O Windows Autopilot permite que um novo dispositivo Windows receba os aplicativos, configurações e políticas de segurança da sua empresa no momento em que o/a colaborador/a faz login com sua conta Microsoft. Utilize-o quando quiser que os laptops Windows cheguem prontos para se configurarem sozinhos, sem necessidade de configuração manual por parte da equipe de TI.

Funcionalidade

Visão Geral

Antes de começar, verifique se você tem:

• Uma conta Microsoft com o papel de Administrador Global no seu inquilino do Entra.
• Uma licença que cobre tanto o Microsoft Entra ID Plan 1 (ou Plano 2) quanto o Windows Autopilot. A licença mais barata que inclui ambos é a Enterprise Mobility + Security E3 (compare planos).
• Seu endereço MDM, {company}.mdm.getprimo.com, e em particular seu subdomínio {company}. Se você não souber, escreva para support@factorial.it.

Coisas a saber sobre como os dispositivos Autopilot se comportam:

• Eles usam contas Entra, não contas locais. A Microsoft está gradualmente eliminando contas locais em favor do Entra.
• Seu/a administrador/a do Entra decide se os/as colaboradores/as recebem direitos padrão ou de administrador. Qualquer um/a com o papel de Administrador Global no Entra se torna um/a administrador/a em cada dispositivo Autopilot ao qual fizer login.
• O dispositivo deve estar online na primeira inicialização para que possa se autenticar com o Entra.

Como usar 

Configurar zero-touch

A configuração tem cinco etapas. As três primeiras correspondem às três etapas da janela Adicionar Windows Autopilot no console. Para abri-la, vá em MDM > Configurações, clique em Windows sob Plataformas, e depois clique em Adicionar sob Windows Autopilot. Se você já começou, clique em Concluir configuração em vez disso. Trabalhe nelas na ordem: cada etapa desbloqueia a próxima. As etapas 4 e 5 acontecem depois, apenas nos consoles da Microsoft.

A Etapa 3 precisa de três valores do Entra: seu ID do Inquilino, o ID do Aplicativo (cliente) do aplicativo Fleet, e o Domínio Primário que seus/as colaboradores/as usam para fazer login. Você os coleta conforme avança e os cola no console você mesmo/a. A única coisa que você envia para o suporte é o código de verificação de domínio na etapa 2.

Etapa 1. Conectar ao Microsoft Entra.

Você precisa de um/a usuário/a do Entra com o papel de Administrador Global, além de permissão para gerenciar SaaS na Factorial TI. Você não registra nenhum aplicativo por conta própria: você dá consentimento a um aplicativo que já existe no diretório da Microsoft.

Os dispositivos Autopilot fazem login com credenciais do Entra em vez de nomes de usuário e senhas separadas, então o Entra vem primeiro. As etapas 2 e 3 permanecem bloqueadas até que essa conexão esteja ativa.

1. Abra a janela Adicionar Windows Autopilot de MDM > Configurações > Windows.
2. Na etapa 1, clique em Conectar Microsoft Entra.
3. Faça login com sua conta de Administrador Global e aceite as permissões na tela de consentimento da Microsoft. Contas sem esse papel não podem concedê-las.
4. Você retorna à configuração do Windows Autopilot. A etapa 1 agora mostra Conectado a seguido pela sua instância do Entra, e a etapa 2 se abre.

Se o Entra já estiver conectado sob SaaS, a etapa 1 o lista. Clique em Usar este ao lado da instância que você deseja, ou Conectar outra.

Conectar aqui adiciona o Microsoft Entra ao seu SaaS conectado sem custo adicional. A Factorial TI apenas lê seus usuários e grupos do Entra. Não cria nenhuma regra e não transforma o Entra em seu provedor de e-mail. Definir Entra como provedor de e-mail é uma escolha separada: cria o endereço de e-mail de trabalho de cada novo/a colaborador/a durante a integração. Leia "Conecte seu provedor de e-mail" antes de alterá-lo.

Se a conexão falhar ou você cancelá-la, um erro aparece acima do botão na etapa 1. Certifique-se de que você fez login como Administrador Global, e tente novamente.

