Vorbereitungsanforderungen für Windows Autopilot-Geräte

Tipp

RSS kann verwendet werden, um zu benachrichtigen, wenn Anforderungen zu dieser Seite hinzugefügt oder aktualisiert werden. Der folgende RSS-Link enthält zum Beispiel diesen Artikel:

https://learn.microsoft.com/api/search/rss?search=%22Software%2C+Networking%2C+Licensing%2C+Configuration%2C+and+RBAC+requirements+for+Windows+Autopilot+device%22&locale=en-us&%24filter=

Dieses Beispiel enthält die &locale=en-us Variable. Die locale Variable ist erforderlich, kann aber in einem anderen unterstützten Gebietsschema geändert werden. Beispiel: &locale=es-es.

Weitere Informationen zur Verwendung von RSS für Benachrichtigungen finden Sie unter Verwenden der Dokumente in der Intune-Dokumentation.

Die Liste der Anforderungen für die Vorbereitung des Windows Autopilot-Geräts ist in fünf verschiedene Kategorien unterteilt:

• Software – Betriebssystemanforderungen.
• Netzwerk – Netzwerkanforderungen.
• Lizenzierung – Lizenzierungsanforderungen.
• Konfiguration – Konfigurationen, die in Microsoft Entra ID und Microsoft Intune erforderlich sind.
• RBAC – RBAC-Berechtigungen, die für einen Administrator für die Windows Autopilot-Gerätevorbereitung erforderlich sind.

Wählen Sie die entsprechende Registerkarte aus, um die relevanten Anforderungen anzuzeigen:

Software

Softwareanforderungen

Die Gerätevorbereitung für Windows Autopilot hängt von bestimmten Features ab, die im Windows-Client, Microsoft Entra ID und einem MDM-Dienst (Mobile Device Management) wie Microsoft Intune verfügbar sind. Um die Gerätevorbereitung für Windows Autopilot zu verwenden und auf diese Features zugreifen zu können, müssen einige Softwareanforderungen erfüllt sein.

Windows 11

• Windows 11, Version 24H2 oder höher.
• Windows 11, Version 23H2 mit KB5035942 oder höher – Windows 11, Version 23H2 Installationsmedien vom April 2024 oder höher KB5035942 enthalten.
• Windows 11, Version 22H2 mit KB5035942 oder höher – Windows 11 sind KB5035942 Installationsmedien der Version 22H2 vom April 2024 oder höher enthalten.

Wichtig

• Erkundigen Sie sich bei OEMs, ob die vom OEM ausgelieferten Geräte das mindestens erforderliche Update installiert haben.
• Wenn Sie Windows von einem Installationsmedium aus installieren, stellen Sie sicher, dass das mindestens erforderliche Update auf dem Medium installiert ist. Aktualisierte Windows-Installationsmedien mit dem neuesten kumulativen Update, das bereits installiert ist, sind im Microsoft M365 Admin Center verfügbar.

Windows 365 Cloud-PCs

• Windows 11, Version 24H2 mit KB5052093 oder höher – Die Bilder der Windows 11, Version 24H2 in der Windows 365 Bildergalerie werden mit den neuesten Updates aktualisiert, einschließlich KB5052093. Stellen Sie beim Erstellen benutzerdefinierter Images jedoch sicher, dass Sie Windows 11, Version 24H2-Installationsmedien vom März 2025 oder höher verwenden, die KB5052093 enthalten.
• Windows 11, Version 23H2 mit KB5035942 oder höher – Die Bilder der Windows 11, Version 23H2 in der Windows 365 Bildergalerie werden mit den neuesten Updates aktualisiert, einschließlich KB5035942. Stellen Sie beim Erstellen benutzerdefinierter Images jedoch sicher, dass Sie Windows 11, Version 23H2-Installationsmedien vom März 2025 oder höher verwenden, die KB5035942 enthalten.
• Windows 11, Version 22H2 mit KB5035942 oder höher – Die Bilder der Windows 11, Version 22H2 in der Windows 365-Bildergalerie werden mit den neuesten Updates aktualisiert, einschließlich KB5035942. Stellen Sie beim Erstellen benutzerdefinierter Images jedoch sicher, dass Sie Windows 11, Version 22H2-Installationsmedien vom März 2025 oder höher verwenden, die KB5035942 enthalten.

