王立勇

國(guó)家能源集團(tuán)國(guó)網(wǎng)能源新疆準(zhǔn)東煤電有限公司，中國(guó)·新疆 昌吉 831800

1 引言

隨著信息化在企事業(yè)單位的全面普及，企事業(yè)單位一般具有百余臺(tái)網(wǎng)絡(luò)設(shè)備、幾十臺(tái)服務(wù)器和數(shù)百臺(tái)計(jì)算機(jī)，作為公司的信息負(fù)責(zé)人，工作越來(lái)越重。針對(duì)這數(shù)百臺(tái)計(jì)算機(jī)，重裝原版系統(tǒng)耗時(shí)長(zhǎng)，使用網(wǎng)上的免費(fèi)系統(tǒng)部署快，但被預(yù)安裝了很多第三方軟件、插件，無(wú)法徹底清理干凈，大多數(shù)系統(tǒng)被植入病毒、木馬、廣告或者危險(xiǎn)程序，存在很大安全隱患，達(dá)不到集團(tuán)公司軟件正版化要求。在這種情況下，封裝一個(gè)能夠快速部署、安全、純凈、具有企業(yè)特色的Win10系統(tǒng)成為迫切需要。

2 系統(tǒng)封裝

封裝系統(tǒng)就是要把原版系統(tǒng)安裝在計(jì)算機(jī)上，再進(jìn)行更新、優(yōu)化、精簡(jiǎn)、安裝必要插件、軟件、系統(tǒng)設(shè)置等，最后要?jiǎng)冸x驅(qū)動(dòng)進(jìn)行封裝，打包出自己想要的系統(tǒng)，使之部署后能直接達(dá)到最終要求。

2.1 系統(tǒng)選擇

Win10系統(tǒng)官方提供的版本較多，最新Win10有商業(yè)版和消費(fèi)版兩大類，每類里面又分專業(yè)版、企業(yè)版、家庭版、教育版等。本次封裝選用1909版本的Win10商業(yè)版，安裝的是里面的專業(yè)版。

這是Win10最新版本，網(wǎng)上還沒(méi)找到這個(gè)版本的封裝教程，教程最多的是1709版本，使用最新版本也給筆者帶來(lái)了很大的挑戰(zhàn)性。

2.2 母盤制作

Win10為了使用的便利性，附帶了太多的組件，如果為了滿足辦公需要，夠用就行，有些組件在系統(tǒng)安裝好后可以直接卸載，有些無(wú)法卸載，即使能卸載也會(huì)在系統(tǒng)中有殘留，所以要在安裝前對(duì)原始ISO映像文件進(jìn)行組件精簡(jiǎn)，使用NTLite軟件，移除不需要的組件和版本。

主要移除的組件有：Defender、Office等已購(gòu)買相應(yīng)的正版軟件，必須移除；Edge、應(yīng)用商店、時(shí)間線、郵件、手機(jī)、天氣等，根據(jù)情況移除，把能移除的都去掉，原則是在確保正常使用的前提下，保留的東西越少越好，運(yùn)行越小，以后出問(wèn)題的幾率越小，進(jìn)而減少工作量。

Win10各版本區(qū)別很大，同一組件在不同版本中有的可移除，有的不可移除，并且歸類位置也不盡相同。使用NTLite制作母盤時(shí)，移除組件是去掉勾選，移除版本是勾選。

精簡(jiǎn)ISO時(shí)，不要嘗試去除各種硬件驅(qū)動(dòng)、不要去除Windows自帶的組件Media Player，否則會(huì)在生成ISO時(shí)出錯(cuò)。如果制作母盤時(shí)不精簡(jiǎn)組件，使用原版映像進(jìn)行安裝和封裝，請(qǐng)務(wù)必第一時(shí)間關(guān)掉應(yīng)用商店服務(wù)，最好是安裝時(shí)先斷網(wǎng)。

2.3 部署封裝環(huán)境

安裝虛擬機(jī)VMware、創(chuàng)建虛擬機(jī)、硬盤分區(qū)。封裝系統(tǒng)一般在虛擬機(jī)里進(jìn)行，如果把系統(tǒng)安裝在物理臺(tái)式機(jī)上，其中一步出錯(cuò)就要重新再來(lái)，而在虛擬機(jī)里每一步都可以保留快照，這一步出錯(cuò)直接恢復(fù)上一步的快照即可。而且物理光驅(qū)遠(yuǎn)沒(méi)有虛擬光驅(qū)來(lái)的方便，使用虛擬機(jī)可以移除大部分硬件，使系統(tǒng)瘦身，最后封裝時(shí)也會(huì)減少剝離。

