Windows Autopilot consente a un nuovo dispositivo Windows di ricevere le app aziendali, le impostazioni e le politiche di sicurezza non appena l'impiegato accede con il proprio account Microsoft. Usalo quando desideri che i laptop Windows arrivino pronti a configurarsi automaticamente, senza la necessità di un'installazione manuale da parte dell'IT.

Funzionalità

Panoramica

Prima di iniziare, verifica di avere:

• Un account Microsoft con il ruolo di Amministratore Globale sul tuo tenant di Entra.
• Una licenza che copra sia Microsoft Entra ID Piano 1 (o Piano 2) che Windows Autopilot. La licenza più economica che include entrambi è Enterprise Mobility + Security E3 (confronta i piani).
• Il tuo indirizzo MDM, {company}.mdm.getprimo.com, e in particolare il suo sottodominio {company}. Se non lo conosci, scrivi a support@factorial.it.

Cose da sapere su come si comportano i dispositivi Autopilot:

• Utilizzano account Entra, non account locali. Microsoft sta gradualmente eliminando gli account locali a favore di Entra.
• Il tuo amministratore di Entra decide se gli impiegati ottengono diritti standard o di amministratore. Chiunque abbia il ruolo di Amministratore Globale in Entra diventa amministratore su ogni dispositivo Autopilot a cui accede.
• Il dispositivo deve essere online al primo avvio per poter autenticarsi con Entra.

Come usare 

Imposta zero-touch

La configurazione ha cinque passaggi. I primi tre corrispondono ai tre passaggi della finestra Aggiungi Windows Autopilot nella console. Per aprirla, vai su MDM > Impostazioni, fai clic su Windows sotto Piattaforme, quindi fai clic su Aggiungi sotto Windows Autopilot. Se hai già iniziato, fai clic su Completa configurazione invece. Procedi in ordine: ogni passaggio sblocca il successivo. I passaggi 4 e 5 avvengono successivamente, solo nelle console Microsoft.

Il passaggio 3 richiede tre valori da Entra: il tuo ID Tenant, l'ID Applicazione (client) dell'applicazione Fleet e il Dominio principale che i tuoi impiegati usano per accedere. Li raccogli man mano e li incolli nella console tu stesso. L'unica cosa che invii al supporto è il codice di verifica del dominio nel passaggio 2.

Passaggio 1. Collega Microsoft Entra.

Hai bisogno di un utente di Entra con il ruolo di Amministratore Globale, più il permesso di gestire SaaS in Factorial IT. Non registri alcuna applicazione tu stesso: dai il consenso a un'applicazione che esiste già nella directory di Microsoft.

I dispositivi Autopilot accedono con le credenziali Entra anziché con nomi utente e password separati, quindi Entra viene prima. I passaggi 2 e 3 rimangono bloccati fino a quando questa connessione non è attiva.

1. Apri la finestra Aggiungi Windows Autopilot da MDM > Impostazioni > Windows.
2. Nel passaggio 1, fai clic su Collega Microsoft Entra.
3. Accedi con il tuo account Amministratore Globale e accetta i permessi nella schermata di consenso di Microsoft. Gli account senza quel ruolo non possono concederli.
4. Torni alla configurazione di Windows Autopilot. Il passaggio 1 ora mostra Connesso a seguito dalla tua istanza di Entra, e il passaggio 2 si apre.

Se Entra è già collegato sotto SaaS, il passaggio 1 lo elenca. Fai clic su Usa questo accanto all'istanza che desideri, oppure su Collega un'altra.

Collegare qui aggiunge Microsoft Entra ai tuoi SaaS connessi senza costi aggiuntivi. Factorial IT legge solo i tuoi utenti e gruppi di Entra. Non crea alcuna regola e non trasforma Entra nel tuo fornitore di email. Imposta Entra come fornitore di email è una scelta separata: crea l'indirizzo email di lavoro di ogni nuovo impiegato durante l'onboarding. Leggi "Collega il tuo fornitore di email" prima di cambiarlo.

Se la connessione fallisce o la annulli, appare un errore sopra il pulsante nel passaggio 1. Assicurati di aver effettuato l'accesso come Amministratore Globale, quindi riprova.

Passaggio 2. Dichiarare il dominio Fleet.

