核心是用msi包绑定gpo，通过unc路径分发、计算机配置下“已分配”部署、/qn等静默参数实现开机自动安装；需确保domain computers读取权限、禁用慢速链接检测，并经测试ou验证后再推广。
用组策略对象（gpo）批量自动部署软件，核心是把msi安装包和策略绑定，让域内计算机在启动或刷新策略时自动完成静默安装。它不依赖第三方工具，原生支持、可回滚、能集中控制版本和卸载，适合中大型windows域环境。
必须用MSI格式的安装包
组策略软件部署功能只识别标准MSI安装包。如果软件提供的是EXE（比如Chrome、微信、某些国产客户端），需要先转换：用Advanced Installer、WiX Toolset或Microsoft官方的msiexec /a命令尝试提取或重打包。部分厂商也提供企业版MSI下载（如Zoom、Teams、Adobe系列）。跳过这步直接扔EXE进去，策略会加载失败，日志里报“无效的安装源”。
- 共享路径建议用UNC格式，例如\fileserverppsoffice2021.msi
- 不要把安装包放在域控制器的本地磁盘上——高并发拉取会拖慢登录和复制服务
- 共享文件夹至少给“Domain Computers”组读取权限，否则客户端无权访问
分配（Assign）比发布（Publish）更常用
分配模式分两种：分配给计算机、分配给用户。前者在开机阶段以SYSTEM权限安装，所有用户都能用，适合办公套件、杀毒软件、打印机驱动等基础工具；后者在用户首次登录时触发，只对当前用户生效，适合个性化工具（如某部门专用报表插件）。
- 分配给计算机：路径为计算机配置 → 策略 → 软件设置 → 软件安装
- 分配给用户：路径为用户配置 → 策略 → 软件设置 → 软件安装
- 选中MSI后右键“属性”，部署类型选“已分配”，勾选“重新安装此应用程序，如果检测到缺少文件”可增强健壮性
别忽略慢速链接检测这个开关
默认情况下，组策略会检测网络速度，低于500 Kbps就判定为“慢速连接”，并跳过软件部署——这对远程办公、分支办公室尤其容易踩坑。解决方法是在同一GPO中配置：
- 计算机配置 → 管理模板 → 系统 → 组策略 → “组策略慢速链接检测”
- 设为“已启用”，并将阈值调高（如2000），或直接填0（强制视为快速连接）
- 该设置需在软件部署策略之前生效，建议和软件GPO放在同一个OU下或优先级更高
测试和上线要分两步走
切忌直接链接到全公司OU。先建一个测试OU（比如叫“GPO_Test_Workstations”），加入3–5台典型电脑，再把GPO链接过去。等策略生效后，检查事件查看器中的Application日志，筛选ID为1001、1002的MsiInstaller条目，确认安装状态和错误码。没问题再复制GPO、改名、链接到生产OU。
- 强制刷新策略可用gpupdate /force，但软件安装实际发生在下次重启（计算机分配）或登录（用户分配）
- 卸载也不用手动操作：在GPO编辑界面右键已部署的程序→“全部卸载”，保存后策略刷新即生效
- 若某台机器始终不装，先运行gpresult /h report.html确认GPO是否成功应用
