王立勇

國家能源集團國網(wǎng)能源新疆準東煤電有限公司，中國·新疆 昌吉 831800

1 引言

隨著信息化在企事業(yè)單位的全面普及，企事業(yè)單位一般具有百余臺網(wǎng)絡(luò)設(shè)備、幾十臺服務(wù)器和數(shù)百臺計算機，作為公司的信息負責(zé)人，工作越來越重。針對這數(shù)百臺計算機，重裝原版系統(tǒng)耗時長，使用網(wǎng)上的免費系統(tǒng)部署快，但被預(yù)安裝了很多第三方軟件、插件，無法徹底清理干凈，大多數(shù)系統(tǒng)被植入病毒、木馬、廣告或者危險程序，存在很大安全隱患，達不到集團公司軟件正版化要求。在這種情況下，封裝一個能夠快速部署、安全、純凈、具有企業(yè)特色的Win10系統(tǒng)成為迫切需要。

2 系統(tǒng)封裝

封裝系統(tǒng)就是要把原版系統(tǒng)安裝在計算機上，再進行更新、優(yōu)化、精簡、安裝必要插件、軟件、系統(tǒng)設(shè)置等，最后要剝離驅(qū)動進行封裝，打包出自己想要的系統(tǒng)，使之部署后能直接達到最終要求。

2.1 系統(tǒng)選擇

Win10系統(tǒng)官方提供的版本較多，最新Win10有商業(yè)版和消費版兩大類，每類里面又分專業(yè)版、企業(yè)版、家庭版、教育版等。本次封裝選用1909版本的Win10商業(yè)版，安裝的是里面的專業(yè)版。

這是Win10最新版本，網(wǎng)上還沒找到這個版本的封裝教程，教程最多的是1709版本，使用最新版本也給筆者帶來了很大的挑戰(zhàn)性。

2.2 母盤制作

Win10為了使用的便利性，附帶了太多的組件，如果為了滿足辦公需要，夠用就行，有些組件在系統(tǒng)安裝好后可以直接卸載，有些無法卸載，即使能卸載也會在系統(tǒng)中有殘留，所以要在安裝前對原始ISO映像文件進行組件精簡，使用NTLite軟件，移除不需要的組件和版本。

主要移除的組件有：Defender、Office等已購買相應(yīng)的正版軟件，必須移除；Edge、應(yīng)用商店、時間線、郵件、手機、天氣等，根據(jù)情況移除，把能移除的都去掉，原則是在確保正常使用的前提下，保留的東西越少越好，運行越小，以后出問題的幾率越小，進而減少工作量。

Win10各版本區(qū)別很大，同一組件在不同版本中有的可移除，有的不可移除，并且歸類位置也不盡相同。使用NTLite制作母盤時，移除組件是去掉勾選，移除版本是勾選。

精簡ISO時，不要嘗試去除各種硬件驅(qū)動、不要去除Windows自帶的組件Media Player，否則會在生成ISO時出錯。如果制作母盤時不精簡組件，使用原版映像進行安裝和封裝，請務(wù)必第一時間關(guān)掉應(yīng)用商店服務(wù)，最好是安裝時先斷網(wǎng)。

2.3 部署封裝環(huán)境

安裝虛擬機VMware、創(chuàng)建虛擬機、硬盤分區(qū)。封裝系統(tǒng)一般在虛擬機里進行，如果把系統(tǒng)安裝在物理臺式機上，其中一步出錯就要重新再來，而在虛擬機里每一步都可以保留快照，這一步出錯直接恢復(fù)上一步的快照即可。而且物理光驅(qū)遠沒有虛擬光驅(qū)來的方便，使用虛擬機可以移除大部分硬件，使系統(tǒng)瘦身，最后封裝時也會減少剝離。

綜合來看使用物理機封裝系統(tǒng)幾乎不可能，所以必須使用虛擬機。I7七代及以上的CPU不支持普通啟動模式，必須在UEFI啟動模式下，Win10系統(tǒng)在新老機器兩種模式下都可以安裝和啟動，硬盤模式MBR和GPT也都可以安裝，考慮到對新機器的廣泛適用，這次封裝系統(tǒng)選擇UEFI啟動模式，硬盤選擇GPT格式進行。在PE下把硬盤轉(zhuǎn)換成GPT格式，再創(chuàng)建ESP和MSR這兩個分區(qū)，然后再分其他區(qū)。

在安裝系統(tǒng)中也可以對未分區(qū)的硬盤進行操作，但都達不到這種要求。順便提一下，封裝Win7安裝系統(tǒng)時，也要先分好區(qū)再安裝系統(tǒng)，在安裝系統(tǒng)時進行分區(qū)會在前面自動分出一個100M的小分區(qū)，以后每次部署都要進行引導(dǎo)修復(fù)。

