# 新机开荒 10 分钟：先做不可逆的决定

> Windows 11 26H2 新机首次设置清单：记录 build、启动更新、检查驱动、只删明显试用软件、设置隐私默认值，并备份 BitLocker 恢复密钥。

**测试环境**

- 版本号: 26300.9457
- 版本: Pro（26H2）
- 架构: x64
- 证据: E2
- 风险: R1
- 核验日期: 2026-10-28
- 测试机: PVE 9.2.2 VM 361；Windows 11 Pro 26H2 26300.9457；干净安装；VirtIO 存储/网络/串口驱动；已启用 RDP

VM 361 首次启动：Windows 11 Pro、26H2、build 26300.9457。这是更新步骤之前记录的基线。点击查看原图。

## 十分钟做决定，不是十分钟下完所有东西

新电脑不需要一套 40 步“优化仪式”。它需要按正确顺序做完几件**不可逆或代价很高**的事：**更新在跑、驱动不缺、恢复密钥已保存、你知道自己装了什么**。这四件事，才是这十分钟。

> **注意: 更新本来就会更久**
>
> Windows Update、固件和显卡驱动可能跑一个小时。把它们启动起来，把机器设到正常状态，然后让它们后台完成。不要每 30 秒点一次“检查更新”。

## 十分钟顺序

| 时间 | 做什么 | 为什么排在这里 |
|---|---|---|
| 0–1 分 | 记录版本、build、激活状态和网络 | 先有基线，后面才知道改了什么 |
| 1–4 分 | 启动 Windows Update，设活动时间 | 安全修复是收益最高的一步 |
| 4–6 分 | 看设备管理器，补 OEM/显卡驱动 | 缺网卡/存储驱动会卡住一切 |
| 6–7 分 | 装一个浏览器 + 密码管理器 | 这是你真正会用的账户入口 |
| 7–8 分 | 只删明显的 OEM 试用软件 | 避免误删 Store、Edge、WebView2 或运行库 |
| 8–9 分 | 设置你能解释的隐私默认值 | 默认值偏宽松，一次决定好过逐个应用改 |
| 9–10 分 | 备份 BitLocker 恢复密钥 + 第一次备份 | 加密没密钥等于给自己上锁 |
| 10 分后 | 电源、睡眠、重启验证 | 不能睡、不能重启的机器不算装好 |

## 0–1 分：记录基线

- [ ] **记下你买到的状态** (设置)

  打开 **设置 → 系统 → 系统信息**，记下版本和 build。打开 **设置 → 系统 → 激活**，确认是否已激活。想要一个对话框看全，运行 `winver`。

  预期结果: 版本、build、激活状态、网络都已记录。

运行 `msinfo32`，看 **BIOS 模式**、**Secure Boot 状态** 和 TPM 一行。新笔记本还要记下型号和 Windows 安装日期。以后出问题时，这就是“之前是什么样”。

```text
版本:   Windows 11 Pro
Build:  26300.9457
固件:   UEFI，Secure Boot On
TPM:    2.0 ready
```

如果系统没激活，先解决激活，再装一堆软件。干净系统上的激活问题最好查。

## 1–4 分：启动更新，然后别盯着它

- [ ] **启动 Windows Update** (设置)

  打开 **设置 → Windows 更新**，点 **检查更新**，能装的先装。设置 **活动时间**，避免你用电脑时自动重启。要求重启就重启；不要求就让它后台跑，继续下一步。

  预期结果: 更新正在下载或安装；活动时间已设置。

不要在新机器上用第三方“更新拦截器”。如果确实要推迟功能更新，用系统自带的暂停选项，并记下暂停到哪天。安全更新不要“为了快”停几个月——新电脑就是这样变成又旧又脆的。

> **警告: 重启也是安装的一部分**
>
> 很多“更新卡住”其实是等待重启。保存工作、重启、再检查。如果某个更新反复失败，先记 KB 号和错误码，再动服务或跑修复脚本。

## 4–6 分：在驱动找上门之前先找它

- [ ] **找未知设备** (终端（管理员）)

  打开 **设备管理器**（`devmgmt.msc`），展开 **其他设备** 和 **网络适配器**。黄色感叹号表示 Windows 没有可用驱动。到电脑/主板厂商支持页，按**具体型号**下载驱动，不要用驱动合集站。

  预期结果: 设备管理器没有黄色感叹号；网络、音频、显示正常。

有效顺序：

1. **芯片组 / 存储** 驱动，来自 OEM。
2. **Wi-Fi / 有线网卡** 驱动，尤其 OOBE 没网时。
3. **显卡** 驱动，来自 AMD、Intel、NVIDIA。
4. **音频 / 读卡器 / 指纹**，只有设备真的缺失才装。

Windows Update 能补一部分，但不能替代 OEM 的 Wi-Fi 或存储驱动。虚拟机里的“缺驱动”通常是 VirtIO 磁盘或串口设备；实验室处理见 [26H2 干净安装](https://winbook.fyi/zh/windows/install/clean/)。

> **警告: 不要跑“驱动大师”**
>
> 驱动包会把旧版、错版混在一起，出了事也说不清改了什么。新机器一个 OEM 页面 + 一个显卡厂商页面就够了。

## 6–7 分：一个浏览器，一个密码管理器

从官网装**一个**浏览器。登录、按需导入书签；确定要用再设默认。然后装密码管理器，打开浏览器扩展。

重点不是品牌，而是停止在 Microsoft 账户、邮箱、银行、购物网站复用同一个密码。密码管理器是这十分钟里收益最高、又不是 Windows 设置的一步。

不要在这一分钟装“电脑清理”“注册表优化”“驱动更新”工具。它们增加开机负担，却很少解决重启或厂商驱动页面解决不了的问题。

## 7–8 分：只删明显试用软件，不删系统组件

- [ ] **只卸载你认识的东西** (设置)

