企业 IT 管理员新员工笔记本配置指南

适用读者：企业 IT 管理员、桌面支持工程师 目标：标准化新员工笔记本配置流程，从硬件准备到软件部署，确保快速、安全、合规地交付设备。

---

1. 新员工入职 IT 流程

1.1 入职前准备（HR 通知后）

时间线：入职前 3-5 个工作日

任务清单：
□ 收到 HR 入职通知（姓名、部门、职位、入职日期）
□ 确认硬件需求（笔记本型号、显示器、配件）
□ 准备硬件设备（从库存或采购）
□ 创建 AD 账号
□ 创建邮箱账号
□ 分配权限（文件夹、应用系统）
□ 配置笔记本电脑
□ 准备欢迎邮件和入职文档

1.2 入职当天

任务清单：
□ 交付笔记本电脑和配件
□ 协助首次登录
□ 配置 Outlook 邮箱
□ 映射网络驱动器
□ 安装部门专用软件
□ 培训基本操作（VPN、打印机、文件共享）
□ 签署 IT 资产领用单
□ 签署信息安全协议

---

2. 硬件准备

2.1 标准配置

职位类型	笔记本型号	配置	配件
普通员工	Dell Latitude 5440	i5-1345U, 16GB, 512GB SSD	鼠标、电脑包
工程师/研发	Dell Precision 5680	i7-13800H, 32GB, 1TB SSD	鼠标、扩展坞、27" 显示器
高管	Dell Latitude 9440	i7-1365U, 32GB, 1TB SSD	鼠标、电脑包、降噪耳机
生产操作员	瘦客户端	HP t640, 8GB, 32GB SSD	键盘、鼠标

2.2 硬件检查

开箱检查：
□ 外观无损坏
□ 序列号与采购单一致
□ 配件齐全（电源适配器、说明书）
□ 开机测试（BIOS、硬件自检）
□ 屏幕无坏点
□ 键盘、触摸板正常
□ 网卡、WiFi 正常
□ 摄像头、麦克风正常

2.3 资产登记

记录信息：
- 资产编号：IT-NB-2025-001
- 设备型号：Dell Latitude 5440
- 序列号：ABCD1234
- 采购日期：2025-11-01
- 保修期：3 年（至 2028-11-01）
- 分配给：张三（IT 部门）
- 分配日期：2025-11-11

工具：
- Excel 表格
- 资产管理系统（ServiceNow、Lansweeper）
- 贴资产标签

---

3. 操作系统安装与配置

3.1 安装 Windows 10/11 Enterprise

方法 1：使用厂商预装镜像（推荐）
- Dell、HP 等厂商提供企业版预装镜像
- 优点：驱动齐全、省时
- 缺点：可能包含厂商软件

方法 2：使用自定义镜像（MDT/SCCM）
- 使用 Microsoft Deployment Toolkit (MDT) 或 SCCM
- 优点：标准化、自动化
- 缺点：需要前期准备

方法 3：手动安装（小规模）
- 使用 Windows 10/11 Enterprise ISO
- 优点：灵活
- 缺点：耗时

3.2 BIOS 设置

开机按 F2 进入 BIOS：

安全设置：
□ 设置 BIOS 管理员密码
□ 启用 Secure Boot
□ 启用 TPM 2.0
□ 禁用 Legacy Boot（仅 UEFI）

启动顺序：
□ 1st Boot Device: Windows Boot Manager
□ 2nd Boot Device: Network Boot (PXE)

其他：
□ 禁用 USB Boot（可选，防止未授权启动）
□ 启用 Virtualization（VT-x/AMD-V）

3.3 Windows 初始配置

安装后首次启动：

区域和语言：
- 国家/地区：中国
- 时区：(UTC+08:00) 北京，重庆，香港特别行政区，乌鲁木齐
- 键盘布局：中文（简体，中国）

网络：
- 连接到公司 WiFi 或有线网络

账户：
- 跳过 Microsoft 账户
- 创建本地管理员账户：LocalAdmin
- 密码：复杂密码（记录在密码管理器）

隐私设置：
- 关闭所有遥测和诊断数据（企业环境）

3.4 激活 Windows

# 使用 KMS 激活（企业批量许可）
slmgr /ipk NPPR9-FWDCX-D2C8J-H872K-2YT43  # Windows 10 Enterprise KMS Client Key
slmgr /skms kms.pharma.local:1688
slmgr /ato

