用少還好22H2 自帶一堆最好提前用 PowerShell 清理掉。還有一個(gè)隱蔽的坑Windows 更新殘留。如果你在母盤里裝完補(bǔ)丁就立刻 Sysprep某些待重啟的更新狀態(tài)會(huì)導(dǎo)致通用化失敗。我的做法是裝完所有補(bǔ)丁后重啟兩到三次確認(rèn)系統(tǒng)完全穩(wěn)定再執(zhí)行 Sysprep。另外如果母盤加入了域必須先退域再通用化否則 SID 會(huì)殘留域信息。下面這張表是我遇到過(guò)的 Sysprep 報(bào)錯(cuò)和對(duì)應(yīng)處理直接抄作業(yè)即可報(bào)錯(cuò)現(xiàn)象日志關(guān)鍵詞處理方式通用化卡在 40% 左右SYSPRP failed檢查是否有待重啟的更新重啟后重試提示無(wú)法驗(yàn)證 Windows 安裝ValidateWindowsInstallation運(yùn)行sfc /scannow修復(fù)系統(tǒng)文件應(yīng)用商店應(yīng)用處理失敗Failed to sysprepPowerShell 卸載所有非必要 UWP 應(yīng)用報(bào)錯(cuò) 0x80073cf2reserved storage關(guān)閉保留存儲(chǔ)空間DISM /Online /Set-ReservedStorageState /State:Disabled提示Sysprep 對(duì)同一臺(tái)母盤有次數(shù)限制默認(rèn)最多三次通用化。超過(guò)之后即使成功系統(tǒng)也可能不穩(wěn)定。所以我習(xí)慣先創(chuàng)建虛擬機(jī)快照每次 Sysprep 前打一個(gè)快照出問(wèn)題直接回滾重新做不消耗次數(shù)。2.3 通用化之后系統(tǒng)到底變成了什么狀態(tài)Sysprep 成功執(zhí)行并關(guān)機(jī)后系統(tǒng)處于一個(gè)很特殊的狀態(tài)它還是一個(gè)完整的 Windows但所有硬件相關(guān)的東西都被抹掉了OOBE 配置被重置。此時(shí)如果你直接開機(jī)它會(huì)進(jìn)入首次設(shè)置向?qū)б竽氵x語(yǔ)言、建賬戶、連網(wǎng)絡(luò)。正是在這個(gè)“半成品”狀態(tài)下你才能安全地把它捕獲成鏡像。這里有個(gè)容易忽略的點(diǎn)通用化后的系統(tǒng)再次進(jìn)入桌面之前的所有行為都由應(yīng)答文件接管。如果你沒準(zhǔn)備應(yīng)答文件開機(jī)就得手動(dòng)點(diǎn)一遍那封裝的意義就沒了。所以下一步也是這一篇的重頭戲——無(wú)人值守應(yīng)答文件必須在這之前準(zhǔn)備好并隨 Sysprep 一起生效。3. 無(wú)人值守應(yīng)答文件讓新機(jī)器“自己會(huì)裝自己”3.1 unattend.xml 的版本對(duì)應(yīng)關(guān)系應(yīng)答文件unattend.xml是封裝的靈魂它告訴系統(tǒng)在 OOBE 階段每一步該做什么。但它的坑在于版本對(duì)應(yīng)不同 Windows 版本對(duì)應(yīng)不同的 XML 命名空間。你拿一份給 22H2 寫的文件去給 LTSC 2021 用輕則部分設(shè)置不生效重則直接報(bào)錯(cuò)。我一般建兩個(gè)目錄一個(gè) 19044LTSC 2021一個(gè) 1904522H2分別存放對(duì)應(yīng)的應(yīng)答文件。獲取正確命名空間最穩(wěn)的辦法是用 ADK 里的 Windows System Image ManagerWSIM。打開之后導(dǎo)入你需要封裝的install.wim它會(huì)自動(dòng)生成對(duì)應(yīng)的組件列表你從這個(gè)列表里拖組件到應(yīng)答文件里版本號(hào)就不會(huì)錯(cuò)。