Windows域中组策略强制部署软件本质是开机静默安装MSI包，需确保路径通、权限对、策略准；EXE须转MSI，分发源推荐专用文件服务器，共享与NTFS权限均需赋予Domain Computers读取权，GPO配置走计算机配置→已分配，关闭慢速链接检测，并用GPP补配置文件。
Windows 域环境中，用组策略强制部署软件，本质是让计算机开机时自动静默安装 MSI 包，全程无需人工操作。关键不在“点几下”，而在路径通、权限对、策略配得准。
必须用 MSI 包，EXE 得先转换
组策略原生只认标准 MSI 安装包。遇到 EXE（比如 Chrome、DeArrow、MTools），不能直接扔进去——会报“无效的安装源”。得先转换：
- 用 Advanced Installer、WiX 或 AdminStudio 封装成 MSI，并把静默参数（如 /quiet /norestart）或配置项（如服务器地址、许可证密钥）嵌入进去
- 部分厂商提供企业版 MSI 下载（如 Teams、Zoom、Adobe），优先选用
- 不建议用域控制器本地磁盘做分发源，高并发拉取会影响域服务；推荐用专用文件服务器，例如 \SRV01DeployDeArrow.msi
共享路径权限要开全
客户端得能读到这个 MSI 文件，否则策略加载就失败。共享文件夹和 NTFS 权限都要设：
计算机网络安全服务公司网站模板
下载
计算机网络安全服务公司网站模板是一款适合提供云安全、网络安全、服务器管理。数据安全服务公司宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。
- 共享权限：给 Domain Computers 组赋予“读取”
- NTFS 权限：同样给 Domain Computers 组“读取”和“读取与执行”
- 别漏掉中间文件夹的继承权限——路径中每一级文件夹都得让 Domain Computers 能进
GPO 配置走计算机配置 + 已分配
强制安装意味着所有用户都能用、开机就装，必须走“计算机配置”路径，不能选“发布”或“分配给用户”：
- 新建 GPO，链接到目标 OU（如“研发部计算机”），命名清晰便于后续维护
- 编辑 GPO → 计算机配置 > 策略 > 软件设置 > 软件安装 → 右键“新建程序包” → 输入完整 UNC 路径（\SRV01DeployDeArrow.msi）
- 右键该包 → 属性 → 部署类型选“已分配”，安装用户界面选“基本”，勾选“在登录时安装”
- 务必启用“重新安装此应用程序，如果检测到缺少文件”，增强容错能力
关掉慢速链接检测，避免部署跳过
默认组策略会测网速，低于 500 Kbps 就判定为慢速连接，直接跳过软件部署——这对远程办公、分支网点很常见：
- 在同一 GPO 中配置：计算机配置 > 管理模板 > 系统 > 组策略 → “组策略慢速链接检测”设为“已启用”
- 阈值调高（如 2000），或直接填 0（强制视为快速连接）
- 该设置需在软件部署策略之前生效，建议放在同一 OU 或更高优先级
纯 MSI 只管安装，配套配置（如 license.json、服务器地址）得靠组策略首选项（GPP）补上：用户配置 > 首选项 > Windows 设置 > 文件，设置“替换”操作，源为共享路径，目标为客户端对应位置。这样装完即可用，不用再手动配。
