Relution Signet Customer Hub

Autopilot

Windows Autopilot ist ein cloudbasiertes Angebot von Microsoft, mit dem sich neue Windows 10/11-Geräte automatisiert einrichten lassen, um sie für den produktiven Einsatz vorzubereiten. Die Windows 10/11-Geräte müssen dabei nicht neu installiert werden, Windows Autopilot bedient sich aus dem bereits vorhandenem Image auf den Geräten. Relution unterstützt die automatische Einschreibung über Windows Autopilot und so lassen sich Windows 10/11-Geräte über diesen Weg schnell und einfach in Relution inventarisieren.

Voraussetzungen für die Nutzung von Windows Autopilot

Windows Autopilot kann mit Windows 10/11 Professional, Enterprise oder Education ab der Version 1709 verwendet werden. Für die Nutzung werden eine Microsoft Entra ID-Umgebung, eine Microsoft Entra ID P1 oder P2-Lizenz sowie eine Microsoft Intune Plan 1-Lizenz benötigt. Für die Einrichtung in Microsoft Entra müssen Benutzer über Administratorrechte verfügen, beispielsweise die Rolle Globaler Administrator. Laut der Microsoft Dokumentation sollte die Microsoft Intune Plan 1 Lizenz nicht benötigt werden, allerdings hat sich gezeigt, dass ohne diese Intune nicht verwendbar ist, nur dafür wird diese benötigt.

Bei der Inbetriebnahme der Windows 10/11-Geräte ist eine Internetverbindung zwingend erforderlich, damit die automatische Registrierung und Einrichtung durchgeführt werden kann.

Lizenzanforderungen →

Funktionsweise bei der Inbetriebnahme von Windows 10/11-Geräten

Beim Start der Out Of The Box Experience (OOBE) der Windows 10/11-Geräte erkennt das System bei einer bestehenden Netzwerkverbindung automatisch, dass es über Windows Autopilot konfiguriert werden soll. Die Geräte übermitteln ihre ID an Microsoft und prüfen, ob es in Autopilot für eine Entra ID-Umgebung registriert wurde. Anschließend müssen sich die Benutzer mit ihren Zugangsdaten auf der Microsoft-Anmeldeseite anmelden. Durch die Anmeldung wird die Einschreibung in Relution durchgeführt und ein Benutzerkonto für die Entra ID-Benutzer auf den Geräten angelegt.

Vorteile von Windows Autopilot

Windows Autopilot hat zum Ziel, neue Windows 10/11-Geräte nicht mehr umständlich einzeln mit einem intern erstellten Image bespielen zu müssen, sondern die Geräte sollen sich möglichst selbständig in vorkonfigurierte Geräte verwandeln. Das minimiert den Aufwand für die Image-Erstellung und reduziert die erforderliche Zeit für die physische Registrierung und Bereitstellung der Geräte. Entra muss hierzu nur einmal eingerichtet werden und die automatische Registrierung funktioniert solange, bis das definierte Gültigkeitsdatum des Geheimen Clientschlüssel abläuft (siehe Microsoft Entra ID verknüpfen →).

Entra Join

Im Unterschied zu Windows Autopilot dient Entra Join nicht der automatischen Ersteinrichtung eines Geräts, sondern der Verbindung des Geräts mit der Unternehmensumgebung. Windows Autopilot wird genutzt, um neue Geräte automatisiert bereitzustellen und einzurichten, während Entra Join das Gerät mit dem Benutzer von Microsoft Entra ID verbindet.

Diese benutzerbezogene Alternative zu Windows Autopilot ermöglicht es den eigenen Entra Benutzern, jedes Windows Gerät einzuschreiben. Dazu wird das Gerät über Einstellungen → Konten → Auf Arbeits- oder Schulkonto zugreifen → Verbinden → Dieses Gerät mit Microsoft Entra ID verknüpfen mit Entra ID verknüpft, anschließend erfolgt die Anmeldung mit den Microsoft-Benutzerdaten. Werden im Dialog Verbinden direkt die Anmeldedaten eingegeben, wird das Gerät nur in Entra ID registriert (ohne Verknüpfung). Dieser Ablauf wird von Relution nicht unterstützt und mit einer Fehlermeldung abgebrochen.

