Neste artigo vou mostrar a configuração do Autopilot para dispositivos híbridos. Dispositivos que precisam estar registrados no Entra ID e também ingressados no domínio local (floresta Active Directory).
Autopilot é um método para personalizar a primeira inicialização ou experiência fora da caixa (OOBE) para dispositivos novos ou recém-provisionados, utilizando a versão otimizada da imagem OEM pré-instalada no dispositivo.
Por exemplo, a organização faz a aquisição do equipamento novo junto ao fabricante e entrega diretamente para o usuário final. O usuário ligando o dispositivo conectado à internet, e inserindo suas credenciais corporativa, automaticamente o Autopilot realiza a configuração do dispositivo, ingressando ele a rede da organização (Entra ID ou Active Directory), aplicando políticas e configurações, realizando instalação de aplicativos etc.
Na implantação do Autopilot Híbrido, é necessário que o dispositivo que está sendo provisionado, para ser ingressado no domínio local (Active Directory), esteja na mesma rede dos controladores de domínio, ou se os dispositivos estiverem remotos, fora da rede da organização, que possua uma solução de VPN que tenha o recurso de conexão antes do logon do Windows, e que a instalação do cliente VPN seja realizada durante a implantação do Autopilot, na etapa de Configuração de dispositivo.
Para esta configuração utilizarei a arquitetura abaixo:
Aquisição do dispositivo com o fornecedor;
O fornecedor informar o ID e o Hash de hardware do dispositivo, e o administrador do Intune faz o cadastro do dispositivo no Windows Autopilot;
O fornecedor envia o dispositivo para a casa do usuário final;
O usuário final liga o dispositivo conectado à internet e inicia o processo de configuração do dispositivo através do Windows Autopilot: a. Recebe o perfil do Autopilot; b. Registra o dispositivo no Azure Active Directory; c. Ingressa o dispositivo no Microsoft Intune; d. Recebe políticas de conformidade (se existir política implantada para o dispositivo); e. Recebe perfis de configuração (se existir perfil implantado para o dispositivo); f. Recebe aplicações (se existir aplicações implantada para o dispositivo); g. Recebe a instalação e configuração do cliente VPN;
Durante o processo de configuração do dispositivo, através do conector do Intune ODJ, o Autopilot faz a criação do objeto de computador do dispositivo no Active Directory local;
Após a criação do objeto de computador no Active Directory local, o Azure AD Connect faz a sincronização do novo objeto de computador para o Azure Active Directory para ingressar o dispositivo no modo hibrido;
No primeiro login o usuário irá estabelecer a conexão VPN para ter comunicação com o Active Directory local;
Com a comunicação com o Active Directory local, o usuário faz o login no dispositivo, criando o cache do perfil do usuário no dispositivo (Após esse primeiro login e com a criação do cache do perfil no dispositivo, não é mais necessário a conexão de VPN para realizar o login no dispositivo);
A finalização da implantação do dispositivo pelo Windows Autopilot ocorre quando o usuário recebe acesso a área de trabalho do Windows;
Pré-requisitos:
É necessário que a sincronização hibrida dos dispositivos esteja configurada no ambiente
Em Tipo de Grupo selecionar Segurança Em Nome do grupo adicionar gs-intune_autopilot Em Descrição do grupo *Opcional Em As funções do Microsoft Entra podem ser atribuídas ao grupo selecionar Não Em Tipo de associação selecionar Dispositivo Dinâmico Em Membros de dispositivo dinâmico clicar em Adicionar consulta dinâmica.
Após configurar a consulta dinâmica, clicar em Criar para criar o grupo.
Configuração da Página de Status de Registro
A página de status do registro aparece durante a configuração inicial do dispositivo e durante a primeira conexão do usuário. Se habilitada, os usuários poderão ver o progresso da configuração de aplicativos atribuídos e perfis direcionados aos dispositivos deles. Saiba mais.
Em Windows registro acessar Página de Status de Registro.
Clicar em Criar.
Adicionar o nome do perfil que será criado.
Em Mostrar o andamento da configuração do perfil e de aplicativos, selecionar a opção Sim.
