Relution Signet Customer Hub

Autopilot

Windows Autopilot ist ein cloudbasiertes Angebot von Microsoft, mit dem sich neue Windows 10/11-Geräte automatisiert einrichten lassen, um sie für den produktiven Einsatz vorzubereiten. Die Windows 10/11-Geräte müssen dabei nicht neu installiert werden, Windows Autopilot bedient sich aus dem bereits vorhandenem Image auf den Geräten. Relution unterstützt die automatische Einschreibung über Windows Autopilot und so lassen sich Windows 10/11-Geräte über diesen Weg schnell und einfach in Relution inventarisieren.

Voraussetzungen für die Nutzung von Windows Autopilot

Windows Autopilot kann mit Windows 10/11 Professional, Enterprise oder Education ab der Version 1709 verwendet werden. Für die Nutzung werden eine Microsoft Entra ID-Umgebung, eine Microsoft Entra ID P1 oder P2-Lizenz sowie eine Microsoft Intune Plan 1-Lizenz benötigt. Für die Einrichtung in Microsoft Entra müssen Benutzer über Administratorrechte verfügen, beispielsweise die Rolle Globaler Administrator. Laut der Microsoft Dokumentation sollte die Microsoft Intune Plan 1 Lizenz nicht benötigt werden, allerdings hat sich gezeigt, dass ohne diese Intune nicht verwendbar ist, nur dafür wird diese benötigt.

Bei der Inbetriebnahme der Windows 10/11-Geräte ist eine Internetverbindung zwingend erforderlich, damit die automatische Registrierung und Einrichtung durchgeführt werden kann.

Lizenzanforderungen →

Funktionsweise bei der Inbetriebnahme von Windows 10/11-Geräten

Beim Start der Out Of The Box Experience (OOBE) der Windows 10/11-Geräte erkennt das System bei einer bestehenden Netzwerkverbindung automatisch, dass es über Windows Autopilot konfiguriert werden soll. Die Geräte übermitteln ihre ID an Microsoft und prüfen, ob es in Autopilot für eine Entra ID-Umgebung registriert wurde. Anschließend müssen sich die Benutzer mit ihren Zugangsdaten auf der Microsoft-Anmeldeseite anmelden. Durch die Anmeldung wird die Einschreibung in Relution durchgeführt und ein Benutzerkonto für die Entra ID-Benutzer auf den Geräten angelegt.

Vorteile von Windows Autopilot

Windows Autopilot hat zum Ziel, neue Windows 10/11-Geräte nicht mehr umständlich einzeln mit einem intern erstellten Image bespielen zu müssen, sondern die Geräte sollen sich möglichst selbständig in vorkonfigurierte Geräte verwandeln. Das minimiert den Aufwand für die Image-Erstellung und reduziert die erforderliche Zeit für die physische Registrierung und Bereitstellung der Geräte. Entra muss hierzu nur einmal eingerichtet werden und die automatische Registrierung funktioniert solange, bis das definierte Gültigkeitsdatum des Geheimen Clientschlüssel abläuft (siehe unten).

Entra Join

Im Unterschied zu Windows Autopilot dient Entra Join nicht der automatischen Ersteinrichtung eines Geräts, sondern der Verbindung des Geräts mit der Unternehmensumgebung. Windows Autopilot wird genutzt, um neue Geräte automatisiert bereitzustellen und einzurichten, während Entra Join das Gerät mit dem Benutzer von Microsoft Entra ID verbindet.

Diese benutzerbezogene Alternative zu Windows Autopilot ermöglicht es den eigenen Entra Benutzern, jedes Windows Gerät einzuschreiben, indem sie sich mit den Benutzerdaten von Microsoft anmelden über Einstellungen → Konten → Auf Arbeits- oder Schulkonto zugreifen → Verbinden.

Hinzufügen der MDM Anwendung in Entra

Grundvoraussetzung ist, dass Relution mit Entra ID verknüpft wurde →. Es kann entweder die bestehende MDM-Anwendung in Microsoft Entra verwendet werden oder eine angelegt werden und mit den Angaben aus der Relution-Anleitung vollständig konfiguriert werden.

Neue MDM-Anwendung in Azure Active Directory anlegen und konfigurieren

Die Domäne des entsprechenden Relution-Servers in Microsoft Entra ID unter Namen der benutzerdefinierten Domänen hinzufügen. Dies kann einige Zeit in Anspruch nehmen. Weitere Informationen sind in der Microsoft-Dokumentation zu finden.

