Windows 10 LTSC 2021 企业级黄金映像制作全流程：离线更新集成与双引导ISO教程
引言
在企业部署中，黄金映像 是效率与安全的基石——它是预集成最新补丁、驱动和配置的标准化系统模板，可避免每台设备重复在线更新，缩短部署周期。离线服务 是制作黄金映像的核心方法，通过DISM工具将更新直接注入install.wim，使设备从初始启动就处于安全基线。
一、核心概念铺垫
在深入实践之前，透彻理解几个核心概念是至关重要的。在映像服务领域，许多常见的失败源于对基础组件及其相互关系的误解。
1.1 Windows 映像格式：WIM vs ESD
Windows安装文件主要有两种格式，可服务性是其核心区别：
- WIM（Windows Imaging Format） ：
基于文件的映像格式，支持挂载修改（如添加更新、驱动）、多映像索引（一个文件包含多个Windows版本）和单实例存储（重复文件仅存一次，节省空间）。是离线服务的唯一可操作格式。 - ESD（Electronic Software Distribution） ：
高压缩率（比WIM小20%-30%）的只读格式，用于网络分发（如Media Creation Tool）。无法直接挂载修改，需转换为WIM后使用。
转换方法（以install.esd为例）：
查询ESD中的映像索引：
导出为WIM（以索引1为例）：
1.2 Windows 更新生态：SSU、LCU与.NET
离线服务的核心是正确集成更新，需理解以下类型及其依赖关系：
- 服务堆栈更新（SSU, Servicing Stack Update） ：
更新“服务堆栈”（负责安装其他更新的组件，如CBS引擎），相当于“给补丁安装程序打补丁”。必须先于LCU安装，否则LCU无法正确解析。 - 最新累积更新（LCU, Latest Cumulative Update） ：
每月「补丁星期二」发布的核心更新，包含自版本发布以来的所有安全/功能修复。需依赖最新SSU。
→ 深入了解：Windows 更新节奏全面解析（月度补丁/预览版/带外更新） - .NET Framework 更新：
独立累积更新，修复.NET框架的安全漏洞，需单独集成（大量应用依赖.NET，不可遗漏）。
关键顺序：SSU → LCU →.NET（颠倒顺序会导致0x800f0823错误，提示“需要新的服务堆栈”）。
二、准备工作——搭建操作环境
一个规范的环境是成功的基础，需解决权限、路径和工具问题：
2.1 安装Windows ADK
ADK（评估和部署工具包）包含离线服务必需的工具（DISM、oscdimg）：
下载：从微软官网获取与本机系统相匹配的ADK版本（建议21H2或更高）。
ADK下载 安装：仅需选择“部署工具”（包含DISM和oscdimg）。
启动：以管理员身份运行“部署和映像工具环境”（预配置环境变量，避免路径错误）。
2.2 规划工作目录
为避免路径问题，建议在根目录创建无空格的工作文件夹（如C:\WIM_Project），并按功能分类：
C:\WIM_Project
├─ 1_ISO_Source # 原始ISO提取的所有文件
├─ 2_Updates # 下载的更新包（SSU/LCU/.NET）
│ ├─ SSU # SSU更新
│ └─ LCU_NET # LCU和.NET更新
├─ 3_Mount # 挂载映像的临时目录（需为空）
└─ 4_ISO_Output # 最终生成的ISO文件
2.3 获取并准备源文件
- 下载官方ISO： 从VLSC（批量许可服务中心）或Visual Studio Subscriptions获取Windows 10 Enterprise LTSC 2021 x64纯净ISO。
→ 本站提供：Windows 10 LTSC 2021 MSDN 官方原版镜像（初始版本 19044.1288） - 提取文件：用7-Zip或文件资源管理器将ISO内容解压至
1_ISO_Source。 - 转换ESD为WIM：若
1_ISO_Source\sources下是install.esd，按1.1节转换为install.wim，替换原文件。
三、补丁搜寻——精准获取更新
Microsoft Update Catalog 是离线更新的官方来源，需掌握以下搜索技巧：
3.1 搜索技巧
- 按KB编号：最精确（如搜索
KB5062554获取LCU）。 - 按产品版本：组合关键词（如