綜合來(lái)看使用物理機(jī)封裝系統(tǒng)幾乎不可能，所以必須使用虛擬機(jī)。I7七代及以上的CPU不支持普通啟動(dòng)模式，必須在UEFI啟動(dòng)模式下，Win10系統(tǒng)在新老機(jī)器兩種模式下都可以安裝和啟動(dòng)，硬盤模式MBR和GPT也都可以安裝，考慮到對(duì)新機(jī)器的廣泛適用，這次封裝系統(tǒng)選擇UEFI啟動(dòng)模式，硬盤選擇GPT格式進(jìn)行。在PE下把硬盤轉(zhuǎn)換成GPT格式，再創(chuàng)建ESP和MSR這兩個(gè)分區(qū)，然后再分其他區(qū)。

在安裝系統(tǒng)中也可以對(duì)未分區(qū)的硬盤進(jìn)行操作，但都達(dá)不到這種要求。順便提一下，封裝Win7安裝系統(tǒng)時(shí)，也要先分好區(qū)再安裝系統(tǒng)，在安裝系統(tǒng)時(shí)進(jìn)行分區(qū)會(huì)在前面自動(dòng)分出一個(gè)100M的小分區(qū)，以后每次部署都要進(jìn)行引導(dǎo)修復(fù)。

2.4 安裝系統(tǒng)

使用精簡(jiǎn)好的系統(tǒng)映像掛載安裝，不跳過(guò)開箱體驗(yàn)OOBE，進(jìn)行完全安裝。系統(tǒng)裝好后，保存快照，重啟幾次確認(rèn)沒(méi)問(wèn)題，先進(jìn)行一次封裝，驗(yàn)證一下制作的ISO是否正常、系統(tǒng)是否正常，否則還得重新再來(lái)。

接下來(lái)的每一步都要留快照，而且每一大步都進(jìn)行封裝檢驗(yàn)，能通過(guò)再進(jìn)行下一步，不能通過(guò)就在這一步找原因，或者跳到上一步重新再來(lái)。

2.4.1 安裝必要軟件和系統(tǒng)設(shè)置

把所需要的一切東西都裝全，運(yùn)行庫(kù)、工具軟件、殺毒、文字處理、輸入法還有各平臺(tái)插件、IE設(shè)置、語(yǔ)言設(shè)置等。Win10中的語(yǔ)言選項(xiàng)有兩項(xiàng)，默認(rèn)應(yīng)用語(yǔ)言和默認(rèn)輸入語(yǔ)言。默認(rèn)應(yīng)用語(yǔ)言也就是Windows顯示語(yǔ)言，選擇中文，這個(gè)如果選擇了英文，開始菜單以及打開的程序就都變成英文的了，相當(dāng)于安裝了英文版的win10。默認(rèn)輸入語(yǔ)言根據(jù)個(gè)人習(xí)慣，盡量選擇英文。

另外安裝第三方輸入法，刪除自帶的微軟拼音，更改一下輸入法切換按鍵，默認(rèn)設(shè)置和之前的winXP、win7的切換鍵不一樣。

2.4.2 封裝前的準(zhǔn)備

所有工作完成后進(jìn)行一次系統(tǒng)更新、清理和優(yōu)化。

首先進(jìn)行系統(tǒng)更新，因?yàn)橛玫氖亲钚碌?909版本，需要打的補(bǔ)丁沒(méi)幾個(gè)。安裝完所有運(yùn)行庫(kù)、控件、插件、軟件后，還會(huì)產(chǎn)生相應(yīng)的漏洞，反復(fù)進(jìn)行掃描、更新、重啟，直到不再出現(xiàn)新的補(bǔ)丁。

清理使用Dism++中的空間回收進(jìn)行全面清理，優(yōu)化根據(jù)個(gè)人需要自行處理。Win10由于打的補(bǔ)丁較少，可回收的空間不是太多，這個(gè)在Win7中效果比較突出，Win7SP1大約有140個(gè)補(bǔ)丁需要更新，能夠回收幾個(gè)G的空間。

