Image de référence Windows 11 et Sysprep

Une image de référence (le « master ») est une installation de Windows préparée une fois, avec ses mises à jour, ses logiciels communs et ses réglages, puis copiée sur tous les postes. Sysprep est l'outil de Microsoft qui généralise cette installation, c'est-à-dire qui lui retire tout ce qui doit être unique à chaque machine, pour qu'elle puisse être clonée sans conflit. Ce chapitre construit le master de Sorbier dans une machine virtuelle, le généralise et le capture.

Pourquoi généraliser avant de cloner

Une installation de Windows contient des informations propres à la machine où elle a été faite :

• l'identifiant de sécurité de la machine (SID), qui sert de racine aux identifiants des comptes locaux ;
• le nom de l'ordinateur ;
• les périphériques détectés et configurés pour ce matériel précis ;
• l'état de l'activation de Windows ;
• des identifiants générés par certains services et logiciels (agents de mise à jour, d'antivirus, d'inventaire).

Copier ce disque tel quel sur vingt postes donnerait vingt machines qui se ressemblent trop : même nom, mêmes identifiants, pilotes d'un autre matériel. Sysprep, avec l'option /generalize, supprime ces éléments. Au démarrage suivant, chaque copie recrée les siens : nouveau SID, détection du matériel, nouveau nom, puis l'assistant de première configuration (OOBE, Out-Of-Box Experience).

Tu liras parfois que la duplication du SID « n'est plus un problème ». C'est vrai pour le SID seul au sein d'un domaine, mais la généralisation fait bien plus que changer le SID : elle retire les pilotes, réinitialise l'activation et relance la personnalisation. Retiens la règle simple : jamais de clone sans Sysprep.

Construire le master dans une machine virtuelle

On construit le master dans une machine virtuelle, pas sur un poste physique. Trois raisons :

• l'image ne contient aucun pilote d'un matériel particulier : elle se déploie ensuite sur n'importe quel modèle, les pilotes étant ajoutés au déploiement ;
• on prend un instantané juste avant Sysprep : pour mettre à jour le master le mois suivant, on revient à cet instantané au lieu de tout reconstruire ;
• la VM ne bloque aucun poste de travail et se sauvegarde comme un fichier.

Sur le Proxmox VE 9 de Sorbier, la VM du master se crée avec l'assistant Create VM, en respectant les exigences de Windows 11 (UEFI, Secure Boot, TPM 2.0) :

Pendant l'installation, Windows ne voit pas le disque VirtIO : clique sur Charger un pilote et choisis le dossier vioscsi de l'ISO VirtIO. Le cours Virtualisation détaille la création de VM sous Proxmox.

En mode audit, installe aussi le pilote réseau NetKVM (dossier du même nom sur l'ISO VirtIO, ou le programme virtio-win-guest-tools qui installe tous les pilotes), sinon la VM n'a pas de réseau pour Windows Update. Ces pilotes restent dans l'image sans gêner les postes physiques. Tu peux aussi choisir le modèle de carte Intel E1000E, que Windows reconnaît sans pilote.

Le mode audit

Après l'installation, Windows lance l'OOBE : choix du pays, du clavier, du compte. Il ne faut pas le suivre, car il créerait un compte utilisateur dans le master. À l'écran du choix du pays, appuie sur Ctrl + Maj + F3 : Windows redémarre en mode audit.

En mode audit, Windows ouvre directement une session avec le compte Administrateur intégré, sans créer d'utilisateur, et affiche la fenêtre Outil de préparation du système (Sysprep). Tu peux la fermer pendant que tu travailles. À chaque redémarrage, la machine revient en mode audit tant que tu n'as pas lancé Sysprep avec l'option OOBE.

Dans le mode audit, tu prépares le master :

1. Les mises à jour : Windows Update jusqu'à ce qu'il n'y ait plus rien à installer, redémarrages compris.
2. Les logiciels communs de l'image hybride décidée au chapitre 1, avec leurs installateurs silencieux (chapitre 7).
3. Les réglages de la machine qui ne passent pas par une GPO : ils sont rares, car presque tout se règle mieux par stratégie de groupe après la jonction au domaine.
4. Le ménage : vider le dossier C:\Windows\Temp, les téléchargements, la corbeille ; nettoyer les fichiers de mise à jour avec Dism /Online /Cleanup-Image /StartComponentCleanup.
5. La vérification du chiffrement : manage-bde -status C: doit indiquer que le volume n'est pas chiffré (voir plus bas).

Ce qui ne doit jamais entrer dans le master :

Lancer Sysprep

Une fois le master prêt, prends un instantané de la VM dans Proxmox (onglet Snapshots, Take Snapshot, nom avant-sysprep-2026-11). Puis lance Sysprep, de l'une des deux façons.

Par la fenêtre. Dans Outil de préparation du système : action Entrer dans l'expérience d'installation (OOBE), case Généraliser cochée, option d'arrêt Arrêter, puis OK.

En ligne de commande, dans une invite de commandes en administrateur :

C:\Windows\System32\Sysprep\sysprep.exe /generalize /oobe /shutdown

Les options de Sysprep :

L'option /mode:vm ne convient pas à Sorbier : le master construit dans Proxmox sera déployé sur des postes physiques, il doit être généralisé complètement.

La machine se généralise pendant une ou deux minutes, puis s'éteint. Ne la redémarre pas sur son disque. Si elle redémarre, elle exécute la spécialisation et l'OOBE, et l'image n'est plus généralisée : il faut revenir à l'instantané et relancer Sysprep. La machine éteinte est prête à être capturée, par le réseau avec FOG (chapitre 5) ou avec DISM depuis Windows PE.

