如何使用命令行自动部署Windows系统及配置初始化脚本

1.命令行自动部署windows系统及配置初始化脚本的核心思路是利用windows自带工具dism、sysprep和unattend.xml应答文件结合powershell或批处理脚本完成自动化部署。2.关键步骤包括：准备自定义安装镜像，使用sysprep进行系统泛化，编写unattend.xml文件指导安装流程，以及通过脚本实现首次启动时的个性化配置。3.unattend.xml在自动化部署中扮演“大脑”角色，用于自动化安装流程、系统配置和执行自定义命令，通常使用windows system image manager工具进行编写。4.初始化配置脚本通常使用powershell编写，可在系统首次启动时自动执行，完成软件安装、网络配置、系统设置等任务，主要通过unattend.xml的firstlogoncommands部分调用。

命令行自动部署Windows系统及配置初始化脚本，说白了，就是让你告别一台一台手动安装、点鼠标的重复劳动，转而用一套预设好的流程，让系统自己完成安装和基础配置。这玩意儿在企业IT环境里是家常便饭，但对个人或小团队来说，掌握了也能省下不少时间和精力，尤其当你需要频繁重装系统或者部署多台机器时，那简直是救命稻草。核心思路就是利用Windows自带的工具集，比如DISM、Sysprep和Unattend.xml应答文件，再结合PowerShell或批处理脚本来搞定后续的个性化设置。

解决方案

要实现Windows系统的命令行自动部署及初始化配置，我们通常会经历几个关键步骤：准备一个自定义的安装镜像，利用Sysprep工具进行系统泛化，编写一个详细的Unattend.xml应答文件来指导安装过程，最后，在系统首次启动时通过脚本完成个性化配置。

首先，你需要一个Windows安装源，通常是ISO文件。从这个ISO中提取install.wim文件，这是Windows的核心安装镜像。你可以使用DISM（Deployment Image Servicing and Management）工具来对这个WIM文件进行操作，比如注入驱动程序、添加更新包，甚至预装一些基础的Windows功能。我个人习惯是先在一个虚拟机里安装一个“干净”的Windows系统，然后在这个系统里安装好所有必要的驱动、系统更新和一些通用型软件（比如浏览器、压缩工具），再运行sysprep /generalize /oobe /shutdown /unattend:path\to\unattend.xml命令。Sysprep的作用是清理掉系统特有的信息（比如SID），让这个系统变成一个通用的模板，可以部署到不同的硬件上。Unattend.xml在这里是关键，它告诉Sysprep在泛化后如何处理系统，以及在部署过程中自动应答所有安装提示。

接着，就是部署阶段。你可以通过PXE网络启动，或者制作一个包含WinPE（Windows预安装环境）和你的自定义WIM镜像的USB启动盘。在WinPE环境下，你可以使用diskpart来分区和格式化硬盘，然后用dism /apply-image /imagefile:path\to\your.wim /index:1 /applydir:C:\命令将你准备好的WIM镜像部署到目标硬盘上。系统首次启动时，Unattend.xml就会接管一切，自动完成OOBE（开箱即用体验）设置，比如选择语言、接受许可协议、创建用户账户等等。

最后，也是最灵活的部分，就是初始化脚本的配置。这些脚本会在系统首次启动并完成基础设置后自动运行，你可以用它们来安装剩余的软件、加入域、配置网络、设置组策略、甚至是安装特定的服务。PowerShell是这里的不二之选，它的强大功能几乎可以覆盖所有Windows系统的配置需求。

如何制作一个包含自定义配置的Windows安装镜像？

制作一个包含自定义配置的Windows安装镜像，这事儿听起来有点复杂，但其实核心就是围绕DISM和Sysprep这两个工具来转。我通常会选择两种路径，看具体需求来定。

第一种：基于现有WIM文件进行修改（更偏向于系统集成商的做法）

准备基础镜像： 你需要一个Windows的ISO文件。从里面找到sources\install.wim（或者install.esd，如果是esd格式，你需要先用dism转换成wim）。
挂载镜像： 找个空目录，比如C:\mount。然后用管理员权限打开命令提示符，执行：
```
dism /mount-image /imagefile:"D:\sources\install.wim" /index:1 /mountdir:"C:\mount"
```
这里的D:\sources\install.wim是你的WIM文件路径，index:1代表你想要修改的Windows版本（比如专业版）。
注入内容： 挂载成功后，C:\mount就成了WIM文件的虚拟根目录。你可以在这里：
- 添加驱动： dism /image:"C:\mount" /add-driver /driver:"C:\Drivers\MyDriver.inf"
- 添加更新包（.msu）： dism /image:"C:\mount" /add-package /packagepath:"C:\Updates\windows_update.msu"
- 启用或禁用Windows功能： dism /image:"C:\mount" /enable-feature /featurename:NetFx3
- 甚至可以复制一些文件到C:\mount\Windows\Setup\Scripts目录，供后续调用。
提交并卸载： 修改完成后，一定要提交更改并卸载镜像：
```
dism /unmount-image /mountdir:"C:\mount" /commit
```
如果不想保存更改，就把/commit改成/discard。