# 验证激活状态
slmgr /xpr
# 输出：Windows(R), Enterprise edition: The machine is permanently activated.

# 或使用 MAK 密钥（一次性激活）
slmgr /ipk XXXXX-XXXXX-XXXXX-XXXXX-XXXXX
slmgr /ato

---

4. 加入域

4.1 配置网络

# 设置 DNS 指向域控
Set-DnsClientServerAddress -InterfaceAlias "以太网" -ServerAddresses ("10.10.40.10","10.10.40.11")

# 验证 DNS
nslookup pharma.local
# 应返回域控 IP：10.10.40.10

4.2 加入域

# 方法 1：PowerShell
Add-Computer -DomainName "pharma.local" `
    -OUPath "OU=Laptops,OU=Computers,OU=Shanghai,DC=pharma,DC=local" `
    -Credential (Get-Credential PHARMA\Administrator) `
    -Restart

# 方法 2：GUI
# 1. 右键"此电脑" > 属性 > 更改设置
# 2. 点击"更改" > 选择"域" > 输入 pharma.local
# 3. 输入域管理员账号密码
# 4. 重启

4.3 重命名计算机

# 计算机命名规范：
# 格式：[地点]-[类型]-[部门]-[序号]
# 示例：SH-NB-IT-001（上海-笔记本-IT部门-001）

# 重命名并加入域（一步完成）
Add-Computer -DomainName "pharma.local" `
    -NewName "SH-NB-IT-001" `
    -OUPath "OU=Laptops,OU=Computers,OU=Shanghai,DC=pharma,DC=local" `
    -Credential (Get-Credential PHARMA\Administrator) `
    -Restart

---

5. 安装基础软件

5.1 软件清单

必装软件（所有员工）：
□ Microsoft Office 365 ProPlus
□ Google Chrome / Microsoft Edge
□ Adobe Acrobat Reader DC
□ 7-Zip
□ 微信企业版
□ 钉钉/飞书（如使用）
□ Symantec Endpoint Protection / CrowdStrike（防病毒）
□ Cisco AnyConnect（VPN）

IT 部门额外软件：
□ PuTTY / MobaXterm
□ WinSCP / FileZilla
□ Remote Desktop Manager
□ Wireshark
□ Visual Studio Code
□ Python 3.x

研发部门额外软件：
□ ChemDraw
□ GraphPad Prism
□ Python / R
□ Git
□ Anaconda

质量部门额外软件：
□ Minitab
□ JMP

5.2 自动化部署（使用 PowerShell）

# 使用 Chocolatey 包管理器
# 安装 Chocolatey
Set-ExecutionPolicy Bypass -Scope Process -Force
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072
iex ((New-Object System.Net.WebClient).DownloadString('https://community.chocolatey.org/install.ps1'))

# 安装基础软件
choco install googlechrome -y
choco install adobereader -y
choco install 7zip -y
choco install vlc -y
choco install notepadplusplus -y

# 或使用 Winget（Windows 11 内置）
winget install --id Google.Chrome --silent
winget install --id Adobe.Acrobat.Reader.64-bit --silent
winget install --id 7zip.7zip --silent

5.3 Office 365 部署

# 使用 Office Deployment Tool (ODT)
# 1. 下载 ODT：https://www.microsoft.com/en-us/download/details.aspx?id=49117
# 2. 创建配置文件：configuration.xml

# configuration.xml 示例：
<Configuration>
  <Add OfficeClientEdition="64" Channel="MonthlyEnterprise">
    <Product ID="O365ProPlusRetail">
      <Language ID="zh-cn" />
      <Language ID="en-us" />
      <ExcludeApp ID="Groove" />
      <ExcludeApp ID="Lync" />
    </Product>
  </Add>
  <Display Level="None" AcceptEULA="TRUE" />
  <Property Name="AUTOACTIVATE" Value="1" />
</Configuration>

