简介针对服务器运维场景内容聚焦如何借助MDT微软部署工具包2013实现Windows操作系统的批量安装。部署过程紧密围绕实际生产环境详细讲解活动目录、WDS、DHCP、ADK for Windows 10等核心组件的协同配置并给出从零搭建部署服务器到完成PXE网络启动批量装机的一整套操作思路。资源以单个docx文档形式提供大小仅1.7MB文字精炼便于直接查阅与按步骤执行。目前已有452人学习浏览适合具备一定Windows基础、希望提升大规模装机效率的中级运维人员参考。文档不仅覆盖WDS服务安装、MDT部署共享创建、ADK集成、操作系统映像准备等关键步骤还总结了驱动自动检测、自定义任务序列以及同SCCM集成等进阶用法并将MDT的灵活性与可定制性贯彻始终可帮助运维人员根据组织需求定制自动化部署流程显著减少重复手工操作。1. 为什么服务器还要用 MDT批量装机的第一块多米诺骨牌机房里一次来三十台服务器纯手动装系统是什么体验——插光驱、进 BIOS、分区、装完打驱动、配 IP、加域顺手再装几个 Agent一台四十分钟起步干到凌晨三点还耽误业务窗口。MDTMicrosoft Deployment Toolkit解决的就是这个批量装操作系统的场景只要这台机器能 PXE 网络引导或者插上一张 WinPE 启动盘后续从格式化磁盘、注入 RAID 驱动、安装 Windows Server、加入域到执行你事先写好的部署后脚本全程不需要人盯着。这套东西不是新技术从 Windows 7 时代就存在框架十几年没大改但恰恰因为稳定它到今天仍是服务器运维手里最省事的一条批量装机路径。这篇文章我会把环境搭建、Boot ISO 生成、任务序列、自动应答规则和常见翻车点完整过一遍适合机房运维、桌面管理以及刚接手服务器批装任务的新手照着复现。2. 先把环境立住AD WDS DHCP 与 MDT 的角色分工2.1 为什么批量装机不是“装个 MDT 就完了”很多第一次接触 MDT 的人会把它理解成一个独立安装包装上就能用。实际上 MDT 是一个控制台加一套部署框架它自己不做网络引导不分配 IP也不提供启动文件下载。真正让裸机找到安装来源的是 WDSWindows 部署服务而 MDT 负责生产 WinPE 启动镜像、维护部署共享目录、管理任务序列。所以一套最小可用的批装环境至少由四块拼起来AD 域环境负责认证和最终的机器入域也可以让 WDS 和 DHCP 跑在工作组模式但现实里服务器批装几乎都在域内做。DHCP 服务器给待装机服务器分配临时 IP同时把 PXE 引导请求指到 WDS。WDS 服务器响应 PXE 请求下发 MDT 生成的 WinPE 启动镜像。MDT 服务器存放操作系统源文件、驱动库、任务序列和自动应答规则通过部署共享把安装内容推给目标机。这里面有一个容易误解的点WDS 和 MDT 不要求装在同一台服务器上但多数运维图省事会装在一起。如果 DHCP 也在这台机器上就要配置 DHCP 选项 66 和 67把引导服务器和引导文件名指给 WDS否则 PXE 请求会在广播里迷路。常见做法是 WDS 本身在响应 PXE 时会处理这个请求前提是它收到请求并配置了 Respond to PXE client requests。2.2 四个安装步骤装 MDT、配 WDS、建 Deployment Share拿 Window Server 2022 环境举例按下面顺序走一遍第一步先把服务器加域并固定 IP然后安装 WDS 角色。这里用 PowerShell 可以把角色一键装上# 在待部署的 WDS 服务器上执行需要管理员权限 Install-WindowsFeature -Name WDS -IncludeManagementTools这条命令会同时装上 WDS 的部署服务和传输服务器。装完之后到 WDS 控制台初始化服务器选择“与 Active Directory 集成”远程安装目录放到一个剩余空间较大的盘因为后面 WinPE 镜像和安装源都会暂存在这边。WDS 的 DHCP 授权如果提示需要授权说明 DHCP 在这台机器上到 DHCP 控制台里给这台服务器做授权即可。第二步下载 MDT 安装包并装到一台 Windows Server 或 Win10/11 管理机上。MDT 安装完开始菜单出现 Deployment Workbench 控制台。在控制台里右键 Deployment Shares选择 New Deployment Share路径填D:\DeploymentShare这是文件共享目录。名称按需填比如MDT Production。描述里建议写上“生产环境 2025”方便后续认领。勾选全部四个选项PXE 引导、抓取镜像、管理工作台和完整工具集。