O Windows Autopilot permite que um novo dispositivo Windows receba seus aplicativos, configurações e políticas de segurança da empresa no momento em que o/a funcionário/a faz login com sua conta Microsoft. Use-o quando quiser que os laptops Windows cheguem prontos para se configurarem, sem necessidade de configuração manual da TI.

Funcionalidade

Visão Geral

Antes de começar, verifique se você tem:

• Uma conta Microsoft com a função de Administrador Global em seu locatário do Entra.
• Uma licença que cobre tanto o Microsoft Entra ID Plan 1 (ou Plan 2) quanto o Windows Autopilot. A licença mais barata que inclui ambos é o Enterprise Mobility + Security E3 (comparar planos).
• Seu endereço MDM, {company}.mdm.getprimo.com, e, em particular, seu subdomínio {company}. Se você não souber, escreva para support@factorial.it.

Coisas a saber sobre como os dispositivos Autopilot se comportam:

• Eles usam contas Entra, não contas locais. A Microsoft está gradualmente eliminando contas locais em favor do Entra.
• Seu administrador Entra decide se os/as funcionários/as recebem direitos padrão ou de administrador. Qualquer pessoa com a função de Administrador Global no Entra se torna um/a administrador/a em cada dispositivo Autopilot que acessar.
• O dispositivo deve estar online na primeira inicialização para que possa se autenticar com o Entra.

Como usar 

Configurar zero-touch

A configuração tem cinco etapas. As três primeiras correspondem às três etapas da janela Adicionar Windows Autopilot no console. Para abri-la, vá para MDM > Configurações, clique em Windows sob Plataformas, e depois clique em Adicionar sob Windows Autopilot. Se você já começou, clique em Concluir configuração em vez disso. Trabalhe nelas na ordem: cada etapa desbloqueia a próxima. As etapas 4 e 5 acontecem depois, apenas nos consoles da Microsoft.

A etapa 3 precisa de três valores do Entra: seu ID do Locatário, o ID do Aplicativo (cliente) do aplicativo Fleet e o Domínio Primário que seus/as funcionários/as usam para fazer login. Você os coleta à medida que avança e os cola no console você mesmo/a. A única coisa que você envia para o suporte é o código de verificação de domínio na etapa 2.

Etapa 1. Conectar Microsoft Entra.

Você precisa de um usuário Entra com a função de Administrador Global, além de permissão para gerenciar SaaS na Factorial TI. Você não registra nenhum aplicativo por conta própria: você dá consentimento a um aplicativo que já existe no diretório da Microsoft.

Dispositivos Autopilot fazem login com credenciais Entra em vez de nomes de usuário e senhas separados, então o Entra vem primeiro. As etapas 2 e 3 permanecem bloqueadas até que essa conexão esteja ativa.

1. Abra a janela Adicionar Windows Autopilot de MDM > Configurações > Windows.
2. Na etapa 1, clique em Conectar Microsoft Entra.
3. Faça login com sua conta de Administrador Global e aceite as permissões na tela de consentimento da Microsoft. Contas sem essa função não podem concedê-las.
4. Você volta à configuração do Windows Autopilot. A etapa 1 agora mostra Conectado a seguido pela sua instância Entra, e a etapa 2 é desbloqueada.

Se o Entra já estiver conectado sob SaaS, a etapa 1 o lista. Clique em Usar este ao lado da instância que você deseja, ou Conectar outra.

Conectar aqui adiciona o Microsoft Entra ao seu SaaS conectado sem custo adicional. A Factorial TI apenas lê seus usuários e grupos Entra. Não cria nenhuma regra e não transforma o Entra em seu provedor de e-mail. Definir Entra como provedor de e-mail é uma escolha separada: cria o endereço de e-mail de trabalho de cada novo/a funcionário/a durante a integração. Leia "Conecte seu provedor de e-mail" antes de alterá-lo.

Se a conexão falhar ou você cancelá-la, um erro aparecerá acima do botão na etapa 1. Certifique-se de que você fez login como Administrador Global e tente novamente.

Etapa 2. Declarar o domínio Fleet.

