“BIOS 找盘，BCD 引导 Windows”省略了几层关系。PVE 的虚拟设备顺序、UEFI 的启动项、Windows BCD 的系统选择是三份不同配置。真正打开磁盘和虚拟固件，区别就清楚了。

2026 年 9 月 21 日，我从 Windows Server 黄金模板完整克隆 VM202，断开网卡、关闭自启，完成只读检查和一次正常启动观察。模板 VM200 与域控 VM201未改动。这一轮是静态证据加启动验证，没有固件指令跟踪或 ETW 启动时序。

私有子网的 EC2 没有公网 IP，又不想用 AWS 托管 NAT Gateway（贵）。可以用一台 Windows Server 2022 实例配置 RRAS NAT 来实现出网，本文记录完整的配置过程和踩坑。

Windows Server 2025 安装累积更新后，从 AMI 克隆的实例之间 SMB 访问认证失败，报"密码不正确"，但密码实际没问题。根因是 Machine ID 校验机制检测到重复 SID。