1. 现场还原一会报SP1一会又是KB4474419到底卡在哪1.1 第一次装VMware Tools时的报错现象前阵子为了整理一批遗留的Windows 7虚拟机我在VMware Workstation 17里给一台Win7 SP1的客户机装VMware Tools。正常情况下虚拟机菜单里点安装VMware Tools光驱挂载镜像向导点两下就完事。结果这台机器卡住了。卡住的方式特别典型安装向导正常启动进度条走到一大半突然弹出一个错误对话框大意是某个组件安装失败整个安装流程直接回滚。我一开始以为是镜像问题重新下载了VMware Tools的ISO还是同样的位置失败。紧接着去控制面板看程序列表里多了一堆半成品残留比如Microsoft Visual C 2010 x86 Redistributable这种带黄色感叹号的项。这时候我才意识到问题根本不在VMware Tools本身而在它前面的依赖组件上。1.2 翻安装日志把失败组件定位到VC 2010 SP1装VMware Tools时安装程序会在临时目录里解压一大堆文件同时会生成安装日志。Win7下典型的路径是C:\Users\当前用户\AppData\Local\Temp\VMwareTools*这一类目录里面有一堆vmmsi.log、install.log之类的日志文件。我打开日志翻到最后几行内容大概长这样[Installation] Installing: Microsoft Visual C 2010 SP1 Redistributable [Installation] Error: Installation failed, code 2503 [Installation] Setup rollback started这个信息很关键。VMware Tools的安装程序在安装过程中会先检查并装配它依赖的VC运行库而在这台Win7虚拟机上卡住的就是Microsoft Visual C 2010 SP1 Redistributable Package。2503这个错误码在MSI安装中很典型后面会专门讲。简单说这不是VMware Tools安装包坏了而是系统环境无法完成运行库的安装。1.3 热词背后2503/2505错误码为什么老跟Win7绑定出现如果你在搜索引擎里按VMware Tools 2503或者vcredist 2010 sp1 2503去翻会发现大量Win7、Win8、Win10共有的讨论。2503和2505是一对难兄难弟几乎总是一起出现很多人把这两个错误码归结为权限不足但更准确的说法是Windows Installer在安装MSI包时无法在指定位置和权限环境下完成注册。在Win7上这个问题尤其高发有几个原因叠加在一起很多Win7是精简版或Ghost版系统临时目录权限被改过导致MSI引擎没法正常写C:\Windows\Temp和用户Temp目录。系统里Visual C运行库的残留版本混乱有2008、2010、2012、2013等多个版本卸载不干净再装新的就会冲突。VMware Tools运行库安装阶段以当前用户上下文执行而当前用户未必有完全的管理员权限UAC一弹窗MSI安装就半途而废。所以在开始折腾补丁之前先把错误链条理清楚VMware Tools装不上 → VMware Tools依赖VC 2010 SP1 → VC 2010 SP1装不上报2503 → 系统的签名支持和权限环境也不干净 → 补丁KB4474419也一直装不上。整个就是一条连锁反应。2. 为什么老Win7装新Tools绕不开SHA-2和运行库这两道坎2.1 KB4474419在Win7里扮演的角色先解释一下KB4474419是什么。它是微软在2019年发布的Windows 7 SP1和Windows Server 2008 R2 SP1的SHA-2代码签名支持补丁。微软从2019年开始全面切到SHA-2签名算法之后的系统更新、驱动、运行库基本都是SHA-2签名。问题是Windows 7 SP1在没打这个补丁之前系统内核只认SHA-1签名看到SHA-2签名的更新包会直接拒绝或者报数字签名无效。这就相当于系统里少了一把钥匙后面所有新签名的东西都进不来。VMware Tools较新版本里的驱动文件和安装程序很多都是SHA-2签名。如果你的Win7虚拟机没装KB4474419那么即使你强行运行安装程序系统对里面的驱动签名校验也不会通过轻则提示警告重则安装失败。这也就解释了为什么KB4474419和VMware Tools安装失败会绑在一起一个是系统层面的信任基础一个是需要这个基础才能跑起来的应用。基础没搭好应用自然起不来。