winget + PowerShellでPCキッティングを自動化する ── 手順書を実行可能にする

# IDを正確に指定して入れる(-e は完全一致、--id はID指定)
#   --silent                     : UIを出さない
#   --accept-package-agreements  : パッケージの使用条件に同意
#   --accept-source-agreements   : ソースの使用条件に同意
#   --scope machine              : 全ユーザー向けに導入(対応パッケージのみ)
# 行継続のバッククォートは行末に置く。後ろにコメントを書くと継続にならない
winget install --id Google.Chrome -e --silent `
    --accept-package-agreements --accept-source-agreements --scope machine

# IDを調べる
winget search "Visual Studio Code"
winget show --id Microsoft.VisualStudioCode

# マシンスコープのインストーラーがあるかを確認する
winget show --id Google.Chrome -e --scope machine

# 比較のためユーザースコープ側も見ておく
winget show --id Google.Chrome -e --scope user

# 標準PCから、導入済みパッケージの一覧をJSONに書き出す
winget export --output D:\kitting\apps.json --include-versions

# 新しいPCで復元する
winget import --import-file D:\kitting\apps.json `
    --accept-package-agreements --accept-source-agreements --ignore-unavailable

# 適用前に内容を確認する(何が実行されるかを表示)
winget configure show --file D:\kitting\kitting.winget

# 適用する
winget configure --file D:\kitting\kitting.winget --accept-configuration-agreements

#Requires -RunAsAdministrator
[CmdletBinding()]
param(
    [string] $ConfigPath = "$PSScriptRoot\kitting.config.json"
)

$ErrorActionPreference = 'Stop'
# 5.1の Get-Content はBOMがなければANSIコードページで読む。
# UTF-8のJSONを日本語環境で読むと化けるため、明示する
$config = Get-Content $ConfigPath -Raw -Encoding utf8 | ConvertFrom-Json
$rebootRequired  = $false
$rebootInitiated = $false
$log    = "C:\ProgramData\KsKitting\kitting_$(Get-Date -f yyyyMMdd_HHmmss).log"
$null   = New-Item -Path (Split-Path $log) -ItemType Directory -Force

# 後述のユーザー単位フェーズは別プロセスで動くため、設定を
# 全ユーザーが読める場所へ配っておく。
# 配布物をこの場所に置いてそのまま実行すると、コピー元と先が同じファイルになる。
# Copy-Item は自分自身へのコピーをエラーにするため、$ErrorActionPreference = 'Stop'
# の下ではキッティングが始まる前にスクリプトごと止まってしまう
$sharedConfig = 'C:\ProgramData\KsKitting\kitting.config.json'
$sourceFull   = (Resolve-Path $ConfigPath).ProviderPath
$sharedFull   = if (Test-Path $sharedConfig) { (Resolve-Path $sharedConfig).ProviderPath } else { '' }
if (-not [string]::Equals($sourceFull, $sharedFull, 'OrdinalIgnoreCase')) {
    Copy-Item $ConfigPath $sharedConfig -Force
}
Start-Transcript -Path $log -Append

try {
    # --- 1. 標準フォルダー ------------------------------------------------
    foreach ($dir in $config.folders) {
        if (-not (Test-Path $dir)) {
            $null = New-Item -Path $dir -ItemType Directory
            Write-Verbose "作成: $dir"
        }
    }

    # --- 2. 社内標準のレジストリ設定 --------------------------------------
    foreach ($reg in $config.registry) {
        if (-not (Test-Path $reg.key)) { $null = New-Item -Path $reg.key -Force }
        $item   = Get-Item -Path $reg.key
        $exists = $item.GetValueNames() -contains $reg.name

