Fichiers de réponses Windows (unattend.xml) : passes de configuration et emplacements où Setup les recherche

Ce que c'est

Microsoft Learn décrit les passes de configuration comme « the phases of a Windows installation during which you can customize an image » (les phases d'une installation de Windows pendant lesquelles on peut personnaliser une image). Un fichier unattend.xml est organisé par passe, et un même paramètre peut se comporter différemment selon la passe dans laquelle il figure. Il existe sept passes : windowsPE, offlineServicing, generalize, specialize, auditSystem, auditUser et oobeSystem. Celles que le provisionnement sollicite le plus sont les suivantes :

• windowsPE : s'exécute lorsque Setup démarre depuis un média ou depuis une installation précédente (sélection de l'image, configuration des disques, pilotes indispensables au démarrage). Ce n'est que dans cette passe que les médias amovibles et \Sources sont examinés à la recherche d'un fichier nommé Autounattend.xml.
• generalize : ne s'exécute que lorsque vous lancez sysprep /generalize ; elle supprime le SID et les paramètres propres au matériel.
• specialize : s'exécute une fois au premier démarrage d'une image, puis de nouveau au démarrage suivant chaque sysprep /generalize. Les nouveaux SID y sont créés, et les paramètres réseau, régionaux et de jonction au domaine relèvent de cette passe.
• oobeSystem : appliquée avant le démarrage de Windows Welcome (OOBE) ; on y trouve généralement les comptes utilisateurs, les options du shell, la langue et les paramètres régionaux.
• auditSystem/auditUser : ne s'exécutent que lors d'un démarrage en mode audit.

Windows System Image Manager (WSIM), fourni avec le Windows Assessment and Deployment Kit, permet de créer ces fichiers à partir du catalogue d'une image donnée, plutôt que d'éditer le XML à la main.

Setup effectue sa recherche au début de chaque passe, utilise le fichier de plus haute priorité contenant des paramètres pour cette passe, et le met en cache dans %WINDIR%\Panther. L'ordre implicite est le suivant : la valeur de registre HKLM\System\Setup\UnattendFile ; %WINDIR%\Panther\Unattend (installations downlevel uniquement) ; le cache dans %WINDIR%\Panther ; la racine des médias amovibles en lecture/écriture, puis en lecture seule (Autounattend.xml) ; \Sources sur le support de distribution pour windowsPE/offlineServicing, sinon %WINDIR%\System32\Sysprep (Unattend.xml) ; %SYSTEMDRIVE% ; et la racine du lecteur depuis lequel Setup s'exécute. Un fichier transmis explicitement avec setup /unattend: ou sysprep /unattend: écrase la copie en cache.

Pourquoi c'est important

Setup annote dans le fichier en cache les passes qu'il a déjà traitées. Après sysprep /generalize sans nouveau fichier de réponses, les commandes RunSynchronous de la passe specialize issues de l'installation d'origine ne s'exécutent pas de nouveau, et un Unattend.xml déposé dans System32\Sysprep est supplanté par le cache, de priorité plus élevée : il faut donc transmettre le fichier explicitement.

Comment l'appliquer

• Choisir la passe de façon réfléchie : identité propre à chaque machine et jonction au domaine dans specialize, comptes et paramètres régionaux dans oobeSystem.
• Créer et valider le fichier dans WSIM avec la même image (.wim) que celle à laquelle il sera appliqué.
• Utiliser Tools > Hide Sensitive Data de WSIM avant d'enregistrer. Cette option ne masque que les mots de passe AutoLogon, AdministratorPassword et LocalAccount ; Microsoft indique qu'elle « does not provide encryption » (n'assure aucun chiffrement), et les mots de passe de domaine ainsi que les clés de produit restent en clair.
• Setup supprime les données sensibles du fichier en cache à la fin de chaque passe, mais Microsoft recommande tout de même de supprimer le fichier de réponses en cache dans %WINDIR%\Panther avant de remettre la machine (par exemple depuis SetupComplete.cmd), ainsi que toute copie placée ailleurs.

Pièges

• Considérer les mots de passe « masqués » comme chiffrés : la valeur est simplement encodée, donc tout fichier ayant contenu un vrai mot de passe est sensible.
• Placer un fichier à un emplacement de priorité plus élevée, comme %WINDIR%\Panther\Unattend : il remplace le cache à chaque passe, de sorte que les données sensibles des passes précédentes ne sont plus effacées.
• S'attendre à ce que les passes suivantes modifient ce que windowsPE a déjà fait : les décisions de partitionnement prises à ce stade sont irréversibles.