Modo controlado pelo usuário do Windows Autopilot

O modo controlado pelo usuário do Windows Autopilot configura um novo dispositivo Windows e o transforma de seu estado de fábrica para um estado pronto para uso. A equipe de TI não precisa tocar no dispositivo.

O processo é simples. Envie ou distribua dispositivos ao usuário final com as seguintes instruções:

  1. Retire o dispositivo da caixa, conecte-o à fonte de alimentação e ligue-o.
  2. Se o dispositivo usar vários idiomas, selecione um idioma, uma localidade e um teclado.
  3. Conecte o dispositivo a uma rede sem fio ou com fio com acesso à Internet. Se estiver usando uma rede sem fio, primeiro conecte-se à rede Wi-Fi.
  4. Especifique um endereço de email, uma conta e uma senha para a organização.

O restante do processo é automatizado. O dispositivo conclui as seguintes etapas:

  1. Ingresse na organização.
  2. Inscreva-se no Microsoft Intune ou em outro serviço de gerenciamento de dispositivo móvel (MDM).
  3. Obtenha a configuração conforme definida pela organização.

Você pode suprimir outros prompts durante a experiência pronta para uso (OOBE). Para obter mais informações sobre as opções disponíveis, consulte Configurar perfis do Windows Autopilot.

Importante

Se você usar os Serviços de Federação do Active Directory) (AD FS), um problema conhecido poderá permitir que o usuário final entre com uma conta diferente daquela atribuída a esse dispositivo.

O modo controlado pelo usuário do Windows Autopilot é compatível com Microsoft Entra e Microsoft Entra dispositivos híbridos. Para obter mais informações sobre essas duas opções de junção, consulte os seguintes artigos:

As etapas do processo controlado pelo usuário são as seguintes:

  1. Depois que o dispositivo se conecta a uma rede, ele baixa um perfil do Windows Autopilot. O perfil define as configurações usadas para o dispositivo. Por exemplo, ele define os prompts suprimidos durante o OOBE.

  2. O Windows verifica se há atualizações OOBE críticas. Se as atualizações estiverem disponíveis, o Windows as instalará. Se necessário, o dispositivo será reiniciado.

  3. O usuário é solicitado a fornecer credenciais do Microsoft Entra. Essa experiência de usuário personalizada mostra o nome do locatário do Microsoft Entra, o logotipo e o texto de entrada.

  4. O dispositivo ingressa no Microsoft Entra ID ou no Active Directory, dependendo das configurações de perfil do Windows Autopilot.

  5. O dispositivo é registrado no Intune ou em outro serviço MDM configurado. Dependendo das necessidades organizacionais, esse registro ocorre:

    • Durante o processo de ingresso no Microsoft Entra, usando o registro automático de MDM.

    • Antes do processo de ingresso no Azure Active Directory.

  6. Se configurado, ele exibe a página de status do registro (ESP).

  7. Após a conclusão das tarefas de configuração do dispositivo, o usuário é conectado ao Windows usando as credenciais fornecidas anteriormente. Se o dispositivo for reiniciado durante o processo ESP do dispositivo, o usuário deverá inserir novamente suas credenciais. Esses detalhes não persistem após a reinicialização.

  8. Após a entrada, a página de status do registro é exibida para tarefas de configuração direcionadas ao usuário.

Se ocorrer algum problema, consulte Visão geral da solução de problemas do Windows Autopilot.

Para obter mais informações sobre as opções de junção disponíveis, consulte as seguintes seções:

Modo controlado pelo usuário para ingresso do Microsoft Entra

Para concluir uma implantação controlada pelo usuário usando o Windows Autopilot, siga estas etapas de preparação:

  1. Certifique-se de que os usuários que executam implantações do modo controlado pelo usuário possam ingressar dispositivos no Microsoft Entra ID. Para obter mais informações, consulte Definir configurações de dispositivo na documentação do Microsoft Entra.

  2. Crie um perfil do Windows Autopilot para o modo controlado pelo usuário com as configurações desejadas.

    • No Intune, escolha explicitamente esse modo ao criar um perfil.

    • Na Microsoft Store para Empresas e no Partner Center, o modo controlado pelo usuário é o padrão.

  3. Se você estiver usando o Intune, crie um grupo de dispositivos no Microsoft Entra ID e atribua o perfil do Windows Autopilot a esse grupo.

Para cada dispositivo implantado usando a implantação controlada pelo usuário, siga estas etapas extras:

  • Adicione o dispositivo ao Windows Autopilot. Você pode concluir essa etapa de duas maneiras:

  • Atribua um perfil do Windows Autopilot ao dispositivo:

    • Se você usar o Intune e os grupos de dispositivos dinâmicos do Microsoft Entra, essa atribuição poderá ser feita automaticamente.