系統(tǒng)清理和優(yōu)化軟件非常多，能夠進(jìn)行系統(tǒng)清理、系統(tǒng)修復(fù)、啟動(dòng)項(xiàng)優(yōu)化即可，不建議同時(shí)使用多個(gè)優(yōu)化軟件，選一個(gè)好用的就行。

清理優(yōu)化完成后保存快照，接著要對(duì)系統(tǒng)進(jìn)行全面測(cè)試。各種軟件測(cè)試，通過(guò)瀏覽器登錄各種應(yīng)用平臺(tái)，確保各項(xiàng)功能正常使用。虛擬機(jī)是一個(gè)最小測(cè)試平臺(tái)環(huán)境，如果在這里出錯(cuò)，那以后部署到臺(tái)式機(jī)上肯定會(huì)出更大的問(wèn)題。

2.4.3 封裝

使用的封裝工具是Easysprep4.3，是一個(gè)比較老的版本，分兩步進(jìn)行，第一階段直接在系統(tǒng)下進(jìn)行，這一階段非常重要，九成以上的錯(cuò)誤會(huì)在這里報(bào)出來(lái)。第二階段是在PE中進(jìn)行，封裝設(shè)置項(xiàng)較多，根據(jù)情況進(jìn)行逐項(xiàng)設(shè)置。

2.4.4 導(dǎo)出映像

導(dǎo)出.gho映像使用GHOST，導(dǎo)出.wim映像使用Dism++，不要使用PE帶的映像工具，會(huì)有第三方軟件注入，以后部署亦是如此。

3 部署

所謂的部署就是把封裝出來(lái)的系統(tǒng)映像安裝在機(jī)器上。封裝出來(lái)的Win10映像是可以部署在MBR格式的硬盤中的，這里不再討論。

部署在GPT格式硬盤中時(shí)，先把目標(biāo)硬盤轉(zhuǎn)換成GPT格式，并分出ESP和MSR這兩個(gè)分區(qū)，然后再分其他區(qū)。把Win10映像部署后，開機(jī)是無(wú)法啟動(dòng)的，因?yàn)樾路值腅SP分區(qū)中沒(méi)有啟動(dòng)文件，需要進(jìn)行引導(dǎo)修復(fù)，大多數(shù)能修復(fù)Win7引導(dǎo)的都不好用。

可以使用Dism++解決問(wèn)題，選中系統(tǒng)進(jìn)入工具箱，進(jìn)行引導(dǎo)修復(fù)。這只針對(duì)硬盤新分區(qū)的部署，對(duì)正在使用Win10的機(jī)器重裝系統(tǒng)不需要這一步。這樣部署出來(lái)的系統(tǒng)，一定要在BIOS里設(shè)置UEFI啟動(dòng)[1]。

部署后要注意兩點(diǎn)問(wèn)題：

一是部署后設(shè)置好的IE選項(xiàng)會(huì)有一小部分恢復(fù)到默認(rèn)設(shè)置，需要手動(dòng)更改一下，Win7、Win10都有出現(xiàn)。

二是Win10語(yǔ)言項(xiàng)部分恢復(fù)默認(rèn)狀態(tài)，需要手動(dòng)調(diào)整一下，Win7沒(méi)問(wèn)題。這種封裝、部署不同于純粹的GHOST備份，具有安裝過(guò)程，一些地方恢復(fù)到默認(rèn)狀態(tài)也算正常。

4 ISO封裝制作

系統(tǒng)封裝絕大部分是導(dǎo)出WIM、ESD、GHO格式的文件，一直在使用GHOST制作GHO格式的文件。網(wǎng)上幾乎沒(méi)有封裝ISO格式的教程，嘗試使用了幾種方法做出的ISO都不能很好地在云終端識(shí)別，使用網(wǎng)上流行的軟碟通做出的ISO能夠在PE和虛擬光驅(qū)里運(yùn)行，并成功安裝了一臺(tái)計(jì)算機(jī)，但在虛擬終端里不能用，最終使用NTLite軟件封裝ISO映像。首先封裝出WIM格式的映像，文件改名為install.wim，找到用來(lái)制作母盤的在微軟下載的原版ISO映像，解壓后里面有個(gè)sources文件夾，用封裝出來(lái)的映像文件替換原版中的這個(gè)install.wim文件。

