Windows Autopilot

Ortsunabhängig: Neuinstallationen konnten bisher nur vor Ort (Uninetz) umständlich mit einem Netzwerkboot aus dem Boot Menü (PXE-Boot) gestartet werden. Das hat häufig Probleme bei verschiedenen Modellen oder veralteten BIOS Einstellungen gemacht. Das gehört nun der Vergangenheit an, da Windows Autopilot überall mit einer stabilen Internetverbindung funktioniert.

Benutzerfreundliche Out-of-Box-Experience (OOBE): Der Endbenutzer kann das Gerät selbst und jederzeit neu installieren, ohne IT-Personal zu benachrichtigen. Früher war wichtig dass das Gerät vorher in verschiedenen Systemen (AD, CMDB) eingetragen war, das ist nun nicht mehr notwendig.

Schnellere Bereitstellung und weniger Fehlerquellen: Keine Treiberkonflikte im Image, weniger Abhängigkeit von lokaler Hardware und Netzwerkinfrastruktur.

Weitere Änderungen (Für Interessierte):

- Namenszuweisung: Probleme mit gleichnamigen PCs im AD gehören der Vergangenheit an, da die Namenszuweisung nicht mehr manuell anhand von IP-Adressen, sondern Random mit einem Prefix (z.B. 08Chem-%RANDOM) zugewiesen wird.

- AD-Join: Früher musste das AD-Objekt vor der Installation im Active Directory angelegt werden. Durch den sogenannten Offline AD-Join und dem zufälligen PC-Namen, muss dies nun nicht mehr durchgeführt werden.

Nach Abschluss von Autopilot erscheint die Windows-Anmeldemaske.

• Die Erstanmeldung sollte stets durch den künftigen Hauptbenutzer (Primary User) erfolgen – nicht durch den IT-Betreuer oder einem Funktionsaccounts. Weitere Informationen finden Sie unter Hauptbenutzer (Primary User).
   
• Innerhalb des Universitätsnetzes melden Sie sich wie gewohnt mit Ihrem JMU-Account an.
   
• Außerhalb des Universitätsnetzes ist vor der Erstanmeldung eine Verbindung über Cisco VPN mit Cisco SBL (Start before Windows Logon) erforderlich.
   
  • Wenden Sie sich dazu an Ihren IT-Bereichsmanager. Dieser muss Sie temporär freischalten bzw. einer berechtigten Gruppe hinzufügen.
  • Nach erfolgter Freischaltung starten Sie die Cisco-Verbindung über das vorinstallierte Cisco VPN SBL-Modul (Icon unten rechts in der Taskleiste) vor dem Windows-Login. Anschließend können Sie die Windows-Erstanmeldung durchführen.
  • Cisco SBL ist ausschließlich für die Erstanmeldung vorgesehen.

Der Erst-Login kann einige Zeit dauern....

Sobald man eingeloggt ist, empfehlen wir die App Unternehmensportal (Company Portal) zu öffnen und sich dort einmal mit dem Hauptbenutzer (Primay User) anzumelden Die App ist auf Ihrem PC installiert - Sie können sie über die Windows Suche finden.

Das ist wichtig, weil:

1. Die App-Zuweisungen (Softwarecenter) so deutlich schneller automatisch nachinstalliert werden.
2. Das Gerät schneller in der RZ-Infrastruktur (Intune) registriert wird.
3. Sogenannte Compliance Regeln schneller abgehandelt werden (z.B. ist Windows Defender aktiv?)
4. Spätestens hier der sogenannten Hauptbenutzter (Primary User) gesetzt wird. Weitere Informationen finden Sie unter Hauptbenutzer (Primary User).

Sollten nach dem Anmelden diese Fragen kommen, beantworten Sie diese mit JA:
"Sie automatisch bei allen Apps, Websites und Diensten auf diesem Gerät anmelden?
"Zulassen, dass Ihre Organisation Ihr Gerät verwaltet?"

Was ist das?

• Der Primary User ist die Person, die als Hauptbesitzer eines Geräts geführt wird.

Wie wird er festgelegt?

• Automatisch: Die erste Windows-Anmeldung nach Autopilot bestimmt den Primary User.
• Manuell: Die IT kann ihn in "Intune" aus der Ferne ändern.
• Tipp: Keine Anmeldung mit Admin- oder Funktionskonten, sonst werden diese als Primary User gesetzt.

Wozu dient er?

• Für benutzer-basierte Richtlinien und App-Zuweisungen.
• Für Reporting ("Wer nutzt welches Gerät“).
• Wenn ein Primary User gesetzt ist, können andere Benutzer*innen keine Apps im Unternehmensportal installieren.
• Falls gewünscht kann der Primary User auch entfernt werden, sodass das Gerät als Shared Device verwendet wird.

Windows Autopilot ist ein Microsoft-Dienst, der die Bereitstellung und Konfiguration von Windows-Geräten automatisiert.
Ziel: Geräte sollen ohne manuelle IT-Intervention direkt vom Hersteller oder Lager zum Endnutzer gehen und sich beim ersten Start selbst konfigurieren.

Voraussetzungen:

• Windows Autopilot benötigt ein bestehendes Windows-Betriebssystem, um den Autopilot-Prozess zu starten.
• Bei Geräten ohne Windows muss ein temporäres Windows installiert werden. Beachten Sie dass Autopilot kein Upgrade der Version vornimmt (Wenn Win11 23H2 vorinstalliert wurde, bleibt 23H2 installiert)
• Internetverbindung: Während der Out-of-Box-Experience (OOBE) muss das Gerät Zugriff auf das Internet haben, um den Autopilot-Dienst und Intune zu erreichen.
• UEFI & Secure Boot sollten aktiv sein.
• TPM-Chip sollte vorhanden und aktiv sein.
   

Kernidee:

• Gerät wird registriert (über Seriennummer/Hardware-ID/Netzwerkkarten) generiert sich ein sogenanter Hardware Hash, der bei uns in Intune eingetragen wird).
• Beim ersten Start verbindet sich das Gerät mit dem Internet und zieht nach Login des Users das passende Autopilot-Profil.
• Dieses Profil definiert, wie das Gerät eingerichtet wird (z. B. Azure AD Join, Hybrid Join, Richtlinien, Apps).
• Die Autopilot Installation ist nicht ans Uninetz gebunden und kann von überall aus gestartet werden.
• PXE Boot gehört der Vergangenheit an!

Registriert werden Geräte immer mit dem sogenannten Hardware Hash.

 Was ist der Hardware Hash?
Der Hardware Hash ist eine eindeutige Geräte-ID, die von Windows Autopilot verwendet wird, um ein Gerät in der Autopilot-Datenbank zu registrieren.
Er enthält Informationen wie:

• Seriennummer
• Hardware-IDs von CPU, TPM, Netzwerkkarte
• Hersteller und Modell

Wie registriert man ein Gerät für Autopilot?

1. Neu bestellte Geräte

• Werden demnächst direkt mit Autopilot installiert und werden daher vom Reseller (z.B. Bechtle) selbst bei uns im Tenant für Autopilot registiert.

2. Manuelle Registrierung durch IT-Verantwortliche

• Für Geräte, die noch nicht registriert sind, kann der Hash lokal erzeugt werden.
• Wenden Sie sich hierzu bitten an Ihren IT-Verantwortlichen

3. Bereits installierte Geräte mit SCCM-Client

• Vorteil: Kein physischer Zugriff nötig.
• SCCM kann den Hardware Hash remote auslesen und an Intune übergeben.
• Schicken Sie uns hierfür eine Anfrage mit PC-Namen, wir versuchen Remote den Hardware Hash auszulesen.