Управляемый пользователем режим Windows Autopilot

Управляемый пользователем режим Windows Autopilot настраивает новое устройство с Windows и преобразует его из заводского состояния в состояние готовности к использованию. ИТ-специалистам не нужно трогать устройство.

Это простой процесс. Отправляйте или передавайте устройства конечным пользователям, соблюдая следующие инструкции:

  1. Распакуйте устройство, подключите его к питанию и включите его.
  2. Если на устройстве используется несколько языков, выберите язык, языковой стандарт и клавиатуру.
  3. Подключите устройство к беспроводной или проводной сети с доступом в Интернет. При использовании беспроводного подключения сначала подключитесь к Wi-Fi сети.
  4. Укажите адрес электронной почты, учетную запись и пароль для организации.

Остальная часть процесса автоматизирована. Устройство выполняет следующие действия:

  1. Присоединение к организации.
  2. Зарегистрируйтесь в Microsoft Intune или другой службе управления мобильными устройствами (MDM).
  3. Настройка согласно определению организации.

Вы можете отключить другие запросы во время запуска при первом включении компьютера (OOBE). Дополнительные сведения о доступных параметрах см. в статье Настройка профилей Windows Autopilot.

Важно!

Если вы используете службы федерации Active Directory (AD FS) (ADFS), известная проблема может позволить пользователю войти с учетной записью, отличной от той, которая назначена этому устройству.

Управляемый пользователем режим Windows Autopilot поддерживает устройства с гибридным присоединением к Microsoft Entra и Microsoft Entra. Дополнительные сведения об этих двух вариантах объединения см. в следующих статьях.

Действия процесса, управляемого пользователем:

  1. После подключения устройства к сети оно загружает профиль Windows Autopilot. Профиль определяет параметры, используемые для устройства. Например, в нем определяются запросы, подавляемые во время запуска при первом включении компьютера.

  2. Windows проверяет наличие критических обновлений запуска при первом включении. Если доступны обновления, Windows устанавливает их. При необходимости устройство перезапускается.

  3. Пользователю предлагается ввести учетные данные Microsoft Entra. Этот настраиваемый пользовательский интерфейс отображает имя, логотип и текст входа клиента Microsoft Entra.

  4. Устройство присоединяется к Microsoft Entra ID или Active Directory в зависимости от параметров профиля Windows Autopilot.

  5. Устройство регистрируется в Intune или другой настроенной службе MDM. В зависимости от потребностей организации происходит одна из следующих регистраций:

    • В процессе присоединения к Microsoft Entra с использованием автоматической регистрации MDM.

    • Перед присоединением к Active Directory.

  6. Если параметр настроен, отображается страница состояния регистрации (ESP).

  7. После завершения задач настройки устройства пользователь входит в Windows с помощью ранее предоставленных учетных данных. Если устройство перезапускается во время процесса ESP устройства, пользователю необходимо повторно ввести свои учетные данные. Эти сведения не сохраняются после перезапуска.

  8. После входа отображается страница состояния регистрации для задач конфигурации, предназначенных для пользователя.

При возникновении проблем см. Обзор устранения неполадок Windows Autopilot.

Дополнительные сведения о доступных вариантах присоединения см. в следующих разделах:

Управляемый пользователем режим для присоединения к Microsoft Entra

Чтобы выполнить развертывание, управляемое пользователем, с помощью Windows Autopilot, выполните следующие действия по подготовке:

  1. Убедитесь, что пользователи, выполняющие развертывания в управляемом пользователем режиме, могут присоединить устройства к Microsoft Entra ID. Дополнительные сведения см. в разделе "Настройка параметров устройства" в документации по Microsoft Entra.

  2. Создайте профиль Windows Autopilot для управляемого пользователем режима с нужными параметрами.

    • В Intune явно выберите этот режим при создании профиля.

    • В Microsoft Store для бизнеса и Центре партнеров по умолчанию используется управляемый пользователем режим.

  3. Если вы используете Intune, создайте группу устройств в Microsoft Entra ID и назначьте этой группе профиль Windows Autopilot.

Для каждого устройства, развернутого с помощью управляемого пользователем развертывания, выполните следующие дополнительные действия:

  • Добавьте устройство в Windows Autopilot. Этот шаг можно выполнить двумя способами:

  • Назначьте профиль Windows Autopilot устройству:

    • Если вы используете динамические группы устройств Intune и Microsoft Entra, это назначение может быть выполнено автоматически.