第二种：基于参考计算机进行捕获（更适合精细化配置和预装软件）

安装参考系统： 在一台虚拟机或者物理机上，安装一个“干净”的Windows系统。
进行配置和安装： 在这个系统里，安装所有你希望预装的软件（比如Office、浏览器、常用工具）、打上所有最新的补丁、配置好系统设置（比如桌面背景、电源选项、防火墙规则等）。这里有个小小的哲学问题：哪些东西应该集成到WIM里，哪些又该通过脚本在部署后完成？我个人倾向于把那些不经常变动、体积较大的核心软件和系统配置集成到WIM里，而把那些需要频繁更新、或者个性化程度较高的软件留给部署脚本。
运行Sysprep： 当你对系统配置满意后，打开管理员权限的命令提示符，进入C:\Windows\System32\Sysprep目录，执行：
```
sysprep /generalize /oobe /shutdown /unattend:path\to\your\unattend.xml
```
generalize是关键，它会移除所有系统特有的信息，比如计算机SID。oobe表示下一次启动时进入OOBE阶段。shutdown表示泛化完成后关机。unattend.xml在这里是可选的，但如果你想在泛化过程中也执行一些操作，或者确保泛化后某些设置被保留，就可以用上。
捕获镜像： Sysprep完成后，系统会关机。你需要用WinPE启动这台机器，然后使用DISM来捕获这个泛化后的系统：
```
dism /capture-image /imagefile:"D:\captured_windows.wim" /capturedir:"C:\" /name:"My Custom Windows Image" /compress:max
```
D:\captured_windows.wim是你希望保存捕获镜像的路径，C:\是你的Windows系统盘符。

这两种方法各有优劣。第一种更适合批量打补丁、更新驱动；第二种则能让你更直观地配置系统，预装软件。实际操作中，我可能两种方法都会结合着用。

Unattend.xml在自动化部署中扮演什么角色，如何编写它？

Unattend.xml，也就是无人值守应答文件，在Windows自动化部署中，它简直就是整个流程的“大脑”或者“剧本”。想想看，如果你没有它，每次安装Windows，你都得手动点击“下一步”、“同意”、“输入产品密钥”、“选择分区”……那画面太美我不敢看。Unattend.xml的作用就是把所有这些交互式的操作，都预先写进一个XML文件里，让安装程序自己去“读”这个文件，然后自动完成这些步骤。

它扮演的角色主要有：

自动化安装过程： 从选择语言、接受许可、输入产品密钥，到磁盘分区、选择安装位置，所有这些在图形界面下需要你手动点击的步骤，Unattend.xml都能代劳。
系统配置： 它能设置计算机名、管理员密码、时区、网络配置（比如加入域）、显示设置、电源管理等各种系统参数。
执行自定义命令： 这是它最强大的功能之一。你可以在系统的不同阶段（比如WinPE阶段、系统安装完成但用户首次登录前），让Unattend.xml执行批处理脚本、PowerShell脚本，甚至安装特定的应用程序。

如何编写它？

手动编写Unattend.xml是一个噩梦，因为它的结构非常复杂，而且一点点语法错误都可能导致整个部署失败。所以，我们通常会使用Windows System Image Manager (WSIM)工具来创建和编辑它。WSIM是Windows ADK（Assessment and Deployment Kit）的一部分，你需要先安装ADK才能获得这个工具。

安装ADK： 从微软官网下载并安装Windows ADK。安装时，至少选择“部署工具”和“Windows预安装环境（Windows PE）”组件。
打开WSIM： 安装完成后，在开始菜单找到并打开Windows System Image Manager。
加载Windows镜像： 在WSIM界面的左侧“Windows 映像”窗格中，右键点击“选择 Windows 映像”，然后浏览到你的install.wim文件。WSIM会解析这个WIM文件，并列出所有可用的组件。
创建新的应答文件： 在WSIM菜单栏选择“文件” -> “新建应答文件”。
添加组件和设置： 这是最核心的部分。
- 在“Windows 映像”窗格中，展开组件列表。
- 找到你需要的组件，右键点击它，然后选择“添加到应答文件”，并选择一个配置阶段（pass）。
  - windowsPE： 这个阶段在Windows PE环境中执行，主要用于磁盘分区、复制文件等。
  - offlineServicing： 在离线状态下对WIM文件进行服务，比如添加驱动、更新。
  - specialize： 系统安装完成后，首次启动时执行，用于设置计算机名、加入域等。
  - oobeSystem： 在OOBE阶段（开箱即用体验）执行，用于创建用户账户、设置时区等。这是我们通常放置FirstLogonCommands的地方。
- 将组件添加到应答文件后，在右侧的“应答文件”窗格中，你就可以配置这些组件的各种设置了。比如：
  - Microsoft-Windows-Setup组件下的DiskConfiguration可以用来自动化磁盘分区。
  - Microsoft-Windows-International-Core可以设置语言和区域。
  - Microsoft-Windows-Shell-Setup下的ComputerName设置计算机名，UserAccounts创建用户，AutoLogon设置自动登录，以及最重要的FirstLogonCommands用来运行首次登录脚本。
  - Microsoft-Windows-Deployment下的ProductKey可以输入产品密钥。
保存应答文件： 配置完成后，将应答文件保存为Unattend.xml（这个文件名不是强制的，但很常见），并确保它能被部署程序访问到（通常放在安装介质的根目录，或者在Sysprep时指定路径）。

