Windows Autopilot device preparation: laptops uitrollen

Een nieuwe medewerker begint maandag. De laptop komt vrijdag binnen bij kantoor, iemand haalt hem uit de doos, klikt door de Windows-installatie, logt in, installeert Teams, Office, de VPN-client en het brancheprogramma, koppelt de printer en zet de instellingen goed. Twee uur werk, soms drie. En bij de volgende laptop begint dat opnieuw, want niemand heeft precies opgeschreven wat er ook alweer op moest.

Dat kan anders, en het kan al een tijd anders. Wat er veranderd is, is de manier waarop Microsoft het inricht. Sinds 2024 bestaat er naast het klassieke Windows Autopilot een tweede variant: Windows Autopilot device preparation, in de wandelgangen Autopilot v2. Voor het MKB is dat goed nieuws, want de grootste drempel van de klassieke aanpak is eruit gehaald.

Wat Windows Autopilot device preparation anders doet

Bij het klassieke Autopilot moest elk apparaat vooraf bekend zijn. Je had de hardware hash nodig, dat lange stukje tekst dat het apparaat identificeert, en die moest je uploaden naar Intune voordat de laptop iets kon. Kocht je bij een leverancier die dat automatisch aanleverde, dan ging dat prima. Kocht je een laptop bij een willekeurige winkel, dan zat je die hash zelf te exporteren met PowerShell voordat je iets kon uitrollen. Voor bedrijven die twee of drie laptops per jaar kopen was dat vaak de reden om het maar handmatig te blijven doen.

Device preparation heeft die stap niet. Je maakt in Intune een device preparation policy, wijst die toe aan een gebruikersgroep en koppelt er een apparaatgroep aan. Zodra een nieuwe gebruiker tijdens de eerste opstart van Windows inlogt met zijn werkaccount, wordt het apparaat automatisch in die apparaatgroep gezet en krijgt het de apps en instellingen die aan die groep hangen. Geen hash, geen voorbereiding per apparaat.

De rest van de verschillen op een rij:

Die limiet van tien apps klinkt streng, maar is bewust gekozen. Microsoft heeft gekeken naar wat er in de praktijk gebeurt en zag dat negentig procent van de uitrollen met tien apps of minder toekan. De apps die je tijdens de eerste opstart meestuurt zijn de apps die iemand nodig heeft om te kunnen beginnen. De rest installeer je daarna, als de gebruiker al aan het werk is. Dat is ook prettiger, want elke app die je in de uitrol propt maakt de wachttijd langer en de kans op een mislukte uitrol groter.

Wat je nodig hebt voordat je begint

Vier dingen.

Windows 11 versie 22H2 of 23H2, met update KB5035942 of nieuwer. Windows 10 werkt niet met device preparation. Nieuwe zakelijke laptops komen tegenwoordig met Windows 11, dus in de praktijk is dit zelden een blokkade.

Intune en Entra ID. Zit je op Microsoft 365 Business Premium, dan heb je beide al: die licentie bevat Intune Plan 1 en Entra ID P1. Zit je op Business Standard, dan moet je Intune erbij nemen.

Een apparaatgroep van het type toegewezen, dus geen dynamische groep, met Intune Provisioning Client als eigenaar. Dit is de stap waar het het vaakst misgaat. Maak je een dynamische groep, dan kan Intune er tijdens de uitrol geen apparaten in zetten en loopt de hele uitrol vast op een foutmelding die niet vertelt wat er aan de hand is.

Apps en scripts die op apparaatniveau zijn toegewezen en in systeemcontext draaien. Tijdens de eerste opstart is er nog geen gebruikersprofiel om iets in te installeren. Alles wat je aan de gebruiker in plaats van aan het apparaat toewijst, gebeurt gewoon niet.

De volgorde die werkt

1. Maak de apparaatgroep aan en zet Intune Provisioning Client als eigenaar.
2. Zet je apps klaar in Intune, toegewezen aan die apparaatgroep, in systeemcontext.
3. Maak de device preparation policy onder Apparaten, Inschrijving, Windows, en wijs hem toe aan de gebruikersgroep die nieuwe laptops krijgt.
4. Test met één laptop en één testgebruiker. Reset het apparaat naar fabrieksinstellingen en loop de hele opstart door alsof je de nieuwe medewerker bent.
5. Kijk daarna in Intune bij de rapportage wat er is gelukt en wat niet, en pas aan.

Die testronde overslaan is de klassieke fout. Je merkt pas hoe je uitrol eruitziet als je hem zelf een keer hebt doorlopen, inclusief de acht minuten waarin er niets lijkt te gebeuren.

Wat er in de praktijk misgaat

Drie dingen zien we het vaakst.

De verkeerde groepssoort, zoals hierboven. Een dynamische groep lijkt logischer en werkt niet.

Te veel in de uitrol proppen. Iemand wil de VPN-client, de boekhoudsoftware, het CAD-pakket en drie brancheprogramma's er allemaal in. Dan duurt de eerste opstart drie kwartier en gaat er ergens iets stuk. Zet er de basis in en laat de rest daarna binnenlopen.

Geen hybride scenario meer kunnen draaien. Heb je nog een lokale Active Directory waar apparaten in moeten, dan kan device preparation dat niet. Dan blijf je bij klassiek Autopilot of je pakt de bredere vraag aan of die lokale AD nog nodig is. Vaak is dat laatste een gesprek dat toch al gevoerd moest worden, bijvoorbeeld rond de vervanging van een server.

Beide varianten blijven trouwens naast elkaar bestaan. Microsoft blijft ook aan het klassieke Autopilot doorontwikkelen, dus je hoeft niet te migreren omdat er een deadline aankomt. Kies gewoon wat past bij je situatie.

Is dit de moeite voor tien laptops?

Bij het inrichten kost dit een halve tot een hele dag, afhankelijk van hoeveel apps er in moeten en hoe netjes je Intune er nu bij staat. Daarna kost een nieuwe laptop je het uitpakken en het aanzetten. De echte winst zit niet eens in de uren, maar in het feit dat laptop nummer vier hetzelfde is als laptop nummer één. Geen apparaat meer waar toevallig iets anders op staat, geen vergeten instelling, en bij verlies of diefstal een apparaat dat je op afstand kunt wissen omdat het gewoon in beheer is.

Voor bedrijven die één laptop per jaar vervangen is het overdreven. Vervang je er vijf of meer per jaar, of heb je te maken met verloop, dan verdient het zich terug in het eerste jaar.

Wil je weten of je Intune-omgeving hier klaar voor is, kijk bij hardware en MDM of neem contact op voor een korte check. Bellen mag ook: 010 89 008 89.