    • Если вы используете статические группы устройств Intune и Microsoft Entra, добавьте устройство в группу устройств вручную.

    • Если вы используете другие методы, такие как Microsoft Store для бизнеса или Центр партнеров, вручную назначьте профиль Windows Autopilot устройству.

Совет

Если предполагаемым конечным состоянием устройства является совместное управление, настройте регистрацию устройства в Intune, чтобы включить совместное управление. Эта конфигурация выполняется в процессе Windows Autopilot. Это поведение управляет центром рабочей нагрузки совместно с Configuration Manager и Intune. Дополнительные сведения см. в разделе Регистрация в Windows Autopilot.

Управляемый пользователем режим для гибридного присоединения к Microsoft Entra

Важно!

Рекомендуется развертывать новые устройства как облачные с помощью присоединения к Microsoft Entra. Не рекомендуется развертывать новые устройства в качестве устройств гибридного присоединения к Microsoft Entra, в том числе с помощью Windows Autopilot. Дополнительные сведения см. в разделе Присоединение к Microsoft Entra и гибридное присоединение к Microsoft Entra в ориентированных на облако конечных точках: какой вариант подходит для вашей организации.

Windows Autopilot требует, чтобы устройства были присоединены к Microsoft Entra. В среде локальной службы Active Directory устройства можно присоединить к локальному домену. Чтобы присоединить устройства, настройте гибридное присоединение устройств Windows Autopilot к Microsoft Entra ID.

Совет

В ходе бесед с пользователями, которые используют Microsoft Intune и Microsoft Configuration Manager для развертывания, управления и защиты своих клиентских устройств, мы часто получаем вопросы о совместном управлении устройствами и гибридными устройствами Microsoft Entra. Многие клиенты путают эти две темы. Совместное управление — это вариант управления, а Microsoft Entra ID — это вариант удостоверения. Дополнительные сведения см. в разделе Общие сведения о гибридных сценариях Microsoft Entra и совместном управлении. Эта запись блога призвана прояснить гибридное присоединение к Microsoft Entra и совместное управление, а также то, как они работают вместе, но это не одно и то же.

Вы не можете развернуть клиент Configuration Manager во время подготовки нового компьютера в управляемом пользователем режиме Windows Autopilot для гибридного присоединения Microsoft Entra. Это ограничение связано с изменением удостоверения устройства в процессе присоединения к Microsoft Entra. Разверните клиент Configuration Manager после запуска Windows Autopilot. Альтернативные варианты установки клиента см. в разделе "Способы установки клиента" в Configuration Manager.

Требования для управляемого пользователем режима с гибридным Microsoft Entra ID

  • Создайте профиль Windows Autopilot для управляемого пользователем режима.

    В профиле Windows Autopilot в разделе "Присоединиться к Microsoft Entra ID как" выберите "Гибридное присоединение к Microsoft Entra".

  • Если вы используете Intune, создайте группу устройств в Microsoft Entra ID. Назначьте группе профиль Windows Autopilot.

  • Если вы используете Intune, создайте и назначьте профиль присоединения к домену. Профиль конфигурации присоединения к домену включает сведения о локальном домене Active Directory.

  • Устройству требуется доступ к Интернету. Дополнительные сведения см. в требованиях к сети.

  • Установите соединитель Intune для Active Directory.

    Примечание.

    Соединитель Intune для Active Directory присоединяет устройство к локальному домену. Пользователям не нужны разрешения для присоединения устройств к локальному домену. Такое поведение предполагает, что соединитель настроен для этого действия от имени пользователя. Дополнительные сведения см. в статье Увеличение ограничения учетной записи компьютера в подразделении (OU).

  • Если вы используете прокси-сервер, включите и настройте параметр параметров прокси-сервера Web Proxy Auto-Discovery Protocol (WPAD).

В дополнение к этим основным требованиям для гибридного присоединения Microsoft Entra, управляемого пользователем, к локальным устройствам применяются следующие требования:

  • На устройстве установлена поддерживаемая в настоящее время версия Windows.

  • Устройство подключено к внутренней сети и имеет доступ к контроллеру домена Active Directory.

    • Необходимо разрешить записи DNS для домена и контроллеров домена.

    • Он должен взаимодействовать с контроллером домена для проверки подлинности пользователя.

