gpo静默安装msi需确保包为标准.msi格式、无ui序列，通过unc路径分发并赋权domaincomputers，gpo链接计算机ou后以“已分配”方式部署，配置/qn、reboot=reallysuppress、allusers=1等参数，验证策略应用及msiserver服务状态。
通过gpo分发msi软件包实现内网终端静默安装，核心是让windows installer在系统上下文自动执行安装动作，全程不弹窗、无需人工干预。关键不在“推过去”，而在“装得稳、配得准、升得顺”。
确保MSI包本身适配GPO静默场景
不是所有MSI都能直接用GPO静默部署：
- 必须是标准Windows Installer格式（.msi），不能是.exe封装包或.msp补丁包；若只有Setup.exe，尝试运行setup.exe /a提取网络安装点，再取其中的MSI
- 包内不能含强制UI序列（如自定义对话框、许可证页），否则/qn可能被绕过；可用Orca工具检查CustomAction表，移除交互式动作
- 如需全用户可用，安装时必须启用ALLUSERS=1，且MSI在构建时已设为“每台计算机安装”模式（非“每用户”）
用UNC路径托管并配置权限
GPO无法读取本地路径、映射盘符或HTTP链接，所有文件必须通过域内可解析的UNC共享分发：
- 将MSI复制到域控制器或专用文件服务器的共享目录，例如：\DC01Soft$App-v2.5.0.msi
- 共享权限中，授予DOMAINComputers组“读取”权限；NTFS权限同样赋予该组“读取和执行”+“列出文件夹内容”
- 在目标终端上，以SYSTEM身份验证路径可达：用PsExec -s cmd执行dir \DC01Soft$App-v2.5.0.msi，确认能返回文件信息
在GPO中正确配置“已分配”策略
软件安装必须绑定到计算机OU，并走系统级上下文执行：
- 在GPMC中，右键目标计算机OU → 创建GPO并链接 → 命名如“Deploy-App-v2.5”
- 编辑GPO → 计算机配置 → 策略 → 软件设置 → 软件安装 → 新建 → 程序包 → 浏览选择UNC路径下的MSI
- 部署方式选“已分配”，不是“已发布”；后者依赖用户登录后触发，且默认无管理员权限
- 双击该程序包 → “高级”选项卡 → 安装用户界面选/qn；命令行选项填入：REBOOT=ReallySuppress ALLUSERS=1（如需传配置参数，可加SERVER_URL="https://core.internal"）
验证与常见问题定位
安装失败往往不是策略没推，而是执行环节卡住：
- 手动刷新并确认策略应用：gpupdate /force → gpresult /h report.html，检查报告中是否列出该GPO及“已应用”状态
- 查看客户端事件日志：Windows日志 → 应用程序 → 筛选来源为MsiInstaller，错误ID 1603、1618、1704是高频线索
- 确认Windows Installer服务运行：sc query msiserver，状态应为RUNNING；精简版镜像常禁用此服务，需启用并设为自动
- 首次安装成功后，若后续升级失败，大概率是新版MSI的UpgradeCode未保持一致，导致GPO识别为新软件而非升级