Etapa 2. Declarar o domínio Fleet.

O domínio Fleet é seu endereço MDM, {company}.mdm.getprimo.com. Não é o domínio de e-mail da sua empresa; esse é usado na etapa 3.

Esta etapa precisa de suporte. A Microsoft fornece um código de verificação, e apenas a equipe de suporte pode adicioná-lo ao DNS. Permita até 2 dias úteis após o envio.

1. Faça login no Microsoft Azure como administrador/a.
2. Abra Nomes de domínio e clique em + Adicionar domínio personalizado.
3. Digite {company}.mdm.getprimo.com e clique em Adicionar domínio.
4. Copie o Endereço de destino ou de roteamento (parece com MS=ms12345678) e envie para support@factorial.it.
5. Quando o suporte confirmar, clique em Verificar.

Etapa 3. Conectar Azure e Fleet.

Duas das três valores na etapa 3 vêm de um aplicativo Fleet que você agora cria no Entra. O terceiro é o domínio com o qual seus colaboradores/as fazem login.

Criar o aplicativo Fleet

1. Vá para Mobilidade (MDM e WIP), clique em + Adicionar aplicativo > + Criar seu próprio aplicativo, nomeie-o como Fleet (este guia usa esse nome ao longo dele) e clique em Criar.
2. Insira as duas URLs MDM, trocando {company} pelo seu subdomínio, e clique em Salvar:

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/tos

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/discovery

3. Clique em Configurações do aplicativo MDM personalizado, depois no link sob ID URI do Aplicativo, e clique em Editar. Insira https://{company}.mdm.getprimo.com e clique em Salvar.
4. Do menu à esquerda, abra Permissões da API > + Adicionar uma permissão > Microsoft Graph. Adicione estas sob Permissões delegadas:

   Group.Read.All
   Group.ReadWrite.All

5. Adicione estas sob Permissões do aplicativo:

   Device.Read.All
   Device.ReadWrite.All
   Directory.Read.All
   Group.Read.All
   User.Read.All

6. Clique em Conceder consentimento de administrador para {Sua Empresa}.

Definir o Fleet como MDM padrão para novos dispositivos

1. Volte para Mobilidade (MDM e WIP).
2. Clique em Microsoft Intune, defina tanto o escopo de usuário MDM quanto o escopo de usuário WIP como Nenhum, e clique em Salvar.
3. Clique em Fleet, defina o escopo de usuário MDM como Todos, e clique em Salvar.

Qualquer dispositivo já inscrito através do Intune antes dessa mudança deve ser migrado por você (veja "Implantação de agente silenciosa", seção sobre migração de outro MDM). Se você pular isso, esses dispositivos permanecerão meio configurados e os/as colaboradores/as notarão.

Colar os valores de conexão no console

A Factorial TI autentica seu inquilino com três valores do Entra. Você os digita na etapa 3 da janela e eles são aplicados automaticamente; nada vai para o suporte. Até que os três sejam salvos, o console mostra um banner de alerta de token e o zero-touch do Windows não funciona totalmente. Isso também se aplica a inquilinos configurados antes da etapa 3 existir.

Em MDM > Configurações > Windows, clique em Concluir configuração na sua configuração do Windows Autopilot, preencha os três campos da etapa 3 e clique em Salvar.

Dois erros fáceis:

• Domínio significa o domínio de login de seus/as colaboradores/as (company.com), não o domínio MDM da etapa 2.
• Ambos os IDs são GUIDs e parecem semelhantes. Leia o rótulo antes de colar: o ID do Inquilino aponta para seu inquilino do Entra, o ID do cliente para o aplicativo Fleet.

Etapa 4. Criar perfis de implantação do Autopilot.

Um perfil de implantação define os padrões para dispositivos que chegam através do Autopilot, por exemplo, o tipo de conta (Administrador ou Padrão), o país e a língua do teclado padrão, e o padrão de nomenclatura ({company}-%RAND:5% resulta em {company}-23456). A documentação de perfis da Microsoft tem a lista completa.