Microsoft Dokumentation →

Benutzerdefinierte Domäne des Relution-Servers in Azure Active Directory hinzufügen

Unter Mobilität (MDM und MAM) wird anschließend die gewünschte MDM-Anwendung hinzugefügt und aktiviert:

MDM-Anwendung unter Mobilität in Azure Active Directory aktivieren

  1. Die Kachel On-Premises MDM Applikation unten rechts wählen.
  2. Einen Namen vergeben.
  3. Auf Hinzufügen klicken.

On-Premises MDM Applikation in Azure auswählen und benennen

Nun wird die neue MDM-Anwendung mit den Angaben der Relution-Anleitung konfiguriert:

  1. Für MDM-Benutzerbereich die gewünschte Einstellung wählen.

  2. Die URL zu den MDM-Nutzungsbedingungen aus Relution eintragen:

    https://serverurl/api/device/v1/windows/termsOfUse

    Microsoft fragt diese URL vor jeder Einschreibung ab. Es wird keine Webseite aufgerufen.

  3. Die MDM discovery URL eintragen.

    https://serverurl/api/device/v1/windows/discover

  4. Auf Speichern klicken.

MDM-Benutzerbereich und Discovery-URL für Relution in Azure MDM-Anwendung konfigurieren

Überprüfen der Entra-Standardeinstellungen und Abschließen der Einrichtung

Nachdem Entra ID mit Relution verknüpft wurde →, ist zu prüfen, ob unter Geräte → Geräteeinstellungen folgende Punkte konfiguriert wurden, um somit Entra Join zu ermöglichen. Für Windows Autopilot kann dieser Schritt übersprungen werden.

  • Alle Benutzer dürfen Geräte in Azure AD einbinden.
  • Alle Benutzer dürfen ihre Geräte für Azure AD registrieren.
  • Maximale Anzahl von Geräten pro Benutzer sollte beachtet werden.

Geräteeinstellungen in Azure Active Directory für Autopilot-Einschreibung prüfen

Hinzufügen von Windows 10/11-Geräten

Diese Schritte ersetzen die früher notwendigen Schritte im Microsoft Store for Business.

Neue Geräte können über einen Partner beschafft und registriert werden. Über diesen Weg werden die Geräte automatisch in das Intune Portal und in Azure AD hinterlegt und müssen nicht selbst manuell eingepflegt werden.

Bereits in Betrieb genommene Geräte lassen sich manuell hinzufügen. Dazu wird eine CSV-Datei benötigt, die per PowerShell-Skript auf den Geräten erzeugt wird. Anschließend wird die CSV-Datei im Intune-Portal → hochgeladen und das Gerät kann zurückgesetzt werden.

Die Datei kann mit diesem Script mittels Powershell erzeugt werden:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Die Powershell muss als Administrator ausgeführt werden.

Die Datei muss dann unter Geräte → Registrierung (Suche, Ergebnis auswählen) → nach unten scrollen → Geräte → Importieren hochgeladen werden.

Die Geräte erscheinen anschließend in der Geräteliste und müssen mit einem konfigurierten Profil verknüpft werden.

Manifestanpassung

Vorbereitung der Out Of The Box Experience (OOBE) bei Microsoft

Nun muss noch ein Profil erzeugt werden.

Dazu wieder in die Suche der Funktionen wechseln. Also links auf Geräte → Registrierung (Suche) → nach unten scrollen → Bereitstellungsprofile klicken.

  1. Auf Profil erstellen klicken.
  2. Windows PC wählen.
  3. Einen Namen vergeben.
  4. Weiter klicken.
  5. Erneut auf Weiter klicken.
  6. Entweder Gruppe hinzufügen oder Alle Geräte hinzufügen wählen.
  7. Auf Weiter klicken.
  8. Auf Erstellen klicken.

Die Geräte sind nun mit dem Profil verknüpft.

Hinterlegte Windows 10/11-Geräte in Relution synchronisieren

Unter Geräte → Auto-Einschreibungen werden die Windows 10/11-Geräte über die Schaltfläche Synchronisieren in Relution hinzugefügt. Die Geräte dürfen zu diesem Zeitpunkt noch nicht eingeschrieben sein.

Erst wenn Windows 10/11-Geräte in der Übersicht erscheinen, kann eine automatische Einschreibung über Windows Autopilot durchgeführt werden.

Automatische Einschreibung von Windows 10/11-Geräten in Relution

Nach Zurücksetzen der Geräte oder bei erstmaliger Inbetriebnahme wird im OOBE die Netzwerkverbindung hergestellt. Sobald dies geschehen ist, kommunizieren die Geräte mit Azure und laden das Autopilot-Profil herunter.

Daraufhin erscheint der Anmeldebildschirm für das Microsoft-Konto. Nachdem Benutzer ihre Anmeldedaten eingegeben haben, findet die Kommunikation mit Relution statt. Es wird zunächst der Nutzungsbedingungs-Endpunkt aufgerufen, und daraufhin findet die Einschreibung in Relution statt.

Wenn die Benutzer in Relution hinterlegt und Auto-Einschreibungen für die Geräte vorhanden sind, werden die Einschreibungen durchgeführt. Anschließend erscheinen die Windows 10/11-Geräte im Geräteinventar der entsprechenden Relution-Organisation und können über Windows-Richtlinienkonfigurationen und Aktionen weiter konfiguriert werden.