Il dominio Fleet è il tuo indirizzo MDM, {company}.mdm.getprimo.com. Non è il dominio email della tua azienda; quello viene utilizzato nel passaggio 3.

Questo passaggio richiede supporto. Microsoft ti fornisce un codice di verifica, e solo il team di supporto può aggiungerlo al DNS. Consenti fino a 2 giorni lavorativi una volta inviato.

1. Accedi a Microsoft Azure come amministratore.
2. Apri Nomi di dominio e fai clic su + Aggiungi dominio personalizzato.
3. Digita {company}.mdm.getprimo.com e fai clic su Aggiungi dominio.
4. Copia l'Indirizzo di destinazione o di instradamento (sembra MS=ms12345678) e invialo a support@factorial.it.
5. Quando il supporto conferma, fai clic su Verifica.

Passaggio 3. Collega Azure e Fleet.

Due dei tre valori nel passaggio 3 provengono da un'applicazione Fleet che ora crei in Entra. Il terzo è il dominio con cui i tuoi impiegati accedono.

Crea l'applicazione Fleet

1. Vai su Mobilità (MDM e WIP), fai clic su + Aggiungi applicazione > + Crea la tua applicazione, chiamala Fleet (questa guida utilizza quel nome in tutto) e fai clic su Crea.
2. Inserisci i due URL MDM, sostituendo {company} con il tuo sottodominio, quindi fai clic su Salva:

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/tos

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/discovery

3. Fai clic su Impostazioni dell'applicazione MDM personalizzata, poi sul link sotto URI ID applicazione, quindi su Modifica. Inserisci https://{company}.mdm.getprimo.com e fai clic su Salva.
4. Dalla menu a sinistra, apri Permessi API > + Aggiungi un permesso > Microsoft Graph. Aggiungi questi sotto Permessi delegati:

   Group.Read.All
   Group.ReadWrite.All

5. Aggiungi questi sotto Permessi applicazione:

   Device.Read.All
   Device.ReadWrite.All
   Directory.Read.All
   Group.Read.All
   User.Read.All

6. Fai clic su Concedi consenso dell'amministratore per {La tua azienda}.

Rendi Fleet il MDM predefinito per i nuovi dispositivi

1. Torna su Mobilità (MDM e WIP).
2. Fai clic su Microsoft Intune, imposta sia Ambito utente MDM che Ambito utente WIP su Nessuno, e fai clic su Salva.
3. Fai clic su Fleet, imposta Ambito utente MDM su Tutti, e fai clic su Salva.

Qualsiasi dispositivo già registrato tramite Intune prima di questa modifica deve essere migrato da te (vedi "Distribuzione di agenti silenziosi", sezione sulla migrazione da un altro MDM). Se lo salti, quei dispositivi rimangono parzialmente configurati e gli impiegati se ne accorgono.

Incolla i valori di connessione nella console

Factorial IT si autentica al tuo tenant con tre valori di Entra. Li digiti nel passaggio 3 della finestra e vengono applicati automaticamente; nulla va al supporto. Fino a quando tutti e tre non sono salvati, la console mostra un banner di avviso del token e Windows zero-touch non funziona completamente. Questo si applica anche ai tenant configurati prima che esistesse il passaggio 3.

In MDM > Impostazioni > Windows, fai clic su Completa configurazione sulla tua configurazione di Windows Autopilot, compila i tre campi del passaggio 3 e fai clic su Salva.

Due errori facili:

• Dominio significa il dominio di accesso dei tuoi impiegati (company.com), non il dominio MDM del passaggio 2.
• Entrambi gli ID sono GUID e si somigliano. Leggi l'etichetta prima di incollare: l'ID Tenant punta al tuo tenant di Entra, l'ID client all'applicazione Fleet.

Passaggio 4. Crea profili di distribuzione Autopilot.

Un profilo di distribuzione imposta i valori predefiniti per i dispositivi che arrivano tramite Autopilot, ad esempio il tipo di account (Amministratore o Standard), il paese predefinito e la lingua della tastiera, e il modello di denominazione ({company}-%RAND:5% dà {company}-23456). La documentazione sui profili di Microsoft ha l'elenco completo.

