1. 安装前的准备工作先把地基夯实SCCMSystem Center Configuration Manager现在也叫 Microsoft Endpoint Configuration Manager这玩意儿的安装说难不难说简单也绝对不简单。系列文章前面两篇咱们已经把 AD 域环境、SQL Server、WSUS 这些前置依赖都捋了一遍到这篇才真正轮到 SCCM 本体上场。如果你是把整个系列从头跟下来的那现在服务器应该已经有了域控也正常SQL 装好了WSUS 也通了。要是前面哪一步还没搞定我劝你先别急着往下走SCCM 安装失败十有八九都是前置环境的问题而不是安装向导本身的问题。这篇文章我打算按自己的实操习惯来讲也就是先核对前置条件再走安装向导然后做站点初始化和基础配置最后把常见报错整理成速查表。这样安排的好处是哪怕你是第一次装 SCCM也能照着一步步来而不是等到报错了才回头翻文档。先说清楚这台 SCCM 服务器要承担什么角色因为我给的安装配置方法是基于 CAS Primary 这种大型环境之外的场景也就是最常见的中小型环境——单台 Primary Site 服务器数据库和站点角色都装在同一台机器上。这个架构也是微软官方推荐的起步形态等后面站点扩了、客户端数量上来了再考虑把数据库拆到独立 SQL Server 或者加 Secondary Site那是后话。装 SCCM 之前有几件事我建议你在心里先过一遍避免装到一半发现哪里不对AD 域环境必须是健康的SCCM 安装过程要读写很多 AD 属性尤其是 System Management 容器权限不够会直接报错。SQL Server 的排序规则默认 Latin1_General_CI_AS 就行别手贱改成别的。服务器时间要和域控同步偏差太大会导致 Kerberos 认证失败SCCM 安装时的很多步骤都依赖认证。防火墙端口需要在安装时就规划好后面我会列一张常用端口表。安装账号必须是域管理员或者至少要具备本地管理员权限同时要有 SQL Server sysadmin 权限。这些点看着琐碎但每一个都能让安装过程卡死别问我怎么知道的全是拿时间换来的教训。2. 安装向导核心步骤拆解一步都不能跳2.1 准备安装文件与启动安装向导SCCM 安装文件一般有两种来源一种是直接从 VLSCVolume Licensing Service Center或 M365 管理员中心下载 ISO 镜像另一种是微软评估中心下载 180 天试用版适合做实验环境。无论哪一种解压或挂载之后你会看到一个SMSSETUP文件夹里面有BIN、TOOLS等子目录。注意一定要以管理员身份运行SMSSETUP\BIN\X64\setup.exe因为安装过程会向 AD 写入和注册很多东西普通权限会直接失败。启动安装向导后第一个有选择性的页面是“开始使用”里面有三个入口安装 Configuration Manager 站台服务器、恢复站台服务器、从另一台机器下载安装文件。咱们选第一个“安装 Configuration Manager 主站点服务器”然后点“下一页”。这里有个小细节如果你是想做报表点或者其他扩展后面也可以通过“管理中心站点”或“辅助站点”的方式来加角色不用重新装一遍。2.2 产品密钥与许可协议产品密钥这一步不同类型的环境选择完全不一样。微软官方给了三种模式评估版Evaluation不需要密钥适合 PoC 环境180 天后可以升级到正式版。正式版需要输入 25 位密钥一般是 VLSC 账号里对应产品的 Key。已安装的许可证如果你之前已经在这个操作系统上装过 SCCM 的正式版会用这个选项来延用。实验环境我一般直接选评估版省事。生产环境请老老实实输入正式 Key因为 SCCM 的许可模式是 Server CAL或者按用户/设备订阅装完之后还有授权合规的问题别等到微软来敲门才想起来补。接着是许可条款勾选同意就行这个没什么好讲的。再往下会提示安装“Configuration Manager 主站台”需要具备的组件包括.NET Framework 4.8若缺失向导会提示WSUS 3.0 SP2 或 Windows Server 的 WSUS 角色用于软件更新点角色ADKWindows 评估和部署工具包用于操作系统部署SQL Server Native Client每项都列出了状态绿色的勾代表满足黄色的叹号代表需要马上处理。在这里最容易出问题的是 ADK很多人在装完 SCCM 主程序后才想起来做 OSD 镜像引导结果发现 ADK 版本不对又得折腾一遍。我的建议是安装前就把 ADK 装好版本参考你当前操作系统发行版对应的 Windows ADK 版本。比如 Windows Server 2022 环境搭配 ADK for Windows 11这个在微软文档里能查到对应关系。2.3 站点类型与安装路径规划现在到了比较关键的选择站点类型。