手動(dòng)改網(wǎng)上抄來(lái)的 XML經(jīng)常踩到版本不匹配的坑尤其是 LTSC 和其他版本混用的時(shí)候。3.2 關(guān)鍵節(jié)點(diǎn)逐段拆解一份完整可用的應(yīng)答文件至少覆蓋這幾個(gè)階段windowsPE、specialize、oobeSystem。我把它簡(jiǎn)化成實(shí)際項(xiàng)目里最常用的幾個(gè)設(shè)置逐段說(shuō)清楚。windowsPE 階段主要處理磁盤分區(qū)和鏡像選擇。如果你做的是整盤部署的鏡像可以在Microsoft-Windows-Setup里配置DiskConfiguration讓新機(jī)器自動(dòng)清盤、分區(qū)、寫入。對(duì)于大多數(shù)個(gè)人用戶和小團(tuán)隊(duì)場(chǎng)景其實(shí)用不到這么復(fù)雜分區(qū)交給 PE 里的部署工具比如 DISM 或第三方安裝器即可應(yīng)答文件里我通常只保留語(yǔ)言設(shè)置和 EULA 自動(dòng)接受。specialize 階段是通用化后第一次啟動(dòng)時(shí)跑的主要處理計(jì)算機(jī)名、時(shí)區(qū)、網(wǎng)絡(luò)位置這類機(jī)器級(jí)配置。我一般設(shè)置ComputerName為隨機(jī)或統(tǒng)一前綴時(shí)區(qū)設(shè)為China Standard Time網(wǎng)絡(luò)位置設(shè)為工作網(wǎng)絡(luò)避免新機(jī)器開機(jī)后彈網(wǎng)絡(luò)選擇。oobeSystem 階段最重要它控制 OOBE 界面。我常用的三組設(shè)置是用OOBE組件跳過(guò)隱私設(shè)置頁(yè)和各種推銷頁(yè)用UserAccounts創(chuàng)建一個(gè)本地管理員賬戶用AutoLogon設(shè)置首次自動(dòng)登錄以便執(zhí)行后續(xù)腳本。下面是我實(shí)際用的一段核心片段settings passoobeSystem component nameMicrosoft-Windows-Shell-Setup processorArchitectureamd64 publicKeyToken31bf3856ad364e35 languageneutral versionScopenonSxS OOBE HideEULAPagetrue/HideEULAPage HideOEMRegistrationScreentrue/HideOEMRegistrationScreen HideOnlineAccountScreenstrue/HideOnlineAccountScreens HideWirelessSetupInOOBEtrue/HideWirelessSetupInOOBE ProtectYourPC3/ProtectYourPC SkipMachineOOBEtrue/SkipMachineOOBE SkipUserOOBEtrue/SkipUserOOBE /OOBE UserAccounts LocalAccounts LocalAccount wcm:actionadd NameAdmin/Name GroupAdministrators/Group Password Value你的密碼/Value PlainTexttrue/PlainText /Password /LocalAccount /LocalAccounts /UserAccounts AutoLogon UsernameAdmin/Username Enabledtrue/Enabled LogonCount1/LogonCount /AutoLogon /component /settings注意ProtectYourPC設(shè)為 3 是關(guān)閉所有隱私追蹤上報(bào)這個(gè)值是老封裝圈里公認(rèn)的做法。