1. 从一台一台装系统到开机即用批量部署到底解决了什么问题公司新到三十台同型号台式机行政把机器往工位上一放剩下的活全是你的装系统、打驱动、装办公软件、配网络、加域、改计算机名。如果一台一台来哪怕用U盘装得再熟练一台机器从进PE到装完常用软件少说也要四十分钟到一个小时三十台就是三十个小时中间还得盯着别点错分区。更麻烦的是手工装出来的机器千人千面有人忘了装输入法有人驱动版本不对有人计算机名随手敲了个test01后面资产盘点全是坑。批量部署要解决的就是这件事把装系统装软件做配置这一整套动作标准化、自动化让新机器插上网线开机剩下的交给服务器。这套玩法的核心三件套是MCMMicrosoft Configuration Manager老名字叫SCCMSystem Center Configuration Manager、PXEPreboot Execution Environment预启动执行环境和操作系统映像OS Image。MCM负责指挥PXE负责让裸机从网络启动映像负责把系统和软件一次性灌进去。我先把这套方案的适用边界说清楚免得你兴冲冲搭完发现用不上。它最适合的场景是同一批次、同型号或相近配置的机器数量在十台以上且网络环境可控有DHCP、有内网服务器。如果只是给家里一台旧笔记本重装系统那还是老老实实做启动U盘更快搭一套MCM的成本远高于收益。另外这套方案默认面向**企业版/企业长期服务版Enterprise LTSC**这类批量授权版本家庭版虽然也能部署但很多企业级功能比如域加入、组策略用不上属于杀鸡用牛刀。提示MCM是微软的商用产品需要相应的授权。本文重点讲的是部署流程和技术原理实际落地前请确认你所在组织的授权合规性。下面我会按环境怎么搭→PXE怎么通→映像怎么做→任务序列怎么配→实际踩坑怎么排的顺序把整套流程拆开讲。每一步我都会说明为什么这么做而不只是告诉你点哪个按钮。因为批量部署这东西照抄步骤只能跑通一次理解了原理才能在你自己的环境里改得动。2. 搭MCM之前先把这几块地基打牢很多人一上来就装MCM结果卡在PXE启动、卡在客户端注册、卡在映像分发回头一看全是基础环境没弄好。我建议你先把下面这几件事理清楚再动手装服务器。2.1 服务器角色怎么分单机全角色还是多服务器拆分MCM的站点系统角色很多最核心的几个是站点服务器Site Server、分发点Distribution PointDP、管理点Management PointMP、软件更新点SUP以及做PXE必须的PXE服务点PXE Service Point。小规模环境几百台以内完全可以一台服务器全扛把DP、MP、PXE都装在同一台机器上省事。规模大了再拆把DP单独拎出来放到离客户端近的网段减少跨网段传输。我的经验是测试阶段一台服务器全角色生产环境至少把DP和站点服务器分开。原因很简单DP要承载映像文件、软件包、驱动包动辄几十上百GB和站点服务器的数据库、日志抢IO机器一忙起来谁都跑不快。硬件配置上站点服务器建议至少4核8G起步系统盘SSD数据盘单独一块大容量盘放内容库。数据库可以用自带的SQL Server Express小规模够用但有10GB上限规模大就上标准版SQL Server。2.2 网络基础DHCP、DNS、网关一个都不能含糊PXE启动依赖DHCP下发引导信息这是整套流程里最容易出问题的一环。你需要确认DHCP服务器存在且工作正常能正常给客户端分配IP。DHCP选项66引导服务器主机名和选项67引导文件名要么在DHCP上配好指向MCM的PXE服务点要么让MCM的PXE服务点自己响应需要网络设备允许PXE广播通过。DNS解析正常客户端要能解析到MCM服务器的FQDN。客户端和服务器在同一网段或者跨网段但路由器允许DHCP中继和PXE流量通过。这里有个特别容易踩的坑如果DHCP和PXE服务点不在同一台机器上且网络里有多个DHCP服务器PXE响应可能会被错误的DHCP抢答。解决办法是在MCM的PXE配置里勾选响应所有网络适配器或者配置IP助手IP Helper把PXE请求定向到MCM服务器。2.3 账号与权限别用域管理员跑部署MCM安装和运行需要一系列账号站点服务器安装账号、客户端推送安装账号、网络访问账号等。