Windows Autopilot 设备准备要求

• 适用于:

  ✅ Windows 11

提示

RSS 可用于在向此页面添加或更新要求时发出通知。 例如，以下 RSS 链接包含此文章：

https://learn.microsoft.com/en-us/search/?terms=%22Software%2C%20Networking%2C%20Licensing%2C%20Configuration%2C%20and%20RBAC%20requirements%20for%20Windows%20Autopilot%20device%22

此示例包含 &locale=en-us 变量。 变量 locale 是必需的，但可以更改另一个受支持的区域设置。 例如，&locale=es-es。

有关使用 RSS 进行通知的详细信息，请参阅 Intune 文档中的如何使用文档 。

Windows Autopilot 设备准备的要求列表分为五个不同的类别：

• 软件 - OS 要求。
• 网络 - 网络要求。
• 许可 - 许可要求。
• 配置 - Microsoft Entra ID 和 Microsoft Intune 中所需的配置。
• RBAC - Windows Autopilot 设备准备管理员所需的 RBAC 权限。

选择相应的选项卡以查看相关要求：

软件

软件要求

Windows Autopilot 设备准备取决于 Windows 客户端中提供的特定功能、Microsoft Entra ID，以及移动设备管理 (MDM) 服务（如 Microsoft Intune）。 若要使用 Windows Autopilot 设备准备并访问这些功能，必须满足一些软件要求。

Windows 11

• Windows 11 版本 23H2 KB5035942 或更高版本 - Windows 安装媒体日期为 2024 年 4 月或更高版本，KB5035942包括在内。
• 包含 KB5035942 或更高版本的 Windows 11 版本 22H2 - 日期为 2024 年 4 月或更高版本的 Windows 安装媒体 KB5035942 包括在内。

重要

• 向 OEM 验证从 OEM 提供的设备是否安装了所需的最低更新。
• 如果从安装媒体安装 Windows，请验证媒体是否安装了所需的最低更新。 批量许可服务中心 (VLSC) 中提供了已安装的最新累积更新的 Windows 安装媒体。

支持以下版本：

• Windows 11 Pro
• Windows 11 Pro 教育版
• Windows 11 Pro 工作站版
• Windows 11 企业版
• Windows 11 教育版

网络

网络要求

Windows Autopilot 设备准备取决于各种基于 Internet 的服务。 必须提供对这些服务的访问权限，以便 Windows Autopilot 设备准备正常运行。 在最简单的情况下，可以通过确保以下条件来实现适当的功能：

• 确保域名服务 (DNS) Internet DNS 名称的名称解析。
• 允许通过端口 80 (HTTP) 、443 (HTTPS) 和 123 (UDP/NTP) 访问所有主机。

若要在以下环境中授予对所需服务的访问权限，可能需要进行其他配置：

• 具有更严格的 Internet 访问。
• 需要进行身份验证，然后才能获取 Internet 访问权限。

注意

在 OOBE () 的开箱即用体验期间，不支持基于智能卡和证书的身份验证。 有关详细信息，请参阅 智能卡和基于证书的身份验证。

服务要求

Windows Autopilot 设备准备依赖于多种不同类型的服务才能正常运行。 为了使这些服务正常运行，可能需要执行某些网络配置。 这些服务及其所需的网络配置如下所示：

Windows Autopilot 设备准备部署服务

建立网络连接后，每个 Windows 设备都将联系 Windows Autopilot 设备准备部署服务。 使用以下 URL：

• https://ztd.dds.microsoft.com
• https://cs.dds.microsoft.com
• https://login.live.com

Windows 激活

Windows Autopilot 设备准备需要 Windows 激活服务。 有关激活服务需要访问的 URL 的详细信息，请参阅 Windows 激活或验证失败并出现错误代码0x8004FE33。

Microsoft Entra ID

Microsoft Entra ID 验证用户凭据。 此外，在 Windows Autopilot 设备准备期间，设备会加入 Microsoft Entra ID。 有关详细信息，请参阅 Office 365 IP 地址和 URL Web 服务。

Microsoft Intune

进行身份验证后，Microsoft Entra ID 将触发设备注册到 Intune 移动设备管理 (MDM) 服务。 有关 Intune 的网络通信要求的详细信息，请参阅以下文章：

• Intune 网络配置要求和带宽。
• Microsoft Intune 的网络终结点。

Windows Autopilot 设备准备自动设备诊断收集

为了使诊断能够成功从客户端上传，请确保该 URL lgmsapeweu.blob.core.windows.net 未在网络上被阻止。 在删除诊断之前，诊断可用 28 天。