因为咱们没有 CAS所以直接选“主站点”Primary Site。旁边会问你是否要将此主站点设为默认站点这个默认站点在环境里只有一个主站点时是无所谓的但如果是多主站点环境建议选“是”方便后续管理。站点代码和站点名称这边我要多说两句。站点代码是 SCCM 内部使用的三位字符标识只能包含字母和数字而且必须是唯一的不能用数字开头比如P01、LAB都行。站点名称是一段可读描述比如“Production Primary Site – 上海总部”。这两个字段装完之后是能改的但是特别麻烦——站点代码改起来基本上等于重装站点名称好一点但也没必要冒这个险起名的时候一次性想清楚最靠谱。安装路径我强烈建议装在非系统盘比如D:\Program Files\Microsoft Configuration Manager。原因不是系统盘不能用而是 SCCM 运行久了会产生大量日志、临时文件和内容库文件系统盘分区一般都比较小容易把 C 盘塞满到时候哭都来不及。我见过很多生产环境都是 C 盘红了才发现问题一查全是 SCCM 的日志和内容库。还有个“配置站点数据库安装”页面如果前面 SQL 还没装向导会在这里提醒你。正常情况我们已经在环境里准备好了 SQL Server那么这里就选择“使用现有 SQL Server 实例”。数据库名可以默认也可以自定义成CM_P01这种有辨识度的名字。数据库文件位置建议也指到非系统盘的路径道理和安装路径一样——SCCM 的数据库增长很快尤其是硬件清单和软件清单数据一个月就能涨好几个 GB。提示安装 SCCM 的服务器本身的 Windows 防火墙可以开启但一定要放行 SCCM 需要的端口。端口不通的话客户端与站台之间的通信会非常痛苦后面排错也很麻烦。2.4 站点组件角色勾选再往下是“配置站点系统角色”这里会出现几个组件管理点Management Point分发点Distribution Point软件更新点Software Update Point传统的做法是先装主程序再在控制台慢慢添加角色。但我个人推荐在安装向导这一步就把管理点和分发点勾上因为这两个是 SCCM 正常运行的基础角色客户端入库、内容分发都要靠它们。软件更新点可以稍后配因为它依赖 WSUS你可以在装完 SCCM 后再把 WSUS 挂到软件更新点上这样能减少安装向导里的耦合点。如果你想把分发点装到其他服务器上那也可以在向导里不选后面通过控制台添加站点系统服务器来实现。不过第一次部署我建议先都装在同一台 Primary Site Server 上等运行稳定了再逐步拆分角色。关于安装选项里“自动将站点服务器加入安全组”这类细节保持默认即可。安装完成后你可以在 AD 里看到 SCCM 创建了几个通用安全组比如SMS_SiteSystemToSiteServerConnection_xxx这一类的是 SCCM 正常运作的一部分别看着奇怪就删掉。3. 安装完成后的初始化配置才是真正上手的开始3.1 通过“先决条件检查”是第一步胜利安装向导在真正开始安装前会执行一次“先决条件检查”。这个检查会扫描前面讲到的所有依赖项包括 SQL Server 版本、WSUS、ADK、权限、防火墙端口等。如果检查不通过安装会停在这里等你修完再继续。这里我放一个我自己常用的检查清单你可以对着看当前用户是否为域管理员、本地管理员、SQL Server sysadmin。服务器是否加入了域。SQL Server 是否已启用混合模式认证不建议纯 Windows 认证某些报表组件会需要 SQL 登录。Windows Server 服务中Windows Update服务是否已设为非禁用状态。相关端口是否被占用尤其是 1433SQL 默认实例端口、80管理点/分发点、8530WSUS 默认非 SSL 端口、443HTTPS 通信端口。如果检查出现红色错误双击报错条目可以看到详细日志路径默认在C:\Program Files\Microsoft Configuration Manager\Logs\ConfigMgrSetup.log。这个日志会记录每一步执行的具体命令和失败原因比控制台上的错误信息有用得多。第一次检查如果不通过冷静下来读日志大部分错误原因都很直白。如果你收到“此服务器不满足软件更新点先决条件”之类的提示多半是 WSUS 没装或没配好。解决方法是去服务器管理器里把 WSUS 角色装上然后打开 WSUS 控制台做一次“服务器清理向导”或至少等到 WSUS 数据库初始化完成再回 SCCM 向导里重新跑检查。这个步骤我第一次装的时候折腾了大半天后来才知道就是 WSUS 还没初始化完毕SCCM 的软件更新点检测程序连不上 WSUS 的 API 而已。3.2 正式安装过程中的日志监控技巧前置检查通过后点击“安装”就开始正式安装了。这一步不需要人为干预但你可以实时观察安装进度。