A opção Bloqueie o uso do dispositivo até que os aplicativos necessários sejam instalados, se eles estiverem atribuídos ao usuário/dispositivo, serve para quando uma lista de aplicativos que são implantados para os dispositivos Autopilot, mas apenas alguns aplicativos específicos precisam ser instalados durante o Autopilot, deixando os demais aplicativos para serem instalados após a finalização do Autopilot.
Para apontar os aplicativos que serão instalados durante o Autopilot, marcar essa opção como Selecionado, e selecionar os aplicativos.
As demais configurações, as opções padrões atendem a maioria dos cenários, mas caso precise personalizar o perfil para um caso específico, as opções são autoexplicativas.
Atribuir o perfil ao grupo criado para os dispositivos Autopilot.
Avançar.
Criar o perfil.
Configuração do Perfil de Implantação
Os perfis do Windows Autopilot Deployment permitem que você personalize a experiência inicial para seus dispositivos. Saiba mais.
Em Windows registro, acessar Perfil de Implantação.
Em Criar perfil, selecionar a opção Computador Windows.
Adicionar o nome do perfil que será criado.
A opção Converter todos os dispositivos de destino em Autopilot, importa os dispositivos ingressados no Intune que receberem o perfil como Autopilot. O dispositivo não é formatado.
Em Modo de implantação, selecionar a opção Orientado pelo Usuário.
Agora vem as 2 principais configurações que precisam ser ajustadas para implantação em dispositivos híbridos.
Em Ingressar no Microsoft Entra ID como, selecionar a opção Ingressado no Microsoft Entra híbrido.
Em Ignorar verificação de conectividade do AD, selecionar a opção Sim. Se esta opção estivar selecionada como Não, no início da implantação do Autopilot, será realizada uma verificação se o dispositivo tem conectividade com o Active Directory, e caso o dispositivo esteja fora da rede da organização, será gerado um erro e o processo não irá prosseguir.
As demais configurações, as opções padrões atendem a maioria dos cenários, mas caso precise personalizar o perfil para um caso específico, as opções são autoexplicativas.
Atribuir o perfil ao grupo criado para os dispositivos Autopilot.
Criar o perfil.
Instalação do conector do Intune
O conector do Intune exerce o papel de criar o objeto de computador do dispositivo Autopilot no Active Directory.
Pré-requisitos básicos:
O Conector do Intune para Active Directory deve ser instalado em um computador que está executando Windows Server 2016 ou posterior com .NET Framework versão 4.7.2 ou posterior.
O servidor que hospeda o Conector do Intune deve ter acesso à Internet e ao Active Directory.
Em Windows registro, acessar Conector do Intune para o Active Directory.
Clicar em Adicionar e baixar o conector.
Após realizar o download, executar o conector no servidor onde será instalado.
Marcar a opção para aceitar os termos da licença e clicar em Install.
Ao final da instalação clicar em Configure Now.
Clicar em Sign In.
Realizar o Sign in com uma conta administrador global ou administrador do Intune, com uma licença do Intune atribuída.
Essa conta não fica associada na configuração.
Clicar em OK para finalizar a instalação.
Verificar o status do conector no servidor.
Unidade Organizacional para dispositivos Autopilot
Recomendável criar uma OU no Active Directory destinada aos dispositivos Autopilot para facilitar a identificação.
Neste exemplo estou criando a OU para o Autopilot dentro da OU Computadores.
Aumentar o limite de conta de computador na OU Autopilot
Por padrão no Active Directory, contas não administrativas podem criar até 10 objetos no ambiente, e para o servidor que possui o conectar instalado, é necessário dar permissão para ele poder ultrapassar esse limite sem dar permissão de administrador a todo o ambiente, utilizando a delegação de controle apenas na OU específica.
No Active Directory, com o direito do mouse na OU Autopilot clicar em Delegate Control.
Avançar.
Selecionar a conta do servidor que possui o conector instalado e avançar.
Para adicionar a conta do servidor, clicar em Add.
Em Select Users, Computers, or Groups, clicar em Object Types.
Em Object Types, marcar Computers, e pesquisar pela conta do servidor.
Selecionar a opção Create a custom task to delegate e avançar.
Selecionar a opção Only the following objects in the folder.
Marcar Computer objects.
Marcar Create selected objects in this folder.
Marcar Delete selected objects in this folder.
E avançar.
