このチュートリアルでは、Intune を使用して、ユーザー主導の Microsoft Entra 参加シナリオで Windows Autopilot デバイスの準備を展開する方法について説明します。
このチュートリアルでは、Windows Autopilot デバイスの準備、ユーザー駆動型 Microsoft Entra 参加の展開を成功させるために必要なすべての構成手順について説明します。 チュートリアルはラボまたはテスト環境に適していますが、運用環境でも使用できます。
開始する前に、「Microsoft Entra デバイスの展開を計画する」を参照して、デバイスを Microsoft Entra ID に参加させるためのすべての要件が満たされていることを確認します。
Windows Autopilot デバイスの準備 ユーザー駆動型 Microsoft Entra 参加の概要
Windows Autopilot デバイスの準備 ユーザー駆動型 Microsoft Entra 参加は、IT 介入を必要とせずに、新しいデバイスでの Windows の構成を自動化するソリューションです。 通常、デバイスは OEM または販売代理店からエンド ユーザーに直接配送されます。 Windows Autopilot デバイスの準備 ユーザー主導の展開では、OEM によって工場でインストールされた既存の Windows インストールを使用します。 エンド ユーザーは、展開プロセス中に次のような最小限のアクションを実行するだけで済みます。
- デバイスの電源を入れています。
- 特定のシナリオでは、言語、ロケール、キーボード レイアウトを選択します。
- デバイスが有線ネットワークに接続されていない場合は、ワイヤレス ネットワークに接続しています。
- エンドユーザーの Microsoft Entra 資格情報を使用して Microsoft Entra ID にサインインします。
Windows Autopilot デバイスの準備 ユーザー主導の展開では、展開中に次のタスクを実行できます:
- デバイスを Microsoft Entra ID に参加させます。
- デバイスを Intune に登録します。
- 最大25個の必須アプリケーションをインストールします。
- 最大 10 個の重要な PowerShell スクリプトを実行します。
Windows Autopilot デバイスの準備によるユーザー主導の展開が完了すると、エンド ユーザーがデバイスを使用できるようになり、すぐにデスクトップに送信されます。
Windows Autopilot デバイスの準備 ユーザー駆動型 Microsoft Entra 参加プロセス
Out-of-Box Experience (OOBE) の間に、ユーザーは会社の資格情報を使用して認証します。 ユーザーのサインインに Windows Autopilot デバイス準備ポリシーが割り当てられている場合は、そのポリシーがデバイスに配信されます。 次に、ポリシーで構成された設定に基づいて、デバイスに適用する必要がある構成が決定されます。 その後、デバイスのセットアップは次の順序で続行されます。
デバイスは Microsoft Entra ID に参加し、Intune に登録します。
Intune 管理拡張機能がインストールされます。
最初の手順でデバイスを Microsoft Entra ID に参加させると、そのユーザーはデバイスのローカル管理者グループに自動的に追加されます。 ユーザー アカウントが標準ユーザーとして構成されている場合、 Administrators グループからユーザーを削除することで設定が適用されます。
展開は、Intune などのモバイル デバイス管理 (MDM) サービスと同期され、基幹業務 (LOB) および Microsoft 365 アプリケーションが Windows Autopilot デバイス準備ポリシーで選択されているかどうかを確認します。 現時点ではすべての MDM ポリシーも同期されますが、ポリシーの適用は展開中に追跡されません。
ポリシーで選択されている LOB アプリケーションと Microsoft 365 アプリケーションがある場合は、インストールされます。 LOB または Microsoft 365 アプリケーションのインストールに失敗した場合、この時点でデプロイは失敗します。
展開では、Windows Autopilot のデバイス準備ポリシーで PowerShell スクリプトが選択されているかどうかを確認します。 ポリシーで選択されている PowerShell スクリプトがある場合は、それらのスクリプトが実行されます。 PowerShell スクリプトが失敗した場合、この時点でデプロイは失敗します。
展開では、Win32、Microsoft Store、またはエンタープライズ アプリ カタログ アプリケーションが Windows Autopilot のデバイス準備ポリシーで選択されているかどうかを確認します。 ポリシーで選択された Win32、Microsoft Store、またはエンタープライズ アプリ カタログ アプリケーションがある場合は、それらはインストールされます。 Win32、Microsoft Store、またはエンタープライズ アプリ カタログ アプリケーションのインストールに失敗した場合、この時点で展開は失敗します。
すべての手順が成功すると、ユーザーに [必要なセットアップの完了 ] ページが表示されます。
[ Required setup complete ] ページが閉じると、ユーザーは自動的にサインインし、デスクトップが表示されます。
この時点で、別の同期がトリガーされ、他のすべての構成がデバイスに配信されます。 その他の構成には、次のものが含まれる場合があります。
- Windows Autopilot のデバイス準備ポリシーで指定されたデバイス グループに割り当てられたが、ポリシーで明示的に選択されていないアプリケーションと PowerShell スクリプト。
- 追加の MDM ポリシー。
- ユーザー ベースの構成。
ワークフロー
手順 1 から 6 では、環境と Windows Autopilot のデバイス準備ポリシーを構成します。 これらは、すべての展開に必要です。
手順 7 (省略可能): 信頼されたデバイスのみがオンボードされていることを確認する
Intune 登録制限を使用して個人用デバイスの登録をブロックする場合は、展開前に各デバイスの企業識別子またはデバイス アソシエーションのいずれかを構成する必要があります。 両方必要ありません。 デバイスが関連付けられている場合は、そのデバイスについて企業識別子をアップロードする必要はありません。 個人用デバイスが環境でブロックされていない場合は、この手順をスキップしてデバイスを展開できます。
次のいずれかのオプションを選択します。
- 手順 7、オプション 1: Windows 企業識別子をデバイスに追加する
- 手順 7、オプション 2: デバイスを関連付ける
デバイスの関連付けを使用すると、関連付けられているデバイスのみが使用できる追加のデバイス準備ポリシー設定 (OOBE のカスタマイズやデバイスの名前付けなど) のロックを解除することもできます。