2.2 VMware Tools为什么必须依赖VC运行库很多人不理解一个虚拟化工具而已为什么要带一整套Microsoft Visual C运行库。实际上VMware Tools不是一个单一程序而是一个组件集合设备驱动、vmtoolsd服务、剪贴板共享、拖拽传输、托盘程序、Control Panel控制面板这些模块里有相当一部分是C写的直接依赖微软的Visual C运行库。新版VMware Tools对运行库的要求不像老版本那么死板但在Win7这种老系统上运行库本来就缺胳膊少腿所以安装程序会倾向于自己携带并安装一套指定的运行库其中最常出现的就是VC 2010 SP1。还有一个容易被忽略的点VMware Tools安装程序在安装运行库时如果系统里已经存在一个更高版本的VC运行库有些情况它会跳过如果存在一个损坏的、不完整的低版本它就会尝试覆盖安装而覆盖安装恰好是2503这类错误的高发场景。所以你有时候会看到一个奇怪的现象系统里明明装了VC 2010 SP1VMware Tools还是反复要求安装就是因为已有版本损坏或注册表状态不对。2.3 判断当前系统到底缺哪些东西在动手之前先花两分钟检查系统现状能少走很多弯路。我习惯按下面这个列表过一遍确认系统是Windows 7 SP1还是RTM。右键计算机→属性看版本信息里有没有Service Pack 1。如果系统是RTM劝你先把SP1装好再谈VMware Tools因为很多补丁和运行库都要求至少SP1。确认系统位数是x86还是x64。后面所有下载和补丁选择都要匹配尤其是KB4474419和VC运行库。打开控制面板→程序和功能→查看已安装的更新搜索一下是否已经有KB4474419或其他SHA-2相关补丁。如果已经有了后面VMware Tools还失败那就是纯运行库和权限问题。查看Windows Update服务状态services.msc里的Windows Update是不是被禁用了。很多精简版Win7把更新服务禁得死死的补丁装不上也很正常。检查完这几项再往下走目标就清晰多了。3. 啃下KB4474419离线补丁的正确安装姿势3.1 安装前的体检SP1版本、系统架构、残留状态我个人建议在虚拟机完全断网的环境下先解决SHA-2签名支持再解决VC运行库问题最后装VMware Tools这个顺序不要反过来。先说KB4474419。这个补丁有x86和x64两个版本文件名一般形如windows6.1-kb4474419-x64.msu。下载的时候务必注意位数。有的精简系统已经内置了这个补丁所以先确认一下是否已安装避免白折腾。在动手前确认下面三件事系统必须是Windows 7 SP1。如果你的系统显示的是Windows 7 旗舰版而没有Service Pack 1那就先升SP1否则KB4474419大概率会报此更新不适用。确认架构。到系统属性里看是32位还是64位不要凭印象选择。确认系统时间。Win7老系统如果时间不对证书验证会失败补丁装上的概率极低。先把虚拟机的时间同步到当前时间虚拟机断网的情况下可以手动设置。3.2 双击msu失败之后改用DISM喂cab包KB4474419是一个.msu格式的更新包正常情况下双击就能装。但很多精简版Win7的Windows Update组件是坏的双击后要么转圈半天要么直接报此更新不适用或者0x800f0826之类错误。这时候可以换一条路把.msu里的.cab包拆出来用DISM命令装。步骤如下# 新建一个解压目录 mkdir C:\kb4474419_extract # 用expand把msu内容解出来 expand Windows6.1-KB4474419-x64.msu /F:* C:\kb4474419_extract # 在解压目录里会看到一个.cab文件比如Windows6.1-KB4474419-x64.cab # 管理员身份打开CMD执行DISM装载 dism /online /add-package /packagepath:C:\kb4474419_extract\Windows6.1-KB4474419-x64.cabDISM命令的好处是绕过了Windows Update服务那一层直接把更新文件注入系统组件存储。装完重启一次再进系统去已安装更新里确认一下KB4474419是否出现。如果你用的是Win7 SP1原版DISM命令是自带的不需要额外装Windows ADK。系统里如果没有DISM可以在安装补丁之前先用系统安装盘里的boot.wim引导再在命令提示符里执行DISM但那一步就复杂了一般用不上。3.3 连DISM都失败时的额外处理如果DISM也报错常见问题有这么几类第一缺服务堆栈更新。有些老Win7 SP1没有打过前期的服务堆栈更新SSUDISM装载时本身就会出错。