MDT任务序列中批量安装证书失败问题排查求助

问题描述 #

使用MDT部署任务序列调用PowerShell脚本批量安装证书，脚本采用CMD风格变量指定证书路径：

Import-Certificate -FilePath "%DeploymentRoot\Scripts\certs\cert1.cer" -CertStoreLocation Cert:LocalMachine\My
Import-Certificate -FilePath "%DeploymentRoot\Scripts\certs\cert2.cer" -CertStoreLocation Cert:LocalMachine\My

本地服务器用完整绝对路径测试可成功安装，但PXE部署后出现以下错误：

Unknown error (Error: 00002A95; Source: Unknown)
Task Sequence Engine failed! Code: enExecutionFail
Task sequence execution failed with error code 80004005
RegQueryValueExW is unsuccessful for Software\Microsoft\SMS\Task Sequence, SMSTSEndProgram
GetTsRegValue0 is unsuccessful. 0x80070002
Error Task Sequence Manager failed to execute task sequence, Code 0x80004005

核心原因 #

• PowerShell不自动解析CMD风格的%变量%语法，MDT的DeploymentRoot变量无法在PowerShell脚本中直接识别，导致路径解析失败。
• 0x80070002错误本质是文件未找到，说明客户端执行脚本时无法定位到证书文件。

解决方案 #

方案1：改用PowerShell风格调用MDT变量 #

在脚本中通过MDT的COM对象获取任务序列变量，替换原有CMD变量：

# 加载MDT任务序列环境对象
$TSEnv = New-Object -COMObject Microsoft.SMS.TSEnvironment
$deploymentRoot = $TSEnv.Value("DeploymentRoot")

# 导入证书
Import-Certificate -FilePath "$deploymentRoot\Scripts\certs\cert1.cer" -CertStoreLocation Cert:LocalMachine\My
Import-Certificate -FilePath "$deploymentRoot\Scripts\certs\cert2.cer" -CertStoreLocation Cert:LocalMachine\My

方案2：用CMD命令行替代PowerShell脚本 #

直接在任务序列中添加「运行命令行」步骤，使用certutil工具导入证书（兼容性更强）：

certutil -addstore -f "My" "%DeploymentRoot%\Scripts\certs\cert1.cer"
certutil -addstore -f "My" "%DeploymentRoot%\Scripts\certs\cert2.cer"

参数说明：-f强制覆盖已有证书，"My"对应Cert:LocalMachine\My存储区。

方案3：验证变量可用性 #

若不确定变量是否正常传递，可添加临时脚本输出MDT变量日志：

$TSEnv = New-Object -COMObject Microsoft.SMS.TSEnvironment
$TSEnv.GetVariables() | Out-File "C:\Temp\MDTVars.log"

部署完成后查看C:\Temp\MDTVars.log，确认DeploymentRoot是否指向正确的MDT共享路径。

额外注意事项 #

• 确保MDT部署共享的Scripts\certs目录权限正确，PXE客户端有读取权限。
• 执行PowerShell脚本的任务序列步骤需勾选「以最高权限运行」，避免权限不足导致证书导入失败。

内容的提问来源于stack exchange，提问作者Rick151