Windows-Antwortdateien (unattend.xml): Konfigurationsphasen und wo Setup danach sucht

Worum es geht

Microsoft Learn beschreibt Konfigurationsphasen (Configuration Passes) als "the phases of a Windows installation during which you can customize an image" (die Phasen einer Windows-Installation, in denen sich ein Image anpassen lässt). Eine unattend.xml-Datei ist nach Phasen gegliedert, und dieselbe Einstellung kann sich je nach Phase, in der sie steht, unterschiedlich verhalten. Es gibt sieben Phasen: windowsPE, offlineServicing, generalize, specialize, auditSystem, auditUser und oobeSystem. Bei der Bereitstellung sind vor allem diese relevant:

• windowsPE: läuft, wenn Setup von Medien startet oder aus einer bestehenden Installation heraus gestartet wird (Image-Auswahl, Datenträgerkonfiguration, bootkritische Treiber). In dieser Phase werden Wechselmedien und \Sources nur nach einer Datei mit dem Namen Autounattend.xml durchsucht.
• generalize: läuft nur, wenn sysprep /generalize ausgeführt wird; entfernt die SID und hardwarespezifische Einstellungen.
• specialize: läuft einmal beim ersten Start eines Images und erneut beim nächsten Start nach jedem sysprep /generalize. Hier werden neue SIDs erzeugt; Netzwerk-, Regions- und Sprach- sowie Domänenbeitritts-Einstellungen gehören hierher.
• oobeSystem: wird angewendet, bevor Windows Welcome (OOBE) startet – typischerweise Benutzerkonten, Shell-Optionen, Sprache und Gebietsschema.
• auditSystem/auditUser: laufen nur beim Start im Überwachungsmodus (Audit Mode).

Der Windows System Image Manager (WSIM), Teil des Windows Assessment and Deployment Kit, erstellt diese Dateien auf Basis des Katalogs eines bestimmten Images, statt dass das XML von Hand bearbeitet wird.

Setup sucht zu Beginn jeder Phase, verwendet die Datei mit der höchsten Priorität, die Einstellungen für diese Phase enthält, und legt sie im Cache unter %WINDIR%\Panther ab. Die implizite Reihenfolge lautet: der Registrywert HKLM\System\Setup\UnattendFile; %WINDIR%\Panther\Unattend (nur bei Downlevel-Installationen); der Cache in %WINDIR%\Panther; das Stammverzeichnis von Wechselmedien, zuerst les- und beschreibbar, dann schreibgeschützt (Autounattend.xml); \Sources auf dem Distributionsmedium für windowsPE/offlineServicing, sonst %WINDIR%\System32\Sysprep (Unattend.xml); %SYSTEMDRIVE%; und das Stammverzeichnis des Laufwerks, von dem Setup ausgeführt wird. Eine explizit mit setup /unattend: oder sysprep /unattend: übergebene Datei überschreibt die gecachte Kopie.

Warum es wichtig ist

Setup vermerkt bereits verarbeitete Phasen in der gecachten Datei. Nach sysprep /generalize ohne neue Antwortdatei werden RunSynchronous-Befehle der specialize-Phase aus der ursprünglichen Installation nicht erneut ausgeführt, und eine in System32\Sysprep abgelegte Unattend.xml unterliegt dem Cache mit höherer Priorität – die Datei stattdessen explizit übergeben.

So wird es angewendet

• Die Phase bewusst wählen: maschinenspezifische Identität und Domänenbeitritt in specialize, Konten und Gebietsschema in oobeSystem.
• Die Datei im WSIM gegen dasselbe Image (.wim) erstellen und validieren, auf das sie angewendet wird.
• Vor dem Speichern im WSIM Tools > Hide Sensitive Data verwenden. Damit werden nur die Passwörter von AutoLogon, AdministratorPassword und LocalAccount verborgen; laut Microsoft "does not provide encryption" (die Funktion bietet keine Verschlüsselung), und Domänenpasswörter sowie Product Keys bleiben im Klartext.
• Setup entfernt sensible Daten am Ende jeder Phase aus der gecachten Datei. Microsoft empfiehlt dennoch, die gecachte Antwortdatei in %WINDIR%\Panther vor der Übergabe des Rechners zu löschen (zum Beispiel aus SetupComplete.cmd), ebenso jede anderswo abgelegte Kopie.

Stolpersteine

• "Verborgene" Passwörter für verschlüsselt halten: Der Wert ist nur kodiert, daher ist jede Datei, die ein echtes Passwort enthielt, als sensibel zu behandeln.
• Eine Datei an einem Pfad mit höherer Priorität einbetten, etwa %WINDIR%\Panther\Unattend: Sie ersetzt in jeder Phase den Cache, sodass sensible Daten aus früheren Phasen nicht mehr bereinigt werden.
• Erwarten, dass spätere Phasen ändern, was windowsPE bereits erledigt hat: Entscheidungen zum Datenträgerlayout, die dort getroffen wurden, lassen sich nicht rückgängig machen.