Door de gebruiker aangestuurde modus van Windows Autopilot

Met de gebruikersgestuurde modus van Windows Autopilot wordt een nieuw Windows-apparaat geconfigureerd en wordt het van de fabrieksinstellingen getransformeerd naar een gebruiksklare status. IT-personeel hoeft het apparaat niet aan te raken.

Het proces is eenvoudig. Verzend of distribueer apparaten naar de eindgebruiker met de volgende instructies:

  1. Pak het apparaat uit, sluit het aan en schakel het in.
  2. Als het apparaat meerdere talen gebruikt, selecteert u een taal, landinstelling en toetsenbord.
  3. Sluit het apparaat aan op een draadloos of bekabeld netwerk met internettoegang. Als u een draadloze verbinding gebruikt, maak dan eerst verbinding met het Wi-Fi netwerk.
  4. Geef een e-mailadres, account en wachtwoord voor de organisatie op.

De rest van het proces is geautomatiseerd. Het apparaat voert de volgende stappen uit:

  1. Word lid van de organisatie.
  2. Inschrijven bij Microsoft Intune of een andere MDM-service (Mobile Device Management).
  3. Configureer de configuratie zoals gedefinieerd door de organisatie.

Je kunt andere prompts onderdrukken tijdens de Out-Of-Box Experience (OOBE). Zie Windows Autopilot-profielen configureren voor meer informatie over de beschikbare opties.

Belangrijk

Als u Active Directory Federation Services (ADFS) gebruikt, kan een bekend probleem de eindgebruiker in staat stellen zich aan te melden met een ander account dan het account dat aan dat apparaat is toegewezen.

De gebruikersgestuurde modus van Windows Autopilot ondersteunt Microsoft Entra-join- en Microsoft Entra hybride gekoppelde apparaten. Zie de volgende artikelen voor meer informatie over deze twee deelnameopties:

De stappen van het gebruikersgestuurde proces zijn als volgt:

  1. Nadat het apparaat verbinding heeft gemaakt met een netwerk, wordt een Windows Autopilot-profiel gedownload. Het profiel definieert de instellingen die voor het apparaat worden gebruikt. Het definieert bijvoorbeeld de prompts die worden onderdrukt tijdens OOBE.

  2. Windows controleert op essentiële OOBE-updates. Als er updates beschikbaar zijn, worden deze door Windows geïnstalleerd. Indien nodig start het apparaat opnieuw op.

  3. De gebruiker wordt gevraagd om Microsoft Entra-referenties. Deze aangepaste gebruikerservaring toont de naam, het logo en de aanmeldingstekst van de Microsoft Entra-tenant.

  4. Het apparaat sluit zich aan bij Microsoft Entra ID of Active Directory, afhankelijk van de profielinstellingen van Windows Autopilot.

  5. Het apparaat wordt ingeschreven bij Intune of een andere geconfigureerde MDM-service. Afhankelijk van de behoeften van de organisatie vindt deze inschrijving plaats of:

    • Tijdens het deelnameproces van Microsoft Entra, met behulp van automatische inschrijving van MDM.

    • Vóór het Active Directory-joinproces.

  6. Als deze optie is geconfigureerd, wordt de pagina met de inschrijvingsstatus (ESP) weergegeven.

  7. Nadat de apparaatconfiguratietaken zijn voltooid, wordt de gebruiker aangemeld bij Windows met de referenties die hij of zij eerder heeft opgegeven. Als het apparaat opnieuw wordt opgestart tijdens het ESP-proces van het apparaat, moet de gebruiker zijn referenties opnieuw invoeren. Deze details blijven niet meer hangen na het opnieuw opstarten.

  8. Na de aanmelding wordt de registratiestatuspagina weergegeven voor op de gebruiker gerichte configuratietaken.

Als er problemen optreden, raadpleegt u Overzicht van Windows Autopilot oplossen.