SkipMachineOOBE和SkipUserOOBE能跳過(guò)大部分向?qū)ы?yè)配合隱藏在線賬戶和無(wú)線設(shè)置頁(yè)新機(jī)器開機(jī)基本就是一條直線進(jìn)桌面。3.3 用首次登錄腳本接管收尾工作應(yīng)答文件只能做到“進(jìn)桌面”這一步但真正的收尾配置——比如安裝驅(qū)動(dòng)、激活、跑一遍優(yōu)化腳本、刪除安裝臨時(shí)文件——靠的是FirstLogonCommands。我會(huì)在 oobeSystem 階段再塞一段命令列表讓系統(tǒng)首次登錄時(shí)自動(dòng)執(zhí)行一個(gè)批處理。這個(gè)批處理的職責(zé)包括導(dǎo)入注冊(cè)表優(yōu)化、靜默安裝運(yùn)行庫(kù)比如 .NET 3.5 離線包、設(shè)置電源方案、關(guān)閉不必要服務(wù)。FirstLogonCommands SynchronousCommand wcm:actionadd Order1/Order CommandLinecmd /c C:\Setup\firstlogon.bat/CommandLine Description執(zhí)行首次登錄配置/Description /SynchronousCommand /FirstLogonCommands這里有個(gè)經(jīng)驗(yàn)FirstLogonCommands 跑完會(huì)彈一個(gè)命令行窗口用戶體驗(yàn)不好。我的做法是在批處理最后一行加上刪除自身和關(guān)閉窗口的命令讓它跑完就消失。另外腳本里安裝的軟件必須是靜默參數(shù)凡是有交互界面的安裝包都會(huì)卡在首次登錄階段導(dǎo)致整個(gè)部署流程停住。注意FirstLogonCommands 依賴 AutoLogonAutoLogon 的 LogonCount 設(shè)為 1 表示只自動(dòng)登錄一次之后恢復(fù)正常登錄。如果設(shè)得太大新機(jī)器每次開機(jī)都自動(dòng)進(jìn)賬戶安全性上不太合適。4. 鏡像捕獲與壓縮別讓一個(gè)疏忽毀掉幾小時(shí)的成果4.1 捕獲前的清理與減重Sysprep 關(guān)機(jī)之后先別急著捕獲。我通常會(huì)用 WinPE 啟動(dòng)掛載母盤做幾件清理的事。第一清空C:\Windows\Temp、C:\Users\Public下的臨時(shí)文件以及各用戶目錄里的緩存。第二如果母盤里裝了殺毒軟件試過(guò)殘留的隔離區(qū)文件也要?jiǎng)h掉否則鏡像體積會(huì)莫名其妙大幾百兆。第三用微軟自帶的磁盤清理工具清理系統(tǒng)還原點(diǎn)和舊補(bǔ)丁備份這一步能省下不少空間。清理完成之后再檢查一個(gè)東西系統(tǒng)盤是不是被 BitLocker 加密了。如果是捕獲出來(lái)的鏡像部署后會(huì)有麻煩務(wù)必在封裝前關(guān)閉 BitLocker 并解密完畢。這個(gè)坑我踩過(guò)一次最后只能重做母盤。4.2 用 DISM 捕獲的核心參數(shù)捕獲我全程用 DISM命令不復(fù)雜但參數(shù)含義必須搞清Dism /Capture-Image /ImageFile:D:\win10-ltsc-custom.wim /CaptureDir:C:\ /Name:Win10_LTSC_2021_Custom /Description:封裝版-LTSC2021 /Compress:max /CheckIntegrity/Compress:max是最高壓縮鏡像體積最小代價(jià)是耗時(shí)長(zhǎng)一個(gè) 20G 的系統(tǒng)盤大概要壓四十分鐘到一個(gè)小時(shí)看機(jī)器性能。如果你趕時(shí)間可以換成fast體積會(huì)大一些。