企业使用Windows Sysprep工具来封装Win10、Win11操作系统（最新最全）

以前我分享过如何《使用Windows Sysprep来封装系统》，但是当时写的比较简略，很多朋友肯定还没看懂。回想起当初自己做封装的时候，也是没有人教，自己翻阅相关资料和别人的分享，虽然磕磕绊绊的但也还算顺利。这次重新编辑下，写的详细点，希望对大家能有帮助，少走些弯路。

1、制作模板机

1.1 把一台电脑安装好操作系统、官网原版驱动和需要标准化安装的软件。

注意事项：
（1）操作系统最好是到Windows官网或者msdn下载安装官方纯净版的，不要用戴尔联想等厂商出厂的系统，出厂的系统往往做过一些改动，封装之后容易出很多奇奇怪怪的问题；
（2）安装电脑必备常用的软件和工具；
（3）最好不要封装杀毒软件；
（4）如果要安装语言包，必须要使用lpksetup来安装语言包才行，否则封装会报错；
（5）不要打开微软商店，因为打开之后微软商店可能会对系统里的用户UWP应用自动更新，这些应用都是安装给当前用户的，安装后会导致封装报错。同理，也不要在微软商店安装UWP应用；
（6）不要加域，因为每台电脑主机名都不一样，要等装完系统手动更改后再加域；
（7）如果企业里有多种型号的电脑的话，为了减少驱动问题带来的影响，建议对每个型号的电脑都分开封装，避免以后带来不必要的麻烦。不过因为现在Win10可以自动下载兼容性的驱动，也可以尝试给其他型号的电脑安装；
（8）所有安装设置完成后重启电脑，封装系统前要确保此次开机电脑没有任何更改且系统没有任何异常。

1.2 创建首次登陆计划任务

创建首次首次登陆计划任务主要是为了解决一些无法在系统封装前解决的问题，目前我遇到的问题主要有3点：

（1）笔记本带有NVIDIA的独显，系统弹出提示要到微软商店安装NVIDIA控制面板，但是前面说到不能到微软商店下载安装（戴尔的一些电脑需要安装Waves MaxxAudio Pro才能使用耳机的麦克风功能，要实现封装也可以参考这个案例）；
（2）Windows 11系统封装后会出现无法打开Windows安全中心的问题，必须要使用powershell命令重置一下Windows安全中心这个应用；
（3）现在的笔记本安装Windows 11后会自动开启bitlocker加密（部门版本Win10也会），但是用户们不懂管理秘钥，有的公司又是使用本地账户，这对于管理员来说简直就是噩梦，万一出了问题又搞不到秘钥，数据就都没了，详情可参考这篇文章《为了你的数据安全，请立即关闭新电脑的bitlocker！》。所以我这边一般不打开bitlocker加密，对于财务HR等电脑保存的信息比较敏感的人，可以再手动弄下bitlocker加密，并把秘钥保存到服务器上。

1.2.1 获取NVIDIA控制面板的appx文件

（1）先在网页Microsoft应用商店这里找到NVIDIA 控制面板，将链接地址复制下；

（2）到https://store.rg-adguard.net/这个网址粘贴链接，点击确定后会出现下载列表，点击最新版本的.appx格式文件即可下载，下载后在C盘新建一个名为“Tools”的文件夹，把下载的文件放在里面。

1.2.2 编写powershell脚本

将以下代码复制到记事本，重命名为.ps1格式的powershell脚本文件，放在刚刚新建的“Tools”文件夹里，脚本名称最好用英文名，且不要有空格。

#重置Windows安全中心
Get-AppxPackage Microsoft.SecHealthUI -AllUsers | Reset-AppxPackage
#安装NVIDIA控制面板
add-appxprovisionedpackage -online -packagepath C:\Tools\NVIDIACorp.NVIDIAControlPanel_8.1.962.0_x64__56jybvy8sckqj.Appx -skiplicense
#关闭c,d,e,f,g驱动器的bitlocker加密
manage-bde -off c:
manage-bde -off d:
manage-bde -off e:
manage-bde -off f:
manage-bde -off g:
#禁用计划任务
Disable-ScheduledTask -TaskName "FixSomeProblemsOnFirstLogin"
pause

1.2.3 创建计划任务

（1）创建一个名为“FixSomeProblemsOnFirstLogin”的计划任务，可以选择其他名字，但是必须是英文且没有空格，且要与上面脚本中禁用的计划任务名字一致，勾选【使用最高权限运行】，配置选择【Windows 10】；

（2）新建触发器，开始任务选择【登录时】；

（3）新建操作，操作选择【启动程序】，程序或脚本处填写powershell的路径：

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

添加参数处输入：

-executionpolicy unrestricted -file "C:\Tools\FixSomeProblemsOnFirstLogin.ps1"