    • Se você usar grupos de dispositivos estáticos do Intune e do Microsoft Entra, adicione manualmente o dispositivo ao grupo de dispositivos.

    • Se você usar outros métodos, como a Microsoft Store para Empresas ou o Partner Center, atribua manualmente um perfil do Windows Autopilot ao dispositivo.

Dica

Se o estado final pretendido do dispositivo for cogerenciamento, configure o registro de dispositivo no Intune para habilitar o cogerenciamento. Essa configuração ocorre durante o processo do Windows Autopilot. Esse comportamento direciona a autoridade de carga de trabalho de maneira orquestrada entre o Gerenciador de Configurações e o Intune. Para obter mais informações, consulte Como se registrar com o Windows Autopilot.

Modo controlado pelo usuário para ingresso híbrido do Microsoft Entra

Importante

Recomendamos que você implante novos dispositivos como nativos da nuvem usando o ingresso do Microsoft Entra. Não recomendamos a implantação de novos dispositivos como dispositivos de ingresso híbrido do Microsoft Entra, incluindo por meio do Windows Autopilot. Para obter mais informações, confira Microsoft Entra ingressado vs. Microsoft Entra híbrido ingressado em pontos de extremidade nativos de nuvem: Qual é a opção certa para sua organização.

O Windows Autopilot requer que os dispositivos estejam ingressados no Microsoft Entra. Para um ambiente do Active Directory local, os dispositivos podem ser ingressados no domínio local. Para ingressar nos dispositivos, configure os dispositivos do Windows Autopilot para ingresso híbrido no Microsoft Entra ID.

Dica

Conforme conversamos com clientes que usam o Microsoft Intune e o Microsoft Configuration Manager para implantar, gerenciar e proteger os dispositivos dos clientes, frequentemente recebemos perguntas sobre o cogerenciamento de dispositivos e dispositivos híbridos ingressados do Microsoft Entra. Muitos clientes confundem esses dois tópicos. O cogerenciamento é uma opção de gerenciamento, enquanto o Microsoft Entra ID é uma opção de identidade. Para obter mais informações, consulte Noções básicas sobre cenários híbridos do Microsoft Entra e de cogerenciamento. Esta postagem do blog tem como objetivo esclarecer o ingresso híbrido e o cogerenciamento do Microsoft Entra, como eles funcionam juntos, mas não são a mesma coisa.

Não é possível implantar o cliente do Gerenciador de Configurações ao provisionar um novo computador no modo controlado pelo usuário do Windows Autopilot para o ingresso híbrido do Microsoft Entra. Essa limitação ocorre devido à alteração de identidade do dispositivo durante o processo de ingresso no Microsoft Entra. Implante o cliente do Gerenciador de Configurações após o processo do Windows Autopilot. Consulte Métodos de instalação do cliente no Gerenciador de Configurações para obter opções alternativas para instalar o cliente.

Requisitos para o modo controlado pelo usuário com o Microsoft Entra ID híbrido

  • Crie um perfil do Windows Autopilot para o modo controlado pelo usuário.

    No perfil do Windows Autopilot, em Ingressar no Microsoft Entra ID como, selecione Ingressado híbrido do Microsoft Entra.

  • Se você usar o Intune, crie um grupo de dispositivos no Microsoft Entra ID. Atribua o perfil do Windows Autopilot ao grupo.

  • Se você usar o Intune, crie e atribua um perfil de Ingresso no Domínio. Um perfil de configuração de Ingresso no Domínio inclui informações de domínio do Active Directory local.

  • O dispositivo precisa de acesso à Internet. Para obter mais informações, consulte os requisitos de rede.

  • Instale o conector do Intune para Active Directory.

    Observação

    O Conector do Intune para Active Directory ingressa o dispositivo no domínio local. Os usuários não precisam de permissões para ingressar dispositivos no domínio local. Esse comportamento pressupõe que o conector esteja configurado para essa ação no nome do usuário. Para obter mais informações consulte Aumentar o limite de conta de computador na unidade organizacional (UO).

  • Se você usar um proxy, habilite e configure a opção de configurações de proxy do WPAD (protocolo de descoberta automática de proxy da Web).

Além desses requisitos principais para o ingresso híbrido do Microsoft Entra controlado pelo usuário, os seguintes requisitos se aplicam a dispositivos locais:

  • O dispositivo tem uma versão do Windows com suporte no momento.

  • O dispositivo está conectado à rede interna e tem acesso a um controlador de domínio do Active Directory.

    • Ele precisa resolver os registros DNS do domínio e dos controladores de domínio.