Windows 10 21H2 x64 Servicing Stack）。 - 筛选结果：关注“Title”（更新类型/版本）、“Products”（需包含
Windows 10 LTSB）、“Architecture”（x64）。
3.2 示例：下载SSU/LCU/.NET
以Windows 10 LTSC 2021 x64为例：
SSU：搜索
Servicing Stack Update for Windows 10 Version 21H2 x64，下载.msu文件至2_Updates\SSU。
选择最新版本 LCU：搜索
KB5062554，选择“2025-07 Cumulative Update for Windows 10 Version 21H2 x64”，下载至2_Updates\LCU_NET。.NET：搜索
KB5056577，选择“2025-07 Cumulative Update for.NET Framework 3.5/4.8 for Windows 10 21H2 x64”，下载至2_Updates\LCU_NET。
命名建议：按安装顺序重命名（如01-SSU-19041.3562-x64.msu、02-LCU-KB5062554-x64.msu），避免顺序错误。
四、核心流程——使用DISM集成更新
DISM (Deployment Imaging and Servicing Management) 是微软官方的映像管理工具链核心，本次操作将展示其关键场景应用：
4.1 挂载映像
将install.wim挂载至3_Mount目录（需为空）：
- 参数说明：
/Index:1指定映像索引（LTSC 2021通常只有1个索引）；/MountDir指定挂载点。
4.2 第一步：集成SSU（关键！）
SSU是后续更新的基础，必须首先安装：
- 验证：安装后可通过
Dism /Get-Packages /Image:"C:\WIM_Project\3_Mount"查看SSU是否成功集成。
4.3 第二步：集成LCU
SSU安装完成后，再集成LCU：
4.4 第三步：集成.NET更新与启用功能
集成.NET更新：
离线启用.NET 3.5（企业常见需求，依赖原始ISO的
sxs文件夹）：- 参数说明：
/All启用所有父功能；/LimitAccess阻止连接Windows Update；/Source指定.NET 3.5的源文件路径（来自原始ISO）。
- 参数说明：
五、映像清理——精简与优化
集成更新后，需清理冗余组件，减小映像体积。注意：部分操作不可逆！
5.1 常规清理：
移除WinSxS中被取代的旧组件（安全且可逆）：
- 作用：回收旧更新占用的空间，不影响更新卸载。
5.2 深度清理：（不可逆！）
将当前更新“固化”为系统基准，不可逆（无法卸载更新），但能最大程度减小体积：
警告：
- 必须在所有更新/功能集成完成后执行；
- 执行后无法卸载任何之前集成的更新；
- 可能影响后续功能添加（如.NET 3.5），需确保所有功能已启用。
5.3 提交更改并卸载映像
完成清理后，将修改保存回install.wim并释放挂载点：
- 参数说明：
/Commit保存更改；若需放弃更改，用/Discard。
六、制作可引导ISO——兼容BIOS与UEFI
使用ADK中的oscdimg工具，将更新后的install.wim和原始文件打包为双引导ISO：
6.1 命令解析
参数说明：
-m：忽略映像大小限制；
-o：优化存储（重复文件仅存一次）；
-u2：使用UDF 2.0文件系统（支持长文件名和大文件）；
-udfver102：指定UDF版本；
-bootdata：定义双引导信息（2#表示2个引导条目）：-
p0,e,b"etfsboot.com"：BIOS引导（p0代表x86 BIOS，etfsboot.com是BIOS引导扇区）； -
pEF,e,b"efisys.bin"：UEFI引导（pEF代表UEFI，efisys.bin是UEFI引导文件）；
-
最后两个路径：源目录（
1_ISO_Source）和目标ISO路径。
6.2 验证ISO
制作完成后，需验证ISO的可引导性：
- 虚拟机测试：用VMware/Hyper-V加载ISO，检查是否能正常启动并安装。
→ 免费下载：VMware Workstation Pro 17.6.3 官方离线安装包 + Tools镜像 - 硬件测试：将ISO刻录至U盘（用Rufus选择“MBR+GPT”格式），在物理机上测试BIOS/UEFI启动。