借助 Windows Autopilot 用户驱动模式，可以将新的 Windows 设备配置为自动将其从出厂状态转换为随时可用的状态。 此过程不需要 IT 人员触摸设备。
过程很简单。 设备可以通过以下说明直接运送或分发给最终用户：
- 拆开设备的包装，插上电源，然后将其打开。
- 如果它使用多种语言，请选择语言、区域设置和键盘。
- 将其连接到具有 Internet 访问权限的无线或有线网络。 如果使用无线，请先连接到 Wi-Fi 网络。
- 指定组织的电子邮件地址、帐户和密码。
该过程的其余部分是自动化的。 设备执行以下步骤：
- 加入组织。
- 注册 Microsoft Intune 或其他移动设备管理 (MDM) 服务。
- 按照组织的规定获得配置。
在 OOBE) 的开箱即用体验 (可以禁止其他提示。 有关可用选项的详细信息，请参阅 配置 Windows Autopilot 配置文件。
重要
如果正在使用Active Directory 联合身份验证服务 (ADFS) ，则存在一个已知问题，该问题可能使最终用户使用与分配给该设备的帐户不同的帐户登录。
Windows Autopilot 用户驱动模式支持 Microsoft Entra 加入和 Microsoft Entra 混合加入设备。 有关这两个加入选项的详细信息，请参阅以下文章：
- 什么是设备标识？
- 详细了解云原生终结点。
- 加入 Microsoft Entra 与云原生终结点中混合加入的 Microsoft Entra。
- 教程：使用 Microsoft Intune 设置和配置云原生 Windows 终结点。
- 如何：规划 Microsoft Entra 加入实现。
- 用于 Windows 终结点管理转换的框架。
- 远程 Windows Autopilot 和 Microsoft Entra 混合加入成功。
用户驱动过程的步骤如下所示：
设备连接到网络后，设备会下载 Windows Autopilot 配置文件。 配置文件定义用于设备的设置。 例如，定义 OOBE 期间禁止显示的提示。
Windows 会检查关键 OOBE 更新。 如果有可用的更新，则会自动安装它们。 如有必要，设备将重新启动。
系统将提示用户输入 Microsoft Entra 凭据。 此自定义的用户体验显示 Microsoft Entra 租户名称、徽标和登录文本。
设备加入 Microsoft Entra ID 或 Active Directory，具体取决于 Windows Autopilot 配置文件设置。
设备注册到 Intune 或其他配置的 MDM 服务。 根据组织需求，将进行此注册：
在 Microsoft Entra 加入过程中，使用 MDM 自动注册。
在 Azure Active Directory 联接过程之前。
如果已配置，它将显示 ESP) (注册 状态页面 。
设备配置任务完成后，用户将使用之前提供的凭据登录到 Windows。 如果设备在设备 ESP 过程中重启，则用户必须重新输入其凭据。 重新启动后，这些详细信息不会保留。
登录后，将显示用户目标配置任务的注册状态页。
如果在此过程中发现任何问题，请参阅 Windows Autopilot 疑难解答概述。
有关可用联接选项的详细信息，请参阅以下部分：
- 如果设备不需要加入本地 Active Directory 域，则可以使用 Microsoft Entra 加入。
- Microsoft Entra 混合联接适用于需要同时加入 Microsoft Entra ID 和本地 Active Directory 域的设备。
用于 Microsoft Entra 加入的用户驱动模式
若要使用 Windows Autopilot 完成用户驱动的部署，请执行以下准备步骤：
确保执行用户驱动模式部署的用户可以将设备加入 Microsoft Entra ID。 有关详细信息，请参阅 Microsoft Entra 文档中的配置设备设置。
使用所需设置为用户驱动模式创建 Windows Autopilot 配置文件。
在 Intune 中，创建配置文件时显式选择此模式。
在适用于企业的 Microsoft Store 和合作伙伴中心中，用户驱动模式是默认模式。
如果使用 Intune，请在 Microsoft Entra ID 中创建一个设备组，并将 Windows Autopilot 配置文件分配给该组。
