企业终端自动安装镜像封装核心是“一次做对、千台一致”，依赖adk+sysprep构建可复用、可审计的标准化镜像；须经定制（审核模式下配置）、泛化（/generalize仅一次）、捕获（dism封装）三步，跳过任一环节将导致sid冲突、驱动缺失等问题。
企业终端自动安装环境的镜像封装，核心不是“做得快”，而是“一次做对、千台一致”。它依赖微软原生工具链（adk + sysprep）构建可复用、可审计、可长期维护的标准化镜像，而非第三方一键封装工具。关键在于：先定制、再泛化、后捕获——跳过任一环节，都可能在批量部署时引发sid冲突、驱动缺失、激活失败或组策略异常。
模板机必须用虚拟机+原版ISO搭建
物理机作为模板风险高：硬件残留难清理、快照回滚不便、驱动混杂。推荐使用Hyper-V或VMware Workstation创建干净虚拟机，从MSDN或VLSC获取的Windows 10/11企业版LTSC原版ISO安装。安装时选择GPT分区，系统盘预留至少50GB未分配空间。安装完成后，禁用BitLocker、断开微软账户、关闭Windows安全中心实时防护，并确保未激活（slmgr /xpr返回“未授权”）。
所有配置必须在审核模式（Audit Mode）下完成
不要在普通桌面环境下装软件、配策略、打补丁。正确流程是：首次进入系统后，按Shift+F10打开命令提示符，运行
c:\windows\system32\sysprep\sysprep.exe /oobe /audit /reboot
系统重启后直接进入审核桌面（无用户登录）。在此状态下安装网卡/芯片组驱动、静默部署Office和内部客户端、导入组策略备份、设置默认浏览器与锁屏壁纸。全部操作完成后，执行shutdown /r /t 0重启一次，确保所有注册表项和服务配置持久写入。
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
Sysprep通用化必须带/generalize且仅执行一次
审核模式配置完毕后，以管理员身份运行：
%WINDIR%\System32\Sysprep\Sysprep.exe /generalize /oobe /shutdown
注意三点：必须含/generalize参数；关机选项只能选“关机”（严禁重启或注销）；整个生命周期最多执行8次，建议只用1次。执行完成后系统自动关机——此时镜像已清除SID、事件日志、设备驱动缓存、激活状态，并重置OOBE流程。立刻用WinPE启动，用DISM命令捕获：
dism /Capture-Image /ImageFile:D:\win10-enterprise.wim /CaptureDir:C:\ /Name:"Enterprise-2026-Q2" /Compression:max
部署前必须验证OOBE与SID重生成
将封装好的WIM镜像部署到测试机，首次开机必须完整进入OOBE界面（显示“欢迎使用Windows”，而非直接跳登录屏）。进系统后，用PowerShell运行：
(Get-WmiObject Win32_ComputerSystem).Name ——确认计算机名已重置
whoami /user ——比对SID是否与原模板机不同
若卡在“正在准备Windows”超10分钟，大概率是第三方杀软服务残留或非微软启动项未禁用，需回到审核模式用msconfig清理后再重新Sysprep。
