Windows Deployment Services Benennungsrichtlinie für Clients deaktivieren bzw. umgehen?

So, ich habe es tatsächlich zufriedenstellend hinbekommen und es war wesentlich einfacher als gedacht. Ich werde es mal schnell dokumentieren und hoffe, dass es den gequälten Seelen die dass selbe oder ein ähnliches Problem haben weiter hilft. Man kann es auch als Tutorial zur komplett unbeaufsichtigten WDS Installation benutzen.

Wichtig:

Ihr müsst dem Installationsimage und nicht dem Bootimage im WDS über die Eigenschaften des zu installierenden Image das unten links versteckte Häkchen setzen und eure für das Image erstellte ImageUnattend.xml zuweisen (hier aufpassen ihr braucht noch eine gesonderte unattend.xml für die automatisierung des PE-Bootvorgangs welche ihr beliebig bennen könnt) Die ImageUnattend.xml muss sich im Ordner %SYSTEMDRIVE%\RemoteInstall\WdsClientUnattend\ befinden und ich weiß nicht genau ob der Name der Datei hier eine Rolle spielt, aber meine heißt ImageUnattend.xml. Mit dem eben beschriebenen Schritt "deaktiviert" ihr die automatische Benennungsrichtlinie für Clients und den automatischen Domainbeitritt über WDS bzw. umgeht ihn. Deshalb auch die Scripts wie später beschrieben.

Wenn Ihr die unattend.xml für das PE fertig habt (bei Fragen dazu steh ich gern zur Verfügung) wird die nich wie bei der ImageUnattend.xml einem Image zugewiesen sondern separat in den Eigenschaften des WDS-Servers zugewiesen und zwar unter dem Reiter Client den Hacken bei Unbeaufsichtigte Installation aktiviere setzen und unten bei der benutzten Architektur (bei mir x64) die an einem bliebigen Ort gespeichte PEUnattend.xml angeben. Ich erwähne es nur so oft weil ich die beiden selbst verwechselt habe und dann alles umsonst war, weil es dann nicht funktioniert.

Da ich trotz mehrtägiger Suche keine Dokumentation von Microsoft für das Problem gefunden habe, sonder nur irreführende TechNet Beiträge hoffe ich, dass ich hiermit Abhilfe schaffen konnte. Wenn irgendwas unverständlich ist immer raus damit ich werde versuchen es dann zu erklären.

Also ihr fangt erstmal an eine für eure Bedürfnisse angepasste unattend.xml zu erstellen bis Ihr an folgender Stelle seid:

Phase4 specialize
+--amd46(natürlich architektur abhängig)_Microsoft-Widows-Deployment_neutral
+--RunSynchronus
--RunSynchronusCommand

Dort nehmt ihr folgende Einstellungen vor:

Action: AddList Item
Description:
Order: 1 (abhängig davon ob ihr vorher noch ein anderes Kommando laufen habt sonst halt 2... 3... etc.)
Path: net user Administrator /active:yes (Administrator aktivieren)

und:

Phase7 oobeSystem
+--amd46(natürlich architektur abhängig)_Microsoft-Widows-Shell-Setup_neutral``
+--AutoLogon ~1
+--Password ~2
+--FirstLogonCommands
+--SynchronousCommand ~3
+--UserAccounts
+--AdministratorPassword ~4
+--LocalAccounts
+--LocalAccount ~5
+--Password ~6

Die Tilde und die Zahl müsst ihr euch oben natürlich weg denken ;) hier die Einstellungen und die Erläuterung:

~1
Domain:
Enabled: true
LogonCount: 1 (Wie oft er sich automatisch als Administrator anmeldet)
Username: Administrator

~2
Value: Pa$$w0rd (natürlich euer selbst gewähltes Passwort ;) nach dem speichern und erneutem aufrufen der unattend.xml ist das Passwort verschlüsselt, falls ihr Angst haben solltet jemand kann in der .xml lesen)

