Extracción de Hardware Hash para Windows Autopilot

1. Contexto

Esta guía cubre la extracción del hardware hash de equipos Lenovo nuevos, paso necesario para enrolarlos en Microsoft Windows Autopilot. El hash es una huella digital única del equipo que Microsoft Intune usa para reconocerlo y aplicarle su configuración automáticamente cuando el usuario final lo encienda por primera vez.

El procedimiento es el mismo para cualquier equipo Lenovo sin importar qué traiga de fábrica (Windows 11 Pro OEM, FreeDOS, Ubuntu, o nada). Booteamos desde un USB con el instalador de Windows 11, abrimos un cmd, corremos el script y apagamos. Una sola receta para todo el lote.

2. Antes de empezar — qué necesitás

• Un (1) USB de 8 GB o más. Cumple doble función:
  1. Es el medio booteable del instalador Windows 11 (lo que da el entorno WinPE con cmd).
  2. Lleva los dos archivos del script y va acumulando el CSV con los hashes del lote.
  Una vez preparado (ver sección 4), debe tener en la raíz los archivos del instalador más estos dos archivos extra:
  • extraer-hash.cmd — wrapper que detecta el USB y dispara la extracción.
  • Get-WindowsAutopilotInfo.ps1 — script oficial de Microsoft que hace la lectura del hash.
  El mismo USB se usa para todo el lote: acumula un único HASHES\autopilot.csv con todos los hashes en append (no sobreescribe). No hace falta un USB separado de datos.
• Cable de red ethernet (con adaptador USB-ethernet si la Lenovo no tiene puerto RJ45). Es opcional cuando el .ps1 está precargado en el USB, pero conviene llevarlo como red de seguridad por si el USB se reformatea o el .ps1 falta — en ese caso el .cmd cae al fallback de PowerShell Gallery y necesita internet.
• Planilla impresa con los seriales del lote, para ir tildando cuál procesaste.
• Clip o lápiz para el botón Novo (ver sección 3.2).

3. Particularidades de Lenovo (leer una vez antes de empezar)

Las Lenovo tienen un par de cosas distintas a otras marcas que vale la pena saber antes:

3.1 Las teclas F-keys vienen "invertidas" por default (Fn lock)

En la mayoría de Lenovo modernas, las teclas F1 a F12 por default ejecutan funciones especiales (volumen, brillo, etc.) en lugar de F1-F12 reales. Esto rompe el atajo Shift+F10.

3.2 El botón Novo (atajo Lenovo para boot menu y BIOS)

Lenovo agrega un botón propio llamado Novo (símbolo: flecha curva pequeña ↶) que abre un menú especial sin importar qué F-key use el modelo. Es la forma más fácil de entrar al boot menu o al BIOS.

3.3 Teclas alternativas según modelo

3.4 TPM 2.0 — verificar si un hash falla

Autopilot necesita TPM 2.0 activado. Las Lenovo nuevas lo traen activado de fábrica, pero si un equipo falla la extracción de hash, verificalo:

1. Entrar al BIOS (botón Novo → BIOS Setup, o F1 en ThinkPad / F2 en ThinkBook/IdeaPad).
2. Ir a Security → Security Chip.
3. Verificar que esté en Active o Enabled (TPM 2.0).
4. F10 para guardar y salir.

4. Preparación del USB (una sola vez)

Un solo USB de 8 GB o más cumple las dos funciones: bootea el instalador de Windows 11 (entorno WinPE con cmd) y lleva el script + el CSV de hashes. La preparación se hace una sola vez en una PC con Windows e internet, y después el mismo USB sirve para todo el lote.

4.1 Armar el USB booteable con Windows 11

Este paso genera el USB con el instalador. No se instala nada en ningún equipo — el instalador se usa solo como un "Windows portátil" en RAM (WinPE) para acceder a un cmd.

1. Desde una PC con Windows con internet, ir a microsoft.com/software-download/windows11.
2. Descargar "Crear medios de instalación de Windows 11".
3. Ejecutarla, seleccionar el USB destino (mínimo 8 GB — se borra entero).
4. Esperar 20-40 minutos a que termine de armar el USB booteable.

4.2 Copiar el script y el CSV-builder a la raíz del mismo USB

Una vez armado el USB booteable, agregar dos archivos en la raíz — al lado de setup.exe y la carpeta sources/ del instalador. Agregar archivos a la raíz no rompe el booteo: WinPE ignora lo que no necesita.