Folgende Editionen werden unterstützt:

• Windows 11 Pro.
• Windows 11 Pro Education.
• Windows 11 Pro for Workstations.
• Windows 11 Enterprise.
• Windows 11 Education.
• Windows 11 Enterprise LTSC.

Netzwerk

Netzwerkanforderungen

Die Gerätevorbereitung für Windows Autopilot hängt von verschiedenen internetbasierten Diensten ab. Der Zugriff auf diese Dienste muss bereitgestellt werden, damit die Vorbereitung des Windows Autopilot-Geräts ordnungsgemäß funktioniert. Im einfachsten Fall kann die Aktivierung der ordnungsgemäßen Funktionalität erreicht werden, indem die folgenden Bedingungen erfüllt werden:

• Stellen Sie die DNS-Namensauflösung (Domain Name Services) für Internet-DNS-Namen sicher.
• Erlauben Sie den Zugriff auf alle Hosts über Port 80 (HTTP), 443 (HTTPS) und 123 (UDP/NTP).

Möglicherweise sind zusätzliche Konfigurationen erforderlich, um den Zugriff auf erforderliche Dienste in Umgebungen zu gewähren, die:

• Restriktiveren Internetzugang haben.
• Eine Authentifizierung ist erforderlich, bevor Internetzugang gewährt werden kann.

Hinweis

Die auf Karten und Zertifikate basierende Authentifizierung wird während der Out-of-Box-Experience (OOBE) nicht unterstützt. Weitere Informationen finden Sie unter Smartcards und zertifikatbasierte Authentifizierung.

Anforderungen für den Dienst

Die Gerätevorbereitung für Windows Autopilot beruht auf mehreren verschiedenen Diensttypen, um ordnungsgemäß zu funktionieren. Damit diese Dienste ordnungsgemäß funktionieren, müssen möglicherweise bestimmte Netzwerkkonfigurationen durchgeführt werden. Diese Dienste und ihre erforderlichen Netzwerkkonfigurationen lauten wie folgt:

Windows Autopilot-Bereitstellungsdienst

Nachdem eine Netzwerkverbindung hergestellt wurde, kontaktiert jedes Windows-Gerät den Windows Autopilot-Bereitstellungsdienst. Die folgenden URLs werden verwendet:

• https://login.live.com

Windows-Aktivierung

Für die Gerätevorbereitung für Windows Autopilot sind Windows-Aktivierungsdienste erforderlich. Weitere Informationen zu den URLs, auf die für die Aktivierungsdienste zugegriffen werden muss, finden Sie unter Windows-Aktivierung oder -Validierung schlägt fehl mit Fehlercode 0x8004FE33.

Microsoft Entra-ID

Microsoft Entra ID überprüft Benutzeranmeldeinformationen. Darüber hinaus wird das Gerät während der Vorbereitung des Windows Autopilot-Geräts mit Microsoft Entra ID verknüpft. Weitere Informationen finden Sie unter Office 365-IP-Adresse und -URL-Webdienst.

Microsoft Intune

Nach der Authentifizierung löst Microsoft Entra ID die Registrierung des Geräts beim Intune-MDM-Dienst (Mobile Device Management) aus. Weitere Informationen zu den Netzwerkkommunikationsanforderungen von Intune finden Sie in den folgenden Artikeln:

• Netzwerkendpunkte für Microsoft Intune.
• Netzwerkanforderungen für PowerShell-Skripts und Win32-Apps.

Windows Autopilot-Gerätevorbereitung Automatische Geräte-Diagnose-Sammlung

Damit die Diagnose erfolgreich vom Client hochgeladen werden kann, stellen Sie sicher, dass die URL lgmsapeweu.blob.core.windows.net nicht im Netzwerk blockiert ist. Diagnosen sind 28 Tage lang verfügbar, bevor sie entfernt werden.

Weitere Informationen finden Sie unter Sammeln von Diagnosen von einem Windows-Gerät.

Windows Update

Während des OOBE-Prozesses (Out-of-Box Experience) und nach der Windows-Betriebssystemkonfiguration ruft der Windows Update-Dienst die erforderlichen Updates ab. Wenn Probleme beim Herstellen einer Verbindung mit Windows Update auftreten, lesen Sie "Problembehandlung bei Windows Update".