2.4 安裝系統(tǒng)

使用精簡好的系統(tǒng)映像掛載安裝，不跳過開箱體驗OOBE，進行完全安裝。系統(tǒng)裝好后，保存快照，重啟幾次確認沒問題，先進行一次封裝，驗證一下制作的ISO是否正常、系統(tǒng)是否正常，否則還得重新再來。

接下來的每一步都要留快照，而且每一大步都進行封裝檢驗，能通過再進行下一步，不能通過就在這一步找原因，或者跳到上一步重新再來。

2.4.1 安裝必要軟件和系統(tǒng)設(shè)置

把所需要的一切東西都裝全，運行庫、工具軟件、殺毒、文字處理、輸入法還有各平臺插件、IE設(shè)置、語言設(shè)置等。Win10中的語言選項有兩項，默認應(yīng)用語言和默認輸入語言。默認應(yīng)用語言也就是Windows顯示語言，選擇中文，這個如果選擇了英文，開始菜單以及打開的程序就都變成英文的了，相當(dāng)于安裝了英文版的win10。默認輸入語言根據(jù)個人習(xí)慣，盡量選擇英文。

另外安裝第三方輸入法，刪除自帶的微軟拼音，更改一下輸入法切換按鍵，默認設(shè)置和之前的winXP、win7的切換鍵不一樣。

2.4.2 封裝前的準備

所有工作完成后進行一次系統(tǒng)更新、清理和優(yōu)化。

首先進行系統(tǒng)更新，因為用的是最新的1909版本，需要打的補丁沒幾個。安裝完所有運行庫、控件、插件、軟件后，還會產(chǎn)生相應(yīng)的漏洞，反復(fù)進行掃描、更新、重啟，直到不再出現(xiàn)新的補丁。

清理使用Dism++中的空間回收進行全面清理，優(yōu)化根據(jù)個人需要自行處理。Win10由于打的補丁較少，可回收的空間不是太多，這個在Win7中效果比較突出，Win7SP1大約有140個補丁需要更新，能夠回收幾個G的空間。

系統(tǒng)清理和優(yōu)化軟件非常多，能夠進行系統(tǒng)清理、系統(tǒng)修復(fù)、啟動項優(yōu)化即可，不建議同時使用多個優(yōu)化軟件，選一個好用的就行。

清理優(yōu)化完成后保存快照，接著要對系統(tǒng)進行全面測試。各種軟件測試，通過瀏覽器登錄各種應(yīng)用平臺，確保各項功能正常使用。虛擬機是一個最小測試平臺環(huán)境，如果在這里出錯，那以后部署到臺式機上肯定會出更大的問題。

2.4.3 封裝

使用的封裝工具是Easysprep4.3，是一個比較老的版本，分兩步進行，第一階段直接在系統(tǒng)下進行，這一階段非常重要，九成以上的錯誤會在這里報出來。第二階段是在PE中進行，封裝設(shè)置項較多，根據(jù)情況進行逐項設(shè)置。

2.4.4 導(dǎo)出映像

導(dǎo)出.gho映像使用GHOST，導(dǎo)出.wim映像使用Dism++，不要使用PE帶的映像工具，會有第三方軟件注入，以后部署亦是如此。

3 部署

所謂的部署就是把封裝出來的系統(tǒng)映像安裝在機器上。封裝出來的Win10映像是可以部署在MBR格式的硬盤中的，這里不再討論。

部署在GPT格式硬盤中時，先把目標硬盤轉(zhuǎn)換成GPT格式，并分出ESP和MSR這兩個分區(qū)，然后再分其他區(qū)。把Win10映像部署后，開機是無法啟動的，因為新分的ESP分區(qū)中沒有啟動文件，需要進行引導(dǎo)修復(fù)，大多數(shù)能修復(fù)Win7引導(dǎo)的都不好用。

可以使用Dism++解決問題，選中系統(tǒng)進入工具箱，進行引導(dǎo)修復(fù)。這只針對硬盤新分區(qū)的部署，對正在使用Win10的機器重裝系統(tǒng)不需要這一步。這樣部署出來的系統(tǒng)，一定要在BIOS里設(shè)置UEFI啟動[1]。

部署后要注意兩點問題：

一是部署后設(shè)置好的IE選項會有一小部分恢復(fù)到默認設(shè)置，需要手動更改一下，Win7、Win10都有出現(xiàn)。

二是Win10語言項部分恢復(fù)默認狀態(tài)，需要手動調(diào)整一下，Win7沒問題。這種封裝、部署不同于純粹的GHOST備份，具有安裝過程，一些地方恢復(fù)到默認狀態(tài)也算正常。

