核心是用msi包通过计算机配置的gpo“已分配”方式部署，unc路径托管、配/qn等静默参数，重启触发安装并验证日志。
用组策略批量部署windows软件，核心是把安装行为从“人点鼠标”变成“系统自动执行”。它不依赖额外工具或客户端代理，只要设备加入域、使用msi安装包、策略配置到位，就能在后台静默完成安装、升级甚至卸载。关键不是“能不能装”，而是“怎么让装得稳、管得住、查得清”。
必须用MSI格式的安装包
组策略软件部署（GPSI）只认MSI文件，这是硬性前提。非MSI程序（比如常见的.exe安装器）必须先转换——可用免费工具如Advanced Installer或WiX Toolset打包成合规MSI，或寻找厂商是否提供官方MSI版本（例如Chrome、7-Zip、Notepad++都有现成MSI包）。ZAP方案虽存在，但功能受限、不支持静默参数和升级，实际中基本不用。
转换时注意两点：
- 确保MSI包自带完整依赖（如VC++运行库、.NET Framework版本），避免安装失败
- 测试安装命令行：用msiexec /i package.msi /qn /l*v install.log本地验证是否真静默、无报错
部署方式选“分配”而非“发布”
在组策略编辑器中，路径为：计算机配置 → 策略 → 软件设置 → 软件安装。右键“软件安装”→“新建程序包”，浏览到网络共享路径下的MSI文件后，会弹出选项：
- 分配给计算机：开机启动时自动安装，适用于所有域内电脑（如杀毒软件、终端管控Agent）
- 分配给用户：用户登录时触发，适合按部门/角色分发（如财务专用工具）
- 发布给用户：仅出现在“控制面板→程序和功能→安装程序”里，用户手动点才装，无法强制
生产环境强烈推荐“分配”，它支持策略刷新后自动修复损坏安装、自动升级（替换GPO中MSI文件即可）、自动卸载（删除GPO条目并启用“卸载此应用程序”选项）。
安装源必须放在域内可访问的网络位置
MSI文件不能放在本地硬盘或个人电脑上，必须托管在域控制器的SYSVOL共享，或独立文件服务器的域用户可读共享路径（如\dc01SYSVOLcontoso.comScriptsAppsglpi-agent.msi）。原因有二：
- 组策略通过UNC路径下发，客户端需能稳定访问该路径，否则策略应用失败且无明确提示
- SYSVOL本身由AD自动复制，多域控环境下天然高可用；自建文件服务器则需确保NTFS+共享权限同时放开：Authenticated Users至少具有“读取 & 执行”权限
策略生效与排错要点
部署后不是立刻生效，需要等待策略刷新周期（默认90分钟+随机偏移），也可手动触发：
- 客户端执行：gpupdate /force，然后重启（分配给计算机的软件通常需重启才安装）
- 查看是否成功：运行gpresult /h report.html生成HTML报告，搜索“已应用的软件安装”确认GPO命中
- 查失败原因：看%windir%debugUserModegpsvc.log，重点找“Error 1603”“Access is denied”等关键词
常见卡点：防火墙拦截SMB端口、客户端时间与域控偏差超5分钟导致Kerberos认证失败、MSI包被杀软拦截（建议临时禁用或加白名单）。