在NTLite軟件里面選擇掛載文件夾，把原版映像解壓出來(lái)的文件夾（替換了install.wim文件的）加載進(jìn)來(lái)，掛載好后在應(yīng)用里勾選創(chuàng)建ISO，點(diǎn)擊開始即可，不要做其他的任何操作。

通過(guò)這種辦法得到的ISO映像文件，在云桌面虛擬終端里面能夠運(yùn)行，原理應(yīng)該就是封裝出來(lái)的wim文件加了一個(gè)原版的外殼。

5 封裝出來(lái)的系統(tǒng)有哪些實(shí)用價(jià)值

5.1 提升公司信息安全防護(hù)能力

以前使用免費(fèi)操作系統(tǒng)或者這種現(xiàn)成的系統(tǒng)進(jìn)行加工，被預(yù)裝了很多第三方軟件，當(dāng)然不排除會(huì)被放置一些木馬和后門程序，絕大多數(shù)這種操作系統(tǒng)部署后會(huì)直接查殺出木馬、病毒或者危險(xiǎn)程序，給公司的信息安全工作造成很大隱患。自行封裝的系統(tǒng)使用的是微軟網(wǎng)站上下載的原版系統(tǒng)，安裝的都是集團(tuán)公司定制的正版軟件，不存在危險(xiǎn)程序被注入的可能，操作系統(tǒng)層面的安全性得到大幅提升，從而整體提升公司的信息安全防護(hù)能力。

5.2 系統(tǒng)純凈

相對(duì)于能夠快速部署的免費(fèi)系統(tǒng)，這次封裝出來(lái)的系統(tǒng)高度純凈。網(wǎng)上的免費(fèi)映像被植入了大量的第三方軟件，如各種安全軟件、瀏覽器、音視頻播放器、網(wǎng)游、各種插件等，卸載有殘留，無(wú)法徹底清理。純凈的系統(tǒng)帶來(lái)良好的體驗(yàn)，系統(tǒng)資源占用少、運(yùn)行流暢[2]。

5.3 能夠在云桌面服務(wù)器上使用

公司部署的云桌面服務(wù)器，建立模板必須使用ISO映像文件，使用網(wǎng)上現(xiàn)成的ISO映像很不安全，用原版映像逐步安裝又很麻煩，而且要制作多個(gè)模板。用自己封裝的映像一次部署，幾乎不用做其他修改，直接可以用來(lái)轉(zhuǎn)換成模板，解決了被困擾很長(zhǎng)時(shí)間的問(wèn)題。

5.4 能夠快速部署

使用新封裝的系統(tǒng)部署機(jī)器，比以前所用時(shí)間大幅縮短。以前的做法是系統(tǒng)完全安裝好后，在PE下用GHOST備份成GHO文件，部署系統(tǒng)時(shí)需要找到對(duì)應(yīng)機(jī)器型號(hào)的GHOST文件進(jìn)行恢復(fù)。

公司內(nèi)各種型號(hào)的臺(tái)式機(jī)年代跨度比較大，型號(hào)比較雜，部分機(jī)器服役都超過(guò)了10年，而且有時(shí)候同種型號(hào)的不同批次硬件配置還不一樣，使用起來(lái)很麻煩[3]。

對(duì)于這些GHO文件，每隔一段時(shí)間都要重新制作一次，需要更新補(bǔ)丁、軟件、配置等?，F(xiàn)在使用自己封裝的系統(tǒng)，只需準(zhǔn)備32Win7、64Win7、64Win10這三個(gè)文件就可以了，而且更新也很簡(jiǎn)單，在虛擬機(jī)里更新一下，直接封裝出來(lái)就行，簡(jiǎn)直就是一勞永逸的事情?？梢杂行Ь徑庑畔⑷藛T的工作壓力，當(dāng)然這僅限于重裝系統(tǒng)[4]。

6 結(jié)語(yǔ)

經(jīng)過(guò)四個(gè)月的學(xué)習(xí)、準(zhǔn)備、封裝、部署終于得到了想要的系統(tǒng)，又經(jīng)過(guò)現(xiàn)在近半年的部署、使用，沒(méi)發(fā)現(xiàn)什么問(wèn)題，完全滿足公司內(nèi)各種使用要求。期間筆者又做了幾個(gè)通用版本，反響很好，看來(lái)向往簡(jiǎn)潔、純凈、安全是我們共同的追求。