O domínio Fleet é seu endereço MDM, {company}.mdm.getprimo.com. Não é o domínio de e-mail da sua empresa; esse é usado na etapa 3.

Esta etapa precisa de suporte. A Microsoft fornece um código de verificação, e apenas a equipe de suporte pode adicioná-lo ao DNS. Permita até 2 dias úteis uma vez que você o tenha enviado.

1. Faça login no Microsoft Azure como administrador.
2. Abra Nomes de domínio e clique em + Adicionar domínio personalizado.
3. Digite {company}.mdm.getprimo.com e clique em Adicionar domínio.
4. Copie o Endereço de destino ou de roteamento (parece com MS=ms12345678) e envie para support@factorial.it.
5. Quando o suporte confirmar, clique em Verificar.

Etapa 3. Conectar Azure e Fleet.

Dois dos três valores na etapa 3 vêm de um aplicativo Fleet que você agora cria no Entra. O terceiro é o domínio com o qual seus/as funcionários/as fazem login.

Criar o aplicativo Fleet

1. Vá para Mobilidade (MDM e WIP), clique em + Adicionar aplicativo > + Criar seu próprio aplicativo, nomeie-o como Fleet (este guia usa esse nome ao longo do texto) e clique em Criar.
2. Insira as duas URLs do MDM, trocando {company} pelo seu subdomínio, e clique em Salvar:

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/tos

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/discovery

3. Clique em Configurações personalizadas do aplicativo MDM, depois no link sob ID URI do Aplicativo, e clique em Editar. Insira https://{company}.mdm.getprimo.com e clique em Salvar.
4. No menu à esquerda, abra Permissões de API > + Adicionar uma permissão > Microsoft Graph. Adicione estas sob Permissões delegadas:

   Group.Read.All
   Group.ReadWrite.All

5. Adicione estas sob Permissões de aplicativo:

   Device.Read.All
   Device.ReadWrite.All
   Directory.Read.All
   Group.Read.All
   User.Read.All

6. Clique em Conceder consentimento de administrador para {Sua Empresa}.

Definir Fleet como o MDM padrão para novos dispositivos

1. Volte para Mobilidade (MDM e WIP).
2. Clique em Microsoft Intune, defina tanto escopo do usuário MDM quanto escopo do usuário WIP como Nenhum, e clique em Salvar.
3. Clique em Fleet, defina escopo do usuário MDM como Todos, e clique em Salvar.

Qualquer dispositivo já inscrito através do Intune antes desta mudança deve ser migrado por você (veja "Implantação de agente silenciosa", seção sobre migração de outro MDM). Se você pular isso, esses dispositivos permanecerão meio configurados e os/as funcionários/as notarão.

Cole os valores de conexão no console

A Factorial TI autentica seu locatário com três valores Entra. Você os digita na etapa 3 da janela e eles são aplicados automaticamente; nada vai para o suporte. Até que todos os três sejam salvos, o console mostra um banner de alerta de token e o zero-touch do Windows não funciona totalmente. Isso também se aplica a locatários configurados antes da existência da etapa 3.

Em MDM > Configurações > Windows, clique em Concluir configuração na sua configuração do Windows Autopilot, preencha os três campos da etapa 3 e clique em Salvar.

Dois erros fáceis:

• Domínio significa o domínio de login dos/as seus/suas funcionários/as (company.com), não o domínio MDM da etapa 2.
• Ambos os IDs são GUIDs e se parecem. Leia o rótulo antes de colar: o ID do Locatário aponta para seu locatário Entra, o ID do cliente para o aplicativo Fleet.

Etapa 4. Criar perfis de implantação do Autopilot.

Um perfil de implantação define os padrões para dispositivos que chegam através do Autopilot, por exemplo, o tipo de conta (Administrador ou Padrão), o país padrão e o idioma do teclado, e o padrão de nomenclatura ({company}-%RAND:5% gera {company}-23456). A documentação de perfis da Microsoft tem a lista completa.

