Was ist das?

Windows Autopilot bietet eine nahtlose und vereinfachte Bereitstellung neuer Windows-Geräte. Mit dieser Lösung können Sie Ihre Geräte vorkonfigurieren und so manuelle Eingriffe während der Installation vermeiden. Ihre Mitarbeiter profitieren von einer sofort einsatzbereiten Lösung: Sie müssen sich lediglich mit ihren Microsoft-Geschäftsanmeldeinformationen anmelden, und ihr Gerät wird automatisch mit den Unternehmensanwendungen, -einstellungen und -sicherheitsrichtlinien konfiguriert, die im Factorial IT Cockpit festgelegt wurden.

Autopilot reduziert den Zeit- und Arbeitsaufwand für die Bereitstellung und Verwaltung von Geräten in großem Umfang erheblich und gewährleistet gleichzeitig die sofortige Produktivität der Benutzer.

Welche Voraussetzungen müssen erfüllt sein?

• Sie benötigen ein Microsoft-Konto mit Administratorrechten
• Haben Sie einen Entra "Mieter"

Sie benötigen eine Lizenz, die Folgendes beinhaltet:

Microsoft Entra ID Plan 1 (oder Plan 2 ) & Windows Autopilot zur Verwaltung der Entra-Konsole.

Die Mindestlizenz, die diese beiden Funktionen umfasst, ist die Enterprise Mobility + Security E3- Lizenz ( https://www.microsoft.com/fr-fr/microsoft-365/enterprise-mobility-security/compare-plans-and-pricing ).

Wenn Sie bereits über eine Windows-Lizenz für die Person verfügen, die die Konten verwalten wird, prüfen Sie anhand der folgenden Quelle, ob diese bereits die für Autopilot erforderlichen Funktionen enthält. Falls nicht, beschaffen Sie sich eine Enterprise Mobility + Security E3- Lizenz.

Quelle : https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/final/en-us/microsoft-brand/documents/Modern-Work-Plan-Comparison-Enterprise1.pdf

 

 

Was passiert, wenn ein Mitarbeiter mit einem Arbeitsplatzrechner erscheint, der mit Autopilot konfiguriert ist?

• Schalten Sie das Gerät ein.
• Land und Sprache auswählen, Tastatursprache konfigurieren
• Internetverbindung herstellen (ggf. WLAN-Passwort)
• Ich akzeptiere die Allgemeinen Geschäftsbedingungen von FleetDM. 
  
• Der Benutzer meldet sich mit seinen Microsoft-Anmeldeinformationen an + Zwei-Faktor-Authentifizierung, falls verfügbar 
  
• Richten Sie eine PIN ein (um die Passworteingabe zu vermeiden) und konfigurieren Sie den Fingerabdruck, falls dieser vom Gerät unterstützt wird. 
  
• Die Workstation ist betriebsbereit, die im Factorial IT Cockpit definierten Einstellungen und Anwendungen werden angewendet.

Welche Einschränkungen gibt es?

Die wichtigste Einschränkung durch Autopilot ist die Art des Benutzerkontos auf dem Rechner. Der Benutzer verfügt nicht über ein „lokales Konto“ auf dem Rechner, sondern über ein Entra-Konto.

Lokale Konten scheinen von Microsoft zugunsten von Entra-Konten zunehmend vernachlässigt zu werden.

Der Entra-Administrator kann festlegen, ob Benutzer ein Standardbenutzer- oder ein Administratorkonto haben (oder sogar zwei Autopilot-Profile erstellen, die verschiedenen Benutzergruppen zugeordnet sind).

Beachten Sie, dass Entra-Benutzer mit der Rolle „Globaler Administrator“ automatisch Administratoren der Autopilot-Maschinen sind, an denen sie sich anmelden.

Darüber hinaus ist beim ersten Start des Rechners ein Internetzugang erforderlich, um den Benutzer bei Entra zu authentifizieren.

Wie richte ich es ein?

Die notwendigen Schritte zur Einrichtung eines Autopiloten werden im Folgenden beschrieben.

Im Folgenden gehen wir davon aus, dass Ihr Unternehmen ACME heißt und unter der Domain acme.com operiert.

Erstellen der Domäne und der Fleet-Anwendung im Azure-Portal

Dieses Verfahren ist etwas technischer und erzeugt eine zeitliche Abhängigkeit zwischen dem Kunden und Factorial IT: Wenn die FleetDM-Domäne im Azure-Portal des Kunden erstellt wird, generiert Microsoft einen Code, der Folgendes enthalten muss:

• Den IT-Teams Factorial mitgeteilt
• Zu unserer Infrastrukturkonfiguration hinzugefügt
• Bereitgestellt und verbreitet (dies beinhaltet das Hinzufügen eines DNS-Eintrags)

Bevor der Vorgang im Azure-Portal fortgesetzt werden kann (bitte rechnen Sie mit ca. 2 Werktagen, nachdem Sie uns den Code übermittelt haben).