1. Crea il profilo. In Microsoft Intune, apri Dispositivi > Registrazione > Profili di distribuzione, fai clic su + Crea profilo e segui i tre schermi: nome, modalità di distribuzione, assegnazione.
2. Crea un gruppo di dispositivi dinamico. In portal.azure.com, fai clic su + Crea gruppo, dagli un nome come "Dispositivi Windows Autopilot", scegli Dispositivi dinamici e utilizza questa regola:

   (device.devicePhysicalIds -any (_ -startsWith "[ZTDid]"))

3. Crea una pagina di stato della registrazione. In Microsoft Intune, apri Dispositivi > Registrazione > Pagina di stato della registrazione, fai clic su + Crea, chiamala, attiva la visualizzazione del progresso e assegnala al tuo gruppo dinamico.

Passaggio 5. Aggiungi il branding della tua azienda.

Il logo che carichi appare sulla schermata di accesso di Autopilot accanto al titolo Benvenuto in {La tua azienda}!. Vederlo è anche la prova più rapida che un dispositivo è realmente passato attraverso Autopilot al primo avvio.

1. Accedi a Microsoft Azure, cerca Branding aziendale e fai clic su Configura (o Modifica se esiste un'esperienza di accesso predefinita).
2. Nella scheda Modulo di accesso, carica il tuo logo sia per Logo quadrato (tema chiaro) che per Logo quadrato (tema scuro).
3. Fai clic su Rivedi + salva, quindi su Salva.

Registra i tuoi dispositivi in Autopilot

Un profilo di distribuzione raggiunge solo i dispositivi che sono registrati in Autopilot. La registrazione non è la registrazione: lega l'identità hardware del dispositivo al tuo tenant di Entra, quindi Windows lo riconosce al primo avvio e avvia il flusso di Autopilot.

I dispositivi acquistati tramite Factorial IT vengono registrati per te dai rivenditori accreditati (vedi "Imposta la distribuzione zero-touch nel tuo catalogo"). I passaggi seguenti sono solo per i dispositivi acquistati altrove.

1. Esporta l'hash hardware. Sul dispositivo, apri PowerShell come amministratore e esegui:

New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Ricevi un file CSV con l'hash hardware. Microsoft documenta altri modi per esportarlo.

2. Importa il CSV in Intune.

1. In Microsoft Intune, apri Dispositivi > Registrazione > Windows Autopilot > Dispositivi.
2. Fai clic su Importa e carica il CSV. Ci vogliono alcuni minuti; aggiorna fino a quando il dispositivo appare.
3. Controlla che Stato del profilo dica Assegnato. Se rimane su Non assegnato, rivedi come è assegnato il tuo profilo di distribuzione (passaggio 4).

Cosa vede l'impiegato

Quando un nuovo impiegato riceve un dispositivo registrato in Autopilot, deve:

1. Accenderlo.
2. Scegliere il proprio paese, lingua e layout della tastiera.
3. Connettersi a Internet.
4. Accedere con le proprie credenziali Microsoft, più l'autenticazione a più fattori se l'hai attivata.
5. Impostare un PIN e un'impronta digitale se l'hardware ha un lettore.
6. Iniziare a lavorare. Le app e i controlli che hai definito nella console si applicano automaticamente.

Testa la registrazione

Prova l'intero flusso su un dispositivo registrato prima di distribuirlo a tutti.

1. Ripristina il dispositivo di test (Impostazioni > Sistema > Ripristino > Ripristina questo PC) o reinstallalo.
2. Accendilo, scegli paese e tastiera, e connettiti a Internet.
3. Controlla che la schermata di accesso dica Benvenuto in {La tua azienda}! con il tuo logo. Questo prova che il dispositivo è passato attraverso Autopilot.
4. Accedi con l'account Entra di un impiegato di test. Windows poi chiede un PIN (Windows Hello) e un'impronta digitale se supportata.
5. Quando appare il desktop, verifica che il dispositivo compaia in Dispositivi nella console e riceva le tue app e politiche.

I dispositivi non registrati in Autopilot possono comunque registrarsi autonomamente. Durante la configurazione di Windows, scegli Imposta per lavoro o scuola e accedi con Entra. Il dispositivo si registra in Factorial IT ma salta le schermate di Autopilot brandizzate e la Pagina di stato della registrazione.