这时候先找KB3020369或者KB3177467这类服务堆栈更新网上直接搜Windows 7 SP1 服务堆栈更新就能找到。装完SSU重启再回来装KB4474419。第二系统是ESU或已集成SHA-2支持的镜像。部分后期制作的集成镜像已经内置了SHA-2支持再装KB4474419反而会报不适用。这种情况直接验证一下在CMD里执行下面的命令如果能列出KB4474419相关条目就直接跳过补丁环节去处理VC运行库。wmic qfe list | findstr 4474419第三第三方安全软件拦截。VMware Tools安装和补丁安装都会被某些杀软拦截尤其是国内的各种安全管家。在装补丁和运行库之前建议先把安全软件退出装完重启用再开回来。第四证书存储损坏。如果报0x800b0109之类的证书链错误说明系统里的根证书信任列表有问题导致补丁包自带的签名证书无法验证。这个比较麻烦常见做法是先安装微软的根证书更新包KB931125对应Microsoft Root Certificate Update再装KB4474419。如果这一步实在搞不定后面我还留了一个兜底方案就是换老版本VMware Tools不走这条链路。4. 处理VC 2010 SP1安装错误2503/25054.1 错误码背后其实是权限和临时目录问题KB4474419装好之后你以为万事大吉结果重新跑VMware Tools安装还是可能卡在同一个位置只不过现在报错可能变成2503或者2505。这里要重点说一下2503/2505到底是什么。2503对应的MSI错误信息是安装程序无法安装此程序包因为找不到请求的功能或者当前用户没有足够的权限。更直接的说法是Windows Installer在尝试创建/修改系统目录下的文件时权限校验失败。2503/2505的根源通常是这几个地方%TEMP%目录被重定向到无写入权限的位置或者目录本身不存在。C:\Windows\Temp目录权限被改过MSI引擎无法写入。Windows Installer服务msiserver状态异常处于禁用或损坏状态。当前用户不是标准管理员UAC弹窗后MSI安装上下文被降权。在Win7虚拟机上最阴的一个情况是用户把系统的临时目录改到D盘或者做了环境变量重定向结果那个目录在虚拟机环境下权限错乱。所以第一步就是把临时目录恢复成默认再看一遍安装结果。4.2 修复临时目录与Windows Installer服务在动手重装VC 2010 SP1之前先把环境修一遍。我习惯按以下顺序操作打开环境变量把TEMP和TMP都改成C:\Users\当前用户\AppData\Local\Temp同时保证这个目录存在。系统变量里的TEMP/TMP也改成C:\Windows\Temp。清理这两个临时目录里的残留文件。如果提示文件占用可以先重启一次再清理。检查Windows Installer服务状态。运行services.msc找到Windows Installer确认启动类型是手动状态是已启动。如果服务没法启动在管理员CMD里执行msiexec /unregister msiexec /regserver这两条命令会把Windows Installer服务重注册一遍。很多Win7上MSI服务损坏用这两步能救回来。如果还有杀毒软件先退出尤其是带开机防护的那种。做完以上四步再去手动安装VC 2010 SP1。下载官方提供的vcredist_x86.exe和vcredist_x64.exe版本号10.0.40219双击安装看是否还报2503/2505。4.3 用命令行和提取msi绕开图形界面安装如果双击exe还是失败我建议直接绕过图形安装器从.exe里把真正的.msi包提取出来用msiexec命令行装。VC 2010 SP1的安装包本质上是一个自解压程序里面包含MSI文件。提取方法# 管理员CMD新建目录 mkdir C:\vc2010 # 解压出MSI文件 expand vcredist_x86.exe -F:* C:\vc2010 expand vcredist_x64.exe -F:* C:\vc2010解压后目录里会出现vc_red.msi或者类似名称的MSI文件。然后执行msiexec /i C:\vc2010\vc_red.msi /qb /norestart /l*v C:\vc2010\install_x86.log/qb参数表示基础UI模式比图形界面出错的概率低/l*v会生成详细日志万一再失败日志里会写清楚具体是哪一步权限不足。还有一种情况是系统里已经存在一个损坏的VC 2010 SP1。这时候先去程序和功能里把Microsoft Visual C 2010相关的项全部卸载尤其是看起来状态异常的。