Les erreurs fréquentes de Sysprep

Quand Sysprep échoue, il affiche un message peu bavard, « Sysprep n'a pas pu valider votre installation Windows ». La cause est dans ses journaux, dans C:\Windows\System32\Sysprep\Panther : le fichier setuperr.log contient les erreurs, setupact.log le déroulement complet.

Une application du Store installée pour un utilisateur. C'est l'erreur la plus fréquente. Sysprep exige que toutes les applications modernes soient provisionnées pour tous les utilisateurs. Si le Store a installé ou mis à jour une application pour le compte connecté, le journal contient :

<package name> was installed for a user, but not provisioned for all users. This package will not function properly in the sysprep image.

La correction : retirer cette application pour l'utilisateur concerné, puis relancer Sysprep. En PowerShell, en administrateur, Get-AppxPackage -AllUsers -Name <nom> montre pour qui elle est installée, Remove-AppxPackage -Package <PackageFullName> -AllUsers la retire. Pour éviter le problème, coupe le réseau pendant l'installation de Windows et n'ouvre pas le Store dans le master : les applications se mettront à jour sur les postes déployés.

Le volume système est chiffré. Windows 11 active le chiffrement de l'appareil automatiquement dans certains cas. Si BitLocker est actif sur C:, Sysprep refuse de généraliser et le journal le dit (« BitLocker is on for the OS volume »). Vérifie avec manage-bde -status C: et déchiffre avec manage-bde -off C: avant Sysprep. De toute façon, un outil de clonage ne sait pas redimensionner un volume chiffré. Le chiffrement s'active ensuite sur chaque poste déployé, par GPO ou par Intune, avec la clé de récupération sauvegardée dans l'annuaire.

Une installation mise à niveau. Sysprep ne fonctionne pas sur un Windows qui a été mis à niveau depuis une version précédente (par exemple un Windows 10 passé en Windows 11). Le master se construit toujours à partir d'une installation propre.

Trop de généralisations. Une même image peut être généralisée 1 001 fois au maximum depuis Windows 8.1. Avec la méthode de l'instantané, le compteur ne bouge presque pas, car on repart toujours de l'état d'avant Sysprep.

Capturer et appliquer une image avec DISM

FOG et Clonezilla capturent le disque entier par le réseau, partition par partition. Microsoft propose aussi sa propre méthode, fondée sur des fichiers WIM (Windows Imaging Format) manipulés par DISM depuis Windows PE, un Windows minimal qui démarre sur une clé USB ou par le réseau. C'est la méthode qu'utilisent Configuration Manager et l'ancien MDT, et elle reste utile pour comprendre ce que font les outils.

Créer une clé Windows PE. Installe le Windows ADK (kit de déploiement et d'évaluation) avec la fonctionnalité Outils de déploiement, puis le module complémentaire Windows PE : depuis Windows 10 version 1809, Windows PE est un téléchargement séparé, à installer après l'ADK. Dans l'Environnement de déploiement et d'outils de création d'images, lancé en administrateur :

rem Copie les fichiers de Windows PE 64 bits dans un dossier de travail
copype amd64 C:\WinPE_amd64

rem Écrit Windows PE sur la clé USB P: (la clé est formatée)
MakeWinPEMedia /UFD C:\WinPE_amd64 P:

Capturer. La VM généralisée démarre sur Windows PE (une ISO créée avec MakeWinPEMedia /ISO). Dans Windows PE, les lettres des volumes peuvent changer : vérifie-les avec diskpart puis list volume. On capture la partition Windows dans un fichier WIM, enregistré sur un partage réseau ou un second disque :

rem Capture la partition Windows (ici C:) dans un fichier WIM compressé
dism /Capture-Image /ImageFile:D:\Images\master-w11-25h2-2026-11.wim /CaptureDir:C:\ /Name:"Sorbier W11 25H2 2026-11" /Compress:max

Appliquer. Sur un poste démarré sous Windows PE, on partitionne le disque (partition système EFI, partition réservée MSR, partition Windows, partition de récupération : Microsoft fournit des scripts diskpart d'exemple), puis on applique l'image et on crée les fichiers de démarrage :

rem Applique l'image sur la partition Windows, montée en W:
dism /Apply-Image /ImageFile:N:\Images\master-w11-25h2-2026-11.wim /Index:1 /ApplyDir:W:\

rem Crée les fichiers de démarrage UEFI sur la partition système, montée en S:
bcdboot W:\Windows /s S: /f UEFI

Au redémarrage, le poste passe par la spécialisation, puis par l'OOBE, ou par le fichier de réponses s'il y en a un.

Mettre à jour le master

Un master se périme vite : chaque mois, Windows reçoit une mise à jour cumulative, et les logiciels changent de version. La routine de Sorbier :

1. restaurer l'instantané avant-sysprep de la VM (Snapshots, Rollback) : la machine revient en mode audit, non généralisée ;
2. installer les mises à jour de Windows et des logiciels de l'image, noter les changements dans le journal du master ;
3. prendre un nouvel instantané daté ;
4. lancer Sysprep, capturer, tester sur une VM et sur un poste réel ;
5. garder l'image précédente tant que la nouvelle n'est pas validée.

Une image fine se met à jour bien moins souvent qu'une image épaisse : c'est son principal avantage. Une nouvelle version annuelle de Windows 11 (25H2, 26H2) impose en revanche de reconstruire un master propre, à partir du nouveau média.

Exercices

Error  SYSPRP Package Microsoft.WindowsCalculator_11.2502.2.0_x64__8wekyb3d8bbwe was installed for a user, but not provisioned for all users. This package will not function properly in the sysprep image.
Error  SYSPRP Failed to remove apps for the current user: 0x80073cf2.