/CheckIntegrity是校驗(yàn)完整性建議加上能在捕獲階段就發(fā)現(xiàn)文件錯(cuò)誤避免部署時(shí)才發(fā)現(xiàn)鏡像損壞。/Name和/Description是鏡像標(biāo)識(shí)多版本合并時(shí)靠它區(qū)分一定要寫清楚。我一般會(huì)把捕獲出來(lái)的 WIM 再導(dǎo)出成 ESD進(jìn)一步壓縮體積代價(jià)是不能再直接編輯。Dism /Export-Image /SourceImageFile:D:\win10-ltsc-custom.wim /SourceIndex:1 /DestinationImageFile:D:\install.esd /Compress:recovery不過(guò) ESD 在實(shí)際使用中有些老部署工具不支持所以個(gè)人建議如果不是極限壓縮需求保留 WIM 格式更通用。4.3 多版本鏡像的合并思路如果你像我一樣同時(shí)維護(hù) LTSC 2021 和 22H2 兩個(gè)版本可以把兩份 WIM 合并成一個(gè)鏡像包部署時(shí)選擇版本。做法是先用/Export-Image把不同 WIM 的內(nèi)容追加到同一個(gè)文件里再統(tǒng)一做成安裝介質(zhì)。合并的時(shí)候注意鏡像索引index別搞混了。每次追加后我都用Dism /Get-WimInfo /WimFile:xxx.wim確認(rèn)一遍索引和名稱對(duì)應(yīng)關(guān)系這一步雖然瑣碎但能避免用戶拿到鏡像裝錯(cuò)版本。對(duì)于需要 x86 和 x64 雙版本的情況不能用同一個(gè) WIM 合并因?yàn)榧軜?gòu)不同只能分別打包鏡像文件在啟動(dòng)介質(zhì)里分別放置。這類需求現(xiàn)在越來(lái)越少了但如果你的目標(biāo)場(chǎng)景里還有老設(shè)備提前準(zhǔn)備好 1909 對(duì)應(yīng)的 x86 版本會(huì)更省事。5. 部署測(cè)試鏡像能不能用虛擬機(jī)里跑一遍就知道5.1 標(biāo)準(zhǔn)測(cè)試流程鏡像做完最忌諱的就是直接拿去裝機(jī)。我的習(xí)慣是先在虛擬機(jī)里完整跑一遍部署測(cè)試具體流程是新建虛擬機(jī)用 PE 啟動(dòng)掛載剛才做的 WIM正常釋放到系統(tǒng)盤重啟進(jìn)入 OOBE。這個(gè)過(guò)程中我要觀察幾件事OOBE 是否按應(yīng)答文件跳過(guò)、本地管理員賬戶是否正確創(chuàng)建、首次登錄腳本是否執(zhí)行、設(shè)備管理里有沒有感嘆號(hào)驅(qū)動(dòng)。跑完第一遍之后重啟一次看系統(tǒng)能不能正常二次啟動(dòng)有沒有黑屏或反復(fù)重啟。再關(guān)機(jī)給虛擬機(jī)換一塊不同的虛擬網(wǎng)卡型號(hào)再開機(jī)看網(wǎng)絡(luò)是否正常識(shí)別。這個(gè)“換硬件再啟動(dòng)”的測(cè)試非常關(guān)鍵它能驗(yàn)證驅(qū)動(dòng)剝離是否徹底。我早期就是因?yàn)槭×诉@一步結(jié)果鏡像拿到物理機(jī)上各種認(rèn)不到網(wǎng)卡。5.2 常見故障速查表部署階段的問(wèn)題五花八門我把印象最深的幾個(gè)整理成速查表遇到類似現(xiàn)象可以按圖索驥現(xiàn)象大概率原因排查方向OOBE 要求手動(dòng)設(shè)置應(yīng)答文件未生效檢查文件名是否為 unattend.xml路徑是否正確首次登錄腳本沒跑FirstLogonCommands 沒被讀取確認(rèn) AutoLogon 已啟用日志看setuperr.log部署后藍(lán)屏驅(qū)動(dòng)剝離不徹底或母盤有殘留重做母盤Sysprep 前禁用第三方殺軟磁盤占用異常大保留存儲(chǔ)或補(bǔ)丁緩存未清關(guān)閉保留存儲(chǔ)清理 WinSxS賬戶創(chuàng)建失敗應(yīng)答文件版本不匹配用 WSIM 重新生成對(duì)應(yīng)版本節(jié)點(diǎn)網(wǎng)絡(luò)位置彈窗specialize 階段未配置補(bǔ)充網(wǎng)絡(luò)位置設(shè)置5.3 我在實(shí)際項(xiàng)目中踩過(guò)的坑有一段時(shí)間我交付的鏡像用戶反饋說(shuō)第一次開機(jī)速度特別慢裝好之后要等兩三分鐘才能用。