1. Criar o perfil. No Microsoft Intune, abra Dispositivos > Inscrição > Perfis de Implantação, clique em + Criar perfil e passe pelas três telas: nome, modo de implantação, atribuição.
2. Criar um grupo de dispositivos dinâmico. No portal.azure.com, clique em + Criar grupo, dê um nome como "Dispositivos Windows Autopilot", escolha Dispositivos dinâmicos e use esta regra:

   (device.devicePhysicalIds -any (_ -startsWith "[ZTDid]"))

3. Criar uma Página de Status de Inscrição. No Microsoft Intune, abra Dispositivos > Inscrição > Página de Status de Inscrição, clique em + Criar, nomeie-a, ative a exibição de progresso e atribua-a ao seu grupo dinâmico.

Etapa 5. Adicione a identidade da sua empresa.

O logotipo que você carregar aparecerá na tela de login do Autopilot ao lado do título Bem-vindo(a) ao {Sua Empresa}!. Vê-lo também é a prova mais rápida de que um dispositivo realmente passou pelo Autopilot na primeira inicialização.

1. Faça login no Microsoft Azure, procure por Identidade da empresa e clique em Configurar (ou Editar se uma experiência de login padrão existir).
2. Na aba Formulário de login, carregue seu logotipo tanto em Logotipo quadrado (tema claro) quanto em Logotipo quadrado (tema escuro).
3. Clique em Revisar + salvar, depois em Salvar.

Registrar seus dispositivos no Autopilot

Um perfil de implantação só alcança dispositivos que estão registrados no Autopilot. Registrar não é inscrever: isso vincula a identidade de hardware do dispositivo ao seu locatário Entra, para que o Windows o reconheça na primeira inicialização e inicie o fluxo do Autopilot.

Dispositivos comprados através da Factorial TI são registrados para você pelos revendedores credenciados (veja "Configurar implantação zero-touch em seu catálogo"). Os passos abaixo são apenas para dispositivos que você comprou em outro lugar.

1. Exportar o hash de hardware. No dispositivo, abra o PowerShell como administrador e execute:

New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Você receberá um arquivo CSV com o hash de hardware. A Microsoft documenta outras maneiras de exportá-lo.

2. Importar o CSV no Intune.

1. No Microsoft Intune, abra Dispositivos > Inscrição > Windows Autopilot > Dispositivos.
2. Clique em Importar e faça o upload do CSV. Leva alguns minutos; atualize até que o dispositivo apareça.
3. Verifique se o Status do perfil diz Atribuído. Se permanecer em Não atribuído, revise como seu perfil de implantação está atribuído (etapa 4).

O que o/a funcionário/a vê

Quando um/a novo/a funcionário/a recebe um dispositivo registrado no Autopilot, ele/ela:

1. Liga-o.
2. Escolhe seu país, idioma e layout do teclado.
3. Conecta-se à internet.
4. Faz login com suas credenciais Microsoft, além de autenticação multifatorial, se você a tiver ativada.
5. Define um PIN e uma impressão digital, se o hardware tiver um leitor.
6. Começa a trabalhar. Os aplicativos e controles que você definiu no console se aplicam automaticamente.

Testar a inscrição

Tente todo o fluxo em um dispositivo registrado antes de implantá-lo para todos.

1. Redefina o dispositivo de teste (Configurações > Sistema > Recuperação > Redefinir este PC) ou reinstale-o.
2. Ative-o, escolha país e teclado, e conecte-se à internet.
3. Verifique se a tela de login diz Bem-vindo(a) ao {Sua Empresa}! com seu logotipo. Isso prova que o dispositivo passou pelo Autopilot.
4. Faça login com a conta Entra de um/a funcionário/a de teste. O Windows então pede um PIN (Windows Hello) e uma impressão digital, se suportada.
5. Quando a área de trabalho aparecer, verifique se o dispositivo aparece em Dispositivos no console e recebe seus aplicativos e políticas.

Dispositivos não registrados no Autopilot ainda podem se inscrever sozinhos. Durante a configuração do Windows, escolha Configurar para trabalho ou escola e faça login com o Entra. O dispositivo se inscreve na Factorial TI, mas pula as telas de Autopilot com marca e a Página de Status de Inscrição.

