新装 Windows Server 后必须用 PowerShell 初始化系统，以实现可用、可控、可复现状态：需先解除执行策略限制，再批量禁用冗余服务与遥测、卸载非必要组件、自动初始化数据盘、配置运维账户及 BitLocker，并保存为脚本一键复用。新装 Windows Server 后，用 PowerShell 初始化系统不是“锦上添花”，而是让服务器真正进入可用、可控、可复现状态的第一步。它能快速清掉冗余服务、禁用遥测、配置基础安全策略、初始化数据盘、设置网络和用户——整个过程脚本化执行，避免手动点选遗漏或出错。
一、初始化前必须做的准备
确保你以管理员身份运行 powershell（右键开始菜单 → “windows terminal（管理员）”或“powershell（管理员）”）。首次使用需解除脚本执行限制：
- 运行
Get-ExecutionPolicy查看当前策略 - 若返回
Restricted，执行：Set-ExecutionPolicy RemoteSigned -Force
这允许本地编写的脚本运行，同时保留对远程脚本的签名要求，兼顾安全与实用性。
二、系统级精简：关服务、删预装、禁遥测
Windows Server 默认启用大量后台服务和诊断组件，生产环境通常不需要。PowerShell 可批量停用并设为禁用：
- 停用 Windows 搜索服务（非域控场景极少需要）：
Stop-Service WSearch -Force; Set-Service WSearch -StartupType Disabled - 禁用遥测与诊断跟踪：
Stop-Service DiagTrack, dmwappushservice -Force; Set-Service DiagTrack -StartupType Disabled; Set-Service dmwappushservice -StartupType Disabled - 卸载非必要内置应用（如 Media Player、XPS Viewer）：
Get-WindowsCapability -Online | Where-Object Name -like "*Media*" | Remove-WindowsCapability -Online<br>Get-WindowsCapability -Online | Where-Object Name -like "*XPS*" | Remove-WindowsCapability -Online
三、数据盘自动初始化与挂载
云服务器或物理机加挂的新硬盘，默认处于“脱机+未初始化”状态。PowerShell 可全自动完成 MBR/GPT 分区、格式化、分配盘符：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 列出所有磁盘，识别新盘（
OperationalStatus -eq "Offline"或PartitionStyle -eq "RAW"）：Get-Disk | Where-Object {$_.PartitionStyle -eq 'RAW' -or $_.OperationalStatus -eq 'Offline'} - 初始化为 GPT（推荐，支持 >2TB 且更现代）并在线：
Initialize-Disk -Number 1 -PartitionStyle GPT -PassThru | Set-Disk -IsOffline $false - 新建分区并格式化为 NTFS，挂载为 D:：
New-Partition -DiskNumber 1 -UseMaximumSize -DriveLetter D | Format-Volume -FileSystem NTFS -NewFileSystemLabel "Data" -Confirm:$false
四、基础安全与账户配置
开荒阶段就该把最小权限和基础防护立住，而不是等出问题再补：
- 创建标准运维账户（非 Administrator）：
New-LocalUser "opsadmin" -Password (ConvertTo-SecureString "P@ssw0rd123!" -AsPlainText -Force) -FullName "Ops Admin" -Description "Daily admin account" - 将其加入 Administrators 组：
Add-LocalGroupMember -Group "Administrators" -Member "opsadmin" - 禁用内置 Administrator 账户（降低攻击面）：
Disable-LocalUser -Name "Administrator" - 启用 BitLocker（若系统盘为固定 SSD 且支持 TPM）：
Enable-BitLocker -MountPoint "C:" -EncryptionMethod Aes256 -TpmProtector
五、保存为可复用脚本，下次一键重跑
把上述命令整理成 init-server.ps1，放在 C:\Scripts 下。以后重装或部署新服务器，只需：
- 复制脚本到目标机
- 以管理员身份运行：
Set-Location C:\Scripts; .\init-server.ps1
配合组策略（gpedit.msc）做持久化管控（比如禁止自动更新重启、强制密码策略），PowerShell 负责“一次到位”，组策略负责“长期守住”。两者配合，才是真正稳健的初始化闭环。
