AzureADアカウントのみでPCを半自動インストールし、ユーザプロファイルをDに置く

# 経緯
- AzureADを参加ずみPCで、ローカル管理者アカウントがのこっていることがありますが、情シス的にはあまりよろしくありません。
- 今回PCを再インストールするタイミングで、**ローカル管理者を作らずに、AzureADアカウントだけでキッティング**ができるか検証してみます。
- ついでに**ユーザプロファイルをDに**おいてみたいと思います。


:::note info
**結論**
ローカルアカウントが最初から存在せず、Dにユーザプロファイルを置くことで、セキュリティと管理性が向上しそうです。

:::

# autounattend.xmlの作成

こちらのページのコンフィグを使用させていただきました。

**Windows 10を全自動で最後まで手間要らずでインストールする方法**
http://www.neko.ne.jp/~freewing/software/windows_10_autounattend_xml_install/

269、272行目を変更します。また、ローカルアカウントの作成部分を削除します。

```.xml
<HideWirelessSetupInOOBE>false</HideWirelessSetupInOOBE>
<SkipMachineOOBE>false</SkipMachineOOBE>
```


- AzureAD参加に必要のためWIFIのセットアップ画面を出します。
- できるだけ自動化しつつ、OOBE画面で止めて監査モードに入るためとなります。

# relocate.xmlの作成

こちらのページのコンフィグを使用させていただきました。

**ユーザプロファイルを別ドライブにつくる**
https://qiita.com/syakesalmon/items/6c9e211bd900bce19558

```.xml
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
  <settings pass="oobeSystem">
    <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
      <FolderLocations>
        <ProfilesDirectory>D:\Users</ProfilesDirectory>
      </FolderLocations>
    </component>
  </settings>
</unattend>

```

# Win10のUSB作成

RufusでISOから作成し、ルートに2つのXMLを置きます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/4eda918c-5976-9f2a-b789-142b4181ff35.png)

sysprepを実行するためのbatファイルも置いておきます。

# USBからVM起動

ProxmoxにUSBメモリをパススルーし、起動順を変えます。実機だとUEFIで変更してください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/9624cc91-5dff-7852-60f8-50279b116ca8.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/4ea00d89-f6c0-df1a-6643-d40c4fbc31cf.png)

# パーティション変更

USBから起動すると、いろいろとスキップされてパーティション作成画面になります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/6de08085-d754-5b0d-3bcc-f3ffb980e4c7.png)
Dドライブも区切っておきます。Dだけフォーマットも必要です。

# 監査モードに入る
OOBE画面でShift + Ctrl + F3を押し、監査モードに入ります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/fa1afd19-1e4e-40b1-3d45-7e5eda2faddf.png)

監査モードが起動したら、GUIのSysprepは閉じます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/79bcaf26-5bde-4e77-e17e-d33974201804.png)

# Sysprep実行
DドライブにバッチファイルとXMLファイルを配置し、Sysprepを実行します。
```.bat
C:\Windows\system32\sysprep\sysprep.exe /generalize /oobe /reboot /unattend:d:\relocate.xml
```

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/e2a8dfa6-3a48-def7-fa65-e4487480212a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/90d69e65-c4a8-22e2-e7b0-7872ad5f8865.png)

# AzureADでログイン
再起動するとふたたびOOBE画面になるので、入力します。セキュリティ更新などがかかります。
「組織用」を選択し、DEM管理者アカウントで登録します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/dd4437e9-b64b-8516-d247-25981a9e5787.png)
デバイスの診断データなど、つづきのOOBEはスキップできず設定することになります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/c3e2cbad-f1b0-e12f-eee3-95d4d0d7f213.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/d45d63a1-5b7f-e224-d980-eda363b8a00a.png)

# 動作確認
AzureADに参加済みか確認します。
```.ps1
dsregcmd /status
```
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/13d3c3cd-96bd-0793-ac29-8cf024dade12.png)
Dドライブにユーザプロファイルができています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/648bda89-c5fe-bdba-26bc-b8352cce1109.png)

デスクトップにファイルを作成しても反映されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/8341c85b-6c17-b6d6-3c2b-4d5a80852831.png)

一般ユーザ権限では、Cドライブの他のフォルダにはアクセスやコピーや削除ができません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/607f70c9-1dc7-bf40-b6f9-f798d4f96968.png)

ローカルアカウントはdefaultuser0というのが出来ていました。サイズは0でした。これらもアクセス保護されています（Userはテストフォルダ）。パブリックはアクセスできます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/790864/e18c23ab-dd26-d5b1-3bba-8cf2fdca5e16.png)

# まとめ
- autounattend.xmlでインストールを半自動化し、relocate.xmlでユーザプロファイルをDに置くことができました。
- ローカルアカウントが最初から存在せず、Dにユーザプロファイルを置くことで、セキュリティと管理性が向上しそうです。

# 参考にさせていただいたサイト

**Windows 10を全自動で最後まで手間要らずでインストールする方法**
http://www.neko.ne.jp/~freewing/software/windows_10_autounattend_xml_install/

**ユーザプロファイルを別ドライブにつくる**
https://qiita.com/syakesalmon/items/6c9e211bd900bce19558