在安装过程中SCCM 会依次完成以下任务创建 AD 容器System Management在 SQL Server 上创建数据库和相应表部署站点服务器安装管理点和分发点角色创建默认报表文件夹整个过程快则 30 分钟慢则 1~2 个小时取决于服务器的磁盘性能和 SQL 初始化速度。中间如果出现某个角色失败安装向导不会整个回滚而是标记对应角色为“未安装”然后继续装后面的内容。所以安装结束后一定要回头检查每个角色的状态别只看到“完成”两个字就以为万事大吉。如果你想实时看到内部细节可以用 CMTrace 工具打开ConfigMgrSetup.log这个工具自带在SMSSETUP\TOOLS\文件夹里。CMTrace 的优点是它能自动高亮错误和警告日志滚动也不会卡顿定向排查体验远胜记事本。3.3 控制台打开后必做的五件事安装完成之后桌面上会出现“Microsoft Endpoint Configuration Manager 控制台”图标。第一次打开控制台我强烈建议你不要急着去配置各种功能而是先做下面这五件事按顺序来检查站点状态在“管理” “站点配置” “站点”里查看站点状态是否显示为“活动”。如果站点状态是“配置失败”或“正在配置”回到日志查原因。配置发现方法在“管理” “发现方法”里启用“Active Directory 用户发现”和“Active Directory 系统发现”。这是让 SCCM 能扫描到域内用户和计算机的前提。发现方法里面可以设置轮询间隔我一般用默认的每 7 天一次全量扫描再手动点击“立即运行完整发现”验证一遍。配置边界与边界组在“管理” “层次结构配置” “边界”里添加 IP 子网或 AD 站点作为边界然后创建边界组把它们分配到站点。这一步是客户端自动分配站点的依据不配置的话客户端会一直处于“未分配”状态。验证管理点和分发点状态在“管理” “站点配置” “服务器和站点系统角色”里确认管理点和分发点都是“已安装”状态。如果有问题右键“重新安装”或直接看mpcontrol.log和distmgr.log。把 SCCM 管理服务注册为高可用这不是必选但如果你后续要做高可用站点建议在安装完就注册好。你可能会问为什么我强调先做这些因为大多数 SCCM 学习者和新手最容易卡在“客户端装上了但迟迟没有出现在控制台”这一关而这一关绝大多数问题都出在发现方法、边界组没有配好。把这些地基打好后面的客户端部署和软件下发才会顺。4. 常见安装问题与排查心得全是踩坑换来的4.1 “站点服务器到 SQL Server 连接失败”的排查思路这是一个非常经典的报错可能会出现在前置检查中也可能在安装中途弹出来。最直接的原因就是 SQL Server 的网络连接有问题。排查顺序我建议是这样确认 SQL Server 服务是否启动。在 SQL Server 配置管理器里查看SQL Server (MSSQLSERVER)服务状态如果服务停了启动它。确认 SQL Server 监听端口。默认 1433如果改过端口SCCM 连接字符串那边也要对应改。检查方法是netstat -ano | findstr 1433。确认 Windows 防火墙是否放行了 1433 端口。这个很关键因为 SCCM 安装在远程服务器上的时候防火墙没放行会导致连接超时。确认 SQL Server 是否开启了 TCP/IP 协议。SQL Server 配置管理器里如果SQLEXPRESS实例的 “Protocols” 中 TCP/IP 是禁用状态就启用它并重启服务。最后检查 SQL Server 账号的权限。SCCM 在安装时会创建一个名为sa的 SQL 登录账号如果你选了混合模式认证并赋予sysadmin权限。如果这一步权限不足后面所有写库操作都会失败。我实操中遇到过一种很隐蔽的情况SQL Server 是采用默认实例安装的但服务器名解析有问题导致 SCCM 连不上。后来发现是 DNS 里有一条旧记录指到了别的 IP。解决方法是把服务器名称换成 FQDN比如cm01.contoso.com来连接或者在 hosts 文件里临时指定解析。这个问题不太容易想到我特意写在这里提醒大家。4.2 “发现方法不生效AD 同步不到用户/计算机”的排查方法装完 SCCM 之后如果发现“发现方法”里运行结果显示“成功”但迟迟看不到资产先不要慌大概率不是安装问题而是权限或配置问题。最常见的坑是System Management容器没有被正确创建或者 SCCM 服务器账户没有对容器的完全控制权限。验证方法是打开 ADSI Edit在CNSystem下面找到CNSystem Management然后右键属性在“安全”标签页里查看 SCCM 服务器计算机账号是否具备“读取”和“写入”等权限。如果没有就手动给这个容器添加 SCCM 服务器账号的“完全控制”权限或者重新运行一次 SCCM 安装补丁Setup.exe 支持对现有站点做“修复”。