~3
Action: AddList Item
CommandLine: cmd /c %windir%\system32\"Selbst erstellter Ordner"\"Scriptname.cmd"(Ich werde am Ende des Beitrags noch 2 Scripts mit Erläuterungen anhängen das Betrifft nur Leute die Ihre Computer automatisch in die Domain aufnehmen lassen wollen, wenn das nicht der Fall diese Punkte einfach weg lassen)
Description:
Order: 1 (abhängig davon ob ihr vorher noch ein anderes Kommando laufen habt sonst halt 2... 3... etc.)
RequiresUserInput: false

~4
Value: Pa$$w0rd (natürlich euer selbst gewähltes Passwort nach dem speichern und erneutem aufrufen der unattend.xml ist das Passwort verschlüsselt, falls ihr Angst haben solltet jemand kann in der .xml lesen)

~5
Action: AddList Item
Description:
DisplayName: Administrator
Group: Administrators
Name: Administrator

~6
`Value: Pa$$w0rd (natürlich euer selbst gewähltes Passwort nach dem speichern und erneutem aufrufen der unattend.xml ist das Passwort verschlüsselt, falls ihr Angst haben solltet jemand kann in der .xml lesen)

So zu guter letzt die 2 versprochenen Scripts. Es handels sich um ein .cmd Script und ein .ps1 Script (PowerShell) wie ihr sicher wisst, ist es ein bekannter Bug, dass man die Domainaufnahme nicht über die unattend.xml steuern kann, da die Domainaufnahme in Phase3 generalize geschieht, dass Problem dabei ist das an dieser stelle noch kein Benutzerdefinierter Computername festgelegt, aber ein zufällig generierter z.B. WIN-4FSFGH42 dieser wird in die Domain aufgenommen und in die OU COmputers gepackt.

Dann kommt ihr zur Phase7 oobeSystem in dem Ihr entweder ein Computername angebt oder es, wie in meinem Fall, diese Einstellung leer lasst und eine Benutzerabfrage aufpoppt in dem ihr den Computername festlegen könnt. Ich denke Ihr erkennt die Problematik. Der Computer heißt nach der Domainaufnahme anders als an der Stelle wo er in die Domain aufgenommen wurde, damit lässt sich ntürlich keine Vetrauenstellung aufbauen und man müsste den Computer nochmal von Hand in die Domain packen.

Hier meine Lösung:

Inhalt des .cmd Scripts welches ihr in der Unattend.xml an beschriebener Stelle aufruft. Dieses wiederum ruft dann das .ps1 Script auf. Warum das so gemacht werden muss steht im .cmd Script als Kommentar dabei. Die mit einem "::" davor sind Kommentare, könnt ihr also auch weg lassen. Was noch wichtig ist, beide Scripte müssen in einen Ordner den Ihr irgendwo in euer Image packt. Ihr müsst nur die Pfade in den Scripten richtig angeben.


@echo off
:: Signierungszwang für die Powershell deaktivieren
powershell Set-ExecutionPolicy Unrestricted

:: Skript zur Domainaufnahme ausführen
powershell %windir%\system32\"Selbst erstellter Ordner"\"Scriptname.ps1

:: Signierungszwang für die Powershell wieder aktivieren
powershell Set-ExecutionPolicy Restricted

:: Nach dem Neustart dieses Verzeichnis und alle Inhalte löschen nicht das der User das Passwort klaut.
:: WICHTIG: Funktioniert nur, wenn sich einmalig ein Administrator anmeldet --> in der unattend.xml festlegen.
reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce /v Clean_HD /t REG_SZ /d "cmd /c rd /s /q %windir%\system32\"Selbst erstellter Ordner"

:: Neustart ausführen
shutdown -r -t 0


Hier das PowerShell Script, hier sind die Rauten die Kommentare:

1. Variablen zum Anpassen

$domain = "contoso.ms"
$account = "$domain\Domainadmin"
$password = 'Passwort'

1. =========================
2. Ab hier nicht mehr ändern

$credential = New-Object System.Management.Automation.PsCredential("$account", (ConvertTo-SecureString "$password" -AsPlainText -Force))
Add-Computer -DomainName "$domain" -Credential $credential




Wie oben erwähnt, bei Fragen immer raus damit.

MfG

Sebastian