卸载完成后用Windows Installer清理工具或者手动删除C:\Program Files\Common Files\Microsoft Shared\VC下面的残留目录再重新安装。注意这个清理有风险别误删其他版本运行库。4.4 安装完成后的验证VC运行库装完后打开程序和功能确认能同时看到Microsoft Visual C 2010 x86 Redistributable - 10.0.40219和x64版。如果只有其中一个另一个也手动装上因为VMware Tools的组件有些是32位的有些是64位的缺哪一个都会在后续安装中出问题。如果这一步已经能看到完整条目再做一个简单测试运行regedit在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VisualStudio\10.0\VC\VCRedist下面能看到x64和x86的安装状态。注册表里的Installed值如果是1说明运行库状态是正常的。5. 回到VMware Tools一次完整安装与兜底方案5.1 清掉残留后重新安装Tools的顺序KB4474419和VC 2010 SP1都解决后重新装VMware Tools之前还差一步把之前失败留下的残留清理干净。建议打开程序和功能先卸载所有Microsoft Visual C 2010相关项中标记为损坏的VMware相关条目然后在服务里把所有VMware开头的服务改成手动或删除残留服务里常见的如VMware Tools、VMware Alerts等。清理不干净的可以先把虚拟机快照回滚到最初状态或者复制一份干净的镜像再操作毕竟VMware Tools装失败产生的残留比想象中顽固。接下来正常安装虚拟机菜单→安装VMware Tools→在光驱里找到setup.exe→右键管理员运行。这一轮你应该能看到VC运行库阶段顺利通过然后VMware Tools主程序安装完成重启后虚拟机分辨率、拖拽、剪贴板共享都能正常用。5.2 还有问题的两手兜底挂载ISO和旧版Tools即便以上步骤都走通我也遇到过几台机器就是死活装不上新版VMware Tools多半是系统本身被过度精简。这时候有两条兜底路线。第一条手动挂载windows.iso。在VMware Workstation安装目录下通常是C:\Program Files (x86)\VMware\VMware Workstation有一个windows.iso文件里面就是VMware Tools安装介质。在虚拟机设置里把CD/DVD指向这个ISO开机后在虚拟机内打开光驱运行安装有时能绕过Workstation客户端和虚拟机之间的交互层故障。第二条换老版本VMware Tools。如果你的业务不依赖特别新的vSphere特性可以找VMware Tools 10.x或11.x的安装包。老版本对VC运行库的要求没那么严甚至在Win7 SP1上可以自带完整运行库直接装。这个方法虽然治标不治本但对这些老虚拟机来说稳定能用就是硬道理。5.3 我维护老虚拟机时一直遵守的几条原则这些年维护Win7虚拟机踩过不少坑最后总结出几条规律写在这里给后来人参考。一是老虚拟机别追新。VMware Workstation 15、16、17都还在支持Win7但每次升级VMware Workstation版本虚拟机里的VMware Tools版本也会跟着升级而新版Tools对Win7的支持是逐渐缩水的。如果虚拟机只是跑个老业务、做个测试环境Tools版本够用就行不要强迫症式地升级到最新。二是补丁顺序不能乱。任何时候给Win7装现代软件先检查SHA-2签名支持再检查VC运行库最后装应用本体顺序反了就是无限循环的失败。KB4474419这个补丁可以说是现在Win7重装系统后第一个要装的东西没有它连很多软件安装包都无法通过签名校验。三是保留一份干净的基础镜像。我现在的习惯是装好一台原版Win7 SP1打好KB4474419、SSU、根证书更新装好VC 2005到2022全系列运行库确认VMware Tools能正常安装打好快照保存下来。以后再遇到类似虚拟机直接从这个快照克隆派生几分钟就能得到一台可以正常装Tools的Win7根本不用再走一遍今天的弯路。四是善用快照。在安装补丁、运行库、VMware Tools这些系统级改动前一定先打快照。VMware Tools安装失败回滚不干净的情况非常多有快照在手失败了回滚再来比在系统里清理半天残留省事得多。以上这套流程从报错定位到补丁攻坚再到运行库修复基本覆盖了Win7虚拟机上VMware Tools安装失败的大多数场景。如果你也遇到同样的问题按这个顺序走一遍大概率能顺利解决。