强烈建议为MCM单独建服务账号不要直接用域管理员。原因有两个一是最小权限原则二是域管理员密码一改整个MCM可能就瘫了。网络访问账号Network Access Account尤其重要它用于在客户端还没加入域、还没装MCM客户端时访问分发点上的内容。这个账号只需要对分发点内容库有读取权限即可权限给大了反而是安全隐患。2.4 先想清楚你要部署的是哪个Windows 11版本标题里说的是Windows 11企业版但实际选型时你会面对几个变体版本特点适用场景Windows 11 企业版功能全支持周期标准通用办公环境Windows 11 企业版 LTSC长期服务更新少稳定工控、专用设备、追求稳定Windows 11 专业版功能略少无部分企业特性中小企业Windows 11 IoT 企业版 LTSC面向物联网设备精简专用终端、自助机LTSC版本在批量部署场景里特别受欢迎因为它不强制推送功能更新装完之后几年内系统行为基本不变运维省心。如果你的环境对稳定性要求高优先考虑LTSC。但要注意LTSC的授权和普通企业版不同采购前确认清楚。3. PXE网络启动让裸机自己找到安装源PXE是整个批量部署的入口。理解它的工作原理你排查问题时就不会抓瞎。3.1 PXE启动的完整链路拆解一台裸机按下电源键网卡里的PXE固件现在基本都是UEFI PXE开始工作流程大致是这样网卡广播DHCP Discover请求一个IP地址同时带上PXE相关的扩展请求。DHCP服务器回应Offer分配IP并通过选项66/67告诉客户端引导服务器是谁、引导文件叫什么。客户端从引导服务器下载引导文件通常是boot\x64\wdsmgfw.efi这类文件加载到内存执行。引导程序联系MCM的PXE服务点获取可用的启动映像列表。用户选择任务序列或者配置为自动执行开始下载WinPE启动映像。WinPE启动后连接管理点获取策略执行任务序列开始正式部署。这条链路里第2步和第3步是最容易断的。DHCP选项配错、引导文件路径不对、防火墙挡了TFTP端口UDP 69都会导致PXE启动失败。3.2 UEFI PXE和传统BIOS PXE的区别现在新机器基本都是UEFI启动PXE也跟着变成UEFI PXE。两者最大的区别是传统BIOS PXE用的是boot\x64\wdsnbp.com这类文件走的是老的网络引导协议。UEFI PXE用的是boot\x64\wdsmgfw.efi需要DHCP选项67指向正确的EFI文件。如果你在UEFI机器上配了BIOS的引导文件PXE会直接卡住或者报no boot filename received。反过来老机器配了EFI文件也起不来。排查PXE问题时第一件事就是确认机器的启动模式和引导文件是否匹配。另外UEFI PXE对网络要求更高某些老交换机对UEFI PXE的DHCP包处理有问题可能需要升级固件或者调整配置。3.3 在MCM里启用PXE服务点在MCM控制台里找到分发点角色添加PXE服务点。关键配置项为客户端启用PXE勾上。允许此分发点响应传入的PXE请求勾上。需要密码时可以设一个PXE密码防止无关人员误启动部署。生产环境建议设。网络接口如果服务器有多网卡指定PXE监听哪块网卡。配置完成后MCM会在分发点上安装WDSWindows Deployment Services的PXE组件。注意如果服务器上已经装了完整的WDS角色会和MCM的PXE服务点冲突需要先卸载WDS或者只保留传输服务器角色。3.4 实测中最常见的PXE故障与排查顺序我遇到过太多次PXE起不来总结一个排查顺序给你看客户端报什么错。是no boot filename还是PXE-E32 TFTP timeout还是PXE-E53 no boot filename received错误码直接指向问题环节。确认DHCP选项。在DHCP服务器上检查66/67或者抓包看DHCP Offer里有没有引导信息。确认引导文件存在。去分发点的RemoteInstall\SMSBoot目录下看对应的EFI文件在不在。确认防火墙。PXE需要UDP 67DHCP、UDP 69TFTP、UDP 4011PXE响应等端口开放。确认启动模式匹配。UEFI机器用EFI引导文件BIOS机器用传统引导文件。