向日葵Sunlogin如何实现远程开机后自动绑定主机到指定账号？
向日葵远程开机后，用U盘绿色包+账号预埋JSON实现自动绑定主机，全程可审计、无管理员权限、合规留存。
功能定位：为什么“远程开机→自动绑定”必须一次到位
远程开机只是第一步，若主机重启后未自动归队，IT 仍需人工扫码或输入验证码，合规日志就会出现“空档期”。向日葵在 2026 版把“绿色被控包 + 账号预埋”做成官方通路，让主机在 BIOS 拉起后 30 秒内完成绑定，审计链不断档，也省去本地管理员权限。
前置条件与版本边界
截至当前的最新版本（Windows 被控端 16.1.3）已内置“无人值守自动绑定”开关，但要求：①主板支持网络唤醒且 BIOS 开启 WOL；②首次开机必须由 DHCP 拿到地址；③绿色包需在关机前已写入账号令牌。macOS 与 Linux 被控端暂只支持半自动绑定，需人工点一次“确认”。
方案 A：U 盘绿色包预埋令牌（零安装）
1. 下载与配置
控制台→【设备管理】→【绿色被控包】→勾选“写入账号令牌”→生成 6 MB 的 SunloginGreen.exe。此时会在同目录落下 account.json，里面只有三行：uid、token、expire，国密 SM4 加密，明文不可读。
2. 关机前植入
把绿色包与 JSON 放在 %ProgramData%\SunloginGreen\（路径因版本而异，请以实际为准）。下次远程开机后，SunloginGreen.exe 随 explorer 自启，读取令牌→调用“洞穿”打洞→回传主机指纹，全程不写注册表，不留驱动。
提示：若企业启用“合规录屏水印”，令牌文件会同步写入水印 ID，后续回放可定位到具体设备。
方案 B：镜像阶段预装（批量部署）
1. 封装时机
在封装母盘前最后一次重启前，运行 SunloginGreen.exe /silent /bind，参数 /bind 会把当前账号令牌写进 %WINDIR%\System32\sunlogin_bind.ini（经验性观察：ini 体积 < 1 KB，Ghost 后不会被覆盖）。
2. 首次启动流程
系统 OOBE 阶段，向日葵服务（SunloginService）尚未启动，因此绑定延迟到用户首次进桌面后 10 秒内触发；若使用微软 Autopilot 或国产麒麟 OOBE，服务启动时机可能延后数十秒，属正常范围。
平台差异速查
| 平台 | 是否支持自动绑定 | 令牌存放位置 | 失败回退 |
|---|---|---|---|
| Windows 11 24H2 | ✔ | %ProgramData%\SunloginGreen\account.json | 弹出 6 位验证码，人工扫码 |
| macOS 14 | ✖（半自动） | ~/Library/Preferences/com.sunlogin.bind.plist | 需用户点“允许”一次 |
| Ubuntu 24.04 | ✖（半自动） | /etc/sunlogin.d/bind.conf | systemctl 启动后需输入验证码 |
验证与观测：如何确认“已自动绑定”
- 控制台【设备管理】刷新，主机状态由“离线”→“在线”且头像下无黄色感叹号，即表示绑定成功。
- 远端打开【日志审计】→筛选事件类型“BindAuto”，若出现“bind_success=1&uid=***”且耗时 < 30 秒，则合规链完整。
- 若出现“bind_fail=token_expired”，需检查 JSON 中的 expire 时间戳是否早于当前 UTC 时间；令牌有效期默认 72 h，可在控制台“高级”里延长至 168 h。
常见故障与回退
1. 绿色包被 Defender 拦截
2026 年 3 月后，Win11 24H2 的“管理员审批”策略会把未签名 EXE 自动隔离。解决：在 Defender 添加排除路径 %ProgramData%\SunloginGreen\*，或提前用 Intune 推送代码签名证书。
2. 双网卡导致令牌回传失败
笔记本同时插网线与 5G 模块时，向日葵可能选择 Metric 更高的 5G 网卡，而企业防火墙对 5G 网段禁止 443 出口。可在 BIOS 关闭 WWAN 或在母盘里预置路由策略：
route add 103.219.186.0 mask 255.255.255.0 192.168.1.1 if 1 metric 1
不适用场景清单
- 主机未启用 TPM 2.0 且企业要求“BIOS 级黑屏”——此时绿色包无法写入临时黑屏驱动，需改用完整安装版。
- 网络环境为 IPv6-only 且未通过“洞穿”IPv6 Ready 验收——经验性观察：打洞成功率降至 60% 以下，建议先开 IPv4 双栈。
- 令牌文件被母盘还原软件（如冰点）保护——每次重启 JSON 被回滚，导致无限重新绑定，触发账号风控。
最佳实践 5 条（可直接贴进 SOP）
- 母盘封装前，用
/silent /bind写入令牌，再把 ini 设为只读，防止后续被覆盖。 - 令牌有效期≤72 h，镜像下发周期应排在令牌创建之后 24 h 内完成，避免 expire。
- 远程开机后，先 ping 主机名确认 DHCP 拿到地址，再刷新控制台，减少“假离线”误判。
- 若需切换账号，务必在控制台“解绑”后再替换 JSON，否则原令牌仍优先匹配，出现“一机双账号”审计异常。
- 合规录屏场景，把水印 ID 与主机名写进同一 JSON 字段，回放时可直接检索，满足等保 2.0 审计要求。
FAQ（使用 Schema.org）
个人免费版能否用自动绑定？
可以，但免费版限速 300 kbps，绑定过程虽不受影响，后续远控画质会卡顿；建议签到换“极速体验券”或升级精英版。
令牌文件被误删如何急救？
立即用同一账号重新生成绿色包，拷贝新 JSON 到原目录，重启被控端即可重新绑定，无需再次跑现场。
绑定后还能换账号吗？
控制台先“解绑”，再替换 JSON 并重启服务；直接换文件会导致“双账号”冲突，审计日志会出现两条 uid。
收尾：下一步行动清单
远程开机只是入口，自动绑定才是合规运维的闭环。今天你可以：①在测试网段先跑一遍绿色包预埋；②把令牌有效期、水印 ID 写进 SOP；③用日志审计关键词“BindAuto”做每日巡检。完成这三步，下次再遇到门店设备重启，你就无需深夜跑现场，也能在控制台看到“在线”绿灯准时亮起。