    • Ele precisa se comunicar com o controlador de domínio para autenticar o usuário.

Modo controlado pelo usuário para ingresso híbrido do Microsoft Entra com suporte a VPN

Os dispositivos ingressados no Active Directory precisam de conectividade com um controlador de domínio do Active Directory para muitas atividades. Essas atividades incluem a validação das credenciais do usuário quando ele entra e a aplicação das configurações de política de grupo. O processo orientado pelo usuário do Windows Autopilot para dispositivos híbridos ingressados do Microsoft Entra verifica se o dispositivo pode entrar em contato com um controlador de domínio executando ping nesse controlador de domínio.

Ao adicionar suporte VPN para esse cenário, você pode configurar o processo de ingresso híbrido do Microsoft Entra para ignorar a verificação de marca de conectividade. Essa alteração não elimina a necessidade de comunicação com um controlador de domínio. Em vez disso, o Intune fornece a configuração de VPN necessária para permitir a conexão com a rede da organização antes que o usuário tente entrar no Windows.

Requisitos para o modo controlado pelo usuário com o Microsoft Entra ID híbrido e VPN

Além dos principais requisitos para o modo controlado pelo usuário com ingresso híbrido do Microsoft Entra, os seguintes requisitos extras se aplicam a um cenário remoto com suporte VPN:

  • Uma versão do Windows com suporte no momento.

  • No perfil de ingresso híbrido do Microsoft Entra para Windows Autopilot, habilite a seguinte opção: Ignorar a marca de conectividade de domínio.

  • Uma configuração de VPN com uma das seguintes opções:

    • Pode ser implantado com o Intune e permite que o usuário estabeleça manualmente uma conexão VPN na tela de entrada do Windows.

    • Estabelece automaticamente uma conexão VPN conforme necessário.

A configuração de VPN específica de que você precisa depende do software VPN e da autenticação que você usa. Para soluções VPN que não são da Microsoft, essa configuração normalmente envolve a implantação de um aplicativo Win32 usando as extensões de gerenciamento do Intune. Este aplicativo inclui o software cliente VPN e qualquer informação de conexão específica, como nomes de host de ponto de extremidade VPN. Para obter detalhes de configuração específicos para esse provedor, consulte a documentação do provedor VPN.

Observação

Os requisitos de VPN não são específicos para o Windows Autopilot. Por exemplo, se você implementar uma configuração VPN para habilitar redefinições remotas de senha, poderá usar essa mesma configuração com o Windows Autopilot. Essa configuração permite que um usuário entre no Windows com uma nova senha quando não estiver na rede da organização. Depois que o usuário entrar e suas credenciais forem armazenadas em cache, as tentativas de entrada subsequentes não precisarão de conectividade, pois o Windows usa as credenciais armazenadas em cache.

Se o software VPN exigir autenticação de certificado, use o Intune para também implantar o certificado de dispositivo necessário. Você pode implantar esse certificado usando os recursos de registro de certificado do Intune e direcionando os perfis de certificado para o dispositivo.

Não há suporte para algumas configurações porque elas não se aplicam até que o usuário entre no Windows:

  • Certificados de usuário
  • Plug-ins VPN não UWP da Microsoft da Windows Store

Validação

Antes de tentar um ingresso híbrido no Microsoft Entra usando VPN, confirme se o modo controlado pelo usuário do processo de ingresso híbrido do Microsoft Entra funciona na rede interna. Esse teste simplifica a solução de problemas, garantindo que o processo principal funcione antes de adicionar a configuração de VPN.

Em seguida, confirme se você pode usar o Intune para implantar a configuração de VPN e seus requisitos. Teste esses componentes com um dispositivo existente que já tenha ingressado no Microsoft Entra híbrido. Por exemplo, alguns clientes VPN criam uma conexão VPN por computador como parte do processo de instalação. Valide a configuração usando as seguintes etapas:

  1. Certifique-se de criar pelo menos uma conexão VPN por computador.

    Get-VpnConnection -AllUserConnection

  2. Tente iniciar manualmente a conexão VPN.

    RASDIAL.EXE "ConnectionName"

  3. Saia do Windows. Verifique se o ícone de conexão VPN aparece na página de entrada do Windows.

  4. Mova o dispositivo para fora da rede interna e tente estabelecer a conexão usando o ícone na página de entrada do Windows. Entre em uma conta que não tenha credenciais armazenadas em cache.

Para configurações de VPN que se conectam automaticamente, as etapas de validação podem ser diferentes.

Observação

Você pode usar uma VPN sempre ativa para esse cenário. Para obter mais informações, consulte Implantar VPN sempre ativa.

Próximas etapas

Conteúdo relacionado

  • Última atualização a