Archivos de respuesta de Windows (unattend.xml): fases de configuración y dónde los busca Setup

Qué es

Microsoft Learn describe las fases de configuración (configuration passes) como "the phases of a Windows installation during which you can customize an image" (las fases de una instalación de Windows en las que se puede personalizar una imagen). Un archivo unattend.xml se organiza por fases, y un mismo ajuste puede comportarse de forma distinta según la fase en la que se encuentre. Las siete fases son windowsPE, offlineServicing, generalize, specialize, auditSystem, auditUser y oobeSystem; las que más se usan en el aprovisionamiento son:

• windowsPE: se ejecuta cuando Setup arranca desde un medio o se inicia desde una instalación anterior (selección de imagen, configuración de discos, controladores críticos para el arranque). Solo en esta fase se busca en los medios extraíbles y en \Sources un archivo llamado Autounattend.xml.
• generalize: se ejecuta únicamente al ejecutar sysprep /generalize; elimina el SID y los ajustes específicos del hardware.
• specialize: se ejecuta una vez en el primer arranque de una imagen, y de nuevo en el siguiente arranque tras cada sysprep /generalize. Aquí se crean nuevos SID, y es donde corresponden los ajustes de red, internacionales y de unión a un dominio.
• oobeSystem: se aplica antes de que se inicie Windows Welcome (OOBE); normalmente incluye cuentas de usuario, opciones del shell, idioma y configuración regional.
• auditSystem/auditUser: se ejecutan solo al arrancar en modo de auditoría.

Windows System Image Manager (WSIM), parte del Windows Assessment and Deployment Kit, permite crear estos archivos a partir del catálogo de una imagen concreta, en lugar de editar el XML a mano.

Setup busca el archivo al comienzo de cada fase, usa el de mayor precedencia que contenga ajustes para esa fase y lo guarda en caché en %WINDIR%\Panther. El orden implícito es: el valor del registro HKLM\System\Setup\UnattendFile; %WINDIR%\Panther\Unattend (solo en instalaciones desde un sistema anterior); la caché en %WINDIR%\Panther; la raíz de los medios extraíbles de lectura/escritura y después de solo lectura (Autounattend.xml); \Sources en el medio de distribución para windowsPE/offlineServicing y, en las demás fases, %WINDIR%\System32\Sysprep (Unattend.xml); %SYSTEMDRIVE%; y la raíz de la unidad desde la que se ejecuta Setup. Un archivo indicado explícitamente con setup /unattend: o sysprep /unattend: sobrescribe la copia en caché.

Por qué importa

Setup anota en el archivo en caché las fases que ya ha procesado. Si se ejecuta sysprep /generalize sin un nuevo archivo de respuesta, los comandos RunSynchronous de la fase specialize de la instalación original no se vuelven a ejecutar, y un Unattend.xml colocado en System32\Sysprep pierde frente a la caché, que tiene mayor precedencia; en su lugar, hay que pasar el archivo de forma explícita.

Cómo aplicarlo

• Elegir la fase con criterio: la identidad de cada equipo y la unión al dominio en specialize; las cuentas y la configuración regional en oobeSystem.
• Crear y validar el archivo en WSIM con la misma imagen (.wim) a la que se aplicará.
• Usar Tools > Hide Sensitive Data de WSIM antes de guardar. Solo oculta las contraseñas de AutoLogon, AdministratorPassword y LocalAccount; Microsoft afirma que "does not provide encryption" (no ofrece cifrado), y las contraseñas de dominio y las claves de producto permanecen en texto claro.
• Setup elimina los datos sensibles del archivo en caché al final de cada fase, pero Microsoft indica igualmente que se debe borrar el archivo de respuesta en caché de %WINDIR%\Panther antes de entregar el equipo (por ejemplo, desde SetupComplete.cmd), junto con cualquier copia que se haya colocado en otro lugar.

Trampas

• Tratar las contraseñas "ocultas" como si estuvieran cifradas: el valor solo está codificado, por lo que cualquier archivo que haya contenido una contraseña real debe considerarse sensible.
• Incluir un archivo en una ruta de mayor precedencia, como %WINDIR%\Panther\Unattend: sustituye a la caché en cada fase, de modo que los datos sensibles de fases anteriores ya no se eliminan.
• Esperar que las fases posteriores cambien lo que windowsPE ya hizo: las decisiones sobre la distribución del disco tomadas allí no se pueden deshacer.