gOxiA=苏繁=SuFan Blog

微软发布 Windows 部署"四部曲"

        今天这篇日志不是一篇纯技术分享，只是四个微软官方文档的推荐，非常适合那些计划部署 Windows 11、Windows 365 以及 Azure Virtual Desktop 的 ITPro，这仅是三部曲，那第四部其实是使用 Configuration Manager 执行 In-place upgrade（就地升级）。整个文档采用了带入式体验，提供了精心设计的学习内容，同时还与阅读者互动，甚至可生成用于部署的脚本，使大家能够更深入投入到文档学习和部署实践中。

        下来让我们一睹芳容！

Windows 11 setup guide，其中还蕴藏了很多相关产品/服务的 setup guide，内容十分丰富，绝对是宝藏级手册！

Windows 365 Enterprise deployment checklist，根据不同的部署选项，对不同检查进行分类并根据优先级进行说明。

Azure Virtual Desktop setup guide

In-place upgrade with Configuration Manager，跟随向导学习相关的知识内容，并提供部署相关信息，便可在最后生成部署脚本导入到我们的CM中进行实践。

即可行动起来！！！

体验 Sudo for Windows

        有一段时间没有更新日志了！昨天，微软向 Windows Insider Release Preview Channel 推送了 Windows 11 24H2 - 26100.712，包含了不少新的特性和功能，其中的 sudo 是 gOxiA 特别感兴趣的。是的，你没看错！在 Windows 上我们可以使用 sudo 了，其实早在 26052 时就开始内置 sudo 的支持。

        Sudo for Windows 与 xNIX 中 sudo 的用途类似，都是用来实现用户提权执行命令的，对于 sudo for Windows 主要是基于 UAC 的提权，并且它不支持普通账户，这些基本概念要注意！

        命令提示符下，不像 UI 界面可以通过选项或热键去激活 UAC 提权，当我们打开 CMD 或 PowerShell 执行一段命令，发现它需要进行 UAC 提权时，通常会重新以 UAC 提权（管理员身份运行）方式打开 CMD 或 PowerShell 再重新执行命令行，这将会经历一系列的键盘或鼠标的切换操作流程！毕竟我们不是每一次都记得先去做 UAC 提权。

        现在有了 sudo 一切都变得方便了许多，gOxiA 现在已经把“终端”应用中的“以管理员身份运行此配置文件”的选项关闭了，不用每次涉及到命令行的都要去确认一次 UAC 提权，并且打开终端的速度也快了许多！

        sudo for Windows（以下简称 sudo）出于安全性考虑，默认是禁用的，并且它被归类在“开发者选项”中。我们需要进入 Windows 设置，转到“系统”下的“开发者选项”才能找到 sudo 配置，如果你想快速找到它，可以在 Windows 设置的搜索框中键入 sudo 来查找。

        如上图所示，当我们打开 sudo 后，可以看到三个 sudo 运行选项：“在新窗口中、禁用输入、内联”。三者中第一个是最为安全的，也是系默认配置，之后依次排列。三个选项根据说明还是很容易理解的，但配合参数后 gOxiA 认为一些安全使用逻辑还有待改进完善！下面让我们分步了解一下这三个选项。

        1. “在新窗口中”，其对应 -N 或 --new-window 参数。当我们通过 sudo 执行命令后，将会启动带有提权的 sudo 会话进程，在经过用户确认后即可提权运行后续的指令，并以新窗口形式运行。

        2. “禁用输入”，其对应 --disable-input 参数。即执行的命令将基于当前窗口运行 UAC 提权的进程，但其输入句柄将会被关闭，避免已经提升的进程从当前窗口接收指令。

        3. “内联”，其对应 --inline 参数。意思就是直接将当前窗口进程进行提权，与 2 类似但将已提权模式继续处理后续的输入。

        三个选项的逻辑很清晰，但我们在实际运用中会发现，必须先将 sudo 配置为“内联”或“禁用输入”后，才能使用对应的参数选择性的去执行（运行模式由安全级别低向高排序）。否则，将会提示 无法在计算机上以高于XXXX模式的模式运行 ！（PS：那么到底是要临时安全还是始终安全呢？！）

        sudo 更多的参数可执行运行命令获取，不再复述。此外，我们还需要注意的是 sudo 不具有 runas 命令的功能，要运行 sudo 必须是管理员级别的账号，普通账号在执行 sudo 后将提示“不允许你运行 sudo”。

        sudo 目前已经支持通过 GPO 配置，路径是“计算机配置 - 管理模板 - 系统 - 配置 sudo 命令的行为”。

官方文档： Sudo for Windows

HOWTO: 管理 Windows 上的 Copilot

        24年被誉为 AI 元年，AI 大迸发使我们每天每刻都能源源不断地看到相关的信息。在 Windows 上引人注目的恐怕是其 Copilot 功能，我们在任务栏上轻轻点击 Copilot 图标即可开始一段奇妙惊艳的 AI 体验之旅。微软作为负责任的AI的主导者，遵循 AI 原则，为我们提供了安全可靠的 AI 服务，并且在 AI 隐私和安全方面不断完善，这一点毋庸置疑！即便如此，一些组织可能还是比较畏惧 AI，并且希望立刻在 Windows 上禁用 Copilot 这一功能，着实有些百思不得其解。在本文正式内容开始前，很有必要先了解一下什么是 Windows 中的 Copilot。

        从官方介绍解读，Windows Copilot可以帮助我们从整个 Web 获取答案和灵感，支持创造力和写作，并帮助我们专注于手头的任务。如果使用 Windows Copilot 可以按下 Win+C 热键，如果你已经拥有了 AI PC，可以按下键盘右下侧的 Copilot 键，以激活 Windows Copilot 侧栏。从下面两张图可以看到两个不同的使用界面/场景，第一个是基于 Web 的，也是大家最常见常用的，可以与 Copilot 对话，获取到有用的帮助，除此之外它还能执行一些基本的 Windows 设置、任务，甚至是进行 Windows 疑难解答；如果当前设备使用 M365 账号登录 将会看到适用于 工作 的第二个界面，它将链接 M365 中的相关服务和内容提升我们的工作效率。

        回到正文，如果当前组织 IT 确实需要暂时禁用 Windows Copilot，可以借助 GPO 或 CSP。

  
• GPO
    
    
• 用户配置 - 管理模板 – Windows 组件 – Windows Copilot，关闭 Windows Copilot
  

  
• CSP（设置目录 or 自定义 CSP）
    
    
• ./User/Vendor/MSFT/Policy/Config/WindowsAI/TurnOffWindowsCopilot
  

  
• Registry
    
    
• SOFTWARE\Policies\Microsoft\Windows\WindowsCopilot\TrunOffWindowsCopilot
  

        策略参考：WindowsAI Policy CSP | Microsoft Learn

        Manage Copilot in Windows：在 Windows 中管理 Copilot | Microsoft Learn