  打开 **设置 → 应用 → 已安装的应用**，按安装日期排序。卸载 OEM 试用软件、示例游戏和你没要求的重复工具。Microsoft Store、Edge、WebView2、.NET 和 Visual C++ 运行库不要动，除非你明确知道谁依赖它们。

  预期结果: OEM 试用软件和捆绑游戏已删；Store、Edge、WebView2 和运行库保留。

**不要**在新机器上跑“精简”PowerShell 脚本。它经常删掉 Store、搜索、小组件、WebView2 或计划任务，而其他应用还依赖这些；以后更新也更难排查。不想要某个应用，就删那个应用。“给整个系统做精简”是另一个项目，需要另一套风险预算。

## 8–9 分：设置你能解释的隐私默认值

打开 **设置 → 隐私和安全性**，做四个决定：

| 设置 | 实用默认 | 代价 |
|---|---|---|
| 诊断数据 | 仅必需 | 可选数据帮助微软排错，但正常使用不需要 |
| 广告 ID | 关 | 广告还在，只是不那么个性化 |
| 位置 | 不用地图/查找设备就关 | 天气、地图精度会下降 |
| 相机 / 麦克风 | 让应用询问 | 用逐应用列表控制，不要全局放行 |

再看 **设置 → 隐私和安全性 → 建议和优惠**，如果不想在设置和开始菜单里看推荐内容，可以关掉。一次决定好，不要装一个改了几十项你解释不了的“隐私脚本”。

## 9–10 分：加密和第一次备份

- [ ] **在需要之前保存 BitLocker 恢复密钥** (设置)

  打开 **设置 → 隐私和安全性 → 设备加密**（或 **管理 BitLocker**）。已加密就备份恢复密钥；没加密就决定要不要开——要开，先保存密钥。

  预期结果: 恢复密钥已保存到 Microsoft 账户或打印出来，你知道在哪。

恢复密钥不是密码。主板或 TPM 变了而你没有密钥，数据就没了。保存到 Microsoft 账户，**并且**留一份离线副本，放在硬盘坏了也能找到的地方。

然后做一个备份决定：

- **Windows 备份 / OneDrive**：文档、桌面、图片。
- **文件历史记录**：备份到移动硬盘。
- **磁盘映像**：想要完整回滚。

不要在同一分钟里开了 BitLocker 却跳过备份。先选一个、验证它，另一个以后补。

## 10 分之后：电源和一次真正的重启

- [ ] **检查睡眠并重启一次** (终端（管理员）)

  运行 `powercfg /a` 看有哪些睡眠状态。到 **设置 → 系统 → 电源和电池** 选一个你理解的模式（平衡是合理默认）。然后重启一次，确认网络和显示都回来。

  预期结果: 机器能睡眠和唤醒；重启后网络、音频、显示仍正常。

新电脑如果睡不着、放进包里被唤醒、重启后丢 Wi-Fi，那就不算“设置好”。先把这些修好，再装游戏或开发工具链。

## 实验室实际验证了什么（E2）

| 项目 | VM 361 结果 |
|---|---|
| 干净安装、版本/build | Windows 11 Pro 26H2，26300.9457 |
| UEFI / Secure Boot / TPM | UEFI、Secure Boot On、TPM 2.0 ready |
| VirtIO 存储 / 网络 / 串口 | 已装；`vioser.inf` 后 `qemu-ga` 连通 |
| 本地管理员 + RDP | 可用；3389 监听，局域网 TCP 可连 |
| Windows Update 完成 | **本次未完成** |
| BitLocker / 备份 | **未测试** |
| OEM 试用软件清理 | **不适用**（干净 ISO，无 OEM 镜像） |
| 浏览器 / 密码管理器 / 隐私 UI | **未测试** |

页面的顺序来自安装和驱动这部分实测。更新、加密、备份是标准 Windows 流程，但本次没有跑完；在实验室记录之前，按 E1 看待。

## 十分钟内不要做的事

- 不要装“精简版”ISO 或第三方 debloat 脚本。
- 不要为了“快”关掉 Windows Update、Defender 或防火墙。
- 不要不保存恢复密钥就开 BitLocker。
- 不要为了省空间删 Store、Edge、WebView2、.NET 或 VC++ 运行库。
- 不要在驱动和更新完成前判断性能。

## 相关页面

- [26H2 干净安装](https://winbook.fyi/zh/windows/install/clean/)：机器还没装系统时先看这篇。
- [选哪个 Windows 11？](https://winbook.fyi/zh/windows/start/versions/)：版本与服务分支。
- [游戏测量](https://winbook.fyi/zh/windows/gaming/measure/)：先测量，再调优。
- [WSL2 + Dev Drive 装到 D 盘](https://winbook.fyi/zh/windows/dev/wsl2/)：开发者把工具链移出 C:。

## 来源

- [Microsoft Learn — Windows Update 概述](https://learn.microsoft.com/zh-cn/windows/deployment/update/windows-update-overview)
- [Microsoft Learn — BitLocker](https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/data-protection/bitlocker/)
- [Microsoft Learn — Windows 备份](https://learn.microsoft.com/zh-cn/windows/configuration/windows-backup/)

---

来源页面: https://winbook.fyi/zh/windows/start/first-hour/