1. Criar o perfil. No Microsoft Intune, abra Dispositivos > Inscrição > Perfis de Implantação, clique em + Criar perfil e passe pelas três telas: nome, modo de implantação, atribuição.
2. Criar um grupo dinâmico de dispositivos. No portal.azure.com, clique em + Criar grupo, dê um nome como "Dispositivos Windows Autopilot", escolha Dispositivos dinâmicos e use esta regra:

   (device.devicePhysicalIds -any (_ -startsWith "[ZTDid]"))

3. Criar uma Página de Status de Inscrição. No Microsoft Intune, abra Dispositivos > Inscrição > Página de Status de Inscrição, clique em + Criar, nomeie-a, ative a exibição de progresso e atribua-a ao seu grupo dinâmico.

Etapa 5. Adicionar a identidade visual da sua empresa.

O logotipo que você enviar aparece na tela de login do Autopilot ao lado do título Bem-vindo(a) ao {Sua Empresa}!. Ver isso também é a prova mais rápida de que um dispositivo realmente passou pelo Autopilot na primeira inicialização.

1. Faça login no Microsoft Azure, busque por Identidade visual da empresa e clique em Configurar (ou Editar se já existir uma experiência de login padrão).
2. Na aba Formulário de login, envie seu logotipo tanto para Logotipo quadrado (tema claro) quanto para Logotipo quadrado (tema escuro).
3. Clique em Revisar + salvar, depois em Salvar.

Registrar seus dispositivos no Autopilot

Um perfil de implantação só atinge dispositivos que estão registrados no Autopilot. Registrar não é inscrever: isso vincula a identidade de hardware do dispositivo ao seu inquilino do Entra, para que o Windows o reconheça na primeira inicialização e inicie o fluxo do Autopilot.

Dispositivos comprados através da Factorial TI são registrados para você pelos revendedores credenciados (veja "Configurar implantação zero-touch no seu catálogo"). As etapas abaixo são apenas para dispositivos que você comprou em outro lugar.

1. Exportar o hash de hardware. No dispositivo, abra o PowerShell como administrador/a e execute:

New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Você obterá um arquivo CSV com o hash de hardware. A Microsoft documenta outras maneiras de exportá-lo.

2. Importar o CSV no Intune.

1. No Microsoft Intune, abra Dispositivos > Inscrição > Windows Autopilot > Dispositivos.
2. Clique em Importar e envie o CSV. Isso leva alguns minutos; atualize até que o dispositivo apareça.
3. Verifique se o Status do perfil diz Atribuído. Se permanecer em Não atribuído, revise como seu perfil de implantação está atribuído (etapa 4).

O que o/a colaborador/a vê

Quando um novo/a colaborador/a recebe um dispositivo registrado no Autopilot, ele/ela:

1. Liga-o.
2. Escolhe seu país, idioma e layout do teclado.
3. Conecta à internet.
4. Faz login com suas credenciais Microsoft, além de autenticação multifator se você a tiver ativada.
5. Define um PIN e uma impressão digital, se o hardware tiver um leitor.
6. Começa a trabalhar. Os aplicativos e controles que você definiu no console se aplicam automaticamente.

Testar a inscrição

Tente todo o fluxo em um dispositivo registrado antes de implantá-lo para todos.

1. Redefina o dispositivo de teste (Configurações > Sistema > Recuperação > Redefinir este PC) ou reinstale-o.
2. Ative-o, escolha o país e o teclado, e conecte-se à internet.
3. Verifique se a tela de login diz Bem-vindo(a) ao {Sua Empresa}! com seu logotipo. Isso prova que o dispositivo passou pelo Autopilot.
4. Faça login com a conta Entra de um/a colaborador/a de teste. O Windows então pede um PIN (Windows Hello) e uma impressão digital, se suportado.
5. Quando a área de trabalho aparecer, verifique se o dispositivo aparece em Dispositivos no console e recebe seus aplicativos e políticas.

Dispositivos não registrados no Autopilot ainda podem se inscrever sozinhos. Durante a configuração do Windows, escolha Configurar para trabalho ou escola e faça login com o Entra. O dispositivo se inscreve na Factorial TI, mas pula as telas de Autopilot com marca e a Página de Status de Inscrição.