Wenn Sie derzeit Intune als MDM-Lösung zur Verwaltung Ihrer IT-Flotte verwenden und beabsichtigen, auf FleetDM (die MDM-Lösung von Factorial IT) umzusteigen, müssen Sie in der Microsoft Azure-Konsole mit Administratorrechten folgende Schritte ausführen:

• Deklarieren Sie die von FleetDM verwendete Domäne bei Azure als legitim (z. B. {company}.mdm.getprimo.com ).
• Erstellen Sie die Fleet-Anwendung und erteilen Sie ihr die notwendigen und ausreichenden Rechte, um als MDM zu fungieren.
• Bitten Sie Azure, neue Geräte von FleetDM anstatt von Intune verwalten zu lassen.

Deklaration der FleetDM-Domäne

1. Melden Sie sich mit einem Administratorkonto unter https://portal.azure.com/ an.
2. Suchen und klicken Sie auf Domainnamen
3. Klicken Sie auf „+ Benutzerdefinierte Domäne hinzufügen“.
4. Geben Sie im Feld {company}.mdm.getprimo.com ein (z. B. acme.mdm.getprimo.com ; wenden Sie sich an den Support ( factorial-factorial-support@getprimo.com ), falls Sie diesen Domainnamen nicht kennen).
5. Teilen Sie uns den Wert des Felds „Ziel- oder Routingadresse“ mit (im Format MS=ms12345678 ).
6. Bitte warten Sie auf unsere Antwort (maximal 2 Werktage), bevor Sie mit dem Vorgang fortfahren.
7. Anschließend können Sie auf „Überprüfen“ klicken.

Erstellung der FleetDM-Anwendung

1. Melden Sie sich mit einem Administratorkonto unter https://portal.azure.com/ an.
2. Suche nach Mobilität (MDM und MAM)
3. Wählen Sie „ + Anwendung hinzufügen“ und anschließend „ + Eigene Anwendung erstellen“.
4. Geben Sie „Fleet“ als Anwendungsnamen ein und klicken Sie auf „Erstellen“.
5. Ausfüllen
   • MDM-Nutzungsbedingungen (URL): https://{company}.mdm.getprimo.com/api/mdm/microsoft/tos
   • MDM-Erkennungs-URL: https://{company}.mdm.getprimo.com/api/mdm/ microsoft/discover y
6. Klicken Sie auf Speichern
7. Rückkehr zur Mobilität (MDM und MAM)
8. Klicken Sie auf die Fleet -Anwendung und anschließend auf „Benutzerdefinierte MDM-Anwendungseinstellungen“.
9. Klicken Sie auf den Link unterhalb der Anwendungs-ID-URI und anschließend auf „ Bearbeiten“.
10. Geben Sie Ihre Fleet- Instanzadresse ( https://{company}.mdm.getprimo.com ) ein und klicken Sie auf Speichern.
    
11. Wählen Sie „API-Berechtigungen“ und anschließend „Berechtigung hinzufügen“.
12. Klicken Sie auf Microsoft Graph , dann auf Delegierte Berechtigungen und wählen Sie anschließend Folgendes aus:
    • Gruppe > Gruppe.Lesen.Alle
    • Gruppe > Gruppe.LesenSchreiben.Alle
    • Und klicken Sie auf Berechtigungen hinzufügen.
13. Kehren Sie dann zu den API-Berechtigungen zurück, fügen Sie eine Berechtigung hinzu und wählen Sie erneut Microsoft Graph aus.
14. Klicken Sie dieses Mal auf „Anwendungsberechtigungen“ und fügen Sie die folgenden Berechtigungen hinzu:
    • Gerät > Gerät.Alles lesen
    • Gerät > Gerät.LesenSchreiben.Alle
    • Verzeichnis > Verzeichnis.Lesen.Alles
    • Gruppe > Gruppe.Lesen.Alle
    • Benutzer > Benutzer.Alles lesen
    • und klicken Sie auf Berechtigungen hinzufügen
      
15. Sobald Sie wieder auf der Seite mit den API-Berechtigungen sind, klicken Sie auf „Administratorzustimmung für ACME erteilen“.

Die Fleet-Anwendung ist nun im Azure-Portal als legitimes MDM-System deklariert.

FleetDM als Standard-MDM für neue Geräte festlegen

1. Melden Sie sich mit einem Administratorkonto unter https://portal.azure.com/ an.
2. Gehen Sie zu Mobilität (MDM und MAM)
3. Klicken Sie auf Microsoft Intune.
4. Im MDM-Benutzerbereich die Option „Keine“ auswählen
5. Im MAM-Benutzerbereich „Keine“ auswählen
6. Klicken Sie auf Speichern
7. Gehen Sie zu Mobilität (MDM und MAM)
8. Klicken Sie auf Flotte
9. Im MDM-Benutzerbereich die Option „Alle“ auswählen.
10. Im MAM-Benutzerbereich „Alle“ auswählen
11. Klicken Sie auf Speichern

Die Fleet-Anwendung wurde nun als MDM (Management-Device-Management) festgelegt, das neue Geräte über das Azure-Portal verwaltet.