# 3. 下载 Office 安装文件
.\setup.exe /download configuration.xml

# 4. 安装 Office
.\setup.exe /configure configuration.xml

5.4 通过 GPO 部署软件

步骤：
1. 将 MSI 安装包放到网络共享：\\pharma.local\software\
2. 打开 GPMC（组策略管理控制台）
3. 创建新 GPO：Software Deployment - Chrome
4. 编辑 GPO：
   - Computer Configuration > Policies > Software Settings > Software installation
   - 右键 > New > Package
   - 选择 \\pharma.local\software\chrome.msi
   - 选择 Assigned（强制安装）
5. 链接 GPO 到目标 OU
6. 客户端运行：gpupdate /force
7. 重启后自动安装

---

6. 安全配置

6.1 启用 BitLocker 加密

# 检查 TPM 状态
Get-Tpm

# 启用 BitLocker（需要 TPM 2.0）
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 备份恢复密钥到 AD
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId (Get-BitLockerVolume -MountPoint "C:").KeyProtector[0].KeyProtectorId

# 查看 BitLocker 状态
Get-BitLockerVolume

6.2 配置 Windows Defender

# 启用实时保护
Set-MpPreference -DisableRealtimeMonitoring $false

# 启用云保护
Set-MpPreference -MAPSReporting Advanced

# 启用自动样本提交
Set-MpPreference -SubmitSamplesConsent SendAllSamples

# 添加排除项（如需要）
Add-MpPreference -ExclusionPath "C:\Program Files\CustomApp"

# 更新病毒定义
Update-MpSignature

# 运行快速扫描
Start-MpScan -ScanType QuickScan

6.3 配置 Windows 防火墙

# 启用防火墙（所有配置文件）
Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled True

# 查看防火墙状态
Get-NetFirewallProfile | Select-Object Name, Enabled

# 允许特定程序（示例：允许 Chrome）
New-NetFirewallRule -DisplayName "Allow Chrome" -Direction Inbound -Program "C:\Program Files\Google\Chrome\Application\chrome.exe" -Action Allow

6.4 禁用不必要的服务

# 禁用 Windows Search（可选，节省资源）
Stop-Service -Name "WSearch" -Force
Set-Service -Name "WSearch" -StartupType Disabled

# 禁用 Xbox 服务
Get-Service -Name "XblAuthManager","XblGameSave","XboxNetApiSvc","XboxGipSvc" | Stop-Service -Force
Get-Service -Name "XblAuthManager","XblGameSave","XboxNetApiSvc","XboxGipSvc" | Set-Service -StartupType Disabled

# 禁用 Telemetry
Stop-Service -Name "DiagTrack" -Force
Set-Service -Name "DiagTrack" -StartupType Disabled

---

7. 用户配置

7.1 创建 AD 用户账号

# 在域控上执行
New-ADUser `
    -Name "张三" `
    -GivenName "三" `
    -Surname "张" `
    -SamAccountName "zhang.san" `
    -UserPrincipalName "zhang.san@pharma.local" `
    -Path "OU=IT,OU=Users,OU=Shanghai,DC=pharma,DC=local" `
    -AccountPassword (ConvertTo-SecureString "TempP@ssw0rd!" -AsPlainText -Force) `
    -Enabled $true `
    -ChangePasswordAtLogon $true `
    -EmailAddress "zhang.san@pharma.com" `
    -Title "IT Support Engineer" `
    -Department "IT" `
    -Company "Pharma Corp" `
    -OfficePhone "+86-21-12345678" `
    -MobilePhone "+86-138-0000-0000"

# 添加到组
Add-ADGroupMember -Identity "GG_IT_Staff" -Members "zhang.san"
Add-ADGroupMember -Identity "GG_VPN_Users" -Members "zhang.san"