Redefinir ou reatribuir um dispositivo

Quando um dispositivo é transferido para outra pessoa (desligamento, substituição, reutilização), limpe seus registros antigos para que o Autopilot o trate como um novo dispositivo.

1. Limpe-o. Envie uma limpeza remota do console ou redefina-o localmente em Configurações > Sistema > Recuperação > Redefinir este PC.
2. Delete o registro antigo do dispositivo. Você não pode excluir um dispositivo inscrito, então desinscreva-o primeiro com Ações > Desinscrever (ou Marcar como desinscrito se estiver offline). Então, na página do dispositivo, clique em Ações > Excluir e confirme. A próxima inscrição começará com um registro limpo.
3. Limpe o Entra. No Microsoft Azure, vá para Dispositivos > Todos os dispositivos e exclua o objeto obsoleto para o dispositivo limpo.
4. Sincronize o Autopilot. No Microsoft Intune, abra Dispositivos > Inscrição > Windows Autopilot > Dispositivos. Verifique se o dispositivo ainda está lá com Status do perfil Atribuído, clique em Sincronizar e aguarde até que termine. Nunca exclua o dispositivo dessa lista: o registro deve sobreviver à limpeza.
5. Inicie o dispositivo. A tela de boas-vindas com marca confirma que o Autopilot o capturou. Se ele pular o Autopilot, aguarde alguns minutos e reinicie: a Microsoft pode ainda estar processando a limpeza.

Solução de Problemas e FAQ

Solução de Problemas

• As etapas 2 e 3 permanecem bloqueadas. A conexão do Entra na etapa 1 ainda não está ativa. Termine-a primeiro.
• A etapa 1 mostra um erro acima do botão. A conexão falhou ou foi cancelada. Certifique-se de que você fez login com uma conta de Administrador Global e tente novamente.
• O console mostra um banner de alerta de token. One ou mais dos três valores da etapa 3 estão faltando. Abra Concluir configuração, preencha todos os três e clique em Salvar.
• Status do perfil permanece em Não atribuído. O perfil de implantação não está atribuído ao dispositivo. Revise sua atribuição e seu grupo dinâmico de dispositivos.
• O dispositivo não mostra a tela de boas-vindas com marca. Provavelmente não está registrado no Autopilot, ou o registro ainda não foi sincronizado. Verifique Windows Autopilot > Dispositivos no Intune, sincronize, aguarde alguns minutos e reinicie.
• Dispositivos anteriormente no Intune se comportam de maneira inconsistente. Eles não foram migrados antes que o Fleet se tornasse o MDM padrão. Migre-os.

FAQ

1. Preciso registrar um aplicativo próprio para a etapa 1?
   Não. Você dá consentimento a um aplicativo que já existe no diretório da Microsoft. Você só cria o aplicativo Fleet, na etapa 3.
    
2. Conectar o Entra faz dele meu provedor de e-mail?
   Não. A Factorial TI apenas lê usuários e grupos. Definir Entra como provedor de e-mail é uma configuração separada.
    
3. Qual é a diferença entre o domínio Fleet e o campo Domínio?
   O domínio Fleet é seu endereço MDM, declarado na etapa 2. O campo Domínio na etapa 3 é o domínio com o qual seus colaboradores/as fazem login, como company.com.
    
4. Um dispositivo pode se inscrever automaticamente se não estiver registrado no Autopilot?
   Sim. O/a colaborador/a escolhe Configurar para trabalho ou escola e faz login com o Entra. Ele pula as telas com marca e a Página de Status de Inscrição.
    
5. Os/as colaboradores/as serão administradores/as em seus dispositivos?
   Isso depende de como seu/a administrador/a do Entra o configura. Administradores Globais no Entra são sempre administradores/as nos dispositivos Autopilot aos quais fazem login.
    
6. Preciso registrar dispositivos comprados através da Factorial TI?
   Não. Os revendedores credenciados os registram. Apenas dispositivos comprados em outro lugar precisam da importação do hash de hardware.