Управляемый пользователем режим для гибридного присоединения Microsoft Entra с поддержкой VPN

Для устройств, присоединенных к Active Directory, требуется подключение к контроллеру домена Active Directory для выполнения многих действий. Эти действия включают проверку учетных данных пользователя при входе и применение параметров групповой политики. Управляемый пользователем процесс Windows Autopilot для гибридно присоединенных устройств Microsoft Entra проверяет, может ли устройство связаться с контроллером домена, выполнив проверку связи с этим контроллером домена.

Добавив поддержку VPN для этого сценария, вы можете настроить процесс гибридного присоединения Microsoft Entra, чтобы пропустить проверку подключения. Это изменение не устраняет необходимость в обращении к контроллеру домена. Вместо этого Intune предоставляет необходимую конфигурацию VPN, чтобы разрешить подключение к сети организации до того, как пользователь попытается войти в Windows.

Требования к управляемому пользователем режиму с гибридным Microsoft Entra ID и VPN

Помимо основных требований для управляемого пользователем режима с гибридным присоединением к Microsoft Entra, к удаленному сценарию с поддержкой VPN применяются следующие дополнительные требования:

  • Поддерживаемая в настоящее время версия Windows.

  • В профиле гибридного присоединения Microsoft Entra для Windows Autopilot включите следующий параметр. Пропустить проверку подключения к домену.

  • Конфигурация VPN с одним из следующих вариантов:

    • Может быть развернут с Intune и позволяет пользователю вручную устанавливать VPN-подключение с экрана входа в Windows.

    • При необходимости VPN-подключение устанавливается автоматически.

Конкретная конфигурация VPN, которая вам нужна, зависит от используемого программного обеспечения VPN и проверки подлинности. Для VPN-решений сторонних производителей эта конфигурация обычно включает развертывание приложения Win32 с использованием расширений управления Intune. Это приложение содержит клиентское программное обеспечение VPN и любые сведения о подключении, такие как имена узлов конечных точек VPN. Подробные сведения о конфигурации, относящейся к этому поставщику, см. в документации поставщика услуг VPN.

Примечание.

Требования к VPN не относятся только к Windows Autopilot. Например, если вы реализуете конфигурацию VPN для включения удаленного сброса пароля, эту же конфигурацию можно использовать с Windows Autopilot. Такая конфигурация позволяет пользователю входить в Windows с новым паролем, когда он не подключен к сети организации. После входа пользователя в систему и кэширования его учетных данных последующие попытки входа не требуют подключения, так как Windows использует кэшированные учетные данные.

Если программное обеспечение VPN требует проверки подлинности сертификата, используйте Intune, чтобы также развернуть необходимый сертификат устройства. Этот сертификат можно развернуть, используя возможности регистрации сертификатов Intune и нацелив профили сертификатов на устройство.

Некоторые конфигурации не поддерживаются, так как они не применяются, пока пользователь не войдет в Windows:

  • Сертификаты пользователей
  • VPN-подключаемые модули VPN сторонних производителей UWP из Магазина Windows

Проверка

Прежде чем пытаться выполнить гибридное присоединение к Microsoft Entra с помощью VPN, убедитесь, что управляемый пользователем режим для процесса гибридного присоединения к Microsoft Entra работает во внутренней сети. Этот тест упрощает устранение неполадок, убедившись, что основной процесс работает перед добавлением конфигурации VPN.

Затем убедитесь, что вы можете использовать Intune для развертывания конфигурации VPN и ее требований. Протестируйте эти компоненты с существующим устройством, которое уже гибридно присоединено к Microsoft Entra. Например, некоторые VPN-клиенты создают VPN-подключение для каждого компьютера в процессе установки. Проверьте конфигурацию, выполнив следующие действия.

  1. Убедитесь, что вы создаете по крайней мере одно VPN-подключение для каждого компьютера.

    Get-VpnConnection -AllUserConnection

  2. Попробуйте запустить VPN-подключение вручную.

    RASDIAL.EXE "ConnectionName"

  3. Выйдите из Windows. Убедитесь, что на странице входа в Windows отображается значок VPN-подключения .

  4. Отнесите устройство от внутренней сети и попробуйте установить подключение с помощью значка на странице входа в Windows. Войдите в учетную запись без кэшированных учетных данных.

Для конфигураций VPN, которые подключаются автоматически, шаги проверки могут отличаться.

Примечание.

Для этого сценария можно использовать всегда включенный VPN. Дополнительные сведения см. в статье "Развертывание VPN-подключения Always-On".

Дальнейшие действия

Связанные материалы

  • Последнее обновление: