Come configurare ed utilizzare i Windows Deployment Services (WDS)

Windows Deployment Services (WDS) è il ruolo server Microsoft che consente agli amministratori di distribuire sistemi operativi Windows tramite la rete via PXE boot, eliminando la necessità di supporti di installazione fisici come DVD o unità USB. Negli ambienti di grandi dimensioni — gestiti direttamente o come parte del portafoglio di un MSP — WDS riduce significativamente il tempo e lo sforzo manuale necessari per il provisioning di nuove macchine o la reinstallazione di quelle esistenti.

Avviso di deprecazione: WDS è parzialmente deprecato e due modifiche recenti limitano significativamente ciò che è possibile fare con esso nel 2026:

1. Windows 11 e Windows Server 2025 non possono essere distribuiti end-to-end con WDS utilizzando il boot.wim dal supporto di installazione. Microsoft ha bloccato questo flusso di lavoro. WDS può ancora avviare questi client via PXE, ma solo con un’immagine di boot personalizzata (ad es. WinPE creata con Windows ADK, o tramite Configuration Manager).
2. La distribuzione automatizzata tramite unattend.xml è disabilitata di default a partire dall’aggiornamento di sicurezza di aprile 2026 (CVE-2026-0386). I flussi di lavoro automatizzati esistenti che funzionavano prima del 14 aprile 2026 smetteranno di funzionare a meno che non venga impostato un override esplicito nel registro (operazione non raccomandata).

Questa guida resta applicabile per: distribuzioni di Windows 10 e Windows Server 2016/2019/2022 ancora supportate, scenari di PXE boot con immagini di boot personalizzate, e infrastrutture WDS esistenti in fase di manutenzione. Per nuove infrastrutture o distribuzioni Windows 11/Server 2025, passa direttamente alle Alternative moderne.

Requisiti WDS

Prima di installare e configurare WDS, verifica che il tuo ambiente soddisfi i seguenti prerequisiti:

• Sistema operativo: Windows Server 2022 o 2025 (raccomandato per nuove installazioni). Windows Server 2019 è tecnicamente supportato ma non raccomandato per nuove installazioni WDS nel 2026 (il supporto mainstream è terminato a gennaio 2024 e riceve solo aggiornamenti di sicurezza fino a gennaio 2029).
• Active Directory Domain Services (AD DS): Il server WDS deve essere membro di (o domain controller in) un dominio AD.
• Server DHCP: È necessario un server DHCP funzionante per assegnare indirizzi IP ai client che eseguono il PXE boot. Se DHCP e WDS vengono eseguiti sullo stesso server, è necessaria una configurazione aggiuntiva.
• Server DNS: Necessario per la corretta integrazione con AD.
• Disco: Almeno una partizione formattata come NTFS con spazio libero sufficiente per archiviare le immagini di boot e di installazione (prevedere un minimo di 20-50 GB, a seconda del numero di immagini).
• Rete: Una rete switched con schede di rete compatibili PXE sulle macchine client. Per i client UEFI, assicurarsi che il firmware supporti PXE over IPv4 (e/o IPv6 se necessario).
• ISO o supporto Windows: Il supporto di installazione ufficiale per le versioni del sistema operativo che si intende distribuire.

Nota: il boot.wim dal supporto di installazione di Windows 11 o Windows Server 2025 non può essere utilizzato come immagine di boot WDS (vedi avviso di deprecazione sopra). Per distribuire questi sistemi operativi, è necessaria un’immagine di boot personalizzata creata con Windows ADK.

Tramite Server Manager (GUI)

Apri Server Manager, clicca su Manage → Add Roles and Features e seleziona Windows Deployment Services.

Nota: gli screenshot di questa guida sono stati acquisiti su Windows Server 2019. L’interfaccia di gestione WDS e le procedure guidate di configurazione sono funzionalmente identiche su Windows Server 2022 e 2025.

La procedura guidata chiederà di aggiungere entrambi i sotto-ruoli Deployment Server e Transport Server. Mantieni entrambi selezionati (Deployment Server fornisce l’interfaccia di gestione completa; Transport Server gestisce il trasferimento dati multicast e unicast sottostante).

Procedi attraverso la procedura guidata e completa l’installazione.

Tramite PowerShell (raccomandato per MSP e automazione)

Per installazioni scriptate e ripetibili — inclusa la gestione remota dei server — utilizza:

Install-WindowsFeature -Name WDS -IncludeAllSubFeature -IncludeManagementTools

Verifica l’installazione:

Get-WindowsFeature -Name WDS*

Una volta installato, apri la console di gestione WDS da Server Manager → Tools → Windows Deployment Services.

È possibile avviarla anche direttamente con:

wdsmgmt.msc

Nel riquadro Servers, fai clic destro sul nome del server e seleziona Configure Server.