Für Entra Join gelten dieselben Anforderungen an Benutzer und Entra-ID-Verknüpfung wie für Windows Autopilot, siehe Automatische Einschreibung von Windows 10/11-Geräten in Relution →. Eine Auto-Einschreibung ist für Entra Join nicht erforderlich.

Hinzufügen der MDM Anwendung in Entra

Die MDM-Anwendung wird im Rahmen der Verknüpfung von Relution mit Entra ID → angelegt: Unter Einstellungen → Benutzerverwaltung → Entra ID liefert der erste Schritt Anwendung erstellen der Relution-Anleitung die benötigten Angaben. Danach wird die Verknüpfung mit Anwendungs-ID und Verzeichnis-ID dieser Anwendung im Schritt Anwendungs-IDs fortgesetzt. Es kann entweder die bestehende MDM-Anwendung in Microsoft Entra verwendet werden oder eine angelegt werden und mit den Angaben aus der Relution-Anleitung vollständig konfiguriert werden.

Schritt Anwendung erstellen der Relution-Anleitung für die MDM-Anwendung in Microsoft Entra ID

Die Domäne des entsprechenden Relution-Servers in Microsoft Entra ID unter Namen der benutzerdefinierten Domänen hinzufügen. Dies kann einige Zeit in Anspruch nehmen. Weitere Informationen sind in der Microsoft-Dokumentation zu finden.

Microsoft Dokumentation →

Benutzerdefinierte Domäne des Relution-Servers in Microsoft Entra ID hinzufügen

Unter Mobilität (MDM und MAM) wird anschließend die gewünschte MDM-Anwendung hinzugefügt und aktiviert:

MDM-Anwendung unter Mobilität in Microsoft Entra ID aktivieren

  1. Die Kachel On-Premises MDM Applikation unten rechts wählen.
  2. Einen Namen vergeben.
  3. Auf Hinzufügen klicken.

On-Premises MDM Applikation in Microsoft Entra auswählen und benennen

Nun wird die neue MDM-Anwendung mit den Angaben der Relution-Anleitung konfiguriert:

  1. Für MDM-Benutzerbereich die gewünschte Einstellung wählen.

  2. Die URL zu den MDM-Nutzungsbedingungen aus Relution eintragen:

    https://serverurl/api/device/v1/windows/termsOfUse

    Microsoft fragt diese URL vor jeder Einschreibung ab. Es wird keine Webseite aufgerufen.

  3. Die URL für MDM-Ermittlung eintragen:

    https://serverurl/api/device/v1/windows/discover

  4. Auf Speichern klicken.

MDM-Benutzerbereich und Discovery-URL für Relution in der MDM-Anwendung in Microsoft Entra konfigurieren

Überprüfen der Entra-Standardeinstellungen und Abschließen der Einrichtung

Nach Abschluss der Verknüpfung von Entra ID mit Relution → ist zu prüfen, ob unter Geräte → Geräteeinstellungen folgende Punkte konfiguriert wurden, um somit Entra Join zu ermöglichen. Für Windows Autopilot kann dieser Schritt übersprungen werden.

  • Alle Benutzer dürfen Geräte in Microsoft Entra ID einbinden.
  • Alle Benutzer dürfen ihre Geräte für Microsoft Entra ID registrieren.
  • Maximale Anzahl von Geräten pro Benutzer sollte beachtet werden.

Geräteeinstellungen in Microsoft Entra ID für Autopilot-Einschreibung prüfen

Hinzufügen von Windows 10/11-Geräten

Diese Schritte ersetzen die früher notwendigen Schritte im Microsoft Store for Business.

Neue Geräte können über einen Partner beschafft und registriert werden. Über diesen Weg werden die Geräte automatisch in das Intune Portal und in Microsoft Entra ID hinterlegt und müssen nicht selbst manuell eingepflegt werden.

Bereits in Betrieb genommene Geräte lassen sich manuell hinzufügen. Dazu wird eine CSV-Datei benötigt, die per PowerShell-Skript auf den Geräten erzeugt wird. Anschließend wird die CSV-Datei im Intune-Portal → hochgeladen und das Gerät kann zurückgesetzt werden.

Die Datei kann mit diesem Script mittels Powershell erzeugt werden:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Die Powershell muss als Administrator ausgeführt werden.

Die Datei muss dann unter Geräte → Registrierung (Suche, Ergebnis auswählen) → nach unten scrollen → Geräte → Importieren hochgeladen werden.

