Door de gebruiker aangestuurde modus van Windows Autopilot

Met de gebruikersgestuurde modus van Windows Autopilot kan een nieuw Windows-apparaat worden geconfigureerd om ze automatisch van de fabrieksstatus naar een gebruiksklare status te transformeren. Voor dit proces hoeft IT-personeel het apparaat niet aan te raken.

Het proces is eenvoudig. Apparaten kunnen rechtstreeks naar de eindgebruiker worden verzonden of gedistribueerd met de volgende instructies:

  1. Pak het apparaat uit, sluit het aan en schakel het in.
  2. Als er meerdere talen worden gebruikt, selecteert u een taal, landinstelling en toetsenbord.
  3. Verbind hem met een draadloos of bekabeld netwerk met internettoegang. Als u een draadloze verbinding gebruikt, maak dan eerst verbinding met het Wi-Fi-netwerk.
  4. Geef een e-mailadres, account en wachtwoord voor de organisatie op.

De rest van het proces is geautomatiseerd. Het apparaat voert de volgende stappen uit:

  1. Word lid van de organisatie.
  2. Inschrijven bij Microsoft Intune of een andere MDM-service (Mobile Device Management).
  3. Configureer de configuratie zoals gedefinieerd door de organisatie.

Andere prompts kunnen worden onderdrukt tijdens de Out-Of-Box Experience (OOBE). Zie Windows Autopilot-profielen configureren voor meer informatie over de beschikbare opties.

Belangrijk

Als Active Directory Federation Services (ADFS) wordt gebruikt, is er een bekend probleem waardoor de eindgebruiker zich kan aanmelden met een ander account dan het account dat aan dat apparaat is toegewezen.

De gebruikersgestuurde modus van Windows Autopilot ondersteunt Microsoft Entra-join- en Microsoft Entra hybride gekoppelde apparaten. Zie de volgende artikelen voor meer informatie over deze twee deelnameopties:

De stappen van het gebruikersgestuurde proces zijn als volgt:

  1. Nadat het apparaat verbinding heeft gemaakt met een netwerk, downloadt het apparaat een Windows Autopilot-profiel. Het profiel definieert de instellingen die voor het apparaat worden gebruikt. Definieer bijvoorbeeld de prompts die worden onderdrukt tijdens OOBE.

  2. Windows controleert op essentiële OOBE-updates. Als er updates beschikbaar zijn, worden deze automatisch geïnstalleerd. Indien nodig start het apparaat opnieuw op.

  3. De gebruiker wordt gevraagd om Microsoft Entra-referenties. Deze aangepaste gebruikerservaring toont de naam, het logo en de aanmeldingstekst van de Microsoft Entra-tenant.

  4. Het apparaat sluit zich aan bij Microsoft Entra ID of Active Directory, afhankelijk van de profielinstellingen van Windows Autopilot.

  5. Het apparaat wordt ingeschreven bij Intune of een andere geconfigureerde MDM-service. Afhankelijk van de behoeften van de organisatie vindt deze inschrijving plaats of:

    • Tijdens het deelnameproces van Microsoft Entra, met behulp van automatische inschrijving van MDM.

    • Vóór het Active Directory-joinproces.

  6. Als deze optie is geconfigureerd, wordt de pagina met de inschrijvingsstatus (ESP) weergegeven.

  7. Nadat de apparaatconfiguratietaken zijn voltooid, wordt de gebruiker aangemeld bij Windows met de referenties die hij of zij eerder heeft opgegeven. Als het apparaat opnieuw wordt opgestart tijdens het ESP-proces van het apparaat, moet de gebruiker zijn referenties opnieuw invoeren. Deze details blijven niet meer hangen na het opnieuw opstarten.

  8. Na de aanmelding wordt de registratiestatuspagina weergegeven voor op de gebruiker gerichte configuratietaken.

Als er problemen worden gevonden tijdens dit proces, raadpleegt u Probleemoplossing Windows Autopilot-overzicht.