查了半天發(fā)現(xiàn)是首次登錄腳本里的一個(gè)運(yùn)行庫(kù)安裝包在聯(lián)網(wǎng)環(huán)境下反復(fù)重試超時(shí)。后來(lái)我把所有腳本里的網(wǎng)絡(luò)依賴全部去掉改成完全離線的安裝包問(wèn)題才解決。這件事告訴我首次登錄腳本的每一條命令都要保證離線可執(zhí)行不能依賴外網(wǎng)。另一個(gè)坑是 .NET 3.5 的安裝。有老軟件強(qiáng)依賴它而 Windows 10 默認(rèn)不啟用。我試過(guò)用在線安裝結(jié)果在斷網(wǎng)環(huán)境下直接失敗。后來(lái)改用離線資源包的方式把sxs目錄里的源文件直接集成進(jìn)系統(tǒng)盤用 DISM 配合/Source參數(shù)離線啟用穩(wěn)定得多Dism /Online /Enable-Feature /FeatureName:NetFx3 /All /Source:D:\sxs /LimitAccess/LimitAccess是強(qiáng)制不走網(wǎng)絡(luò)只用本地源這個(gè)參數(shù)在封裝場(chǎng)景里非常重要。我見過(guò)有人忘了加結(jié)果系統(tǒng)偷偷聯(lián)網(wǎng)去下組件在隔離環(huán)境里直接卡住。6. 關(guān)于封裝工具和版本選擇的幾點(diǎn)實(shí)在話現(xiàn)在網(wǎng)上出現(xiàn)了不少第三方精簡(jiǎn)系統(tǒng)也有很多人問(wèn)要不要直接用這類成品鏡像。我的態(tài)度很明確學(xué)習(xí)封裝階段盡量用官方原版鏡像作為母盤你能清楚每一處改動(dòng)的來(lái)源出問(wèn)題也好回溯。市面上一些精簡(jiǎn)版本確實(shí)體積小、跑得快但內(nèi)部的改動(dòng)不透明某些場(chǎng)景下會(huì)出現(xiàn)莫名其妙的功能缺失。你自己封裝的鏡像哪怕只做了基礎(chǔ)優(yōu)化可控性也比拿來(lái)主義強(qiáng)得多。母盤版本的選擇上我個(gè)人長(zhǎng)期用 Windows 10 企業(yè)版 LTSC 2021原因是它更新節(jié)奏慢、自帶應(yīng)用少、長(zhǎng)期支持周期長(zhǎng)做出來(lái)的鏡像干凈穩(wěn)定。如果你需要更新的功能特性22H2 是另一個(gè)主力選項(xiàng)配合擴(kuò)展安全更新策略還能繼續(xù)用下去。至于 x86 版本現(xiàn)在新硬件基本用不上了只有在給老設(shè)備做系統(tǒng)的時(shí)候才有意義建議單獨(dú)維護(hù)一套。至于封裝工具鏈Sysprep 加 DISM 這套原生組合足夠覆蓋絕大多數(shù)場(chǎng)景沒必要一上來(lái)就上復(fù)雜的自動(dòng)化框架。等你的流程穩(wěn)定了再考慮用腳本把整個(gè)鏈路串起來(lái)效率提升會(huì)更明顯。最后分享一個(gè)小習(xí)慣每做完一版鏡像我都會(huì)在虛擬機(jī)里完整部署一遍、跑一遍軟件兼容性測(cè)試、再記錄下這一版的改動(dòng)清單和已知問(wèn)題。這份記錄在后續(xù)維護(hù)的時(shí)候價(jià)值極大尤其是半年后你自己都忘了當(dāng)時(shí)改了什么的時(shí)候。封裝這門手藝拼的不是一次做得多快而是每一次交付都能穩(wěn)定復(fù)現(xiàn)。