Wenn auf Windows Update nicht zugegriffen werden kann, wird der Windows Autopilot-Gerätevorbereitungsprozess weiterhin fortgesetzt, aber wichtige Updates sind nicht verfügbar.

Übermittlungsoptimierung

Die Gerätevorbereitung von Windows Autopilot kontaktiert beim Herunterladen der Anwendungen und Updates den Dienst "Übermittlungsoptimierung ". Dieser Kontakt stellt die Peer-to-Peer-Freigabe von Inhalten her, sodass nur wenige Geräte sie aus dem Internet herunterladen müssen.

• Windows-Updates.
• Microsoft Store-Anwendungen und Anwendungsupdates.
• Office-Updates.
• Intune Win32-Anwendungen.

Wenn nicht auf den Übermittlungsoptimierungsdienst zugegriffen werden kann, wird der Windows Autopilot-Prozess weiterhin mit Übermittlungsoptimierungsdownloads aus der Cloud ohne Peer-to-Peer fortgesetzt.

NTP-Synchronisierung (Network Time Protocol)

Wenn ein Windows-Gerät gestartet wird, kommuniziert es mit einem Netzwerkzeitserver, um sicherzustellen, dass die Uhrzeit auf dem Gerät korrekt ist. Stellen Sie sicher, dass der UDP-Port 123time.windows.com zugänglich ist.

Domain Name Services (DNS)

Zum Auflösen von Internetnamen für alle Dienste kommuniziert das Gerät mit einem DNS-Server, der in der Regel über DHCP bereitgestellt wird. Dieser DNS-Server muss Internetnamen auflösen können.

Diagnosedaten

Die Erfassung von Diagnosedaten ist standardmäßig aktiviert. Weitere Informationen finden Sie unter Verwalten von Enterprise-Diagnosedaten.

Wenn das Gerät keine Diagnosedaten senden kann, wird der Windows Autopilot-Gerätevorbereitungsprozess trotzdem fortgesetzt. Dienste, die von Diagnosedaten abhängig sind, funktionieren jedoch nicht.

Netzwerkverbindungsstatusanzeige (NCSI)

Windows muss erkennen können, dass das Gerät auf das Internet zugreifen kann. Weitere Informationen finden Sie unter Netzwerkverbindungsstatusanzeige (NCSI).

*.msftconnecttest.com muss über DNS auflösbar und über HTTP zugänglich sein.

Windows-Benachrichtigungsdienste (WNS)

Dieser Dienst wird verwendet, damit Windows Benachrichtigungen von Anwendungen und Diensten empfangen kann. Weitere Informationen finden Sie unter Microsoft Store.

Wenn die WNS-Dienste nicht verfügbar sind, wird der Windows Autopilot-Gerätevorbereitungsprozess weiterhin ohne Benachrichtigungen fortgesetzt.

Microsoft Store

Anwendungen im Microsoft Store können auf das Gerät übertragen werden, indem sie über Intune oder einen anderen MDM-Dienst ausgelöst werden. App-Updates und zusätzliche Anwendungen sind möglicherweise auch erforderlich, wenn sich der Benutzer zum ersten Mal anmeldet. Weitere Informationen finden Sie unter Update auf die Intune-Integration mit dem Microsoft Store unter Windows und FAQ: Unterstützen von Microsoft Store-Erfahrungen auf verwalteten Geräten.

Wenn nicht auf den Microsoft Store zugegriffen werden kann, wird der Windows Autopilot-Prozess ohne Microsoft Store-Anwendungen fortgesetzt.

Microsoft 365

Im Rahmen der Intune-Gerätekonfiguration ist möglicherweise die Installation von Microsoft 365-Anwendungen für Unternehmen erforderlich. Eine Liste mit allen Office-Diensten, DNS-Namen, IP-Adressen, einschließlich Microsoft Entra ID und anderen Diensten, die sich möglicherweise mit den zuvor aufgeführten Diensten überschneiden, finden Sie unter Office 365-URLs und IP-Adressbereiche.

Zertifikatsperrlisten (CRLs)

Einige dieser Dienste müssen auch Zertifikatsperrlisten (Certificate Revocation Lists, CRLs) auf Zertifikate überprüfen, die in den Diensten verwendet werden. Eine vollständige Liste finden Sie unter Office 365-URLs und -IP-Adressbereiche und Office 365-Zertifikatsketten.

Proxyeinstellungen

Die Bereitstellung von Proxyeinstellungen für Windows Autopilot Die Gerätevorbereitung sollte auf dem Proxyserver selbst konfiguriert werden. Das Implementieren von Proxyeinstellungen über Intune Richtlinie wird nicht vollständig unterstützt, da dies zu Problemen und unerwartetem Verhalten bei Bereitstellungen mit privilegiertem Zugriff führen kann.

Lizenzierung

Lizenzierungsanforderungen

Die Gerätevorbereitung für Windows Autopilot hängt von bestimmten Funktionen ab, die im Windows-Client und in Microsoft Entra ID verfügbar sind. Außerdem ist ein MDM-Dienst (Mobile Device Management, mobile Geräteverwaltung) wie Microsoft Intune erforderlich. Diese Funktionen können über verschiedene Editionen und Abonnementprogramme erworben werden.

Um die benötigten Microsoft Entra ID- und MDM-Funktionen bereitzustellen, einschließlich automatischer MDM-Registrierung und Unternehmensbranding-Funktionen, ist eines der folgenden Abonnements erforderlich:

• Microsoft 365 Business Premium-Abonnement.
• Microsoft 365 F1- oder F3-Abonnement.
• Microsoft 365 Academic A1-, A3- oder A5-Abonnement.
• Microsoft 365 Enterprise E3- oder E5-Abonnement, das alle Windows-Client-, Microsoft 365- und EMS-Features (Microsoft Entra ID und Intune) umfasst.
• Enterprise Mobility + Security E3- oder E5-Abonnement, das alle benötigten Microsoft Entra ID- und Intune-Features enthält.
• Intune for Education-Abonnement, das alle benötigten Features von Microsoft Entra ID und Intune enthält.
• Microsoft Entra ID P1 oder P2 und Microsoft Intune-Abonnement oder ein alternativer MDM-Dienst.

Hinweis

Wenn ein Microsoft 365-Abonnement verwendet wird, müssen den Benutzern dennoch Lizenzen zugewiesen werden, damit sie das Gerät in Intune registrieren können. Weitere Informationen finden Sie unter Zuweisen von Lizenzen zu Benutzern, damit sie Geräte in Intune registrieren können.

Darüber hinaus wird Folgendes empfohlen, ist aber nicht erforderlich:

• Microsoft 365 Apps for Enterprise – Microsoft 365 Anwendungen für Unternehmen können ganz einfach über Intune oder einen anderen MDM-Dienst bereitgestellt werden.
• Windows-Abonnementaktivierung – Geräte werden automatisch von Windows Pro auf Windows Enterprise Edition hochgestuft.

Konfiguration

Konfigurationsanforderungen

Bevor die Gerätevorbereitung für Windows Autopilot verwendet werden kann, sind einige Konfigurationsaufgaben erforderlich, um die allgemeinen Szenarien für die Vorbereitung von Windows Autopilot-Geräten zu unterstützen.

• Konfigurieren Sie die automatische Registrierung bei Microsoft Entra. Weitere Informationen zu Microsoft Intune finden Sie unter Einrichten der automatischen Registrierung von Windows Intune und Aktivieren der automatischen Windows-Registrierung. Wenn Sie einen anderen MDM-Dienst (Mobile Device Management) verwenden, wenden Sie sich an den Anbieter, um die spezifischen URLs oder die Konfiguration zu erhalten, die für diese Dienste erforderlich sind.

• Der erste Benutzer, der sich anmeldet, muss über Microsoft Entra-Beitrittsberechtigungen verfügen. Weitere Informationen finden Sie unter Zulassen, dass Benutzer Geräte mit Microsoft Entra ID verbinden.

Die folgenden Konfigurationen sind optional, werden jedoch empfohlen. Sie sind nicht erforderlich:

• Wechseln Sie automatisch von Windows Pro zu Windows Enterprise. Weitere Informationen finden Sie unter Windows-Abonnementaktivierung.

Es gibt keine zusätzlichen Hardwareanforderungen für die Verwendung der Windows Autopilot-Gerätevorbereitung, die über die Hardwareanforderungen zum Ausführen von Windows hinausgehen. Weitere Informationen finden Sie unter:

• Finden Sie die Spezifikationen, Funktionen und Computeranforderungen von Windows 11.
• Mindesthardwareanforderungen für Windows.
• Windows 11-Anforderungen.

