善用群組原則軟體部署：讓 Windows Server 2003 成為網管「減負」神器

前言：從「共享資料夾」走向「軟體部署」的範式轉移

傳統透過網路共享安裝軟體，不僅需手動逐台操作，還因共享權限鬆綁帶來安全隱憂。Windows Server 2003 內建的 群組原則軟體部署 功能，能將 MSI 封裝軟體「主動推送」至域內所有工作站，實現零接觸安裝，大幅降低網管負擔。

實戰案例：將 Adminpak.msi 部署至全域工作站

第一階段：建立部署共享資料夾

1. 在 NTFS 磁碟建立資料夾 Tools$（尾加 $ 為隱藏共享）。
2. 從 Server 2003 安裝光盤 I386 目錄複製 Adminpak.msi 至該資料夾。
3. 設定共享權限：Authenticated Users → 讀取、Administrators → 完全控制。

關鍵限制： 僅支援 MSI 格式 安裝包。非 MSI 軟體需先用 InstallShield 等工具重新封裝。

第二階段：建立群組原則物件 (GPO)

1. 以域管理員登入 DC，開啟「Active Directory 使用者和電腦」。
2. 右鍵域名（如 shyzhong.com）→ 內容 → 群組原則 → 新建 → 命名為 Software。
3. 編輯該 GPO：使用者設定 → 軟體設定 → 軟體安裝 → 右鍵內容 → 輸入 UNC 路徑 \\Server\Tools$\Adminpak.msi，勾選「顯示部署軟體對話框」與「基本」。
4. 右鍵「軟體安裝」→ 新建 → 套件 → 選取 Adminpak.msi → 發布模式選 已發布。
5. 命令列執行 gpupdate /force 強制刷新原則。

第三階段：工作站端零接觸安裝

使用者登入域後，開啟「新增/移除程式」→ 「新增新程式」→ 「從網路新增程式」，即可看到並一鍵安裝已發布的軟體。整過程無需管理員介入，且安裝來源為受管控的 UNC 路徑，杜絕了共享資料夾的權限濫用風險。

補充知識：MSI 與 Windows Installer 的關係

• MSI：Windows Installer 專用的安裝資料庫，含環境資訊、安裝/解除安裝指令集。
• Windows Installer (msiexec.exe)：讀取 MSI、套用 MST 轉換檔、執行安裝引擎。
• 雙擊 MSI 即觸發 msiexec.exe 自動安裝，企業部署的標準化基石。

小結

軟體部署功能將「被動下載」轉為「主動推送」，結合 MSI 標準與群組原則，構建起安全、可審計、可擴展的企業級軟體分發體系——這正是網管從「救火隊員」轉型為「架構師」的關鍵一步。