Die Geräte erscheinen anschließend in der Geräteliste und müssen mit einem konfigurierten Profil verknüpft werden.

Manifestanpassung

Vorbereitung der Out Of The Box Experience (OOBE) bei Microsoft

Nun muss noch ein Profil erzeugt werden.

Dazu wieder in die Suche der Funktionen wechseln. Also links auf Geräte → Registrierung (Suche) → nach unten scrollen → Bereitstellungsprofile klicken.

  1. Auf Profil erstellen klicken.
  2. Windows PC wählen.
  3. Einen Namen vergeben.
  4. Weiter klicken.
  5. Erneut auf Weiter klicken.
  6. Entweder Gruppe hinzufügen oder Alle Geräte hinzufügen wählen.
  7. Auf Weiter klicken.
  8. Auf Erstellen klicken.

Die Geräte sind nun mit dem Profil verknüpft.

Hinterlegte Windows 10/11-Geräte in Relution synchronisieren

Unter Geräte → Auto-Einschreibungen werden die Windows 10/11-Geräte über die Schaltfläche Geräte synchronisieren in Relution hinzugefügt. Voraussetzung ist, dass in der Entra-ID-Verknüpfung die Option Autopilot Geräte synchronisieren aktiviert ist (Schritt Dienste der Relution-Anleitung). Die Geräte dürfen zu diesem Zeitpunkt noch nicht eingeschrieben sein.

Im selben Schritt befindet sich die Option Autopilot-Registrierung aktivieren, die für Windows Autopilot aktiviert bleiben sollte. Bei einer neuen Verknüpfung sind beide Optionen standardmäßig aktiviert.

Zusätzlich synchronisiert Relution die Autopilot-Geräte automatisch, standardmäßig alle 24 Stunden. Geräte, die nicht mehr in Windows Autopilot registriert sind, werden dabei aus den Auto-Einschreibungen entfernt.

Erst wenn Windows 10/11-Geräte in der Übersicht erscheinen, kann eine automatische Einschreibung über Windows Autopilot durchgeführt werden.

Automatische Einschreibung von Windows 10/11-Geräten in Relution

Nach Zurücksetzen der Geräte oder bei erstmaliger Inbetriebnahme wird im OOBE die Netzwerkverbindung hergestellt. Sobald dies geschehen ist, kommunizieren die Geräte mit Microsoft und laden das Autopilot-Profil herunter.

Daraufhin erscheint der Anmeldebildschirm für das Microsoft-Konto. Nachdem Benutzer ihre Anmeldedaten eingegeben haben, findet die Kommunikation mit Relution statt. Es wird zunächst der Nutzungsbedingungs-Endpunkt aufgerufen, und daraufhin findet die Einschreibung in Relution statt.

Voraussetzung ist, dass in Relution genau ein Benutzer existiert, dessen E-Mail-Adresse dem Entra-Anmeldenamen (UPN) entspricht, und dass für das Gerät eine Auto-Einschreibung vorhanden ist. Ist der Auto-Einschreibung ein Benutzer zugewiesen, kann nur dieser die Einschreibung durchführen. Anschließend erscheinen die Windows 10/11-Geräte im Geräteinventar der Organisation dieses Benutzers und können über Windows-Richtlinienkonfigurationen und Aktionen weiter konfiguriert werden.

Ab Relution 26.5.5 gilt für Windows Autopilot und Entra Join zusätzlich: Der Entra-Mandant, an dem sich der Benutzer anmeldet, muss in Relution über eine Entra-ID-Verknüpfung mit derselben Verzeichnis-ID (Mandant) hinterlegt sein. Berücksichtigt werden Verknüpfungen in der Organisation des Benutzers, in deren Meta-Organisation und in der globalen Organisation (siehe Microsoft Entra ID verknüpfen →). Fehlt eine passende Verknüpfung, bricht die Einschreibung ab. Relution meldet dem Gerät dabei nur einen allgemeinen Authentifizierungsfehler (Enrollment authentication failed). Den genauen Grund schreibt der Server mit der Stufe WARN und dem Text Rejected federated Windows enrollment ins Log (siehe Relution Logs →).

Wird ein über Windows Autopilot eingeschriebenes Gerät in Relution gelöscht, lässt es sich über dieselbe Auto-Einschreibung erneut einschreiben, auch wenn es sich noch im Papierkorb befindet.