前言：部署完成后的“配置漂移”挑战
在前面的系列文章中，我们解决了操作系统“如何快速、标准化地安装到硬件上”的问题。然而，在系统交付并投入运行后，IT 运维团队往往会面临一个更棘手的问题：配置漂移（Configuration Drift）。
随着时间推移，管理员可能会手动修改某台服务器的注册表、开发者可能会在测试机上安装未经审批的组件、或者某些安全策略被意外禁用。这些微小的、未经记录的变更累积起来，会导致环境不一致、安全漏洞甚至系统崩溃。为了解决这一问题，我们需要从“命令式”的脚本执行，转向“声明式”的状态管理——这正是 PowerShell DSC（Desired State Configuration，期望状态配置）的核心价值。
什么是 PowerShell DSC？核心理念解析
PowerShell DSC 是微软内置于 Windows 管理框架（WMF）中的配置管理平台。它的核心理念是基础设施即代码（IaC）和声明式编程。
- 传统脚本（命令式）：告诉系统“怎么做”（How）。例如：
if (服务未启动) { 启动服务 }。如果服务已经启动，脚本可能会报错或产生不可预知的副作用。 - DSC（声明式）：告诉系统“期望的状态是什么”（What）。例如：
确保该服务处于运行状态。DSC 引擎会自动检查当前状态，如果不符合期望，则自动进行修复；如果已经符合，则不做任何操作（幂等性）。
DSC 的核心架构与关键组件
要掌握 DSC，必须理解其工作流中的三个关键阶段和组件：
- 编写（Authoring）：使用 PowerShell 编写 DSC 配置脚本（Configuration），定义目标节点的期望状态。
- 编译（Staging/Compiling）：将配置脚本编译为 MOF（Managed Object Format）文件。MOF 是一种平台无关的文本文件，描述了具体的配置指令。
- 应用（Enacting）：本地配置管理器（LCM，Local Configuration Manager）读取 MOF 文件，并调用相应的 DSC 资源（DSC Resources）将系统调整为期望状态。
实战：编写你的第一个 DSC 配置
以下是一个典型的 DSC 配置示例，用于确保目标服务器安装了 IIS（Web-Server），并且 W3SVC 服务处于运行状态，同时确保特定的防火墙规则已开启。
Configuration WebServerConfig { # 导入 DSC 资源模块 Import-DscResource -ModuleName PSDesiredStateConfiguration # 定义目标节点（可以是计算机名或 IP） Node "WebServer01" { # 确保 IIS 功能已安装 WindowsFeature IIS { Ensure = "Present" Name = "Web-Server" } # 确保 W3SVC 服务正在运行，且依赖于 IIS 安装完成 Service W3SVC { Ensure = "Present" Name = "W3SVC" State = "Running" DependsOn = "[WindowsFeature]IIS" } # 确保防火墙放行 80 端口 FirewallRule WebFirewall { Ensure = "Present" Name = "Allow-HTTP-In" DisplayName = "Allow HTTP Inbound" Direction = "Inbound" Action = "Allow" Enabled = "True" Profile = "Any" LocalPort = "80" Protocol = "TCP" } } } # 编译配置，生成 MOF 文件 WebServerConfig -OutputPath "C:\DSC\Output"执行上述代码后，DSC 会在C:\DSC\Output目录下生成一个名为WebServer01.mof的文件。
应用模式：Push 模式与 Pull 模式
生成 MOF 文件后，需要将其应用到目标节点。DSC 提供了两种主要的部署模式：
1. Push 模式（推送模式）
适用于小型环境或临时配置。管理员主动将 MOF 文件推送到目标节点并立即执行。
# 将配置推送到目标节点并立即应用 Start-DscConfiguration -Path "C:\DSC\Output" -ComputerName "WebServer01" -Wait -Verbose2. Pull 模式（拉取模式）
适用于企业级大规模环境。管理员搭建一个 DSC Pull Server（拉取服务器，可基于 SMB 或 HTTP/HTTPS），目标节点的 LCM 被配置为定期向 Pull Server 轮询，自动下载最新的 MOF 文件并应用。这种模式实现了真正的自动化和持续合规。
持续合规：自动修复配置漂移
DSC 最强大的功能在于其持续监控和自动修复能力。通过配置目标节点的 LCM（Local Configuration Manager），我们可以让系统定期自我检查。
[DSCLocalConfigurationManager()] Configuration LCMConfig { Node localhost { Settings { RefreshMode = "Pull" # 使用 Pull 模式 ConfigurationModeFrequencyMins = 30 # 每30分钟检查一次状态 RefreshFrequencyMins = 60 # 每60分钟从 Pull Server 拉取新配置 ConfigurationMode = "ApplyAndAutoCorrect" # 发现漂移自动修复 } } }当ConfigurationMode设置为ApplyAndAutoCorrect时，如果有人手动停止了 W3SVC 服务，LCM 会在下一个检查周期（30分钟）发现状态不一致，并自动重新启动该服务，从而彻底消除配置漂移。
进阶：自定义 DSC 资源与社区生态
虽然 Windows 内置了PSDesiredStateConfiguration模块，提供了文件、注册表、服务、环境变量等基础资源，但在实际运维中，我们往往需要管理更复杂的应用（如 SQL Server、Exchange 或特定的第三方软件）。
此时，可以利用PowerShell Gallery中的社区资源。例如，使用xWebAdministration模块来管理 IIS 站点和应用程序池，或使用SqlServerDsc模块来配置 SQL 实例。
# 安装社区 DSC 资源模块 Install-Module -Name xWebAdministration -Force Install-Module -Name SqlServerDsc -Force此外，具备 PowerShell 开发能力的管理员还可以使用New-DscResource命令编写自定义的 DSC 资源，将企业特有的配置逻辑封装为可复用的模块。
常见排错与日志分析
在 DSC 实施过程中，最常遇到的问题是 MOF 编译失败或应用时报错。
- 查看 LCM 状态：使用
Get-DscLocalConfigurationManager查看 LCM 的当前配置和状态。 - 分析 DSC 日志：DSC 的详细日志记录在 Windows 事件查看器中，路径为：
应用程序和服务日志 -> Microsoft -> Windows -> Desired State Configuration -> Operational。 - 测试当前状态：在不实际修改系统的情况下，使用
Test-DscConfiguration命令来检查当前系统状态是否与 MOF 文件中的期望状态一致。如果返回True，则表示系统合规。
结语：迈向基础设施即代码
PowerShell DSC 将 Windows 系统管理从“手动敲击命令”和“编写脆弱的脚本”提升到了“声明式状态管理”的高度。无论是结合 MDT 进行部署后的初始化配置，还是作为 Intune 现代管理的补充，DSC 都能确保您的 Windows 环境始终处于预期的安全与功能状态。掌握 DSC，是 Windows 运维工程师向 DevOps 和自动化架构师转型的关键一步。