Zie de volgende secties voor meer informatie over de beschikbare deelnameopties:

Gebruikersgestuurde modus voor deelname aan Microsoft Entra

Volg deze voorbereidingsstappen om een gebruikersgestuurde implementatie met behulp van Windows Autopilot te voltooien:

  1. Zorg ervoor dat de gebruikers die implementaties van gebruikersgestuurde modus uitvoeren, apparaten kunnen koppelen aan Microsoft Entra ID. Zie Apparaatinstellingen configureren in de Microsoft Entra-documentatie voor meer informatie.

  2. Maak een Windows Autopilot-profiel voor de gebruikersmodus met de gewenste instellingen.

    • Kies deze modus expliciet in Intune wanneer u een profiel maakt.

    • In de Microsoft Store voor Bedrijven en het Partnercentrum is de gebruikersgestuurde modus de standaardmodus.

  3. Als u Intune gebruikt, maakt u een apparaatgroep in Microsoft Entra ID en wijst u het Windows Autopilot-profiel toe aan die groep.

Volg deze extra stappen voor elk apparaat dat u implementeert met behulp van gebruikersgestuurde implementatie:

  • Voeg het apparaat toe aan Windows Autopilot. U kunt deze stap op twee manieren voltooien:

  • Een Windows Autopilot-profiel toewijzen aan het apparaat:

    • Als u dynamische apparatengroepen van Intune en Microsoft Entra gebruikt, kan deze toewijzing automatisch worden uitgevoerd.

    • Als u statische apparaatgroepen van Intune en Microsoft Entra gebruikt, moet u het apparaat handmatig toevoegen aan de apparaatgroep.

    • Als u andere methoden gebruikt, zoals de Microsoft Store voor Bedrijven of het Partnercentrum, moet u handmatig een Windows Autopilot-profiel toewijzen aan het apparaat.

Tip

Als co-beheer de beoogde eindstatus van het apparaat is, configureert u apparaatinschrijving in Intune om co-beheer in te schakelen. Deze configuratie vindt plaats tijdens het Windows Autopilot-proces. Dit gedrag leidt de werkbelastingsautoriteit op een georkestreerde manier tussen Configuration Manager en Intune. Zie Inschrijven bij Windows Autopilot voor meer informatie.

Gebruikersgestuurde modus voor hybride deelname aan Microsoft Entra

Belangrijk

We raden u aan nieuwe apparaten te implementeren als cloud-native met behulp van Microsoft Entra join. We raden u af nieuwe apparaten te implementeren als Microsoft Entra hybride join-apparaten, ook niet via Windows Autopilot. Zie Microsoft Entra joined vs. Microsoft Entra hybrid joined in cloud-native endpoints: Welke optie is geschikt voor uw organisatie.

Windows Autopilot vereist dat apparaten lid zijn van Microsoft Entra. Voor een on-premises Active Directory-omgeving kunnen apparaten worden toegevoegd aan het on-premises domein. Als u de apparaten wilt koppelen, configureert u Windows Autopilot-apparaten zodanig dat ze hybride zijn gekoppeld aan Microsoft Entra ID.

Tip

Als we praten met klanten die gebruikmaken van Microsoft Intune en Microsoft Configuration Manager om hun clientapparaten te implementeren, beheren en beveiligen, krijgen we vaak vragen over het gezamenlijk beheren van apparaten en aan Microsoft Entra hybride gekoppelde apparaten. Veel klanten verwarren deze twee onderwerpen. Co-beheer is een beheeroptie, terwijl Microsoft Entra ID een identiteitsoptie is. Zie Inzicht in hybride scenario's voor Microsoft Entra en co-management voor meer informatie. Dit blogbericht is bedoeld om te verduidelijken hoe Microsoft Entra hybride deelname aan en co-management werken, hoe ze samenwerken, maar niet hetzelfde zijn.