1. Bajar extraer-hash.cmd y copiarlo a la raíz del USB.

   Descargar extraer-hash.cmd

2. Conseguir Get-WindowsAutopilotInfo.ps1 y copiarlo a la raíz del USB. Dos opciones:
   • Opción A — descarga directa (más simple):

     Descargar Get-WindowsAutopilotInfo.ps1

     Versión testeada por nosotros, alineada con esta guía.
   • Opción B — desde PowerShell Gallery (oficial Microsoft): abrir PowerShell en la PC de preparación y correr:

     Save-Script -Name Get-WindowsAutopilotInfo -Path "E:\"

     Reemplazar E:\ por la letra del USB. Si Save-Script no está disponible, primero instalar el módulo: Install-Module PowerShellGet -Force. Si el .ps1 queda dentro de una subcarpeta (por ejemplo E:\Get-WindowsAutopilotInfo\), moverlo a la raíz.
3. Verificar que en la raíz del USB queden los dos archivos visibles junto a los del instalador:

   E:\extraer-hash.cmd
   E:\Get-WindowsAutopilotInfo.ps1
   E:\setup.exe              (del instalador)
   E:\sources\               (del instalador)
   ... etc

5. Procedimiento por equipo repetir en cada Lenovo

Mismos pasos para todos los equipos del lote, sin importar qué sistema operativo traigan.

1. (Opcional, recomendado como red de seguridad) Conectá el cable ethernet (o adaptador USB-ethernet en ThinkBook/IdeaPad delgadas). Con el .ps1 precargado en el USB no se usa, pero queda listo por si hay que caer al fallback.
2. Enchufá el USB preparado en la sección 4.
3. Equipo apagado. Apretar el botón Novo (sección 3.2) con un clip → elegir Boot Menu. Alternativa: encender y apretar F12 apenas se prenda.
4. En el boot menu, elegir el USB (aparece como "USB HDD: SanDisk..." o similar, en modo UEFI).
5. Esperá unos segundos. Aparece la pantalla del instalador de Windows con selección de idioma.
6. Presioná Shift+F10. Si no abre nada, probá Fn+Shift+F10 (ver sección 3.1). Abre un cmd.
7. Listá las unidades visibles para saber qué letra tipear al invocar el script:

   wmic logicaldisk get name,volumename

   En WinPE vas a ver dos:
   • X: — RAM disk temporal del instalador (archivos del setup montados en RAM). No es el USB.
   • Otra letra (típicamente D: o E:) — el USB físico. Se reconoce por el volume name que le hayas puesto, y porque en su raíz están extraer-hash.cmd y Get-WindowsAutopilotInfo.ps1.

   Curiosidad: el .cmd por dentro vuelve a recorrer las letras D a N para autoubicarse cuando arranca. El wmic sirve solo para que vos sepas qué letra tipear en el paso siguiente.

8. Ejecutá el script desde la letra del USB físico (en este ejemplo D: — reemplazar con la letra real):

   D:\extraer-hash.cmd

9. Esperá 1 a 2 minutos. El script:
   • Detecta si Get-WindowsAutopilotInfo.ps1 está en la raíz del USB (debería estar — ver sección 4.2). Si está, lo ejecuta local: sin descarga, sin red en este paso.
   • Si no lo encuentra, cae al fallback: lo baja de PowerShell Gallery (acá es donde necesita el ethernet).
   • Extrae el hash del TPM y lo agrega al CSV del USB (acumulativo — no sobreescribe).
10. Cuando diga OK — Hash extraído y guardado en el USB, apagá:

    wpeutil shutdown

    En el entorno del instalador, el shutdown común no funciona; usá wpeutil shutdown.
11. Tildá el serial en la planilla, desenchufá el USB, pasá al siguiente equipo.

6. Después de procesar el lote: subir el CSV a Intune

1. Conectá el USB a una PC con internet.
2. Abrí HASHES\autopilot.csv con Bloc de notas. No usar Excel: rompe el formato del hash (Excel lo trata como número, agrega comillas, le saca padding).
3. Validar:
   • 1 línea de cabecera + 1 fila por equipo procesado.
   • Cada fila: Device Serial Number, Windows Product ID, Hardware Hash.
   • Si faltan filas, comparar seriales del CSV con la planilla para detectar cuál falta.
4. Entrá al Centro de administración de Microsoft Intune.
5. Devices → Windows → Windows enrollment → Windows Autopilot → Devices.
6. Clic en Import, seleccionar el autopilot.csv.
7. Esperar — para lotes grandes puede tardar 10-15 minutos.
8. Sync en la barra superior, después Refresh hasta ver todos los dispositivos listados.

7. Plan B — Fallback OOBE solo si falla el USB WinPE

Este apartado no es el flujo recomendado. Existe para cubrir un caso puntual: el USB de WinPE no tiene PowerShell incluido y en el cmd del instalador aparece el error:

"powershell.exe" no se reconoce como un comando interno o externo

El WinPE base no trae PowerShell — hay que agregarlo con DISM en la armada del USB. Mientras tanto, si tenés el lote a procesar y no podés rearmar el USB en el momento, podés sacar el hash desde el Windows preinstalado de fábrica, durante la pantalla OOBE (la primera pantalla cuando encendés un equipo nuevo, "Comencemos por la región").

7.1 Procedimiento OOBE por equipo

1. Encendé el equipo. Esperá la pantalla "Comencemos por la región" (primera pantalla de OOBE).
2. Enchufá el USB (necesitamos el Get-WindowsAutopilotInfo.ps1 que ya está en su raíz).
3. Presioná Shift+F10 (o Fn+Shift+F10 en Lenovo — ver sección 3.1). Abre un cmd.

   Si no abre nada y probaste ambas combinaciones: el equipo es Win11 24H2+ con el bloqueo activo. Este flujo no aplica para ese equipo, hay que rearmar el USB WinPE con PowerShell.

4. Identificá la letra del USB:

   wmic logicaldisk get name,volumename

   A diferencia de WinPE, acá no hay X:. Las letras son normales (C: es el disco interno, otra letra — típicamente D: o E: — es el USB).

5. Crear la carpeta de hashes en el USB (si no existe) y correr el script (reemplazar D: con la letra real del USB):

   if not exist D:\HASHES mkdir D:\HASHES
   cd /d D:\HASHES
   powershell -ExecutionPolicy Bypass -File D:\Get-WindowsAutopilotInfo.ps1 -OutputFile D:\HASHES\autopilot.csv -Append

   El parámetro -Append es clave: hace que el CSV vaya acumulando filas por cada equipo, igual que el flujo WinPE.
6. Esperá 30 a 60 segundos. Cuando vuelve el prompt sin error, el hash quedó guardado.
7. Apagá inmediatamente:

   shutdown /s /t 0

   No cerrar el cmd y volver a OOBE. No tocar la pantalla. Directo a apagado.
8. Tildá el serial en la planilla, desenchufá el USB, pasá al siguiente equipo.

7.2 Cuándo elegir OOBE vs rearmar el USB WinPE

7.3 Cómo armar el USB WinPE con PowerShell incluido

Esto se hace una sola vez, en una máquina con Windows ADK + WinPE add-on instalados. Después el USB sirve para todo el lote y no hay que tocarlo más. El técnico de campo no hace nada de esto — es trabajo previo del responsable del paquete.

1. Instalar (si no está) el Windows ADK + el WinPE add-on (descarga separada en la misma página).
2. Abrir "Deployment and Imaging Tools Environment" del menú inicio como Administrador.
3. Ejecutar este bloque (en PowerShell elevado):

   copype amd64 C:\WinPE_amd64
   
   $MountDir = "C:\WinPE_amd64\mount"
   Dism /Mount-Image /ImageFile:"C:\WinPE_amd64\media\sources\boot.wim" /Index:1 /MountDir:$MountDir
   
   $PkgPath = "C:\Program Files (x86)\Windows Kits\10\Assessment and Deployment Kit\Windows Preinstallation Environment\amd64\WinPE_OCs"
   
   # Orden importante — primero WMI, después .NET, después Scripting, después PowerShell
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\WinPE-WMI.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\en-us\WinPE-WMI_en-us.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\WinPE-NetFX.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\en-us\WinPE-NetFX_en-us.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\WinPE-Scripting.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\en-us\WinPE-Scripting_en-us.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\WinPE-PowerShell.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\en-us\WinPE-PowerShell_en-us.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\WinPE-StorageWMI.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\en-us\WinPE-StorageWMI_en-us.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\WinPE-DismCmdlets.cab"
   Dism /Add-Package /Image:$MountDir /PackagePath:"$PkgPath\en-us\WinPE-DismCmdlets_en-us.cab"
   
   Dism /Unmount-Image /MountDir:$MountDir /Commit
   
   # Reemplazar D: por la letra real del USB
   MakeWinPEMedia /UFD C:\WinPE_amd64 D:

   Si solo querés un WinPE pelado (sin PowerShell), alcanza con copype amd64 C:\WinPE_amd64 y MakeWinPEMedia /UFD C:\WinPE_amd64 D:. Pero el script Get-WindowsAutopilotInfo.ps1 necesita PowerShell, así que para este flujo hay que inyectar los .cab sí o sí.

4. Volver a copiar extraer-hash.cmd y Get-WindowsAutopilotInfo.ps1 a la raíz del USB (el armado los borra). Ver sección 4.2.

8. Troubleshooting Lenovo

9. Anexo — Checklist imprimible para campo

Imprimir esta página suelta y llevarla al sitio donde se procesan los equipos. Cubre el procedimiento completo en un vistazo.