4 ISO封裝制作

系統(tǒng)封裝絕大部分是導(dǎo)出WIM、ESD、GHO格式的文件，一直在使用GHOST制作GHO格式的文件。網(wǎng)上幾乎沒有封裝ISO格式的教程，嘗試使用了幾種方法做出的ISO都不能很好地在云終端識別，使用網(wǎng)上流行的軟碟通做出的ISO能夠在PE和虛擬光驅(qū)里運行，并成功安裝了一臺計算機，但在虛擬終端里不能用，最終使用NTLite軟件封裝ISO映像。首先封裝出WIM格式的映像，文件改名為install.wim，找到用來制作母盤的在微軟下載的原版ISO映像，解壓后里面有個sources文件夾，用封裝出來的映像文件替換原版中的這個install.wim文件。

在NTLite軟件里面選擇掛載文件夾，把原版映像解壓出來的文件夾（替換了install.wim文件的）加載進來，掛載好后在應(yīng)用里勾選創(chuàng)建ISO，點擊開始即可，不要做其他的任何操作。

通過這種辦法得到的ISO映像文件，在云桌面虛擬終端里面能夠運行，原理應(yīng)該就是封裝出來的wim文件加了一個原版的外殼。

5 封裝出來的系統(tǒng)有哪些實用價值

5.1 提升公司信息安全防護能力

以前使用免費操作系統(tǒng)或者這種現(xiàn)成的系統(tǒng)進行加工，被預(yù)裝了很多第三方軟件，當(dāng)然不排除會被放置一些木馬和后門程序，絕大多數(shù)這種操作系統(tǒng)部署后會直接查殺出木馬、病毒或者危險程序，給公司的信息安全工作造成很大隱患。自行封裝的系統(tǒng)使用的是微軟網(wǎng)站上下載的原版系統(tǒng)，安裝的都是集團公司定制的正版軟件，不存在危險程序被注入的可能，操作系統(tǒng)層面的安全性得到大幅提升，從而整體提升公司的信息安全防護能力。

5.2 系統(tǒng)純凈

相對于能夠快速部署的免費系統(tǒng)，這次封裝出來的系統(tǒng)高度純凈。網(wǎng)上的免費映像被植入了大量的第三方軟件，如各種安全軟件、瀏覽器、音視頻播放器、網(wǎng)游、各種插件等，卸載有殘留，無法徹底清理。純凈的系統(tǒng)帶來良好的體驗，系統(tǒng)資源占用少、運行流暢[2]。

5.3 能夠在云桌面服務(wù)器上使用

公司部署的云桌面服務(wù)器，建立模板必須使用ISO映像文件，使用網(wǎng)上現(xiàn)成的ISO映像很不安全，用原版映像逐步安裝又很麻煩，而且要制作多個模板。用自己封裝的映像一次部署，幾乎不用做其他修改，直接可以用來轉(zhuǎn)換成模板，解決了被困擾很長時間的問題。

5.4 能夠快速部署

使用新封裝的系統(tǒng)部署機器，比以前所用時間大幅縮短。以前的做法是系統(tǒng)完全安裝好后，在PE下用GHOST備份成GHO文件，部署系統(tǒng)時需要找到對應(yīng)機器型號的GHOST文件進行恢復(fù)。

公司內(nèi)各種型號的臺式機年代跨度比較大，型號比較雜，部分機器服役都超過了10年，而且有時候同種型號的不同批次硬件配置還不一樣，使用起來很麻煩[3]。

對于這些GHO文件，每隔一段時間都要重新制作一次，需要更新補丁、軟件、配置等?，F(xiàn)在使用自己封裝的系統(tǒng)，只需準備32Win7、64Win7、64Win10這三個文件就可以了，而且更新也很簡單，在虛擬機里更新一下，直接封裝出來就行，簡直就是一勞永逸的事情?？梢杂行Ь徑庑畔⑷藛T的工作壓力，當(dāng)然這僅限于重裝系統(tǒng)[4]。

6 結(jié)語

經(jīng)過四個月的學(xué)習(xí)、準備、封裝、部署終于得到了想要的系統(tǒng)，又經(jīng)過現(xiàn)在近半年的部署、使用，沒發(fā)現(xiàn)什么問題，完全滿足公司內(nèi)各種使用要求。期間筆者又做了幾個通用版本，反響很好，看來向往簡潔、純凈、安全是我們共同的追求。