Zie de volgende secties voor meer informatie over de beschikbare deelnameopties:

Gebruikersgestuurde modus voor deelname aan Microsoft Entra

Volg deze voorbereidingsstappen om een gebruikersgestuurde implementatie met Windows Autopilot te voltooien:

  1. Zorg ervoor dat de gebruikers die implementaties van gebruikersgestuurde modus uitvoeren, apparaten kunnen koppelen aan Microsoft Entra ID. Zie Apparaatinstellingen configureren in de Microsoft Entra-documentatie voor meer informatie.

  2. Maak een Windows Autopilot-profiel voor de gebruikersmodus met de gewenste instellingen.

    • In Intune wordt expliciet voor deze modus gekozen wanneer een profiel wordt gemaakt.

    • In de Microsoft Store voor Bedrijven en het Partnercentrum is de gebruikersgestuurde modus de standaardmodus.

  3. Als u Intune gebruikt, maakt u een apparaatgroep in Microsoft Entra ID en wijst u het Windows Autopilot-profiel toe aan die groep.

Voor elk apparaat dat wordt geïmplementeerd met behulp van gebruikersgestuurde implementatie, zijn deze extra stappen nodig:

  • Voeg het apparaat toe aan Windows Autopilot. Deze stap kan op twee manieren worden uitgevoerd:

  • Een Windows Autopilot-profiel toewijzen aan het apparaat:

    • Als u Intune en Microsoft Entra dynamische apparaatgroepen gebruikt, kan deze toewijzing automatisch worden uitgevoerd.

    • Als u statische apparaatgroepen van Intune en Microsoft Entra gebruikt, moet u het apparaat handmatig toevoegen aan de apparaatgroep.

    • Als u andere methoden gebruikt, zoals de Microsoft Store voor Bedrijven of het Partnercentrum, moet u handmatig een Windows Autopilot-profiel toewijzen aan het apparaat.

Tip

Als co-beheer de beoogde eindstatus van het apparaat is, kan apparaatregistratie in Intune worden geconfigureerd om co-beheer in te schakelen, wat gebeurt tijdens het Windows Autopilot-proces. Dit gedrag leidt de werkbelastingsautoriteit op een georkestreerde manier tussen Configuration Manager en Intune. Zie Inschrijven bij Windows Autopilot voor meer informatie.

Gebruikersgestuurde modus voor hybride deelname aan Microsoft Entra

Belangrijk

Microsoft raadt aan om nieuwe apparaten te implementeren als cloud-native met behulp van Microsoft Entra join. Het implementeren van nieuwe apparaten als Microsoft Entra hybride join-apparaten wordt niet aanbevolen, ook niet via Windows Autopilot. Zie Microsoft Entra joined vs. Microsoft Entra hybrid joined in cloud-native endpoints: Welke optie is geschikt voor uw organisatie.

Windows Autopilot vereist dat apparaten lid zijn van Microsoft Entra. Voor een on-premises Active Directory-omgeving kunnen apparaten worden toegevoegd aan het on-premises domein. Als u de apparaten wilt koppelen, configureert u Windows Autopilot-apparaten zodanig dat ze hybride zijn gekoppeld aan Microsoft Entra ID.

Tip

Terwijl Microsoft praat met klanten die gebruikmaken van Microsoft Intune en Microsoft Configuration Manager om hun clientapparaten te implementeren, beheren en beveiligen, krijgen we vaak vragen over het gezamenlijk beheren van apparaten en aan Microsoft Entra hybride gekoppelde apparaten. Veel klanten verwarren deze twee onderwerpen. Co-beheer is een beheeroptie, terwijl Microsoft Entra ID een identiteitsoptie is. Zie Inzicht in hybride scenario's voor Microsoft Entra en co-management voor meer informatie. Dit blogbericht is bedoeld om te verduidelijken hoe Microsoft Entra hybride deelname aan en co-management werken, hoe ze samenwerken, maar niet hetzelfde zijn.