Marcar General.
Marcar Property-specific.
Marcar Creation/deletion of specific child objects.
Em Permissions marcar Full Control que será marcado todas as opções abaixo e avançar.
Finalizar a configuração da delegação de controle.
Configuração para criar o objeto de computador no Active Directory
No Centro de administração do Microsoft Intune, acessar Dispositivos, Perfis de Configuração, Criar perfil.
Em Plataforma selecionar Windows 10 e posteriores.
Em Tipo de perfil selecionar Modelos e selecionar o modelo Ingresso no domínio.
Adicionar o nome do perfil que será criado.
Em Prefixo do nome do computador, definir um nome padrão para ser configurado nos dispositivos provisionados pelo Autopilot, o restante será gerado automaticamente pelo Autopilot. Não é possível utilizar variáveis nesta configuração.
Neste exemplo todo dispositivos será provisionado como WKS- mais o auto complemento (exemplo: WKS-2MEM92R).
Em nome do domínio adicionar o domínio da floresta do Active Directory.
Em Unidade organizacional adicionar o CN da OU onde serão criados os dispositivos do Autopilot.
Para copiar o CN da OU do Autopilot, no Active Directory, clicar em View e habilitar Advanced Features.
Nas propriedades da OU do Autopilot, acessar a Guia Attribute Editor e copiar o valor do atributo objectCategory.
Atribuir ao grupo do Autopilot.
Criar a configuração.
Coletar Hash de Hardware
Caso o fabricante não forneça um arquivo com os Hash de Hardware dos dispositivos, é possível gerar essas planilhas manualmente em cada dispositivo, utilizando os métodos a seguir:
Método 1
No dispositivo já implantado onde o Hash de Hardware será coletado, com um prompt elevado do Windows PowerShell executar os comandos a seguir:
Será gerado uma planilha em C:\HWID, copiar a planilha para outro dispositivo ou Pendrive, e restaurar de fabrica o dispositivo onde o Hash de Hardware foi coletado.
Método 2
Em um dispositivo novo, na tela de país e região, pressionar SHIFT + F10 para abrir um Prompt de comando.
Com o Prompt de comando aberto, digitar os comandos
Powershell
# Prompt de comando irá se tornar um Prompt PowerShell
Install-Script -Name Get-WindowsAutopilotInfo
# Será Instalado o script que coleta e gera o arquivo com o Hash de Hardware
Get-WindowsAutopilotInfo.ps1 –OutputFile C:\Dispositivo.csv
# Para gerar o arquivo com o Hash de Hardware no C:
# Para gerar o arquivo direto em um Pendrive, apontar a letra que o Pendrive foi mapeado.
Se o erro abaixo ocorrer durante o comando que gera o arquivo de Hash de Hardware, executar o comando:
Set-ExecutionPolicy Bypass
E tentar gerar o arquivo novamente.
Após gerar o arquivo, pressionar tecla Windows + E, para abrir o Explorer, e em C: copiar o arquivo gerado para outro dispositivo ou Pendrive.
Importando os dispositivos Autopilot
Em Windows registro, acessar Dispositivos.
Em Dispositivos do Windows Autopilot clicar em Importar.
Em Adicionar dispositivos Autopilot, carregar a planilha com os Hash de Hardware dos dispositivos e clicar em Importar.
Aguardar o tempo de importação para os dispositivos aparecerem.
Restaurar Windows de volta para experiência fora da caixa (OOBE)
Se foi necessário configurar o Windows para capturar o Hash de Hardware, esses são os passos necessários para voltar o Windows para experiência fora da caixa.
Acessar as configurações do Windows, Windows Update, Opções avançadas.
Em Opções avançadas acessar Recuperação.
Em Recuperação acessar Restaurar o computador.
Em Restaurar o PC selecionar a opção Remover tudo.
Avançar as configurações adicionais.
Clicar em Restaurar para iniciar o processo.
Com todas essas configurações realizadas, já é possível implanta um dispositivo híbrido dentro da mesma rede do Active Directory.
Mas nesta série de artigos vamos realizar a implantação de um dispositivo híbrido fora da rede da organização. Então no próximo artigo iremos configurar a VPN, instalar o cliente, e executar o teste de implantação remoto do Autopiot.
