从 MSI 打包到 AD 域控推送，企业 IT 管理员如何用最少时间完成全员 2FA 部署？本文给出从准备到验收的全流程实战方案。
一、企业部署的三个阶段
第一阶段（1 周）：工具准备、MSI 打包、测试环境验证
第二阶段（2 周）：小范围试点（10-30 人）、收集问题与优化
第三阶段（1 个月）：全员推广、培训、考核与持续监控
二、MSI 静默安装包打包
官方提供 exe 安装包，企业需要使用 MSI Wrapper 或 Advanced Installer 转换为 MSI 格式，方便通过 GPO/SCCM 分发。命令行静默安装参数：
GoogleAuthenticator_Setup.exe /S /D=C:\Program Files\GoogleAuthenticator
三、AD 域控推送配置
- 将 MSI 包放到域控制器共享目录（如 \\domain\share\apps\）
- 打开 Group Policy Management，编辑目标 OU 的 GPO
- Computer Configuration → Software installation → New package
- 选择 MSI 文件，分配方式选择"Assigned"
- 重启员工电脑或执行 gpupdate /force 触发安装
四、组策略自动升级配置
推荐配置 GPO 自动检测新版本并升级，避免 IT 人员反复手动打包：
reg add "HKLM\SOFTWARE\GoogleAuthenticator" /v AutoUpdate /t REG_DWORD /d 1 /f
五、员工培训与推广
- 编写 1 页快速上手图文指南
- 录制 5 分钟视频教程供新员工学习
- 安排 IT 团队分组答疑，每组不超过 20 人
- 提供应急联系渠道处理突发问题
效率数据：采用 MSI + AD 域控方案后，100 人企业的全员部署时间从 2 周缩短至 1 小时，IT 维护成本降低 80%。