还有一个容易忽略的点发现方法里设置的“活动目录容器”必须指定到正确的 OU 或路径比如LDAP://OUComputers,DCcontoso,DCcom。如果路径写错了SCCM 只会静默跳过不会报错这也是很多新手困惑“明明配置了为什么没发现”的原因。我建议在配置里同时选中“增量发现”和“立即运行完整发现”然后去控制台稍等几分钟刷新如果没有出现再去看adsysdis.log的详细记录。4.3 客户端安装失败的经典场景SCCM 安装完成后下一步最常做的就是推送客户端。很多人在这一步会遇到客户端安装失败报错码五花八门最常见的有0x80041002、0x87d00227等其实根源往往是防火墙没放行 SCCM 相关端口135、139、445 等。客户端机器无法访问站点服务器的共享目录\\CM01\SMS_站点代码。客户端机器的时间与服务器偏差太大导致 Kerberos 认证失败。客户端已经有旧版的 Configuration Manager 遗留下来冲突导致安装回滚。针对这些我建议你先用命令行手动测试一下ping CM01看网络是否能通。net use \\CM01\SMS_P01看是否能访问共享目录。在客户端机器上手动运行ccmsetup.exe /source: \\CM01\SMS_P01\Client来做本地安装测试。手动安装的日志会留在客户端机器的%windir%\ccmsetup\logs\ccmsetup.log里通过看这日志能定位 90% 的客户端安装问题。4.4 安装过程中的端口与防火墙整理成速查表说到防火墙我就把 SCCM 环境下最常用的端口整理成一张表方便你照着配置。注意如果这套环境只在内部运行且网络安全策略允许也可以简单点直接把 SCCM 服务器和客户端的防火墙全关掉不推荐生产环境这么做但放行端口才是最稳妥的做法。通信方向端口用途客户端 → 管理点80/443策略请求、客户端通信客户端 → 分发点80/443内容下载客户端 → 软件更新点8530/8531WSUS 通信客户端 → 站点服务器135, 445客户端推送、共享访问站点服务器 → SQL Server1433或自定义数据库连接站点服务器 → 域控389/636AD 读取管理点 → 站点服务器80/443转发客户端请求这张表没有把 SMS_SITE_MP 到 SQL 的全部内部端口列进来因为很多是动态分配的但上面这些是最基本、最会影响安装和客户端通讯的。你按这个表去放行基本能解决一大半网络层面的问题。5. 把安装过程留好记录后续升级和维护会轻松很多安装 SCCM 不是一个“一键完成”的动作整个过程中的版本信息、部署拓扑、账号权限、数据库配置都应该记录在案。我个人的习惯是每部署一套新环境都会整理一份“部署档案”文档内容包括SCCM 版本号比如 2303、2311以及 ADK 版本。SQL Server 的版本和排序规则。站点代码、站点名称、站点服务器 FQDN。安装账号是谁、权限如何分配的。边界组里配置了哪些边界DHCP 还是 IP 子网。客户端推送安装的命令行参数。软件更新点的 WSUS 配置细节是否使用 SSL端口是 8530 还是 8531。别嫌麻烦。等过了半年你发现一个客户端怪事需要确认当初是怎么配的这份档案能救你一命。而且 SCCM 的升级路径在微软官方是很讲究的版本跳跃有严格要求你留好当前版本和数据库信息升级前对照官方文档就不会走弯路。还有一个经验就是安装日志文件的备份。SCCM 安装完成后C:\Program Files\Microsoft Configuration Manager\Logs和C:\Windows\CCM\Logs里的日志特别是用 CMTrace 能看到的部分建议定期归档到非系统盘或者在升级前整体拷贝一份。因为 SCCM 的很多疑难杂症要靠历史日志来对照分析你不能等出事了才发现日志已经被清理或覆盖了。6. 最后分享点个人体会我装 SCCM 装得不算少每次装完都有一种“终于搞定了”的感觉但也深知这仅仅是开始。SCCM 这套系统真正精深的地方不在安装而在于安装之后如何把各种功能用起来——软件分发、补丁管理、操作系统部署、合规性设置每一个模块单独拿出来都可以写好几篇长文。另外我提醒一点SCCM 的安装向导虽然能帮你搞定大部分默认配置但从一开始就要有“命名规范”和“规划意识”。比如站点代码、站点名称、边界组的命名若你未来可能会扩展到多个站点或做跨地域管理这些命名就会直接影响可维护性。别等到站点多了才想起来规范那时候改起来是动刀子的事。如果你装到了这一步恭喜你已经拿到了通向 SCCM 世界的门票。后面的路还很长但每走一步都会发现这个工具能帮你把重复的运维工作装进自动化流水线里。客户端部署、软件更新、设备清单、报表统计……每个功能都会让你觉得当初花在这些安装细节上的时间是值得的。