有关详细信息，请参阅 从 Windows 设备收集诊断。

Windows 更新

在现 (OOBE) 过程中，在 Windows OS 配置之后，Windows 更新服务会检索所需的更新。 如果连接到 Windows 更新时遇到问题，请参阅 Windows 更新问题疑难解答。

如果无法访问 Windows 更新，则 Windows Autopilot 设备准备过程仍在继续，但关键更新不可用。

传递优化

下载应用程序和更新时，Windows Autopilot 设备准备会联系 传递优化 服务。 此联系人建立内容的对等共享，以便只有几台设备需要从 Internet 下载内容。

• Windows 更新。
• Microsoft存储应用程序和应用程序更新。
• Office 更新。
• Intune Win32 应用程序。

如果传递优化服务不可访问，Autopilot 过程仍会继续从云下载传递优化，而无需对等。

网络时间协议 (NTP) 同步

Windows 设备启动时，它会与网络时间服务器通信，以确保设备上的时间正确。 确保可访问的 time.windows.com UDP 端口 123。

域名服务 (DNS)

为了解析所有服务的 Internet 名称，设备将与通常通过 DHCP 提供的 DNS 服务器通信。 此 DNS 服务器必须能够解析 Internet 名称。

诊断数据

默认情况下，诊断数据收集处于启用状态。 若要禁用 Windows Analytics 和相关诊断功能，请参阅 管理企业诊断数据。

如果设备无法发送诊断数据，Windows Autopilot 设备准备过程仍会继续。 但是，依赖于诊断数据的服务（如桌面分析）不起作用。

网络连接状态指示器 (NCSI)

Windows 必须能够判断设备可以访问 Internet。 有关详细信息，请参阅网络连接状态指示器 (NCSI)。

*.msftconnecttest.com 必须可通过 DNS 解析并通过 HTTP 进行访问。

Windows 通知服务 (WNS)

此服务用于使 Windows 能够接收来自应用程序和服务的通知。 有关详细信息，请参阅 Microsoft Store。

如果 WNS 服务不可用，Windows Autopilot 设备准备过程仍会继续，而不会收到通知。

Microsoft Store

可以通过 Intune 或其他 MDM 服务触发应用程序，将 Microsoft 应用商店中的应用程序推送到设备。 用户首次登录时，可能还需要应用更新和其他应用程序。 有关详细信息，请参阅 更新到 Intune 与 Windows 上的 Microsoft 应用商店的集成 和 常见问题解答：在托管设备上支持 Microsoft 应用商店体验。

如果无法访问 Microsoft Store，则 Autopilot 进程仍在继续，无需Microsoft Store 应用程序。

Microsoft 365

作为 Intune 设备配置的一部分，可能需要安装 Microsoft 365 企业应用程序。 有关包含所有 Office 服务、DNS 名称、IP 地址（包括Microsoft Entra ID 和可能与之前列出的服务重叠的其他服务）的列表，请参阅 Office 365 URL 和 IP 地址范围。

证书吊销列表 (CRL)

其中一些服务还需要检查证书吊销列表 (CRL) 服务中使用的证书。 有关完整列表，请参阅 Office 365 URL 和 IP 地址范围 和 Office 365 证书链。

代理设置

应在代理服务器本身上配置为 Windows Autopilot 设备准备部署代理设置。 不完全支持通过 Intune 策略实现代理设置，因为它可能会导致特权访问部署出现问题和意外行为。

许可

许可要求

Windows Autopilot 设备准备取决于 Windows 客户端和 Microsoft Entra ID 中提供的特定功能。 它还需要移动设备管理 (MDM) 服务，例如 Microsoft Intune。 可通过各种版本和订阅计划获取这些功能。

若要提供所需的Microsoft Entra ID 和 MDM 功能，包括自动 MDM 注册和公司品牌功能，需要以下订阅之一：

• Microsoft 365 商业高级版订阅。
• Microsoft 365 F1 或 F3 订阅。
• Microsoft 365 学术版 A1、A3 或 A5 订阅。
• Microsoft 365 企业版 E3 或 E5 订阅，其中包括所有 Windows 客户端、Microsoft 365 和 EMS 功能， (Microsoft Entra ID 和 Intune) 。
• 企业移动性 + 安全性 E3 或 E5 订阅，其中包括所有必需的Microsoft Entra ID 和 Intune 功能。
• Intune for Education 订阅，其中包括所有必需的Microsoft Entra ID 和 Intune 功能。
• Microsoft Entra ID P1 或 P2 ， 并Microsoft Intune 订阅 或备用 MDM 服务。