U kunt de Configuration Manager-client niet implementeren tijdens het inrichten van een nieuwe computer in de gebruikersgestuurde modus van Windows Autopilot voor hybride deelname aan Microsoft Entra. Deze beperking wordt veroorzaakt door de identiteitswijziging van het apparaat tijdens het deelnameproces van Microsoft Entra. Implementeer de Configuration Manager-client na het Windows Autopilot-proces. Zie de installatiemethoden voor clients in Configuration Manager voor alternatieve opties voor het installeren van de client.

Vereisten voor gebruikersgestuurde modus met hybride Microsoft Entra ID

  • Maak een Windows Autopilot-profiel voor de gebruikersmodus.

    Selecteer in het Windows Autopilot-profiel onder Deelnemen aan Microsoft Entra ID als de optie Microsoft Entra hybride toegevoegd.

  • Als u Intune gebruikt, maakt u een apparaatgroep in Microsoft Entra ID. Wijs het Windows Autopilot-profiel toe aan de groep.

  • Als u Intune gebruikt, moet u een profiel voor domeindeelname maken en toewijzen. Een configuratieprofiel voor domeindeelname bevat informatie over een on-premises Active Directory-domein.

  • Het apparaat heeft internettoegang nodig. Zie de netwerkvereisten voor meer informatie.

  • Installeer de Intune Connector voor Active Directory.

    Opmerking

    De Intune-connector voor Active Directory koppelt het apparaat aan het on-premises domein. Gebruikers hebben geen machtigingen nodig om apparaten aan het on-premises domein te koppelen. Bij dit gedrag wordt ervan uitgegaan dat de connector is geconfigureerd voor deze actie namens de gebruiker. Zie De limiet voor computeraccounts in de organisatie-eenheid verhogen (OU) voor meer informatie.

  • Als u een proxy gebruikt, schakelt u de proxy-instellingenoptie voor Web Proxy Auto-Discovery Protocol (WPAD) in en configureert u deze.

Naast deze kernvereisten voor gebruikersgestuurde hybride deelname aan Microsoft Entra, zijn de volgende vereisten van toepassing op on-premises apparaten:

  • Het apparaat heeft een versie van Windows die momenteel wordt ondersteund.

  • Het apparaat is verbonden met het interne netwerk en heeft toegang tot een Active Directory-domeincontroller.

    • De DNS-records voor het domein en de domeincontrollers moeten worden omgezet.

    • Het moet communiceren met de domeincontroller om de gebruiker te verifiëren.

Gebruikersgestuurde modus voor hybride deelname aan Microsoft Entra met VPN-ondersteuning

Apparaten die lid zijn van Active Directory hebben voor veel activiteiten connectiviteit met een Active Directory-domeincontroller nodig. Deze activiteiten omvatten het valideren van de referenties van de gebruiker bij het aanmelden en het toepassen van groepsbeleidsinstellingen. Het gebruikersgestuurde proces van Windows Autopilot voor hybride gekoppelde apparaten van Microsoft Entra controleert of het apparaat contact kan maken met een domeincontroller door die domeincontroller te pingen.

Door VPN-ondersteuning toe te voegen voor dit scenario, kunt u het proces voor deelname aan hybride Microsoft Entra configureren om de connectiviteitscontrole over te slaan. Deze wijziging elimineert niet de noodzaak om te communiceren met een domeincontroller. In plaats daarvan levert Intune de benodigde VPN-configuratie om een verbinding met het netwerk van de organisatie mogelijk te maken voordat de gebruiker zich probeert aan te melden bij Windows.

Vereisten voor de gebruikersgestuurde modus met hybride Microsoft Entra ID en VPN

Naast de kernvereisten voor de gebruikersgestuurde modus met hybride deelname aan Microsoft Entra, zijn de volgende extra vereisten van toepassing op een extern scenario met VPN-ondersteuning:

  • Een momenteel ondersteunde versie van Windows.

  • Schakel in het profiel voor deelname aan hybride software van Microsoft Entra voor Windows Autopilot de volgende optie in: Controle van domeinconnectiviteit overslaan.

  • Een VPN-configuratie met een van de volgende opties:

    • Kan worden geïmplementeerd met Intune en laat de gebruiker handmatig een VPN-verbinding tot stand brengen vanuit het Windows-aanmeldingsscherm.

    • Er wordt automatisch een VPN-verbinding tot stand gebracht als dat nodig is.

De specifieke VPN-configuratie die u nodig hebt, is afhankelijk van de VPN-software en verificatie die u gebruikt. Voor niet-Microsoft VPN-oplossingen omvat deze configuratie meestal het implementeren van een Win32-app met behulp van Intune-beheerextensies. Deze app bevat de VPN-clientsoftware en eventuele specifieke verbindingsgegevens, zoals de hostnamen van het VPN-eindpunt. Raadpleeg de documentatie bij de VPN-provider voor configuratiedetails die specifiek zijn voor die provider.

Opmerking

De VPN-vereisten zijn niet specifiek voor Windows Autopilot. Als u bijvoorbeeld een VPN-configuratie implementeert om wachtwoordherstel op afstand in te schakelen, kunt u dezelfde configuratie gebruiken met Windows Autopilot. Met deze configuratie kan een gebruiker zich met een nieuw wachtwoord aanmelden bij Windows wanneer hij zich niet op het netwerk van de organisatie bevindt. Nadat de gebruiker zich heeft aangemeld en de referenties in de cache zijn opgeslagen, is er voor volgende aanmeldingspogingen geen verbinding nodig omdat Windows de referenties in de cache gebruikt.

Als certificaatverificatie is vereist voor de VPN-software, gebruikt u Intune om het vereiste apparaatcertificaat ook te implementeren. U kunt dit certificaat implementeren door Intune mogelijkheden voor certificaatinschrijving te gebruiken en de certificaatprofielen op het apparaat te richten.

Sommige configuraties worden niet ondersteund omdat ze pas van toepassing zijn wanneer de gebruiker zich aanmeldt bij Windows:

  • Certificaten van gebruikers
  • Niet-Microsoft UWP VPN-invoegtoepassingen uit de Windows Store

Validatie

Voordat u een hybride deelname aan Microsoft Entra probeert met behulp van VPN, moet u controleren of de gebruikersgestuurde modus voor het proces voor hybride deelname aan Microsoft Entra werkt op het interne netwerk. Deze test vereenvoudigt het oplossen van problemen door ervoor te zorgen dat het kernproces werkt voordat de VPN-configuratie wordt toegevoegd.

Controleer vervolgens of u Intune kunt gebruiken om de VPN-configuratie en de bijbehorende vereisten te implementeren. Test deze onderdelen met een bestaand apparaat dat al aan Microsoft Entra hybride is gekoppeld. Sommige VPN-clients maken bijvoorbeeld een VPN-verbinding per computer als onderdeel van het installatieproces. Valideer de configuratie met behulp van de volgende stappen:

  1. Controleer of u ten minste één VPN-verbinding per computer maakt.

    Get-VpnConnection -AllUserConnection

  2. Probeer de VPN-verbinding handmatig te starten.

    RASDIAL.EXE "ConnectionName"

  3. Meld u af bij Windows. Controleer of het pictogram van de VPN-verbinding wordt weergegeven op de aanmeldingspagina van Windows.

  4. Haal het apparaat uit het interne netwerk en probeer de verbinding tot stand te brengen met behulp van het pictogram op de aanmeldingspagina van Windows. Meld u aan bij een account waarvoor u geen referenties in de cache hebt opgeslagen.

Voor VPN-configuraties die automatisch verbinding maken, kunnen de validatiestappen afwijken.

Opmerking

U kunt voor dit scenario een always-on VPN gebruiken. Zie Always-on VPN implementeren voor meer informatie.

Volgende stappen

Verwante onderwerpen

  • Laatst bijgewerkt om