对于使用用户驱动部署部署的每个设备，需要执行以下额外步骤：
将设备添加到 Windows Autopilot。 此步骤可以通过两种方式完成：
购买设备时由 OEM 或合作伙伴自动支付。
手动操作，如 手动向 Windows Autopilot 注册设备中所述。
将 Windows Autopilot 配置文件分配给设备：
如果使用 Intune 和 Microsoft Entra 动态设备组，则可以自动完成此分配。
如果使用 Intune 和 Microsoft Entra 静态设备组，请手动将设备添加到设备组。
如果使用其他方法（如适用于企业的 Microsoft Store 或合作伙伴中心），请手动将 Windows Autopilot 配置文件分配给设备。
提示
如果设备的预期最终状态是共同管理，则可以在 Intune 中配置设备注册以启用共同管理，这在 Windows Autopilot 过程中发生。 此行为以协调的方式在配置管理器和 Intune 之间指导工作负载权限。 有关详细信息，请参阅 如何注册 Windows Autopilot。
Microsoft Entra 混合联接的用户驱动模式
重要
Microsoft 建议使用 Microsoft Entra 加入将新设备部署为云原生。 不建议将新设备部署为 Microsoft Entra 混合联接设备，包括通过 Windows Autopilot。 有关详细信息，请参阅 加入 Microsoft Entra 与云原生终结点中加入的 Microsoft Entra 混合：哪个选项适合你的组织。
Windows Autopilot 要求设备加入 Microsoft Entra。 对于本地 Active Directory 环境，可以将设备加入本地域。 若要加入设备，请将 Windows Autopilot 设备配置为以混合方式加入到 Microsoft Entra ID。
提示
当 Microsoft 与使用 Microsoft Intune 和 Microsoft Configuration Manager 部署、管理和保护其客户端设备的客户交谈时，我们经常收到有关共同管理设备和 Microsoft Entra 混合联接设备的问题。 许多客户混淆了这两个主题。 共同管理是一个管理选项，而 Microsoft Entra ID 是一个标识选项。 有关详细信息，请参阅了解混合 Microsoft Entra 和共同管理方案。 这篇博文旨在阐明 Microsoft Entra 混合联接和共同管理，以及它们如何协同工作，但它们不是一回事。
在 Windows Autopilot 用户驱动模式下为 Microsoft Entra 混合加入预配新计算机时，无法部署 Configuration Manager 客户端。 此限制是由于设备在 Microsoft Entra 加入过程中的标识更改造成的。 在 Windows Autopilot 过程后部署 Configuration Manager 客户端。 有关安装客户端的替代选项，请参阅 Configuration Manager 中的客户端安装方法。
使用混合 Microsoft Entra ID 的用户驱动模式的要求
为用户驱动模式创建 Windows Autopilot 配置文件。
在 Windows Autopilot 配置文件中，在“加入 Microsoft Entra ID 为下面，选择”Microsoft Entra 混合加入）。
如果使用 Intune，则 Microsoft Entra ID 中需要设备组。 将 Windows Autopilot 配置文件分配给组。
如果使用 Intune，请创建并分配域加入配置文件。 域加入配置文件包括本地 Active Directory 域信息。
设备需要访问 Internet。 有关详细信息，请参阅 网络要求。
安装用于 Active Directory 的 Intune 连接器。
注意
适用于 Active Directory 的 Intune 连接器将设备加入本地域。 用户无需将设备加入本地域的权限。 此行为假定连接器是代表用户为此操作配置的。 有关详细信息，请参阅 提高组织单位 (OU) 中的计算机帐户限制 。
如果使用代理，请启用并配置 Web 代理自动发现协议 (WPAD) 代理设置选项。
除了用户驱动的 Microsoft Entra 混合加入的这些核心要求外，以下额外要求也适用于本地设备：