Redefinir ou reatribuir um dispositivo

Quando um dispositivo é transferido para outra pessoa (desligamento, substituição, reutilização), limpe seus registros antigos para que o Autopilot o trate como um novo dispositivo.

1. Limpe-o. Envie uma limpeza remota do console ou redefina-o localmente em Configurações > Sistema > Recuperação > Redefinir este PC.
2. Exclua o registro antigo do dispositivo. Você não pode excluir um dispositivo inscrito, então desinscreva-o primeiro com Ações > Desinscrever (ou Marcar como desinscrito se estiver offline). Em seguida, na página do dispositivo, clique em Ações > Excluir e confirme. A próxima inscrição começa com um registro limpo.
3. Limpe o Entra. No Microsoft Azure, vá para Dispositivos > Todos os dispositivos e exclua o objeto obsoleto para o dispositivo limpo.
4. Sincronize o Autopilot. No Microsoft Intune, abra Dispositivos > Inscrição > Windows Autopilot > Dispositivos. Verifique se o dispositivo ainda está lá com Status do perfil Atribuído, clique em Sincronizar e aguarde até que termine. Nunca exclua o dispositivo desta lista: o registro deve sobreviver à limpeza.
5. Inicie o dispositivo. A tela de boas-vindas com marca confirma que o Autopilot o capturou. Se ele pular o Autopilot, aguarde alguns minutos e reinicie: a Microsoft pode ainda estar processando a limpeza.

Resolução de Problemas e FAQ

Resolução de Problemas

• As etapas 2 e 3 permanecem bloqueadas. A conexão do Entra na etapa 1 ainda não está ativa. Conclua isso primeiro.
• A etapa 1 mostra um erro acima do botão. A conexão falhou ou foi cancelada. Certifique-se de que você fez login com uma conta de Administrador Global e tente novamente.
• O console mostra um banner de alerta de token. One ou mais dos três valores da etapa 3 estão faltando. Abra Concluir configuração, preencha todos os três e clique em Salvar.
• Status do perfil permanece em Não atribuído. O perfil de implantação não está atribuído ao dispositivo. Revise sua atribuição e seu grupo de dispositivos dinâmico.
• O dispositivo não mostra a tela de boas-vindas com marca. Provavelmente não está registrado no Autopilot, ou o registro ainda não foi sincronizado. Verifique Windows Autopilot > Dispositivos no Intune, sincronize, aguarde alguns minutos e reinicie.
• Dispositivos anteriormente no Intune se comportam de forma inconsistente. Eles não foram migrados antes que o Fleet se tornasse o MDM padrão. Migre-os.

FAQ

1. Preciso registrar um aplicativo próprio para a etapa 1?
   Não. Você dá consentimento a um aplicativo que já existe no diretório da Microsoft. Você apenas cria o aplicativo Fleet, na etapa 3.
    
2. Conectar o Entra torna-o meu provedor de e-mail?
   Não. A Factorial TI apenas lê usuários e grupos. Definir Entra como provedor de e-mail é uma configuração separada.
    
3. Qual é a diferença entre o domínio Fleet e o campo Domínio?
   O domínio Fleet é seu endereço MDM, declarado na etapa 2. O campo Domínio na etapa 3 é o domínio com o qual seus/as funcionários/as fazem login, como company.com.
    
4. Um dispositivo pode se inscrever automaticamente se não estiver registrado no Autopilot?
   Sim. O/a funcionário/a escolhe Configurar para trabalho ou escola e faz login com o Entra. Ele/ela pula as telas com marca e a Página de Status de Inscrição.
    
5. Os/as funcionários/as serão administradores/as em seus dispositivos?
   Isso depende de como seu/a administrador/a Entra o configura. Administradores/as Globais no Entra são sempre administradores/as em dispositivos Autopilot aos quais fazem login.
    
6. Preciso registrar dispositivos comprados através da Factorial TI?
   Não. Os revendedores credenciados os registram. Apenas dispositivos comprados em outros lugares precisam da importação do hash de hardware.