看MCM日志。分发点上的SMSPXE.log记录了PXE请求的详细处理过程是排查利器。注意如果网络里有其他PXE服务器比如另一套部署系统、或者某些网络存储设备的PXE功能会产生竞争导致客户端拿到错误的引导信息。排查时先确认网络里只有一套PXE在响应。4. 制作Windows 11映像从原版ISO到可部署的WIM有了PXE通道接下来要准备灌进去的东西。这一步的核心是把Windows 11安装源做成MCM能识别的映像格式。4.1 原版ISO怎么选、怎么挂载从正规渠道获取Windows 11企业版的ISO。挂载ISO后sources目录下的install.wim就是系统映像。如果是LTSC版本文件名可能一样但里面包含的版本不同。关键点一个install.wim里可能包含多个版本专业版、企业版、教育版等。部署时你需要指定用哪个索引。用DISM命令可以查看dism /Get-WimInfo /WimFile:D:\sources\install.wim输出会列出每个索引对应的版本。比如索引1是专业版索引2是企业版。记下你要用的索引号后面导入MCM时要用。4.2 导入操作系统映像到MCM在MCM控制台的软件库→操作系统→操作系统映像里右键添加。向导会让你选择映像类型选操作系统映像WIM。映像源路径指向挂载ISO里的install.wim。名称和版本起个清晰的名字比如Win11-Enterprise-LTSC-2024-x64。索引选你要部署的版本索引。导入过程其实就是把WIM文件复制到MCM的内容库并建立索引。大文件复制比较慢耐心等。4.3 用任务序列做离线定制还是在线定制这里有个重要的设计选择系统定制是在部署前做离线还是在部署过程中做在线离线定制用DISM挂载WIM往里注入驱动、更新、语言包甚至预装一些应用然后卸载保存。优点是部署时快缺点是每次改都要重新挂载、重新分发灵活性差。在线定制WIM保持原版所有定制装软件、改配置、加域都放在任务序列里执行。优点是灵活改任务序列就行不用动映像缺点是部署时间长一点。我的建议是混合用驱动和系统更新用离线注入省部署时间应用软件和配置用任务序列在线装方便调整。这样既快又灵活。4.4 驱动管理别把驱动直接塞进映像新手常犯的错误是把所有驱动都注入到WIM里结果映像膨胀到十几GB而且不同型号机器的驱动混在一起容易冲突。正确做法是用MCM的驱动目录Driver Catalog管理驱动在任务序列里根据机器型号自动匹配安装。具体来说按机型下载驱动包导入MCM驱动目录。给驱动打上分类标签比如型号A-网卡型号A-显卡。在任务序列里用WMI查询判断机器型号然后安装对应驱动包。这样映像保持精简驱动按需安装维护起来也清晰。5. 任务序列把装系统拆成一条自动化流水线任务序列Task Sequence是MCM部署的灵魂。它本质上是一个步骤列表每一步做一件事分区、应用映像、装驱动、装软件、加域、重启……你可以把它理解成一份装机操作手册只不过这份手册是给机器看的。5.1 任务序列的基本结构一个典型的Windows 11部署任务序列包含这些阶段初始化收集机器信息型号、序列号、MAC地址。磁盘分区UEFI机器用GPT分区创建EFI、MSR、系统分区。应用操作系统映像把WIM释放到系统分区。应用Windows设置配置时区、语言、键盘布局。应用驱动根据机型安装驱动。安装软件按需安装办公软件、浏览器、杀毒等。加入域把机器加入AD域。应用网络设置配置IP如果用固定IP、DNS。安装MCM客户端让机器纳入MCM管理。收尾重启、清理、生成报告。每一步都可以加条件判断比如只有型号A才装这个驱动只有财务部才装这个软件。5.2 分区步骤UEFI和BIOS的差异UEFI机器的分区方案和传统BIOS完全不同配错了系统起不来。UEFI的标准分区分区类型大小作用EFI系统分区FAT32100-300MB存放引导文件MSR分区保留16MB微软保留分区Windows分区NTFS剩余空间系统盘恢复分区NTFS500MB-1GBWinRE恢复环境在任务序列里用格式化并分区磁盘步骤选择GPT分区方案。注意这一步会清空整个磁盘配置时务必确认目标磁盘选对了否则可能误删数据盘。