设备具有当前支持的 Windows 版本。
设备已连接到内部网络，并且有权访问 Active Directory 域控制器。
它需要解析域和域控制器的 DNS 记录。
它需要与域控制器通信以对用户进行身份验证。
支持 VPN 的 Microsoft Entra 混合联接的用户驱动模式
加入 Active Directory 的设备需要连接到 Active Directory 域控制器来执行许多活动。 这些活动包括在用户登录时验证用户的凭据，以及应用组策略设置。 适用于已加入 Microsoft Entra 混合的设备的 Windows Autopilot 用户驱动过程通过 ping 域控制器来验证设备是否可以联系该域控制器。
通过为此方案添加 VPN 支持，可以将 Microsoft Entra 混合联接过程配置为跳过连接检查。 此更改并没有消除与域控制器通信的需要。 相反，为了允许连接到组织的网络，Intune 会在用户尝试登录到 Windows 之前提供所需的 VPN 配置。
使用混合 Microsoft Entra ID 和 VPN 的用户驱动模式的要求
除了具有 Microsoft Entra 混合加入的用户驱动模式的核心要求外，以下额外要求还适用于支持 VPN 的远程方案：
当前支持的 Windows 版本。
在适用于 Windows Autopilot 的 Microsoft Entra 混合加入配置文件中，启用以下选项： 跳过域连接检查。
具有以下选项之一的 VPN 配置：
可与 Intune 一起部署，并允许用户从 Windows 登录屏幕手动建立 VPN 连接。
根据需要自动建立 VPN 连接。
所需的特定 VPN 配置取决于所使用的 VPN 软件和身份验证。 对于非 Microsoft VPN 解决方案，此配置通常涉及通过 Intune 管理扩展部署 Win32 应用。 此应用程序将包括 VPN 客户端软件和任何特定的连接信息。 例如，VPN 终结点主机名。 有关特定于该提供程序的配置详细信息，请参阅 VPN 提供程序的文档。
注意
VPN 要求并非特定于 Windows Autopilot。 例如，如果实现 VPN 配置以启用远程密码重置，则相同的配置可以用于 Windows Autopilot。 此配置将允许用户在不在组织的网络上时使用新密码登录 Windows。 用户登录并缓存其凭据后，后续登录尝试不需要连接，因为 Windows 使用缓存的凭据。
如果 VPN 软件需要证书身份验证，请使用 Intune 来部署所需的设备证书。 可以使用 Intune 证书注册功能完成此部署，并将证书配置文件定位到设备。
某些配置不受支持，因为它们在用户登录 Windows 之前不会应用：
- 用户证书
- Windows 应用商店中的非 Microsoft UWP VPN 插件
Validation
在尝试使用 VPN 进行 Microsoft Entra 混合加入之前，请务必确认 Microsoft Entra 混合加入过程的用户驱动模式在内部网络上正常工作。 此测试通过确保在添加 VPN 配置之前核心进程正常工作来简化故障排除。
接下来，确认 Intune 可用于部署 VPN 配置及其要求。 使用已加入 Microsoft Entra 混合的现有设备测试这些组件。 例如，某些 VPN 客户端在安装过程中会创建每台计算机的 VPN 连接。 使用以下步骤验证配置：
验证是否创建了至少一个每台计算机的 VPN 连接。
Get-VpnConnection -AllUserConnection尝试手动启动 VPN 连接。
RASDIAL.EXE "ConnectionName"注销 Windows。 验证 VPN 连接 图标是否显示在 Windows 登录页上。
将设备从内部网络中移出，并尝试使用 Windows 登录页上的图标建立连接。 登录到没有缓存凭据的帐户。
对于自动连接的 VPN 配置，验证步骤可能会有所不同。
注意
始终可用 VPN 可用于此方案。 有关详细信息，请参阅 部署始终可用的 VPN。
后续步骤
- 使用 Intune 和 Windows Autopilot 部署已加入 Microsoft Entra 混合的设备。
- 如何注册 Windows Autopilot。
- 在 Azure 实验室中试用 Windows Autopilot 混合加入 VPN。