RBAC (RBAC)

Erforderliche RBAC-Berechtigungen

Die folgenden RBAC-Berechtigungen (rollenbasierte Zugriffssteuerung) sind in einer Rolle in Intune erforderlich, damit ein Benutzer die Windows Autopilot-Gerätevorbereitung verwalten kann:

• Gerätekonfigurationen

  • Lesen
  • Löschen
  • Zuweisen
  • Erstellen
  • Aktualisieren

• Registrierungsprogramme

  • Registrierungszeit Zuweisung der Gerätemitgliedschaft

• Verwaltete Apps

  • Lesen

• Mobile Apps

  • Lesen

• Organisation

  • Lesen

So erstellen Sie eine benutzerdefinierte Rolle mit diesen Berechtigungen zur Verwendung bei der Windows Autopilot-Gerätevorbereitung:

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Wählen Sie auf dem Startbildschirm im linken Bereich Mandantenverwaltung aus.

3. Wählen Sie im Dialogfeld "Mandantenadministrator" | Wählen Sie Rollen aus, um den Status des Mandanten zu überprüfen.

4. In den Endpoint Manager-Rollen | Überprüfen Sie , ob Alle Rollen unter Verwalten ausgewählt sind.

5. Wählen Sie das Dropdownmenü Erstellen und dann Intune-Rolle aus. Der Bildschirm "Benutzerdefinierte Rolle hinzufügen " wird geöffnet.

6. Auf dem Bildschirm "Benutzerdefinierte Rolle hinzufügen ":

   1. Auf der Seite "Grundlagen ":

      1. Name: Geben Sie einen Namen für die benutzerdefinierte Rolle ein, z. B. "Windows Autopilot-Administrator für die Gerätevorbereitung".

      2. Beschreibung : Geben Sie eine Beschreibung für die benutzerdefinierte Rolle ein.

   2. Wählen Sie Weiter aus.

   3. Scrollen Sie auf der Seite "Berechtigungen " unter "Wählen Sie unten eine Kategorie aus, um Einstellungen zu konfigurieren" durch die Liste, um die folgenden Einstellungen zu finden. Sobald Sie die Einstellung gefunden haben, erweitern Sie sie, und ändern Sie dann die folgenden Berechtigungen:

      • Gerätekonfigurationen

        • Lesen: Ja
        • Löschen: Ja
        • Zuweisen: Ja
        • Erstellen: Ja
        • Update: Ja

        "Berichte anzeigen " kann auf der Standardeinstellung "Nein" belassen werden.

      • Registrierungsprogramme

        • Registrierungszeit Zuweisung der Gerätemitgliedschaft: Ja

        Alle anderen Berechtigungen können auf dem Standardwert "Nein" belassen werden.

      • Verwaltete Apps

        • Lesen: Ja

        Alle anderen Berechtigungen können auf dem Standardwert "Nein" belassen werden.

      • Mobile Apps

        • Lesen: Ja

        Alle anderen Berechtigungen können auf dem Standardwert "Nein" belassen werden.

      • Organisation

        • Lesen: Ja

        Alle anderen Berechtigungen können auf dem Standardwert "Nein" belassen werden.

   4. Wenn alle Berechtigungen ordnungsgemäß festgelegt sind, wählen Sie "Weiter" aus.

   5. Klicken Sie auf der Seite "Bereichsmarkierung " auf "Weiter".

      Hinweis

      Bereichstags sind optional. Wenn ein benutzerdefiniertes Bereichstag angegeben werden muss, verwenden Sie dies auf dieser Seite. Weitere Informationen zu Bereichsmarkierungen finden Sie unter Use role-based access control and scope tags for distributed IT (Verwenden der rollenbasierten Zugriffssteuerung und von Bereichsmarkierungen für verteilte IT).

   6. Überprüfen Sie auf der Seite Überprüfen + erstellen , ob alle Berechtigungen korrekt sind, und wählen Sie dann Erstellen aus.

7. Die neue benutzerdefinierte Rolle der Windows Autopilot-Gerätevorbereitung kann jetzt Benutzern zugewiesen werden, die die Windows Autopilot-Gerätevorbereitung verwalten.

Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung (RBAC) mit Microsoft Intune.