De Configuration Manager-client kan niet worden geïmplementeerd tijdens het inrichten van een nieuwe computer in de gebruikersgestuurde modus van Windows Autopilot voor hybride deelname aan Microsoft Entra. Deze beperking wordt veroorzaakt door de identiteitswijziging van het apparaat tijdens het deelnameproces van Microsoft Entra. Implementeer de Configuration Manager-client na het Windows Autopilot-proces. Zie de installatiemethoden voor clients in Configuration Manager voor alternatieve opties voor het installeren van de client.

Vereisten voor gebruikersgestuurde modus met hybride Microsoft Entra ID

  • Maak een Windows Autopilot-profiel voor de gebruikersmodus.

    Selecteer in het Windows Autopilot-profiel onder Deelnemen aan Microsoft Entra ID als de optie Microsoft Entra hybride toegevoegd.

  • Als u Intune gebruikt, is een apparaatgroep nodig in Microsoft Entra ID. Wijs het Windows Autopilot-profiel toe aan de groep.

  • Als u Intune gebruikt, moet u een profiel voor domeindeelname maken en toewijzen. Een configuratieprofiel voor domeindeelname bevat informatie over een on-premises Active Directory-domein.

  • Het apparaat moet toegang hebben tot internet. Zie de netwerkvereisten voor meer informatie.

  • Installeer de Intune Connector voor Active Directory.

    Opmerking

    De Intune-connector voor Active Directory koppelt het apparaat aan het on-premises domein. Gebruikers hebben geen machtigingen nodig om apparaten aan het on-premises domein te koppelen. Bij dit gedrag wordt ervan uitgegaan dat de connector is geconfigureerd voor deze actie namens de gebruiker. Zie De limiet voor computeraccounts in de organisatie-eenheid verhogen (OU) voor meer informatie.

  • Als u een proxy gebruikt, schakelt u de proxy-instellingenoptie voor Web Proxy Auto-Discovery Protocol (WPAD) in en configureert u deze.

Naast deze kernvereisten voor gebruikersgestuurde hybride deelname aan Microsoft Entra, zijn de volgende extra vereisten van toepassing op on-premises apparaten:

  • Het apparaat heeft een versie van Windows die momenteel wordt ondersteund.

  • Het apparaat is verbonden met het interne netwerk en heeft toegang tot een Active Directory-domeincontroller.

    • De DNS-records voor het domein en de domeincontrollers moeten worden omgezet.

    • Het moet communiceren met de domeincontroller om de gebruiker te verifiëren.

Gebruikersgestuurde modus voor hybride deelname aan Microsoft Entra met VPN-ondersteuning

Apparaten die lid zijn van Active Directory vereisen voor veel activiteiten connectiviteit met een Active Directory-domeincontroller. Deze activiteiten omvatten het valideren van de referenties van de gebruiker bij het aanmelden en het toepassen van groepsbeleidsinstellingen. Het gebruikersgestuurde proces van Windows Autopilot voor hybride gekoppelde apparaten van Microsoft Entra valideert dat het apparaat contact kan maken met een domeincontroller door die domeincontroller te pingen.

Met de toevoeging van VPN-ondersteuning voor dit scenario kan het proces voor hybride deelname aan Microsoft Entra worden geconfigureerd om de connectiviteitscontrole over te slaan. Deze wijziging elimineert niet de noodzaak om te communiceren met een domeincontroller. Om een verbinding met het netwerk van de organisatie toe te staan, levert Intune de benodigde VPN-configuratie voordat de gebruiker zich probeert aan te melden bij Windows.

Vereisten voor de gebruikersgestuurde modus met hybride Microsoft Entra ID en VPN

Naast de kernvereisten voor de gebruikersgestuurde modus met hybride deelname aan Microsoft Entra, zijn de volgende extra vereisten van toepassing op een extern scenario met VPN-ondersteuning:

  • Een momenteel ondersteunde versie van Windows.

