Windows Server 2008 R2 修改 SID 完整教學：Sysprep 實戰與避坑指南

在虛擬機部署、磁碟克隆、映像佈署場景中，Windows Server 2008 R2 **無法使用舊工具 NewSID** 修改 SID (Security Identifier)，強行使用會導致藍畫面。微軟官方唯一支援方式是 **Sysprep (系統準備工具)**。本文記錄完整操作流程、關鍵參數、常見錯誤與無人值守應答檔進階用法。

⚠️ 核心原則：只能用 Sysprep，不能用 NewSID

• NewSID 修改機器 SID 的方式在 Server 2008 R2 / Windows 7 後**不再支援**，執行後重啟會藍畫面 (CRITICAL_PROCESS_DIED 等)。
• Sysprep 為官方唯一支援工具，位於 C:\Windows\System32\Sysprep\sysprep.exe。
• Sysprep 執行後會**重置機器 SID、移除裝置驅動、清除使用者設定檔、重置啟用狀態**，必須重新配置。

📋 操作前準備

1. 快照/備份：虛擬機建立快照、實體機備份系統分區 (Clonezilla/Macrium Reflect)。
2. 記錄當前 SID：下載 PSTools (PsGetSid)，管理員 CMD 執行 psgetsid 記錄機器 SID 與使用者 SID，供事後驗證。
3. 準備驅動/軟體安裝檔：Sysprep 後需重裝驅動、重新啟用 Windows/Office、重設使用者環境。
4. 確認無加密/壓縮/重導向資料夾：C:\Users、C:\ProgramData 若有 EFS 加密、NTFS 壓縮、連結點，Sysprep 會失敗。

🖥️ 圖形介面 (GUI) 執行步驟

1. 管理員身分執行 C:\Windows\System32\Sysprep\sysprep.exe。
2. 「系統清理動作」選 **「進入系統全新體驗 (OOBE)」**。
3. 「通用」 **務必打勾** (Generalize) —— 這是重新產生 SID 的關鍵。
4. 「關機選項」選 **「重新開機」**。
5. 點擊「確定」，系統開始處理，隨後自動重啟進入 OOBE 階段 (語言、鍵盤、網路、授權條款、建立使用者)。
6. 完成 OOBE 後，再次執行 psgetsid 驗證機器 SID 已改變。

⌨️ 命令列執行 (適合腳本/自動化)

cd C:\Windows\System32\Sysprep
sysprep /generalize /oobe /reboot

• /generalize：移除機器特有資訊 (SID、驅動、事件記錄等)。
• /oobe：重啟進入全新體驗模式。
• /reboot：自動重啟 (可改 /shutdown / /quit)。
• 常用組合：sysprep /generalize /oobe /shutdown /unattend:unattend.xml (配合應答檔)。

🤖 進階：無人值守應答檔 (unattend.xml) —— 保留設定、自動化 OOBE

Sysprep 後預設會失效：使用者設定檔、網路設定、Windows 啟用、時區、鍵盤、IE/Edge 設定等。使用 unattend.xml 可自動填入，保留所需配置。

關鍵應答檔片段範例

<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
  <settings pass="generalize">
    <component name="Microsoft-Windows-Security-SPP" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS">
      <SkipRearm>1</SkipRearm> <!-- 避免重置授權倒數，最多 3 次 -->
    </component>
    <component name="Microsoft-Windows-PnpSysprep" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS">
      <PersistAllDeviceInstalls>true</PersistAllDeviceInstalls> <!-- 保留已安裝驅動 -->
    </component>
  </settings>

  <settings pass="oobeSystem">
    <component name="Microsoft-Windows-International-Core" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS">
      <InputLocale>zh-TW</InputLocale>
      <SystemLocale>zh-TW</SystemLocale>
      <UILanguage>zh-TW</UILanguage>
      <UserLocale>zh-TW</UserLocale>
    </component>
    <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS">
      <OOBE>
        <HideEULAPage>true</HideEULAPage>
        <HideWirelessSetupInOOBE>true</HideWirelessSetupInOOBE>
        <HideLocalAccountScreen>true</HideLocalAccountScreen> <!-- 跳過建立本地帳號，直接用內建 Administrator -->
        <ProtectYourPC>3</ProtectYourPC> <!-- Windows Update 設定：3=不建議 -->
      </OOBE>
      <RegisteredOrganization>MyOrg</RegisteredOrganization>
      <RegisteredOwner>Admin</RegisteredOwner>
      <TimeZone>Taipei Standard Time</TimeZone>
    </component>
  </settings>

  <settings pass="specialize">
    <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS">
      <ComputerName>*</ComputerName> <!-- * = 隨機產生 -->
    </component>
  </settings>
</unattend>

使用方式

sysprep /generalize /oobe /reboot /unattend:C:\unattend.xml

建議用 Windows SIM (Windows System Image Manager) (Windows ADK 內建) 建立/驗證 unattend.xml，避免語法錯誤導致 Sysprep 失敗。

❌ 常見錯誤與解決

🔍 驗證 SID 變更

psgetsid
# 或
whoami /user
# 或 PowerShell
(Get-WmiObject Win32_ComputerSystem).Name + " : " + (New-Object System.Security.Principal.SecurityIdentifier (Get-ItemProperty "HKLM:\SECURITY\SAM\Domains\Account").V).Value

比對執行前記錄的 SID，機器 SID (S-1-5-21-... 結尾為 -500/-501 等) 應已改變。

⚖️ 法律與合規提醒

• 大量授權 (VL) 映像部署**必須**執行 Sysprep /generalize，否則違反微軟授權條款。
• 零售版/OEM 版克隆同樣建議 Sysprep，避免 WSUS/AD/DHCP/檔案伺服器衝突。
• 生產環境務必先測試環境驗證流程，確認應用程式、資料庫、服務正常後再推廣。

結語

Windows Server 2008 R2 修改 SID **唯一正途是 Sysprep**。掌握 /generalize /oobe /reboot 基礎指令，善用 unattend.xml 保留關鍵配置、自動化 OOBE，並配合 SkipRearm、PersistAllDeviceInstalls 避開常見坑點。操作前**快照備份、記錄 SID、準備驅動**，事後**驗證 SID 變更、補裝驅動、重新啟用、還原服務**，即可安全完成克隆/部署任務。