Ripristina o riassegna un dispositivo

Quando un dispositivo passa a qualcun altro (offboarding, sostituzione, riutilizzo), cancella i suoi vecchi record affinché Autopilot lo tratti come un nuovo dispositivo.

1. Ripuliscilo. Invia un ripristino remoto dalla console, o ripristinalo localmente da Impostazioni > Sistema > Ripristino > Ripristina questo PC.
2. Elimina il vecchio record del dispositivo. Non puoi eliminare un dispositivo registrato, quindi disregistralo prima con Azioni > Disregistrare (o Contrassegna come disregistrato se è offline). Poi, nella pagina del dispositivo, fai clic su Azioni > Elimina e conferma. La successiva registrazione inizia con un record pulito.
3. Pulisci Entra. In Microsoft Azure, vai su Dispositivi > Tutti i dispositivi e elimina l'oggetto obsoleto per il dispositivo ripulito.
4. Sincronizza Autopilot. In Microsoft Intune, apri Dispositivi > Registrazione > Windows Autopilot > Dispositivi. Controlla che il dispositivo sia ancora lì con Stato del profilo Assegnato, fai clic su Sincronizza e attendi fino al termine. Non eliminare mai il dispositivo da questo elenco: la registrazione deve sopravvivere alla cancellazione.
5. Avvia il dispositivo. La schermata di benvenuto brandizzata conferma che Autopilot lo ha preso in carico. Se salta Autopilot, aspetta alcuni minuti e riavvia: Microsoft potrebbe ancora elaborare la pulizia.

Risoluzione dei problemi e FAQ

Risoluzione dei problemi

• I passaggi 2 e 3 rimangono bloccati. La connessione Entra nel passaggio 1 non è ancora attiva. Completa prima questo passaggio.
• Il passaggio 1 mostra un errore sopra il pulsante. La connessione è fallita o è stata annullata. Assicurati di aver effettuato l'accesso con un account Amministratore Globale e riprova.
• La console mostra un banner di avviso del token. One o più dei tre valori del passaggio 3 sono mancanti. Apri Completa configurazione, compila tutti e tre e fai clic su Salva.
• Lo stato del profilo rimane su Non assegnato. Il profilo di distribuzione non è assegnato al dispositivo. Rivedi la sua assegnazione e il tuo gruppo di dispositivi dinamico.
• Il dispositivo non mostra la schermata di benvenuto brandizzata. Probabilmente non è registrato in Autopilot, o la registrazione non è ancora sincronizzata. Controlla Windows Autopilot > Dispositivi in Intune, sincronizza, aspetta alcuni minuti e riavvia.
• I dispositivi precedentemente in Intune si comportano in modo incoerente. Non sono stati migrati prima che Fleet diventasse il MDM predefinito. Migra questi dispositivi.

FAQ

1. Devo registrare un'applicazione di mia proprietà per il passaggio 1?
   No. Dai il consenso a un'applicazione che esiste già nella directory di Microsoft. Crei solo l'applicazione Fleet, nel passaggio 3.
    
2. Collegare Entra lo rende il mio fornitore di email?
   No. Factorial IT legge solo utenti e gruppi. Imposta Entra come fornitore di email è un'impostazione separata.
    
3. Qual è la differenza tra il dominio Fleet e il campo Dominio?
   Il dominio Fleet è il tuo indirizzo MDM, dichiarato nel passaggio 2. Il campo Dominio nel passaggio 3 è il dominio con cui accedono i tuoi impiegati, come company.com.
    
4. Un dispositivo può registrarsi automaticamente se non è registrato in Autopilot?
   Sì. L'impiegato sceglie Imposta per lavoro o scuola e accede con Entra. Salta le schermate brandizzate e la Pagina di stato della registrazione.
    
5. Gli impiegati saranno amministratori sui loro dispositivi?
   Dipende da come il tuo amministratore di Entra lo configura. Gli Amministratori Globali in Entra sono sempre amministratori sui dispositivi Autopilot a cui accedono.
    
6. Devo registrare dispositivi acquistati tramite Factorial IT?
   No. I rivenditori accreditati li registrano. Solo i dispositivi acquistati altrove necessitano dell'importazione dell'hash hardware.