5.3 应用映像WIM怎么释放到磁盘应用操作系统映像步骤里选择之前导入的映像指定目标分区通常是C盘并选择是否配置无人值守应答文件。无人值守文件Unattend.xml用于自动回答安装过程中的问题接受许可协议、设置计算机名、跳过网络设置等。没有它部署过程中会停下来等你点下一步批量部署就失去意义了。计算机名可以用变量自动生成比如PC-%SerialNumber%这样每台机器的名字都唯一且可追溯。5.4 装软件MSI、EXE、脚本怎么统一管理任务序列里装软件有几种方式MSI包直接调用msiexec /i xxx.msi /qn静默安装。EXE安装包找它的静默参数比如/S、/silent、/quiet不同软件不一样。脚本用PowerShell或批处理做更复杂的安装逻辑。关键经验所有软件安装包都要先在测试机上验证静默安装参数。有些软件的静默参数藏得很深甚至需要先用工具比如Orca编辑MSI、或者用安装包制作工具重新打包才能实现真正的无人值守。我见过太多人任务序列跑到装软件那一步就卡住就是因为某个软件的静默参数不对弹出了交互窗口。5.5 加域和配置让机器入职就位加域步骤需要提供有加域权限的账号。建议用专门的服务账号权限限定在特定的OU组织单位不要用域管理员。加域后可以继续执行组策略相关的配置比如映射网络驱动器、配置打印机、应用安全策略。这些如果通过组策略统一管理任务序列里就不用重复做了。计算机名、IP、OU位置这些信息可以通过MCM的计算机变量或者集合变量来动态指定。比如你可以建一个集合叫财务部新机给这个集合设变量指定OU和软件列表部署时自动应用。6. 部署实战从裸机到可用系统的完整过程前面讲的都是准备工作和原理这一节把整个流程串起来讲实际操作时会发生什么。6.1 部署前的最后检查清单在按下第一台机器的电源键之前确认这些PXE服务点已启用SMSPXE.log没有报错。启动映像已分发到分发点。操作系统映像已分发到分发点。任务序列已创建并分发。任务序列关联到了未知计算机集合或者你指定的集合。网络访问账号配置正确。测试机的启动模式UEFI/BIOS和引导文件匹配。6.2 第一次PXE启动会看到什么测试机开机按F12不同品牌按键不同联想F12、戴尔F12、惠普F9进入启动菜单选择网络启动。如果一切正常你会看到网卡获取IP地址。显示Press F12 for network service boot或者类似提示。按F12后加载引导文件出现MCM的启动向导。输入PXE密码如果设了。选择任务序列。WinPE加载开始执行任务序列。第一次跑建议全程盯着屏幕看每一步是否顺利。任务序列执行过程中会显示进度哪一步卡住一目了然。6.3 部署过程中的时间分布以一台普通办公机为例整个部署时间大致分布阶段耗时说明PXE引导WinPE加载1-3分钟取决于网络速度分区应用映像5-15分钟WIM大小和磁盘速度影响大装驱动2-5分钟驱动包大小装软件5-20分钟软件数量和大小加域配置2-5分钟域控响应速度重启收尾3-5分钟首次登录配置总计大约20-50分钟一台。虽然单台时间不比手工装快多少但关键是无人值守——你可以同时启动十台然后去干别的事。6.4 批量并发部署的注意事项同时部署多台机器时瓶颈通常在网络带宽和分发点IO。十台机器同时从分发点拉映像如果分发点是千兆网卡理论带宽125MB/s十台分下来每台12.5MB/s一个5GB的映像要传将近7分钟。如果分发点是机械硬盘IO还可能成为瓶颈。优化建议分发点用SSD。万兆网络环境更好。用组播Multicast分发映像多台机器共享一份数据流大幅节省带宽。MCM支持组播但需要网络设备支持。分批部署比如一次五台避免把网络打满影响正常办公。7. 踩坑实录那些让我熬夜排查的部署故障这一节是我这些年踩过的坑每一条都是真金白银换来的经验。7.1 PXE启动卡在Contacting Server这个错误通常意味着客户端拿到了DHCP的引导信息但联系不上PXE服务点。排查方向防火墙服务器防火墙是否放行了UDP 4011Windows防火墙默认可能挡。PXE服务点状态在MCM控制台看分发点的PXE服务点是否正常SMSPXE.log有没有报错。网络设备某些交换机会拦截PXE的特定广播包需要配置IP Helper或者DHCP中继。