7.2 创建邮箱（Exchange）

# 在 Exchange 服务器上执行
Enable-Mailbox -Identity "zhang.san" -Database "Mailbox Database 01"

# 设置邮箱配额
Set-Mailbox -Identity "zhang.san" -IssueWarningQuota 45GB -ProhibitSendQuota 49GB -ProhibitSendReceiveQuota 50GB

# 添加邮箱权限（如需要）
Add-MailboxPermission -Identity "shared.mailbox@pharma.com" -User "zhang.san" -AccessRights FullAccess -InheritanceType All

7.3 分配文件夹权限

# 在文件服务器上执行
# 添加用户到文件夹权限组
Add-ADGroupMember -Identity "GG_FileServer_IT_Write" -Members "zhang.san"

# 或直接设置 NTFS 权限
$acl = Get-Acl "\\pharma.local\shares\IT"
$permission = "PHARMA\zhang.san","Modify","Allow"
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission
$acl.SetAccessRule($accessRule)
Set-Acl "\\pharma.local\shares\IT" $acl

---

8. 客户端配置

8.1 配置 Outlook

自动配置（推荐）：
1. 打开 Outlook
2. 输入邮箱地址：zhang.san@pharma.com
3. 输入域账号密码：PHARMA\zhang.san
4. Outlook 自动发现 Exchange 服务器并配置

手动配置：
1. 控制面板 > 邮件 > 电子邮件账户 > 新建
2. 选择"手动设置或其他服务器类型"
3. 选择"Microsoft Exchange"
4. 服务器：exchange.pharma.local
5. 用户名：zhang.san

8.2 映射网络驱动器

# 方法 1：PowerShell
New-PSDrive -Name "H" -PSProvider FileSystem -Root "\\pharma.local\shares\home\zhang.san" -Persist
New-PSDrive -Name "S" -PSProvider FileSystem -Root "\\pharma.local\shares\IT" -Persist

# 方法 2：通过 GPO（推荐）
# 在 GPO 中配置：User Configuration > Preferences > Windows Settings > Drive Maps
# H: → \\pharma.local\shares\home\%username%
# S: → \\pharma.local\shares\IT

# 方法 3：登录脚本
net use H: \\pharma.local\shares\home\%username% /persistent:yes
net use S: \\pharma.local\shares\IT /persistent:yes

8.3 安装打印机

# 方法 1：通过打印服务器
Add-Printer -ConnectionName "\\printserver.pharma.local\HP-LaserJet-Floor3"

# 方法 2：通过 GPO 部署
# 在 GPO 中配置：User Configuration > Preferences > Control Panel Settings > Printers

# 方法 3：手动添加
# 设置 > 设备 > 打印机和扫描仪 > 添加打印机
# 选择"我需要的打印机不在列表中"
# 选择"按名称选择共享打印机"
# 输入：\\printserver.pharma.local\HP-LaserJet-Floor3

8.4 配置 VPN

Cisco AnyConnect 配置：
1. 安装 Cisco AnyConnect 客户端
2. 打开 AnyConnect
3. 输入 VPN 服务器地址：vpn.pharma.com
4. 输入域账号：PHARMA\zhang.san
5. 输入密码
6. 输入 MFA 代码（如启用）
7. 连接成功