Verwalten von Bereitstellungsprofilen in der Intune-Konsole

Um die Einrichtung des Autopiloten abzuschließen, ist es notwendig, mindestens ein „Bereitstellungsprofil“ zu erstellen.

Über dieses Profil können folgende Einstellungen vorgenommen werden:

• Auswahl des Benutzertyps: Administrator oder Standard. Hinweis : Entra-Benutzer mit der Rolle „Globaler Administrator“ sind unabhängig vom Wert dieser Einstellung Administratoren aller Rechner.
• Standardländerauswahl
• Standard-Tastaturspracheauswahl
• Maschinenbenennungsmuster. Beispiel: ACME-%RAND:5% erzeugt die folgenden Namen:
  • ACME-23456
  • ACME-98479
  • ACME-19838

Um ein Bereitstellungsprofil zu erstellen, befolgen Sie diese Anweisungen:

1. Folgen Sie dem folgenden Link oder melden Sie sich bei https://intune.microsoft.com/ an und gehen Sie zu Geräte > Registrierung > Bereitstellungsprofile
2. Klicken Sie auf „+ Profil erstellen“.
3. Im ersten Schritt können Sie dem Profil einen Namen geben.
4. Die zweite Möglichkeit erlaubt es Ihnen, die Bereitstellungsmodi zu beschreiben.
5. Im dritten Schritt können Sie dem Gerät Profile zuweisen.

Erstellen Sie eine dynamische Gruppe, die alle ZTD-Geräte anspricht:

1. Folgen Sie dem folgenden Link
2. Klicken Sie auf „+ Gruppe erstellen“.
3. Nennen Sie es beispielsweise „Windows Autopilot-Geräte“.
4. Als Ziel „dynamische Geräte“ auswählen
5. Verwenden Sie für die dynamische Regel (device.devicePhysicalIds -any (_ -startsWith "[ZTDid]"))
6. Klicken Sie auf Erstellen

Erstellen Sie abschließend eine Konfiguration für die Seite „Anmeldestatus“:

1. Folgen Sie dem folgenden Link oder melden Sie sich unter https://intune.microsoft.com/ an und gehen Sie zu Geräte > Registrierung > Registrierungsstatusseite
2. Klicken + Erstellen
3. Im ersten Schritt können Sie dem Profil einen Namen geben (z. B. Factorial IT).
4. Die zweite Option ermöglicht es Ihnen, festzulegen, ob der Fortschritt dem Benutzer angezeigt werden soll oder nicht. Wir empfehlen „Ja“. In diesem Fall können Sie die gewünschten Einstellungen vornehmen. Sie können auch die Standardwerte beibehalten.
5. Im dritten Schritt können Sie den ESP Geräten zuweisen. Weisen Sie ihn Ihrer dynamischen Gruppe zu.

Testen der Autopilot-Erfahrung

Gemeinsame Nutzung des Intune-Administrationskonsolenzugriffs mit InMac

Damit Autopilot auf Geräten, die über Factorial IT bestellt wurden, automatisch funktioniert, ist eine Operation mit unserem Partner-Reseller InMac erforderlich:

• Stellen Sie eine Microsoft-Partnerschaft zwischen InMac und Ihnen her.

Dieser Zugriff ermöglicht es ihnen, Intune über die Existenz jedes bestellten Geräts zu informieren und sicherzustellen, dass es bei der Initialisierung von Factorial IT behandelt wird.

Folgen Sie den Anweisungen, bis Sie die Partnerschaftsbeziehung akzeptieren.

Alternative: Testen auf vorhandener Hardware (erfordert einen Gerätereset)

Es gibt noch eine andere Möglichkeit, die Autopilot-Funktionalität zu testen, ohne unbedingt neue Geräte über Factorial IT bestellen zu müssen (und somit ohne die im vorherigen Absatz beschriebene Partnerschaft und den detaillierten Zugriff auf die Administrationskonsole herstellen zu müssen).

Folgen Sie dazu einfach diesen Anweisungen unseres Partners FleetDM ( Schritt 2: Test-Workstation registrieren ), in denen der Prozess wie folgt beschrieben wird:

• Extrahieren des Geräte-Hashs (sozusagen seiner Seriennummer)
• Importieren Sie es in die Liste der Autopilot-Geräte in Ihrer Azure/Intune-Konsole (so wird die Verbindung zwischen diesem Gerät und Ihrem Unternehmen hergestellt).
• Gerät zurücksetzen

Der Benutzer kann dann das Autopilot-Erlebnis genießen.