        # 値だけでなく「型」も比較する。REG_SZ の "1" と DWORD の 1 は
        # PowerShellの比較では等しくなってしまい、実際には効いていない設定を
        # 「適用済み」と誤判定する
        $sameValue = $exists -and $item.GetValue($reg.name) -eq $reg.value
        $sameKind  = $exists -and $item.GetValueKind($reg.name).ToString() -eq $reg.type

        if (-not ($sameValue -and $sameKind)) {
            Set-ItemProperty -Path $reg.key -Name $reg.name -Value $reg.value -Type $reg.type
            Write-Verbose "設定: $($reg.key)\$($reg.name) = $($reg.value) ($($reg.type))"
        }
    }

    # --- 3. Windowsの機能 --------------------------------------------------
    foreach ($feature in $config.windowsFeatures) {
        $state = Get-WindowsOptionalFeature -Online -FeatureName $feature
        if ($state.State -ne 'Enabled') {
            # -NoRestart で再起動を抑止した場合、要否は戻り値のRestartNeededに出る。
            # 拾っておかないと「再起動が必要なのに0で終了」してしまう
            $result = Enable-WindowsOptionalFeature -Online -FeatureName $feature -NoRestart
            if ($result.RestartNeeded) { $rebootRequired = $true }
        }
    }

    # --- 4. wingetパッケージ ----------------------------------------------
    # winget の終了コードは「既に導入済み」でも 0 以外になることがあり、
    # 逆に 0 でも実際には入っていない場合がある。成否は状態の照会で判断する。
    # --scope を付けないと、管理者自身のユーザー単位の導入を拾って
    # 「machine で入っている」と誤判定する
    function Test-KsWingetPackage {
        param([string] $Id, [string] $Scope)
        $arguments = @('list', '--id', $Id, '--exact', '--accept-source-agreements')
        if ($Scope) { $arguments += @('--scope', $Scope) }
        $null = winget @arguments 2>&1
        return ($LASTEXITCODE -eq 0)
    }

    foreach ($package in $config.wingetPackages) {
        if (Test-KsWingetPackage -Id $package.id -Scope $package.scope) { continue }

        # 行継続のバッククォートは行末に置く。後ろにコメントを書くと継続にならない
        winget install --id $package.id -e --silent `
            --accept-package-agreements --accept-source-agreements `
            --scope $package.scope
        $wingetExit = $LASTEXITCODE

        # ここで警告だけ出して先に進むと、必須アプリが入っていない端末を
        # 配布ツールが「キッティング成功」と記録してしまう
        if (-not (Test-KsWingetPackage -Id $package.id -Scope $package.scope)) {
            throw "$($package.id) の導入に失敗しました (winget ExitCode=$wingetExit)"
        }
    }

    # --- 5. 社内アプリ(共有フォルダーのインストーラーをサイレント実行) ----
    # 導入済み一覧は、32bit/64bitの両ビューを明示して開く。
    # 32bitのPowerShellが64bit Windows上で動くと(Intuneの構成によっては起こる)、
    # WOW64のリダイレクトで HKLM:\SOFTWARE\... が32bitビューを指し、
    # 64bitのアプリを「未導入」と誤判定して毎回入れ直してしまう
    $installedApps = foreach ($view in 'Registry64', 'Registry32') {
        $baseKey = [Microsoft.Win32.RegistryKey]::OpenBaseKey('LocalMachine', $view)
        try {
            $uninstall = $baseKey.OpenSubKey('SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall')
            if (-not $uninstall) { continue }
            try {
                foreach ($name in $uninstall.GetSubKeyNames()) {
                    $appKey = $uninstall.OpenSubKey($name)
                    if (-not $appKey) { continue }
                    try {
                        $displayName = $appKey.GetValue('DisplayName')
                        if ($displayName) {
                            [pscustomobject]@{
                                DisplayName    = [string] $displayName
                                DisplayVersion = [string] $appKey.GetValue('DisplayVersion')
                            }
                        }
                    }
                    finally { $appKey.Dispose() }
                }
            }
            finally { $uninstall.Dispose() }
        }
        finally { $baseKey.Dispose() }
    }

    foreach ($app in $config.internalApps) {
        $installed = $installedApps | Where-Object DisplayName -eq $app.displayName