Clicca su Next per avviare la procedura guidata di configurazione.

Modalità di integrazione

Seleziona Integrated with Active Directory. Questa è la modalità standard e raccomandata per ambienti con macchine aggiunte al dominio. Abilita la gestione automatica degli account computer e l’integrazione con le Group Policy.

La modalità Standalone è disponibile per ambienti senza AD DS (ad es. scenari workgroup), ma limita significativamente le funzionalità e non è raccomandata per la produzione.

Percorso dell’archivio immagini

Specifica un percorso su un volume NTFS per archiviare tutte le immagini WDS. Se possibile, scegli un volume dedicato, separato dal volume del sistema operativo, per evitare contese sul disco.

Best practice per MSP: Se gestisci più siti da un singolo server WDS, assicurati che il volume dell’archivio immagini abbia capacità sufficiente per tutte le immagini di tutte le versioni di sistema operativo gestite. Un volume di 200-500 GB è tipico in ambienti multi-tenant o multi-OS.

Policy di risposta PXE

Configura come il server risponde alle richieste di PXE boot.

Le opzioni disponibili sono:

Opzione	Descrizione	Uso raccomandato
Do not respond to any client	WDS è inattivo	Solo per staging iniziale
Respond only to known clients	Solo account computer pre-registrati in AD	Ambienti controllati/sicuri
Respond to all clients (known and unknown)	Qualsiasi client PXE può connettersi	Laboratori, ambienti di provisioning MSP
Respond to all clients with a delay for unknown clients	I client conosciuti hanno la priorità	Ambienti di produzione misti

Per la maggior parte degli scenari di deployment MSP ed enterprise, Respond to known clients only con un flusso di lavoro di prestaging è l’opzione più sicura. Per ambienti di laboratorio interni o provisioning rapido, rispondere a tutti i client è accettabile.

Clicca su Finish. WDS chiederà di aggiungere immediatamente le immagini.

Compatibilità delle immagini di boot per destinazione di distribuzione

Il supporto WDS dipende dalla combinazione tra l’origine del boot.wim e la versione di Windows da distribuire. La tabella seguente riassume lo stato attuale basato sulla matrice di compatibilità ufficiale di Microsoft:

SO da distribuire	boot.wim da Windows 10	boot.wim da Server 2016 / 2019	boot.wim da Server 2022	boot.wim da Windows 11
Windows 10	Supportato	Supportato	Non supportato	Non supportato
Windows Server 2022	Deprecato (avviso)	Deprecato (avviso)	Deprecato (avviso)	Non supportato
Windows Server 2019	Supportato	Supportato	Non supportato	Non supportato
Windows 11	Bloccato	Bloccato	Bloccato	Bloccato
Windows Server 2025	Non supportato	Non supportato	Non supportato	Non supportato

Punti chiave:

• Per le distribuzioni di Windows 10, utilizza un boot.wim dalla stessa versione o da una versione più recente di Windows 10, oppure da Server 2016/2019. Non utilizzare boot.wim da Server 2022 o successivi (non è supportato per la distribuzione di Windows 10).
• Windows Server 2022 può ancora essere distribuito tramite WDS, ma il flusso di lavoro è deprecato e mostra un avviso non bloccante durante il setup indipendentemente dal boot.wim utilizzato.
• Windows 11 e Server 2025 non possono essere distribuiti end-to-end con WDS utilizzando qualsiasi boot.wim dal supporto di installazione. Tentare questa operazione su un server WDS con Server 2025 può produrre un errore “media driver missing”; su server WDS precedenti, un messaggio di deprecazione bloccherà il flusso di lavoro.

Workaround per Windows 11 / Server 2025: crea un’immagine di boot WinPE personalizzata con Windows ADK e importala in WDS al posto del boot.wim. Il file install.wim di questi sistemi operativi può ancora essere servito da WDS come immagine di installazione (la limitazione si applica solo all’immagine di boot).

WDS utilizza due tipi di immagini:

• Immagine di boot (boot.wim): L’ambiente WinPE che viene caricato tramite la rete e avvia l’installazione
• Immagine di installazione (install.wim o install.esd): L’immagine effettiva del sistema operativo Windows da distribuire

Entrambi i file si trovano nella cartella sources\ di qualsiasi supporto di installazione ufficiale Windows (ISO o USB).

Nota sui supporti Windows 11 e Server 2025: Microsoft è passata da install.wim a install.esd nelle release più recenti. WDS richiede un file .wim. Se disponi solo di un .esd, convertilo prima utilizzando DISM:

dism /Export-Image /SourceImageFile:install.esd /SourceIndex:1 /DestinationImageFile:install.wim /Compress:max /CheckIntegrity

Aggiunta dell’immagine di installazione

Si avvierà una nuova procedura guidata. Seleziona il file install.wim (o il .wim convertito) dal supporto Windows.

Scegli quali edizioni (indici) all’interno del file .wim aggiungere. È possibile aggiungere più edizioni (ad es. Pro ed Enterprise) dallo stesso file.

Clicca su Next per procedere.

L’immagine di installazione è ora aggiunta all’archivio immagini WDS.

Aggiunta dell’immagine di boot

Fai clic destro su Boot Images nel riquadro sinistro e seleziona Add Boot Image.

Specifica il percorso del file boot.wim dal supporto di installazione Windows.

Clicca su Next.

Conferma e completa la procedura guidata.

L’immagine di boot è ora disponibile nell’archivio immagini WDS.

Gestione delle immagini tramite PowerShell

Per gli MSP che gestiscono più server o automatizzano l’aggiornamento delle immagini, PowerShell è l’approccio preferito:

# Aggiungi un'immagine di boot
Import-WdsBootImage -Path "D:\media\sources\boot.wim" -NewImageName "Win10 22H2 Boot" -NewDescription "WinPE Boot Image"

# Aggiungi un'immagine di installazione (index 1 = Windows 10 Pro)
Import-WdsInstallImage -ImageGroup "Windows10" -Path "D:\media\sources\install.wim" -ImageName "Windows 10 Pro" -NewImageName "Win10Pro-22H2" 

# Elenca tutte le immagini
Get-WdsInstallImage
Get-WdsBootImage

Se WDS e DHCP sono in esecuzione sullo stesso server, è necessario configurare WDS per evitare conflitti con la risposta PXE di DHCP. Senza questa configurazione, i client potrebbero non ricevere un’offerta PXE corretta.

Esegui il seguente comando da un prompt dei comandi o PowerShell con privilegi elevati:

wdsutil /Set-Server /UseDHCPPorts:No /DHCPOption60:Yes

Oppure, nella console WDS: fai clic destro sul server → Properties → scheda DHCP → abilita Do not listen on DHCP ports e Configure DHCP option 60 to indicate that this server is also a PXE server.

L’hardware moderno (prodotto approssimativamente dal 2012, e obbligatorio per Windows 11) utilizza firmware UEFI con Secure Boot anziché il BIOS legacy. WDS supporta entrambi, ma utilizzano file di boot differenti:

Firmware del client	File di boot utilizzato da WDS
BIOS Legacy	pxeboot.n12 / abortpxe.com
UEFI (64-bit)	bootmgfw.efi
UEFI (32-bit, raro)	bootia32.efi

WDS serve automaticamente il file di boot corretto in base all’opzione DHCP 93 (architettura del client) inviata dal firmware del client; nella maggior parte dei casi non è necessaria alcuna configurazione manuale.

Secure Boot: le immagini di boot WDS firmate da Microsoft funzionano con Secure Boot abilitato. Se utilizzi immagini WinPE personalizzate o di terze parti, assicurati che siano correttamente firmate oppure disabilita temporaneamente Secure Boot nel BIOS del client a scopo di test.

Con WDS configurato e le immagini aggiunte, la distribuzione di Windows su una macchina client segue questo processo:

1. Collega la macchina di destinazione alla stessa rete del server WDS e DHCP
2. Accendi la macchina e premi il tasto per avviare un boot da rete (tipicamente F12, F8, o configurato tramite l’ordine di avvio UEFI)

La macchina otterrà un indirizzo IP dal DHCP e riceverà l’immagine di boot WDS.

WinPE viene caricato tramite la rete.

Il tecnico seleziona l’immagine di installazione e l’installazione di Windows inizia, interamente tramite la rete senza bisogno di supporti fisici.

Per ambienti sicuri dove solo le macchine autorizzate devono ricevere una risposta PXE, pre-registra gli account computer in Active Directory prima della distribuzione:

1. In Active Directory Users and Computers, crea un nuovo account computer per la macchina di destinazione
2. Fai clic destro sull’account → Properties → Attribute Editor → imposta l’attributo netbootGUID al GUID o indirizzo MAC della macchina (formattato come GUID binario)
3. In WDS, imposta il server per rispondere solo ai client conosciuti

In alternativa, utilizza PowerShell per la pre-registrazione diretta. L’attributo netbootGUID accetta un array di byte derivato dall’indirizzo MAC della macchina o dal suo SMBIOS GUID (recuperabile dal firmware UEFI). Entrambi i metodi sono mostrati di seguito: 

# 1. Crea l'account computer in AD
New-ADComputer -Name "WS-NEWPC-001" -Path "OU=Workstations,DC=domain,DC=local"

# 2a. Pre-registra tramite indirizzo MAC
# WDS si aspetta il MAC formattato come GUID: 00000000-0000-0000-0000-<MAC senza separatori>
$mac = "001122334455"  # sostituisci con il MAC della macchina di destinazione, senza separatori
$guid = [System.Guid]::new("00000000-0000-0000-0000-$mac")
$guidBytes = $guid.ToByteArray()
Set-ADComputer -Identity "WS-NEWPC-001" -Replace @{netbootGUID = $guidBytes}

# 2b. In alternativa, pre-registra tramite SMBIOS GUID (dal firmware UEFI)
# Recupera il SMBIOS GUID dalla macchina di destinazione (eseguire localmente o da remoto):
# Get-CimInstance -ClassName Win32_ComputerSystemProduct | Select-Object -ExpandProperty UUID
# Da remoto: Get-CimInstance -ClassName Win32_ComputerSystemProduct -ComputerName "TARGET-PC" | Select-Object -ExpandProperty UUID

$smbiosGuid = "XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX"  # sostituisci con il valore effettivo
$guid = [System.Guid]::new($smbiosGuid)
$guidBytes = $guid.ToByteArray()
Set-ADComputer -Identity "WS-NEWPC-001" -Replace @{netbootGUID = $guidBytes}

Questo approccio offre agli MSP un controllo preciso su quali macchine possono essere reinstallate tramite PXE, prevenendo distribuzioni accidentali.

Per distribuire la stessa immagine su più macchine contemporaneamente — comune in scenari di aule didattiche, laboratori o refresh su larga scala — WDS supporta le trasmissioni multicast, che riducono drasticamente la larghezza di banda di rete rispetto ai trasferimenti unicast (uno a uno).

New-WdsMulticastTransmission -ImageGroup "Windows10" -ImageName "Win10Pro-22H2" -FriendlyName "Win10 Multicast" -TransmissionType AutoCast

Sono disponibili due modalità multicast:

• Auto-Cast: La trasmissione inizia immediatamente quando il primo client la richiede. Nuovi client possono unirsi in qualsiasi momento.
• Scheduled-Cast: La trasmissione attende che un numero definito di client si sia connesso, o fino a un orario specifico, prima di iniziare. Più efficiente per rollout simultanei su larga scala.

Alternative moderne per MSP e sysadmin

Dato il piano di deprecazione di Microsoft per WDS, le organizzazioni che pianificano nuove infrastrutture dovrebbero valutare le seguenti alternative in base al proprio ambiente:

Scenario	Soluzione raccomandata
On-premises, task sequence complesse, gestione driver	Microsoft Configuration Manager (MCM) OSD, o strumenti di terze parti (SmartDeploy, FOG Project)
On-premises, larga scala, ConfigMgr già distribuito	Microsoft Configuration Manager (MCM) OSD
Cloud-first, dispositivi Entra ID (Azure AD) joined	Windows Autopilot + Microsoft Intune
Ibrido (AD on-prem + gestione cloud)	Autopilot per nuovi dispositivi + MCM per quelli legacy
Open-source, ambienti cross-platform	FOG Project o Clonezilla Server

Nota su MDT: Microsoft Deployment Toolkit, storicamente un popolare complemento di WDS negli ambienti MSP, è stato ritirato da Microsoft a gennaio 2026. Le distribuzioni esistenti continuano a funzionare ma non ricevono ulteriori aggiornamenti o patch di sicurezza, e i pacchetti di download potrebbero essere rimossi dai canali ufficiali. MDT non dovrebbe essere considerato per nuove infrastrutture. 

WDS nel 2026: dove ha ancora senso

WDS resta utilizzabile per le distribuzioni legacy di Windows 10 e Windows Server 2019/2022 in ambienti dove Active Directory e DHCP on-prem sono già presenti. Non è più lo strumento adatto per nuove infrastrutture o per la distribuzione end-to-end di Windows 11 / Server 2025.

Per MSP e sysadmin, le considerazioni operative chiave nel 2026 sono:

• La compatibilità UEFI/Secure Boot è gestita automaticamente da WDS, ma è sempre opportuno verificare le impostazioni del firmware sull’hardware di destinazione
• La pre-registrazione degli account client offre il giusto equilibrio tra automazione e sicurezza
• La gestione tramite PowerShell è preferibile alla GUI per automazione, documentazione e amministrazione remota
• Pianifica la migrazione verso Autopilot o MCM man mano che WDS si avvicina alla fine del supporto nelle future release di Windows Server

Prima di pianificare qualsiasi nuova infrastruttura WDS, consulta la documentazione ufficiale di Microsoft sulle funzionalità deprecate di Windows Server per verificare lo stato di supporto attuale.