Windows Autopilot explicado: clássico vs device preparation

Um notebook novo custa dinheiro; deixar ele pronto custa tempo. Do jeito antigo: a caixa chega na TI, alguém desembala, apaga tudo, instala uma imagem da empresa, coloca drivers, apps e configurações, embala de novo e envia. Um notebook leva algumas horas; cem levam semanas.

O Windows Autopilot inverte isso. O notebook vai do fornecedor direto para o usuário, ainda lacrado. Ele liga, conecta no Wi-Fi, entra com a conta de trabalho e a nuvem faz o resto. Sem imagem e sem a TI no meio. Vamos ver o que acontece por trás daquela tela de login.

As peças

O Autopilot não é um produto só. São alguns serviços da Microsoft, cada um com uma função:

• Windows. O Autopilot mantém o Windows que veio no dispositivo e transforma ele em um PC da empresa durante a configuração inicial (OOBE).
• Microsoft Entra ID é a identidade. Quando o usuário entra, o dispositivo ingressa no seu tenant (o que é ingressar).
• Microsoft Intune é o gerenciamento. Logo depois do ingresso, o dispositivo é registrado e o Intune envia apps, configurações e políticas de segurança.
• O serviço Autopilot amarra tudo: durante a configuração, ele diz ao dispositivo que ele é seu e como deve ser configurado.

Antes de tudo funcionar:

1. Os usuários precisam de licenças que incluam o Microsoft Entra ID P1 e pelo menos o Intune Plan 1. Confira os requisitos atuais no Microsoft Learn.
2. O registro automático precisa estar ligado no Intune, para que um dispositivo que ingressa no Entra também seja registrado. É um dos cinco jeitos de registrar o Windows.
3. O usuário que entra precisa ter permissão para ingressar dispositivos no Entra ID.

Hoje existem duas versões: o Windows Autopilot clássico e o Windows Autopilot device preparation.

Duas versões, lado a lado

	Autopilot clássico	Autopilot device preparation
Cadastro	Todo dispositivo cadastrado antes (hash de hardware)	Nenhum
Objetos de configuração	Perfil de implantação + Enrollment Status Page	Uma política atribuída a usuários, mais um grupo de dispositivos
Windows	Windows 10 e 11	Só Windows 11
Tipo de ingresso	Entra join ou ingresso híbrido	Só Entra join
Modos	Orientado pelo usuário, autoimplantação, pré-provisionamento, dispositivos existentes	Orientado pelo usuário, mais modo automático para Windows 365

Dá para usar os dois no mesmo tenant, mas cada dispositivo roda só um. Se o dispositivo está cadastrado no clássico, o perfil clássico vence, exceto em dispositivos associados (veja abaixo).

Autopilot clássico, passo a passo

1. Cadastro. O hash de hardware é uma impressão digital montada a partir do fabricante, do modelo e dos números de série. O fornecedor ou revendedor pode enviar na hora da compra, ou a TI pode capturar e enviar como arquivo.
2. O perfil. Você atribui um perfil de implantação a um grupo de dispositivos, muitas vezes um grupo dinâmico baseado em uma tag de grupo (group tag). O dispositivo precisa estar nesse grupo para receber o perfil.
3. Primeira inicialização. O dispositivo fica online e pergunta ao serviço Autopilot a quem pertence. A configuração pula as telas desnecessárias e mostra o login da sua empresa.
4. A Enrollment Status Page. Depois do login, ela acompanha três fases: preparação do dispositivo, configuração do dispositivo e configuração da conta. O usuário espera até os apps e políticas marcados como obrigatórios serem instalados. Aí vem a área de trabalho.

O clássico tem ainda três modos:

• Autoimplantação (self-deploying) para quiosques e dispositivos compartilhados, sem login de usuário na configuração.
• Pré-provisionamento (pre-provisioning): um técnico ou parceiro aperta a tecla Windows cinco vezes, instala os apps do dispositivo antes e lacra a caixa de novo, para a parte do usuário ser mais curta.
• Dispositivos existentes: o Configuration Manager reinstala o Windows em PCs que você já tem e passa eles pelo Autopilot.

Device preparation, passo a passo

1. Dois grupos. Um grupo de dispositivos cujo proprietário é um serviço da Microsoft chamado Intune Provisioning Client, e um grupo de usuários com as pessoas que vão configurar os próprios PCs.
2. Uma política, atribuída ao grupo de usuários. Ela indica o grupo de dispositivos e os apps e scripts que precisam ser instalados na configuração: até 25 apps e 10 scripts.
3. O usuário entra. Sem cadastro, o dispositivo ainda não conhece sua empresa. O Intune acha a política pelo usuário, o dispositivo ingressa no Entra, é registrado no Intune e cai no grupo de dispositivos na hora (enrollment time grouping). Sem esperar grupo dinâmico.
4. Configuração. Não tem Enrollment Status Page: o usuário vê uma tela com uma porcentagem enquanto os apps e scripts escolhidos são instalados. Se um falhar, a configuração falha, a não ser que você permita continuar.

Depois vem a área de trabalho, e os outros apps e políticas chegam em segundo plano.

Confiando no dispositivo

Muitas empresas bloqueiam o registro de dispositivos Windows pessoais. Sem cadastro, como o Intune sabe que um notebook novo é corporativo?

• Identificadores corporativos. Envie o fabricante, modelo e número de série dos dispositivos comprados, e o Intune trata eles como corporativos no registro. Só é preciso se você bloqueia os pessoais.
• Associação de dispositivos (novidade). Liga um dispositivo físico ao seu tenant antes de alguém entrar, com uma marca no firmware que o TPM consegue comprovar. Um dispositivo associado é marcado como corporativo automaticamente e libera extras como modelo de nome e telas de configuração personalizadas. Precisa de uma atualização recente do Windows 11 e hardware real com TPM 2.0; máquinas virtuais não são suportadas.

Depois da primeira inicialização

• Windows 365: o modo automático do device preparation é escolhido na política de provisionamento do Cloud PC, então o Cloud PC fica pronto antes de o usuário entrar.
• Relatórios: o device preparation tem um relatório quase em tempo real no Intune, com cada dispositivo, seus apps e scripts, e quanto tempo levou a configuração.
• Autopilot Reset (clássico) apaga arquivos, apps e configurações do usuário mas mantém o dispositivo ingressado e registrado, pronto para a próxima pessoa. Dá para disparar na tela de bloqueio com Ctrl + Windows + R quando uma política permite, ou remotamente pelo Intune.
• Aposentando um dispositivo: apague primeiro do Intune e depois da lista de dispositivos Autopilot. Senão o PC do próximo dono continua achando que é seu.

Resumo

O dispositivo vem lacrado do fornecedor. O usuário entra. O Entra sabe quem ele é, o Intune configura o dispositivo e o Autopilot diz de quem ele é. O clássico cadastra cada dispositivo antes e faz mais; o device preparation não precisa de cadastro e deixa tudo mais simples, no Windows 11.

Qual foi o maior tempo que uma configuração do Autopilot já levou para você? Conta aqui nos comentários.