        # DisplayNameの一致だけで「導入済み」と判断しない。古い版が入ったままの端末に
        # 新しい版が入らず、再実行しても設定ファイルの状態に収束しなくなる。
        # 設定に version があれば、その版以上が入っているかまで見る
        $upToDate = if ($app.version) {
            $wanted = [version] $app.version
            [bool]($installed | Where-Object {
                $cur = $_.DisplayVersion -as [version]   # 版形式でない表記は対象外
                $cur -and $cur -ge $wanted
            })
        } else {
            [bool] $installed
        }
        if ($upToDate) { continue }

        # Start-Process の -ArgumentList は配列を空白で連結して1本のコマンドラインにするため、
        # 空白を含む値は設定ファイル側で引用符を付けておく
        # 例: '/quiet /norestart INSTALLDIR="C:\Program Files\KsApp"'
        # .msi は実行ファイルではないため、そのまま Start-Process に渡すと
        # 「有効なアプリケーションではありません」で失敗する。msiexec 経由で起動する
        if ([System.IO.Path]::GetExtension($app.installer) -eq '.msi') {
            $msiArgs = @('/i', "`"$($app.installer)`"") + $app.arguments
            $proc = Start-Process -FilePath 'msiexec.exe' -ArgumentList $msiArgs -Wait -PassThru -NoNewWindow
        }
        else {
            $proc = Start-Process -FilePath $app.installer -ArgumentList $app.arguments -Wait -PassThru -NoNewWindow
        }
        # Windows Installerの終了コードは「0だけが成功」ではない。
        # 3010と1641はどちらも成功で、再起動の扱いだけが違う
        switch ($proc.ExitCode) {
            0    { }                                   # 成功
            3010 { $rebootRequired = $true }           # 成功。要再起動(ERROR_SUCCESS_REBOOT_REQUIRED)
            1641 { $rebootInitiated = $true }          # 成功。インストーラーが再起動を開始した
            default {
                throw "$($app.displayName) のインストールに失敗しました (ExitCode=$($proc.ExitCode))"
            }
        }
        # 再起動が始まっているなら、後続のインストールは走らせても中断される
        if ($rebootInitiated) { break }
    }

    if ($rebootInitiated) {
        # 1641は「成功。ただし再起動を開始済み」。0を返すと配布ツールは
        # 「完了したのに勝手に再起動した」と扱うため、そのまま伝える
        Write-Host 'インストーラーが再起動を開始しました。再起動後に再実行してください' -ForegroundColor Yellow
        exit 1641
    }

    if ($rebootRequired) {
        # 3010をそのまま返すと、Intuneや配布ツール側が「成功。要再起動」と解釈し、
        # 再起動のスケジュールと報告を行える。ここで0を返すと再起動が忘れられる
        Write-Host 'キッティング完了(再起動が必要)' -ForegroundColor Yellow
        exit 3010
    }

    Write-Host 'キッティング完了' -ForegroundColor Green
    exit 0
}
catch {
    Write-Warning "失敗: $($_.Exception.Message)"
    Write-Warning $_.InvocationInfo.PositionMessage
    exit 1
}
finally {
    Stop-Transcript
}

# ユーザー単位の設定(非昇格で、利用者のログオン時に実行する。登録方法は後述)

# 管理者スクリプトとは別プロセスなので、$config は引き継がれない。
# 管理者フェーズで ProgramData へ配っておいた設定を読み直す
$configPath = 'C:\ProgramData\KsKitting\kitting.config.json'
if (-not (Test-Path $configPath)) {
    Write-Warning "設定ファイルが見つかりません: $configPath"
    exit 1
}
$config = Get-Content $configPath -Raw -Encoding utf8 | ConvertFrom-Json

# ユーザー単位のレジストリ設定(HideFileExt など。HKLMに書いても効かない)
foreach ($reg in $config.userRegistry) {
    if (-not (Test-Path $reg.key)) { $null = New-Item -Path $reg.key -Force }