我遇到过一次排查了半天发现是服务器上装了某个安全软件把TFTP流量拦了。卸载后立刻正常。7.2 任务序列执行到一半报找不到内容这个错误说明客户端在执行某一步时无法从分发点获取所需文件。常见原因内容还没分发到客户端所在网段的分发点。检查分发点覆盖范围。网络访问账号权限不足。检查账号对内容库的读取权限。分发点磁盘满了。内容复制失败但没报错实际文件不完整。排查技巧在客户端上看SMSTS.log这个日志记录了任务序列每一步的详细执行情况包括它尝试从哪个分发点获取什么内容、失败原因是什么。7.3 装完系统后驱动不对网卡不工作如果网卡驱动没装上机器部署完就失联了既上不了网也连不上MCM。预防措施在WinPE阶段就注入网卡驱动确保WinPE能联网。在任务序列里优先安装网卡驱动再装其他驱动。用MCM的驱动目录按机型匹配别指望一个通用驱动包搞定所有机器。我现在的做法是每个机型单独建一个驱动包任务序列里用WMI查询Win32_ComputerSystem的Model字段匹配到对应机型就装对应驱动。这样最稳。7.4 加域失败账号、OU、DNS三重检查加域失败的原因通常有三个账号权限不够加域账号需要在目标OU有创建计算机对象权限。OU路径写错DN路径格式必须正确比如OUNewPC,OUComputers,DCcorp,DCcom。DNS解析问题客户端必须能解析到域控的SRV记录。如果DNS指向了外网DNS加域必失败。经验加域前先在WinPE里用nltest /dsgetdc:corp.com测试能否找到域控。找不到就先修DNS。7.5 部署完成后计算机名重复或不合规如果任务序列里没配好计算机名生成规则可能出现重名或者名字乱七八糟。建议用序列号生成PC-%SerialNumber%保证唯一。或者用资产编号从MCM的计算机变量里读取预定义的名称。部署前在MCM里预导入计算机信息指定好名字和OU部署时自动匹配。8. 让部署更快更稳几个实战优化技巧跑通基本流程后下面这些优化能让你的部署体验上一个台阶。8.1 用组播分发大映像前面提过多台机器同时部署时单播分发会把网络打满。组播Multicast让分发点只发一份数据流多台客户端同时接收带宽占用大幅下降。配置方法是在分发点属性里启用组播并配置组播地址范围需要网络设备配合。注意组播对网络设备有要求不是所有交换机都支持。启用前先和网络管理员确认。8.2 用Prestart命令在WinPE里做预处理任务序列的Prestart阶段可以在应用映像之前执行自定义命令。比如检查磁盘健康状态有问题就中止部署。根据机器序列号从数据库查询该装哪些软件。备份原有数据如果是重装场景。这个阶段用PowerShell脚本实现灵活性很高。8.3 部署报告和资产记录MCM自带部署状态报告能看到每台机器的部署进度、成功失败状态、耗时。建议把部署结果和资产系统对接部署成功后自动写入资产记录省得手工登记。另外任务序列最后可以加一步把部署日志上传到共享目录方便事后排查。8.4 定期更新启动映像和驱动包Windows更新、新硬件上市都会让原来的启动映像和驱动包过时。建议每季度更新一次启动映像注入最新的网卡驱动和存储驱动驱动包按新采购的机型补充。否则新机器可能PXE起不来或者装完缺驱动。9. 关于这套方案我个人的几点体会搭MCM批量部署这件事前期投入确实不小装服务器、配网络、做映像、调任务序列没个几天搞不定。但一旦跑通后面每来一批新机器你的工作量就从三十小时变成三十分钟——插上网线、开机、选任务序列然后去喝咖啡。我最大的体会是这套东西的价值不在于快而在于一致。手工装系统十台机器可能有十种状态批量部署出来的机器配置完全一样出了问题也好排查。对于需要统一管理的环境这种一致性比省下来的时间更值钱。另外提醒一句MCM是个庞大的产品本文覆盖的只是PXE部署这一条线。它还有软件更新管理、终端防护、资产盘点等一大堆功能值得慢慢挖。如果你刚开始接触建议先在虚拟机里搭一套测试环境练手别直接在生产环境上折腾。测试环境里把PXE、任务序列、驱动匹配这些跑顺了再往生产迁移心里有底。最后一个实用建议把整个搭建过程写成文档。MCM的配置项太多过几个月你自己都可能忘了当初某个选项为什么那么设。文档里记下每个关键配置的理由下次维护或者交接的时候能省下大量时间。