Arquivos de resposta do Windows (unattend.xml): fases de configuração e onde o Setup os procura

O que é

O Microsoft Learn descreve as fases de configuração (configuration passes) como "the phases of a Windows installation during which you can customize an image" (as fases de uma instalação do Windows em que é possível personalizar uma imagem). Um arquivo unattend.xml é organizado por fase, e a mesma configuração pode se comportar de forma diferente conforme a fase em que está. As sete fases são windowsPE, offlineServicing, generalize, specialize, auditSystem, auditUser e oobeSystem; as mais usadas em provisionamento são:

• windowsPE: executa quando o Setup inicia a partir de uma mídia ou de uma instalação anterior (seleção da imagem, configuração de disco, drivers críticos para a inicialização). Somente nessa fase as mídias removíveis e \Sources são pesquisadas em busca de um arquivo chamado Autounattend.xml.
• generalize: executa somente quando você roda sysprep /generalize; remove o SID e as configurações específicas de hardware.
• specialize: executa uma vez na primeira inicialização de uma imagem e novamente na inicialização seguinte a cada sysprep /generalize. Os novos SIDs são criados aqui, e é aqui que ficam as configurações de rede, internacionais e de ingresso em domínio.
• oobeSystem: aplicada antes de o Windows Welcome (OOBE) iniciar, normalmente com contas de usuário, opções do shell, idioma e localidade.
• auditSystem/auditUser: executam somente ao iniciar no modo de auditoria.

O Windows System Image Manager (WSIM), parte do Windows Assessment and Deployment Kit, cria esses arquivos com base no catálogo de uma imagem específica, em vez de se editar o XML manualmente.

O Setup faz a busca no início de cada fase, usa o arquivo de maior precedência que contenha configurações para essa fase e o guarda em cache em %WINDIR%\Panther. A ordem implícita é: o valor de registro HKLM\System\Setup\UnattendFile; %WINDIR%\Panther\Unattend (somente em instalações downlevel); o cache em %WINDIR%\Panther; a raiz de mídias removíveis de leitura/gravação e, depois, somente leitura (Autounattend.xml); \Sources na mídia de distribuição para windowsPE/offlineServicing e, nos demais casos, %WINDIR%\System32\Sysprep (Unattend.xml); %SYSTEMDRIVE%; e a raiz da unidade a partir da qual o Setup é executado. Um arquivo passado explicitamente com setup /unattend: ou sysprep /unattend: sobrescreve a cópia em cache.

Por que importa

O Setup anota no arquivo em cache as fases que já processou. Depois de sysprep /generalize sem um novo arquivo de resposta, os comandos RunSynchronous da fase specialize da instalação original não são executados novamente, e um Unattend.xml colocado em System32\Sysprep perde para o cache, que tem precedência maior; passe o arquivo explicitamente.

Como aplicar

• Escolha a fase de forma deliberada: identidade por máquina e ingresso em domínio na specialize; contas e localidade na oobeSystem.
• Crie e valide o arquivo no WSIM usando a mesma imagem (.wim) à qual ele será aplicado.
• Use Tools > Hide Sensitive Data do WSIM antes de salvar. Isso oculta apenas as senhas de AutoLogon, AdministratorPassword e LocalAccount; a Microsoft afirma que o recurso "does not provide encryption" (não oferece criptografia), e senhas de domínio e chaves de produto permanecem em texto simples.
• O Setup remove dados sensíveis do arquivo em cache ao final de cada fase, mas a Microsoft ainda recomenda excluir o arquivo de resposta em cache em %WINDIR%\Panther antes de entregar a máquina (por exemplo, a partir de SetupComplete.cmd), junto com qualquer cópia que você tenha colocado em outro lugar.

Armadilhas

• Tratar senhas "ocultas" como se estivessem criptografadas: o valor é apenas codificado, então qualquer arquivo que tenha contido uma senha real deve ser considerado sensível.
• Incluir um arquivo em um caminho de precedência maior, como %WINDIR%\Panther\Unattend: ele substitui o cache em todas as fases, de modo que os dados sensíveis de fases anteriores deixam de ser limpos.
• Esperar que fases posteriores alterem o que a windowsPE já fez: as decisões de layout de disco tomadas ali não podem ser desfeitas.