    $item   = Get-Item -Path $reg.key
    $exists = $item.GetValueNames() -contains $reg.name
    $same   = $exists -and
              $item.GetValue($reg.name) -eq $reg.value -and
              $item.GetValueKind($reg.name).ToString() -eq $reg.type

    if (-not $same) {
        Set-ItemProperty -Path $reg.key -Name $reg.name -Value $reg.value -Type $reg.type
    }
}

# ネットワークドライブ
foreach ($drive in $config.drives) {
    $local    = "$($drive.letter):"
    $existing = Get-SmbMapping -LocalPath $local -ErrorAction SilentlyContinue
    if ($existing) {
        # 「割り当てがあるか」だけで判断すると、共有の移転などで設定を変えても
        # 古い割り当てが残ったまま「成功」と報告されてしまう。接続先まで比較する
        if ($existing.RemotePath.TrimEnd('\') -eq $drive.path.TrimEnd('\')) { continue }
        Remove-SmbMapping -LocalPath $local -Force
    }
    New-SmbMapping -LocalPath $local -RemotePath $drive.path -Persistent $true
}

# 共有プリンターへの接続もユーザー単位。管理者やSYSTEMで実行すると、
# そのアカウントにだけ接続が作られ、利用者からは見えない
foreach ($printer in $config.printers) {
    if (-not (Get-Printer -Name $printer.name -ErrorAction SilentlyContinue)) {
        Add-Printer -ConnectionName $printer.connection
    }
}

# ユーザーフェーズのスクリプトを、全ユーザーが読める場所へ配置する
$userScript = 'C:\ProgramData\KsKitting\Invoke-KsUserKitting.ps1'
Copy-Item "$PSScriptRoot\Invoke-KsUserKitting.ps1" $userScript -Force

# HKLM の Run は、ログオンした利用者の権限(非昇格)で実行される。
# HKCU に書こうとしても、管理者/SYSTEMで動いている以上、書き込まれるのは
# 「管理者自身のHKCU」であって、これから使う従業員のHKCUではない
$runKey  = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run'
$command = 'powershell.exe -NoProfile -ExecutionPolicy Bypass ' +
           "-WindowStyle Hidden -File `"$userScript`""
Set-ItemProperty -Path $runKey -Name 'KsUserKitting' -Value $command

# 全ユーザーから読める場所へ配置する(方法1と同じ)
$userScript = 'C:\ProgramData\KsKitting\Invoke-KsUserKitting.ps1'
New-Item -ItemType Directory -Path (Split-Path $userScript) -Force | Out-Null
Copy-Item -Path '.\Invoke-KsUserKitting.ps1' -Destination $userScript -Force

$action = New-ScheduledTaskAction -Execute 'powershell.exe' `
    -Argument "-NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File `"$userScript`""

$trigger = New-ScheduledTaskTrigger -AtLogOn

# BUILTIN\Users(S-1-5-32-545)を指定すると、ログオンした本人の権限で実行される。
# RunLevel Limited が「昇格しない」の指定。ここを Highest にすると
# 昇格したセッションで走ってしまい、ドライブ割り当てが利用者から見えなくなる
$principal = New-ScheduledTaskPrincipal -GroupId 'S-1-5-32-545' -RunLevel Limited

Register-ScheduledTask -TaskName 'KsUserKitting' `
    -Action $action -Trigger $trigger -Principal $principal -Force

Install-Module -Name Microsoft.WinGet.Client -Scope AllUsers -Force

# 導入済みかを確認してから入れる(冪等)
foreach ($id in 'Google.Chrome', 'Microsoft.VisualStudioCode', '7zip.7zip') {
    if (Get-WinGetPackage -Id $id -ErrorAction SilentlyContinue) {
        Write-Verbose "導入済み: $id"
        continue
    }
    Install-WinGetPackage -Id $id -Mode Silent -Scope System
}

# 構文解析 + 静的解析(Windows以外でも実行できる)
./Invoke-SampleTests.ps1