  • Schakel in het profiel voor deelname aan hybride software van Microsoft Entra voor Windows Autopilot de volgende optie in: Controle van domeinconnectiviteit overslaan.

  • Een VPN-configuratie met een van de volgende opties:

    • Kan worden geïmplementeerd met Intune en laat de gebruiker handmatig een VPN-verbinding tot stand brengen vanuit het Windows-aanmeldingsscherm.

    • Er wordt automatisch een VPN-verbinding tot stand gebracht als dat nodig is.

De specifieke VPN-configuratie die vereist is, is afhankelijk van de VPN-software en verificatie die wordt gebruikt. Voor niet-Microsoft VPN-oplossingen omvat deze configuratie meestal het implementeren van een Win32-app via Intune Management Extensions. Deze app bevat de VPN-clientsoftware en eventuele specifieke verbindingsgegevens. Bijvoorbeeld de hostnamen van VPN-eindpunten. Raadpleeg de documentatie bij de VPN-provider voor configuratiedetails die specifiek zijn voor die provider.

Opmerking

De VPN-vereisten zijn niet specifiek voor Windows Autopilot. Als er bijvoorbeeld een VPN-configuratie is geïmplementeerd om wachtwoorden op afstand opnieuw in te stellen, kan diezelfde configuratie worden gebruikt met Windows Autopilot. Met deze configuratie kan een gebruiker zich met een nieuw wachtwoord aanmelden bij Windows wanneer hij zich niet op het netwerk van de organisatie bevindt. Nadat de gebruiker zich heeft aangemeld en de referenties in de cache zijn opgeslagen, is er geen verbinding nodig voor volgende aanmeldingspogingen, omdat Windows de referenties in de cache gebruikt.

Als certificaatverificatie is vereist voor de VPN-software, gebruikt u Intune om het vereiste apparaatcertificaat ook te implementeren. Deze implementatie kan worden uitgevoerd met behulp van de mogelijkheden voor Intune-certificaatinschrijving, waarbij de certificaatprofielen op het apparaat worden gericht.

Sommige configuraties worden niet ondersteund omdat ze pas worden toegepast wanneer de gebruiker zich aanmeldt bij Windows:

  • Certificaten van gebruikers
  • Niet-Microsoft UWP VPN-invoegtoepassingen uit de Windows Store

Validatie

Voordat u een hybride deelname aan Microsoft Entra probeert met behulp van VPN, is het belangrijk om te controleren of de gebruikersgestuurde modus voor het proces voor hybride deelname aan Microsoft Entra werkt op het interne netwerk. Deze test vereenvoudigt het oplossen van problemen door te controleren of het kernproces werkt voordat de VPN-configuratie wordt toegevoegd.

Controleer vervolgens of Intune kan worden gebruikt om de VPN-configuratie en de bijbehorende vereisten te implementeren. Test deze onderdelen met een bestaand apparaat dat al aan Microsoft Entra hybride is gekoppeld. Sommige VPN-clients maken bijvoorbeeld een VPN-verbinding per computer als onderdeel van het installatieproces. Valideer de configuratie met behulp van de volgende stappen:

  1. Controleer of er ten minste één VPN-verbinding per computer is gemaakt.

    Get-VpnConnection -AllUserConnection

  2. Probeer de VPN-verbinding handmatig te starten.

    RASDIAL.EXE "ConnectionName"

  3. Meld u af bij Windows. Controleer of het pictogram van de VPN-verbinding wordt weergegeven op de aanmeldingspagina van Windows.

  4. Haal het apparaat uit het interne netwerk en probeer de verbinding tot stand te brengen met het pictogram op de aanmeldingspagina van Windows. Meld u aan bij een account waarvoor u geen referenties in de cache hebt opgeslagen.

Voor VPN-configuraties die automatisch verbinding maken, kunnen de validatiestappen afwijken.

Opmerking

Voor dit scenario kan een always-on VPN worden gebruikt. Zie Always-on VPN implementeren voor meer informatie.

Volgende stappen

Verwante onderwerpen

  • Last updated on