注意

使用 Microsoft 365 订阅时，仍需要向用户分配许可证，以便他们可以在 Intune 中注册设备。 有关详细信息，请参阅 向用户分配许可证，以便他们可以在 Intune 中注册设备。

此外，还建议使用以下方法，但不是必需的：

• Microsoft 365 企业应用 - Microsoft 365 企业应用程序可以通过 Intune 或其他 MDM 服务轻松部署。
• Windows 订阅激活 - 自动将设备从 Windows 专业版升级到 Windows 企业版。

配置

配置要求

在使用 Windows Autopilot 设备准备之前，需要执行一些配置任务来支持常见的 Autopilot 方案。

• 配置Microsoft Entra 自动注册。 有关 intune Microsoft，请参阅 设置 Windows 自动 Intune 注册 和 启用 Windows 自动注册 了解详细信息。 如果使用不同的移动设备管理 (MDM) 服务，请联系供应商以获取这些服务所需的特定 URL 或配置。

• 登录的第一个用户需要具有Microsoft Entra 加入权限。 有关详细信息，请参阅 允许用户将设备加入到Microsoft Entra ID。

以下配置是可选的，但建议使用。 它们不是必需的：

• 自动从 Windows 专业版升级到 Windows 企业版。 有关详细信息，请参阅 Windows 订阅激活。

除了运行 Windows 的硬件要求之外，使用 Autopilot 没有其他硬件要求。 有关更多信息，请参阅：

• 查找 Windows 11 规格、功能和计算机要求。
• Windows 最低硬件要求。
• Windows 11 要求。

RBAC

所需的 RBAC 权限

Intune 中的角色中需要以下基于角色的访问控制 (RBAC) 权限，用户才能管理 Windows Autopilot 设备准备：

• 设备配置

  • 阅读
  • 删除
  • Assign
  • 创建
  • 更新

• 注册计划

  • 注册时间设备成员身份分配

• 托管应用

  • 阅读

• 移动应用程序

  • 阅读

• 组织

  • 阅读

若要创建具有以下权限的自定义角色，以便用于 Windows Autopilot 设备准备：

1. 登录到 Microsoft Intune 管理中心。

2. 在 “主页 ”屏幕中，选择左侧窗格中的“ 租户管理 ”。

3. 在 租户管理员中 |租户状态 屏幕，选择“ 角色”。

4. 在 Endpoint Manager 角色中 |“所有角色”屏幕，确保在“管理”下选择了“所有角色”。

5. 选择 “创建 ”下拉菜单，然后选择“ Intune 角色”。 此时会打开 “添加自定义角色” 屏幕。

6. 在 “添加自定义角色” 屏幕中：

   1. 在 “基本信息 ”页中：

      1. 名称 - 输入自定义角色的名称，例如 Windows Autopilot 设备准备管理员。

      2. 说明 - 输入自定义角色的说明。

   2. 选择“下一步”。

   3. 在 “权限” 页的“ 选择以下类别以配置设置”下，滚动列表以查找以下设置。 找到设置后，将其展开，然后更改为以下权限：

      • 设备配置

        • 读取：是
        • 删除：是
        • 分配：是
        • 创建：是
        • 更新：是

        “查看报表 ”可以保留默认值“ 否”。

      • 注册计划

        • 注册时间设备成员身份分配：是

        所有其他权限可以保留默认值 “否”。

      • 托管应用

        • 读取：是

        所有其他权限可以保留默认值 “否”。

      • 移动应用程序

        • 读取：是

        所有其他权限可以保留默认值 “否”。

      • 组织

        • 读取：是

        所有其他权限可以保留默认值 “否”。

   4. 正确设置所有权限后，选择“ 下一步”。

   5. 在 “作用域标记 ”页中，选择“ 下一步”。

      注意

      范围标记 是可选的。 如果需要指定自定义范围标记，请在此页执行此操作。 有关范围标记的详细信息，请参阅 为分布式 IT 使用基于角色的访问控制和范围标记。

   6. 在“ 查看 + 创建 ”页中，验证所有权限是否正确，然后选择“ 创建”。

7. 现在可以将新的自定义 Windows Autopilot 设备准备角色分配给管理 Windows Autopilot 设备准备的用户。

有关详细信息，请参阅 Microsoft Intune 的基于角色的访问控制 (RBAC)。