创建完后系统会自动共享这个目录为\\服务器名\DeploymentShare$同时生成一个 Bootstrap.ini 和 CustomSettings.ini后面要反复改动这两个文件。第三步回到 WDS 控制台右键“启动映像”把稍后 MDT 生成的 Boot ISO 导入进来。这一步先放着等 MDT 一侧的 Boot ISO 做出来再回头操作。第四步检查防火墙。MDT 部署过程中目标机要访问 445SMB、4011PXE、67/68DHCP端口。Windows 防火墙默认会拦掉不少建议在 WDS 服务器上把“部署服务”相关的入站规则打开或者直接把 WDS 服务进程加到防火墙例外里。2.3 目录结构为什么要分层Applications、Operating Systems、Out-of-Box DriversDeployment Share 建好后能看到控制台左侧的目录树其中三个目录是日常使用最频繁的。Operating Systems 放操作系统安装源Out-of-Box Drivers 放硬件驱动Applications 放部署后要静默安装的软件。很多人不去管目录结构一股脑全塞进默认位置到后面按型号匹配驱动时就翻车。我一般会按服务器型号建驱动子目录比如Out-of-Box Drivers\Dell R750\RAID和Out-of-Box Drivers\Dell R750\NIC这样后面配置驱动选择规则时可以精细到某一类设备。这个分层不是 MDT 强制要求的但强烈建议做尤其是驱动库会越来越大堆在一起会导致每次部署都在全量驱动里做匹配拖慢速度。MDT 控制台里右键 Out-of-Box Drivers 可以新建文件夹把驱动 WIM 或 INF 灌进去后记得右键导入的驱动选择“Replicate”到部署共享否则生成的 WinPE 里不会带上这些驱动。3. 制作可启动的 Boot ISOWinPE 驱动与两层镜像的关系3.1 WinPE 阶段为什么必须塞网卡和 RAID 驱动MDT 部署流程被拆成两个阶段第一阶段是目标机通过网络引导加载 WinPE 启动镜像第二阶段是 WinPE 环境内连接部署共享、分区磁盘、应用 WIM 镜像然后重启进入完整系统。所以 WinPE 里必须能看到两样东西网卡和磁盘。服务器网卡如果 WinPE 里认不出目标机就获取不到 IP、连不上部署共享界面一直停在“无法连接到 deployment share”。RAID 驱动如果没进 WinPE更严重——磁盘根本不会出现分区步骤直接失败界面提示找不到磁盘。这是服务器批装区别于 PC 批装的最关键一点PC 常见的 SATA/NVMe 驱动微软默认都带但服务器的阵列卡PERC、Smart Array、HBA 卡驱动几乎必须手动注入。所以做 Boot ISO 之前先把目标服务器型号的网卡驱动和 RAID 驱动下齐。驱动格式选择“解压后的文件夹包含 TxtSetup.oem 或 INF 文件”用文件夹方式导入到 Out-of-Box Drivers 里MDT 会自动把 WinPE 需要的部分打进去。导入后到 WinPE 选项里勾选“Include all drivers in the WinPE image”否则默认只带网络和存储类驱动。3.2 生成 Boot ISO 与 PXE 引导文件导入驱动备齐后回到 Deployment Workbench。右键 Deployment Share选择 Update Deployment Share只勾第一项“Regenerate Bootstrap.ini”然后让 MDT 重新生成 Boot ISO。这里注意一个细节Boot ISO 的生成不是单独点一个按钮而是通过“更新部署共享”这个动作顺带完成的很多新手以为像刻盘一样单独导出找半天按钮。更新的过程里 MDT 会执行一系列脚本最终在D:\DeploymentShare\Boot目录下生成LiteTouchPE_x64.iso。打开 WDS 控制台在“启动映像”右键导入这个 ISO。导入后 WDS 会自动把相关启动文件复制到 RemoteInstall 目录PXE 引导链路就通了。如果环境里同时存在 UEFI 和 BIOS 两种引导方式的老服务器需要把两套 Boot ISO 都生成并导入一个是 x64 架构另一个如果 BIOS 引导用可能需要 32 位启动映像。现在新机器基本都是 UEFI只导入 x64 就够了但如果机房里还有 2015 年左右的旧服务器BIOS 引导这事一定会回来找你。3.3 系统源文件导入ISO 与 WIM 的选择Operating Systems 目录右键 import选择“Full set of source files”。这里可以指向 Windows Server 的安装镜像 ISO 解压目录也可以直接指向 WIM 文件。ISO 导入的好处是自动提取所有版本Standard、Datacenter缺点是多合一索引会让部署时长变长。我一般只挑自己实际用的一个版本索引导入比如企业里常用的是 Server 2022 Standard桌面体验在导入向导选择版本这一步只勾选需要的索引。注意 Windows Server 的安装 WIM 里包含多个版本但所有版本共享同一个 WIM 索引表。导入时选错索引会导致部署后版本不对激活方式也会跟着出问题。服务器批量部署建议统一用 Volume 批量授权版本这样之后 KMS 激活不用逐台输入序列号。导入完成后MDT 会复制文件到部署共享的 Operating Systems 目录这个过程在千兆网络下大概十几分钟耐心等就行。3.4 第一次部署前的最小验证Boot ISO 导入 WDS、系统源也导完后找一台测试机做首次 PXE 引导。开机按 F12 选择网络引导WinPE 起来之后输入部署共享的凭据看看能否正常看到任务序列列表。这一步能测出网络、凭据、共享权限三层问题。以前我遇到过 WinPE 能起来但连不上共享最后排查发现是部署共享的 SMB 权限里缺了“Domain Computers”读取权限WinPE 阶段用的是 WinPE 里临时生成的账号去连共享和域内机器权限模型不太一样所以授权范围要放宽到 Authenticated Users 或干脆给 Everyone 只读。4. 任务序列与自动化规则让服务器自己决定装哪个系统4.1 创建任务序列标准客户端序列为什么能装服务器部署共享准备好之后右键 Task Sequences 新建任务序列。MDT 提供了“Standard Client Task Sequence”和“Standard Server Task Sequence”但实际很多人用的其实是客户端序列来装服务器因为服务器任务序列在 MDT 2013 之后就基本不再维护功能和客户端序列几乎一致反而在系统版本选择上更灵活。选择“Standard Client Task Sequence”输入序列名称如“Windows Server 2022 Standard”选择之前导入的操作系统版本然后到“指定部署方式”这步选“Zero Touch Installation”可以最大程度自动化但前提是后面 CustomSettings.ini 和数据库规则都配好否则建议先选“Interactive”跑通之后再改自动化。任务序列创建后自动包含一组步骤Preinstall收集信息、分区磁盘、Install应用操作系统、Postinstall安装应用、更新、加域。服务器批量部署里需要额外关注两个默认步骤磁盘分区默认是“用 NTFS 格式化整个磁盘”但服务器如果之前装过 Windows磁盘上可能有 EFI 分区和恢复分区残留。建议在序列里找到“Format and Partition Disk”步骤把分区类型改成 UEFI并勾选“Clean”彻底擦除磁盘。加域步骤在“State Restore”阶段有一个“Apply Local/Network Accounts”或“Join Domain”步骤把域、OU 路径、加域账号填好。这个账号建议用专用服务账号密码定期轮换不要用管理员长期裸奔。4.2 CustomSettings.ini 的关键跳过项与默认值自动化程度高低全部集中在D:\DeploymentShare\Control\CustomSettings.ini这个文件里。它的作用是回答部署向导里的每一步问题回答完了向导就不再弹出提示。服务器批装场景我一般会这样写[Settings] PriorityDefault PropertiesMyCustomProperty [Default] OSInstallY SkipBDDWelcomeYES SkipComputerNameYES SkipDomainMembershipYES SkipUserDataYES SkipLocaleSelectionYES SkipTimeZoneYES TimeZoneNameChina Standard Time SkipProductKeyYES SkipAdminPasswordYES SkipBitLockerYES SkipSummaryYES UserDataLocationNONE JoinDomaincorp.local DomainAdminMDT_JOIN DomainAdminDomaincorp.local DomainAdminPasswordPssw0rd逐条拆开说几个关键的。SkipComputerNameYES表示不询问机器名但机器名来自哪里后面接ComputerName可以写死或者用变量如%SerialNumber%自动取序列号服务器批装建议用服务标签或序列号做机器名这样资产对账最省事。SkipDomainMembershipYES配合下面的JoinDomain实现静默加域。SkipProductKeyYES前提是导入的镜像本身是 KMS 或 MAK 激活不能省这一步。TimeZoneNameChina Standard Time是中文机房最常见的需求别忘了写否则新装的服务器默认 UTC 时间时间同步一错Kerberos 票据马上失效。Bootstrap.ini 是 WinPE 阶段就要读取的文件里面只需维护两件事部署共享的 UNC 路径和访问凭据。比如[Settings] PriorityDefault [Default] DeployRoot\\MDTServer\DeploymentShare$ UserDomainCORP UserIDMDT_READ UserPasswordReadOnlyPass注意 Bootstrap.ini 是在生成 Boot ISO 时被编译进 WinPE 启动镜像里的改完这个文件要么重新生成 Boot ISO 并更新 WDS 启动映像要么使用“动态部署共享”特性让 WinPE 启动后重新读取。动态共享可以减少反复生成 ISO 的时间但这个特性对排错不友好出了问题反而更难定位我一般在生产环境还是老实重新生成。4.3 按 MAC 地址或机型分配系统的数据库规则批量部署中每台服务器要装的系统版本、机器名、IP 可能都不一样。如果所有机器共用一套 CustomSettings.ini那只能用序列号做规则判断。MDT 提供了数据库MDT DB和角色Role机制可以做到更细粒度的分配。常见做法是启用 MDT 数据库在 Deployment Workbench 里右键 Deployment Share 的“Database”节点新建“Computer”条目填入待部署机器的 MAC 地址、机器名、任务序列 ID-- 对应 MDT DB 里的 Computer 表字段 -- 核心字段MacAddress、Description、Settings 包 -- Settings 包格式为 ini 片段例如 -- MachineNameWEB-01 -- TaskSequenceIDWIN2022-STD -- IPAddress192.168.10.21 -- SubnetMask255.255.255.0 -- Gateway192.168.10.1维护完数据库节点后再到 CustomSettings.ini 的[Settings]段里把 Priority 改成数据库优先[Settings] PriorityDatabase, Default PropertiesMyCustomProperty [Database] SQLServerMDTSQL SQLShareDeploymentShare$ SQLDatabaseMDT这样每台机器 PXE 引导后MDT 会按 MAC 地址匹配数据库记录命中后直接使用记录里定义的机器名、任务序列和网络配置全程无交互。没有命中的机器则落到 Default 段用通用规则。这个模式的坑在于 MAC 地址如果你之前采集错了机器会一直掉到 Default 段而且因为 SkipComputerNameYES所有未命中机器会用同一个默认名冲突之后部署直接中断。所以采集 MAC 时尽量用服务器带外管理卡iDRAC/iLO里的信息而不是猜测。5. 避坑记录部署中最容易被绊倒的五个位置5.1 现象WinPE 起来了但连不上部署共享原因Bootstrap.ini 里的 DeployRoot 是主机名写法而目标服务器所在 VLAN 的 DNS 解析不了这个主机名。解决把 DeployRoot 从\\MDTServer\DeploymentShare$改成\\192.168.10.5\DeploymentShare$同时确认共享目录允许匿名或指定账号访问。DNS 不可靠时直接用 IP 最省心。5.2 现象UEFI 引导的机器部署完提示找不到启动设备原因任务序列分区步骤用了旧的 BIOS 分区方式磁盘上生成了 MBR但固件是 UEFI 模式只认 GPT 和 EFI 分区。解决在任务序列的“Format and Partition Disk”步骤里把磁盘类型改成 GPT分区类型选 UEFI。如果目标是纯 UEFI 环境也可以在 CustomSettings.ini 里写DiskPartLayoutGPT或直接勾选序列步骤里的 UEFI 选项避免每次新建序列都手动改。5.3 现象部署完进系统发现阵列卡驱动没装上磁盘管理器里看到的是未识别设备原因驱动只进了 WinPE 阶段但完整系统的驱动安装步骤没有推进去。MDT 默认在“Postinstall”阶段有一个“Inject Driver”步骤需要把 Out-of-Box Drivers 的匹配规则设好。如果这个步骤被禁用或驱动目录路径写错完整系统起来后就不会补装驱动。解决在任务序列里找到“Inject Driver”步骤选择“All drivers”或者用选择规则让 MDT 只注入匹配当前机器型号的驱动再重新生成 Boot ISO 并更新 WDS。5.4 现象多台机器同时部署其中一两台重启后机器名和域没加入原因DomainAdmin 账号密码过期或连续多次加入域触发账号锁定策略。MDT 的 Domain Join 步骤失败后默认继续执行不会中断序列导致你最后看到的结果是系统装好了但机器没加域。解决加域步骤里勾选“Continue on error”之外的复核项同时把加域账号的委派权限限制到指定的 OU避免权限过大引发审计问题。事后检查时看BDD.log里的JoinDomain相关条目能直接看到失败原因。5.5 现象部署时间越来越长WinPE 加载要十几分钟原因Out-of-Box Drivers 目录里塞了过多无效驱动MDT 在 WinPE 启动阶段对所有驱动做即插即用匹配驱动越多样本越大匹配速度越慢。解决在部署共享的属性里启用“Selection Profiles”给 WinPE 镜像指定一个只包含网卡和 RAID 驱动的配置文件从源头过滤。给驱动做台账导入前先清理重复版本别把几十个机型的驱动一股脑塞进一个目录。6. 多走一步抓取参考机、补丁注入与结果验证6.1 把标准机抓回参考镜像如果每台服务器都要装企业安全基线里的十几个 Agent与其每次部署后跑一遍脚本不如做一次“参考机抓取”在一台标准配置服务器上装好系统、打完补丁、装完所有 Agent清理日志后跑 sysprep再用 MDT 的抓取任务序列把整机做成 WIM 镜像后续部署直接使用这个镜像部署时间能从四十分钟压到十五分钟。MDT 里创建“Sysprep and Capture”任务序列参考机启动后 PXE 引导选择这个序列系统会自动 sysprep 并重启进 WinPE把镜像上传到部署共享的 Captures 目录。注意参考机的驱动不要装太多抓出来的镜像里会包含这些驱动换型号部署时反而容易冲突。6.2 把累积更新做成离线补丁包服务器系统版本一旦更新累积更新补丁就要重新集成。不用每次重做参考镜像可以下载最新累积更新 MSU 文件放到部署共享的 Packages 目录然后在任务序列的“Postinstall”→“Install Updates”步骤里指向这个目录。MDT 支持安装离线更新包部署完系统会自动打上补丁免去装完系统再连 WSUS 下载的等待。6.3 部署完怎么验证“这次没装歪”我一般会写一个部署后检测脚本放在任务序列最后一步的“Run Command Line”里调用检查系统版本、机器名、域名、阵列卡驱动、IP 配置和磁盘分区结果输出到一个共享目录的文本文件里# 部署验证脚本输出到网络共享 $out \\192.168.10.5\DeployLogs\$env:computername.txt ( ComputerName: $env:computername OSVersion: $((Get-ItemProperty HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion).DisplayVersion) JoinedDomain: $((Get-WmiObject Win32_ComputerSystem).Domain) Disk0Partition: $((Get-Partition -DiskNumber 0 -DriveLetter C).PartitionNumber) RAIDDriver: $((Get-PnpDevice -Class DiskDrive | Select-Object -First 1).FriendlyName) ) | Set-Content -Path $out脚本跑完后运维只需要打开日志目录批量查看就能确认每一台机器的最终状态。从那以后我每次批装前都会强制走一遍“先抓一台真机验证、确认日志格式、再放开批量”的流程。宁可在单台机器上多花十分钟也不要一次性把三四十台全部装完再发现规则写错。希望帮到你。本文还有配套的精品资源点击获取