编写Unattend.xml时，务必仔细检查每个设置，因为一个错误的参数可能导致安装失败或系统配置不正确。WSIM会进行一些基本的验证，但真正的考验还是在实际部署中。

如何编写并执行Windows初始化配置脚本？

Windows初始化配置脚本，通常是在系统部署完成后、用户首次登录前或首次登录时执行的一系列自动化任务。这些脚本是实现高度自定义和自动化的关键，它们能做的事情太多了，几乎涵盖了所有系统配置和软件安装的需求。我个人最喜欢用PowerShell，因为它功能强大，能与Windows系统深度集成。

脚本能做什么？

安装软件： 使用winget、Chocolatey、或者直接运行MSI/EXE安装程序。
- winget install --id Microsoft.PowerToys --source winget
- choco install googlechrome -y
- Start-Process -FilePath "C:\Setup\MySoftware.msi" -ArgumentList "/quiet /norestart" -Wait
配置网络： 设置IP地址、DNS服务器、加入域。
- New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress "192.168.1.100" -PrefixLength 24 -DefaultGateway "192.168.1.1"
- Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("8.8.8.8", "8.8.4.4")
- Add-Computer -DomainName "yourdomain.local" -Credential (Get-Credential)
系统设置： 调整电源计划、禁用UAC、设置防火墙规则、启用/禁用Windows功能。
- Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "EnableLUA" -Value 0 (禁用UAC，不推荐)
- Enable-WindowsOptionalFeature -Online -FeatureName "Microsoft-Windows-Subsystem-Linux"
打补丁/更新： 虽然不推荐在首次启动时进行大量更新，但如果需要，也可以调用Windows Update API或者使用第三方模块。
- Install-Module -Name PSWindowsUpdate -Force
- Get-WindowsUpdate -Install -AcceptAll -AutoReboot
创建用户/组：
- New-LocalUser -Name "AdminUser" -Password (ConvertTo-SecureString "Password123!" -AsPlainText -Force) -FullName "Local Administrator" -Description "Local admin account"
- Add-LocalGroupMember -Group "Administrators" -Member "AdminUser"

如何执行脚本？

执行这些脚本的方式有很多，最常用且推荐的是通过Unattend.xml的FirstLogonCommands。

将脚本放置到可访问的位置：
- 集成到WIM中： 在制作自定义WIM时，将你的PowerShell脚本文件（例如init.ps1）复制到WIM镜像中的某个固定路径，比如C:\Windows\Setup\Scripts\或C:\Setup\。这样，系统部署完成后，脚本文件自然就在目标机器上了。
- 通过网络共享： 如果你是在企业环境中部署，可以将脚本放在一个网络共享上，确保目标机器在启动时能够访问到这个共享。

通过Unattend.xml的FirstLogonCommands执行：
这是最常见也是最可靠的方法。在WSIM中，将Microsoft-Windows-Shell-Setup组件添加到oobeSystem阶段。然后展开FirstLogonCommands，添加一个或多个SynchronousCommand。

<FirstLogonCommands>
    <SynchronousCommand wcm:action="add">
        <CommandLine>powershell.exe -ExecutionPolicy Bypass -File C:\Setup\init.ps1 -Verb RunAs</CommandLine>
        <Description>Execute Initialization Script</Description>
        <Order>1</Order>
        <RequiresUserInput>false</RequiresUserInput>
    </SynchronousCommand>
    <!-- 你可以添加更多的命令 -->
    <SynchronousCommand wcm:action="add">
        <CommandLine>cmd.exe /c C:\Setup\install_apps.cmd</CommandLine>
        <Description>Install Applications</Description>
        <Order>2</Order>
        <RequiresUserInput>false</RequiresUserInput>
    </SynchronousCommand>
</FirstLogonCommands>

powershell.exe -ExecutionPolicy Bypass -File C:\Setup\init.ps1： 这是调用PowerShell脚本的关键。-ExecutionPolicy Bypass是为了避免脚本执行策略的限制，-File指定脚本路径。-Verb RunAs确保脚本以管理员权限运行。
Order： 定义命令的执行顺序。
RequiresUserInput： 设置为false以确保无人值守。

使用SetupComplete.cmd（备用方案）：
这个文件位于C:\Windows\Setup\Scripts\。系统安装完成后，在OOBE启动前，会自动执行这个文件。你可以在里面调用PowerShell脚本：
```
@echo off
powershell.exe -ExecutionPolicy Bypass -File C:\Setup\init.ps1
```
这种方式简单直接，但控制粒度不如FirstLogonCommands细致。