【-executionpolicy unrestricted】 参数是为了不受限制的执行脚本，【-file】参数后面跟着的是脚本路径；

（4）取消勾选【只有在计算机使用交流电源时才启动此任务】，其他的选项可以自己按需配置；

（5）点击确定后完成计划任务的创建，想要的效果就是系统在安装之后第一次登录时自动运行这个计划任务，运行脚本来修复一些我们想要解决的问题，然后最后一行脚本自动禁用这个计划任务，实现只在首次登录时运行一次的效果。可以重启下电脑来看下效果是否符合自己的预期，封装前记得要启用这个计划任务。

1.3 检查系统文件是否有损坏并尝试修复

打开CMD，运行以下命令

sfc /scannow
DISM /Online/Cleanup-Image /RestoreHealth

2、实现无人值守自动应答安装

电脑在第一次安装后会进入oobe开箱体验阶段，创建此文件可以实现无人值守自动安装，跳过oobe阶段，同时还可以设置一些电脑设置。

2.1 安装 Windows ADK

到https://docs.microsoft.com/zh-cn/windows-hardware/get-started/adk-install下载适用于匹配你当前系统版本的ADK工具，只需要安装里面的部署工具功能，要在其他电脑上安装，不要在要封装的电脑上安装。

2.2 创建自动应答文件

（1）提前将Windows镜像中的ISO/sources/install.wim文件复制出来，在Windows系统映像管理器中选择此文件来创建自动应答文件；

（2）新建应答文件；

（3）目前我的需求是只需要跳过oobe阶段，设置个电脑型号就行了，以下以实现我的需求为例，展开【Components】，再展开【amd64_Microsoft-Windows-Shell-Setup_10.0.22000.65_neutral】找到【OEMInformation】，右键选择【添加设置以传送4 specialize(4)】；

（4）参考下图进行设置，“Junson”改成自己的公司英文简称；

（5）参考下图设置电脑型号；

（6）找到【OOBE】，右键选择【添加设置以传送7 oobeSystem(7)】；

（7）参考下图进行设置，用于跳过oobe阶段；

（8）更多设置可参考以下这篇文章：
How to create an unattended installation of Windows 10
完成后将应答文件保存并命名为【unattend.xml】。

3、开始封装

将应答文件unattend.xml放到要封装的电脑的C:\Windows\System32\Sysprep目录中，封装系统前要确保此次开机电脑没有任何更改且系统没有任何异常。打开CMD，运行以下命令

C:\Windows\System32\Sysprep\Sysprep /generalize /oobe /shutdown /unattend:C:\Windows\System32\Sysprep\unattend.xml

如果到这步提示封装失败可以找C:\Windows\System32\Sysprep\Panther里的setupact.log和setuperr.log日志排错

注意，这里封装完成后电脑会自动关机，下次开机一定不要进系统，一定要直接进入PE系统来导出镜像，否则刚封装好的系统又进去的话会直接打开安装，就无法封装了。

4、导出镜像

进入PE系统，打开cmd，使用DISM命令把镜像导出成.wim格式

例如：把 C 分区的系统备份到 D 分区的根目录中，备份文件名为 Thinkpad_T14_Win11.wim，可以封装好后在PE系统的CMD中运行以下命令

Dism /Capture-Image /ImageFile:D:\Thinkpad_T14_Win11.wim /CaptureDir:C:\ /Name:Thinkpad_T14_Win11 /Description:2022-06-24

命令解释：
/Capture-Image - 指定捕获映像。
/ImageFile: - 指定映像文件路径。                
/CaptureDir: - 指定捕获目录。
/Name: - 指定名称。此项不能省略。
/Description: - 指定描述。描述是为了说明这次备份的具体情况，我们这里用了日期。此项可省略。

导出成功后，我们就得到.wim格式的系统安装映像了，保存好此文件，可以放到WDS服务器上进行WDS部署，也可以用PE里的Windows安装器来安装。

5、常见问题

问题一、封装失败，查看日志提示：

Package Microsoft.OneDriveSync_21220.1024.5.0_neutral__8wekyb3d8bbwe was installed for a user, but not provisioned for all users. This package will not function properly in the sysprep image.

原因：
系统里有某些UWP应用自动更新安装了，但是更新只是针对当前用户更新，所以需要卸载，如果要安装UWP应用，请参考上面安装NVIDIA控制面板的方法。

解决方法：
使用powershell进行卸载，以管理员方式打开powershell，输入以下命令，找到这个应用，星号为通配符：

Get-AppxPackage *Microsoft.OneDriveSync*

找到之后再在上条命令加上| Remove-AppxPackage，卸载这个UWP应用：

Get-AppxPackage *Microsoft.OneDriveSync* | Remove-AppxPackage

问题二、封装搜狗输入法或者WinRAR等某些软件报错

原因：网上搜索资料后，某些国内软件有外壳，或者是安装包有某些原因，导致无法封装或封装后无法使用。

解决方法：封装之后使用首次登录任务脚本，加上静默参数来静默安装。

问题三、某些设置在封装之后就没有了

原因：封装不是克隆，并不是封装前什么样子，安装之后就是什么样子。有一篇文章写的很好，可以了解下：《简单介绍一下封装和克隆》