自动配置（通过 GPO）：
- 预配置 VPN 服务器地址
- 预配置证书
- 用户只需输入账号密码

---

9. 系统优化

9.1 Windows 更新

# 检查更新
Get-WindowsUpdate

# 安装所有更新
Install-WindowsUpdate -AcceptAll -AutoReboot

# 或通过 WSUS/SCCM 集中管理（推荐）

9.2 性能优化

# 禁用视觉效果（提升性能）
Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\VisualEffects" -Name "VisualFXSetting" -Value 2

# 禁用休眠（节省磁盘空间）
powercfg /h off

# 清理磁盘
cleanmgr /sagerun:1

# 优化 SSD（启用 TRIM）
Optimize-Volume -DriveLetter C -ReTrim -Verbose

9.3 电源管理

# 设置电源计划为"高性能"（台式机）
powercfg /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c

# 或"平衡"（笔记本）
powercfg /setactive 381b4222-f694-41f0-9685-ff5bb260df2e

# 设置屏幕关闭时间（10 分钟）
powercfg /change monitor-timeout-ac 10
powercfg /change monitor-timeout-dc 5

# 设置睡眠时间（30 分钟）
powercfg /change standby-timeout-ac 30
powercfg /change standby-timeout-dc 15

---

10. 交付与培训

10.1 交付清单

硬件：
□ 笔记本电脑（已配置）
□ 电源适配器
□ 鼠标
□ 电脑包
□ 显示器（如适用）
□ 扩展坞（如适用）

账号信息：
□ 域账号：PHARMA\zhang.san
□ 初始密码：TempP@ssw0rd!（首次登录需更改）
□ 邮箱：zhang.san@pharma.com
□ VPN 地址：vpn.pharma.com

文档：
□ IT 入职指南
□ VPN 使用说明
□ 文件共享访问指南
□ 打印机使用说明
□ IT 服务台联系方式

签署：
□ IT 资产领用单
□ 信息安全协议
□ 可接受使用政策（AUP）

10.2 用户培训（15 分钟）

培训内容：
1. 首次登录（域账号）
2. 更改密码
3. 配置 Outlook 邮箱
4. 访问文件共享（H: 盘、S: 盘）
5. 连接 VPN
6. 安装打印机
7. 提交 IT 工单（ServiceNow/邮件）
8. 信息安全注意事项：
   - 不要共享密码
   - 不要点击可疑邮件链接
   - 离开时锁定电脑（Win+L）
   - 不要安装未授权软件

10.3 欢迎邮件模板

主题：欢迎加入 Example Corp - IT 账号信息

尊敬的张三，

欢迎加入 Example Corp！

您的 IT 账号已创建，详细信息如下：

域账号：EXAMPLE\zhang.san
邮箱：zhang.san@example.com
初始密码：TempP@ssw0rd!（首次登录需更改）

常用资源：
- 公司内网：https://intranet.example.com
- IT 服务台：https://servicedesk.example.com
- 文件共享：\\example.local\shares
- VPN 地址：vpn.example.com

如有任何问题，请联系 IT 服务台：
- 邮箱：it.support@example.com
- 电话：+86-21-1234-5678
- 工单系统：https://servicedesk.example.com

祝工作顺利！

IT 部门

---

11. 故障排查

11.1 常见问题

问题 1：无法加入域

错误：找不到网络路径

解决方案：
1. 检查 DNS：nslookup example.local
2. Ping 域控：ping dc01.example.local
3. 检查防火墙
4. 检查时间同步

问题 2：Outlook 无法连接

错误：无法连接到 Exchange 服务器

解决方案：
1. 检查网络连接
2. 测试 Autodiscover：https://testconnectivity.microsoft.com
3. 手动配置 Exchange 服务器地址
4. 检查邮箱是否已创建

问题 3：无法访问文件共享

错误：没有权限访问

解决方案：
1. 检查用户是否在正确的 AD 组
2. 检查 NTFS 权限
3. 检查共享权限
4. 运行：gpupdate /force

---

12. 自动化脚本

12.1 一键配置脚本

# NewEmployeeSetup.ps1
param(
    [string]$ComputerName,
    [string]$Username
)

# 1. 重命名计算机并加入域
Add-Computer -DomainName "pharma.local" `
    -NewName $ComputerName `
    -OUPath "OU=Laptops,OU=Computers,OU=Shanghai,DC=pharma,DC=local" `
    -Credential (Get-Credential PHARMA\Administrator) `
    -Force

# 2. 安装基础软件
choco install googlechrome adobereader 7zip -y

# 3. 启用 BitLocker
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 4. 配置防火墙
Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled True

# 5. 映射网络驱动器
New-PSDrive -Name "H" -PSProvider FileSystem -Root "\\pharma.local\shares\home\$Username" -Persist

# 6. 重启
Restart-Computer -Force

---

参考资源： - Microsoft Endpoint Manager 文档 - Windows 10/11 部署指南 - Active Directory 最佳实践