Windows Autopilotの事前プロビジョニング用シナリオは、仮想マシン（VM）ではサポートされないことが分かりました。そこで今回は、事前プロビジョニング用シナリオから、もう1つのユーザー駆動シナリオに切り替え、新規デバイスをEntraハイブリッド参加環境に展開してみます。
Windows Autopilot - 既知の問題｜Windows（Microsoft Learn）
“事前プロビジョニングは、VM ではサポートされていません。”
前回まで...
事前プロビジョニング用シナリオのEntraハイブリッド登録による新規デバイスの導入をテストしていましたが、Hyper-V VMでは事前プロビジョニングで行われるTPM構成証明をパスすることができないようなので、ユーザー駆動モードのEntraハイブリッド登録に切り替えます。実は、ユーザー駆動モードと事前プロビジョニング用シナリオの手順はほとんど共通しています。これまでの手順で変更が必要なのは手順7だけです。
Windows Autopilot 事前プロビジョニング用、Entraハイブリッド参加の手順Windows Autopilot ユーザー駆動モード、Entraハイブリッド参加の手順済 vol.221）手順 1: Windows の自動Intune登録を設定する（Microsoft Learnドキュメント） 済 vol.224) ＋手順: Microsoft 365アプリのインストールのカスタマイズとデバイスへの割り当て 手順 10: デバイスをデプロイする（Microsoft Learnドキュメント） |
手順7: ハイブリッド参加 Windows Autopilot プロファイルを作成して割り当てる（再）
Windows Autopilotの展開シナリオが、事前プロビジョニング用かユーザー駆動モードかの違いは、Windows Autopilotプロファイル（デプロイプロファイル）の1項目で決まります。具体的には、Intune管理センター（intune.microsoft.com）の「ホーム｜デバイス｜プラットフォーム別 > Windows｜登録」ページの「Windows Autopilot」にある「デプロイプロファイル」を開き、事前プロビジョング用に作成したデプロイプロファイルのプロパティ」の「Out-of-box Experience（OOBE）」の編集を開いて、「事前プロビジョニングされたデプロイを許可する」を「はい」から「いいえ」に変更してプロファイルを保存します。これだけで、事前プロファイル用シナリオからユーザー駆動モードに切り替わります（画面1）。
画面1 Windows Autopilotプロファイル（デプロイプロファイル）を編集し、「事前プロビジョニングされたデプロイを許可する」を「はい」から「いいえ」に変更して保存する
手順 10: デバイスをデプロイする
事前プロファイル用シナリオからユーザー駆動モードに切り替えたら、もうデバイスの展開の準備はできました。オンプレミスの有線ネットワークに接続されたセットアップ対象のデバイス、今回はHyper-V VMで作成した疑似OEMプレインストールデバイス（Windows 11 Proバージョン25H2のインストールを一般化したVM）の電源をオンにし、「更新プログラムをチェックしています」に続いて、「職場または学校向けに設定しましょう」のMicrosoft Entra IDサインイン画面が表示されるのを待ちます。
| ※無線ネットワーク（Wi-Fi）への接続が必要な場合など、デバイスの電源オン時にインターネット接続ができない場合、「ネットワークに接続しましょう」の画面が表示されるまで、通常のOOBEセットアップの初期プロセス（国または地域はこれでよろしいでしょうか?: はい、これは正しいキーボード レイアウトまたは入力方式ですか?： はい、2つめのキーボード レイアウトを追加しますか?: いいえ）と対話して、ネットワークに接続する必要があります。 |
事前プロビジョニングでは、Microsoft Entra IDサインイン画面で「Win（Windows）」キーを5回押して事前プロビジョニングを開始しましたが、ユーザー駆動モードでは、この画面でEntraハイブリッドID（オンプレミスのActive Directoryと同期されたオンプレミスのアカウント）の資格情報を入力してサインインします。多要素認証（Multi-Factor Authentication《MFA》）が要求されるので、Microsoft Authenticatorアプリなどで認証を完了します（画面2）。サインインすると、ユーザー駆動モードの展開が始まります。なお、手順 9でWindows Autopilotデバイスにユーザーを割り当てている場合は、既定でユーザーIDが入力済みになっています。
画面2 EntraハイブリッドIDの資格情報を入力してサインインし、ユーザー駆動モードの展開を開始する
デバイスの展開がはじまると、登録状態ページ（ESP）が表示され、デバイスの準備（デバイスESP）、デバイスのセットアップ（デバイスESP）、アカウントのセットアップ（ユーザーESP）の順番でセットアップが行われます。登録状態ページ（ESP）の設定で「Windows更新プログラムのインストール: はい」を有効にしている場合（手順 6)は、アカウントのセットアップ（ユーザーESP）が始まる前にWindowsの品質更新プログラムのダウンロードとインストール（再起動を伴います）が行われます（画面3）。前回、事前プロビジョニング用シナリオは失敗しましたが、ユーザー駆動モードの「デバイスの準備」と「デバイスのセットアップ」は事前プロビジョニング（技術者フロー）で行われるはずだった部分、「アカウントのセットアップ」がユーザーフローの部分のエクスペリエンスに相当します。
画面3（1/15） ユーザー駆動モードの開始 次へ >
< 前へ 画面3（15/15） デバイスが利用可能に！
今回は、すべてが完了し、ユーザーがデバイスを利用できるようになるまでに約90分かかりました（デバイスのセットアップ時のMicrosoft 365 Appsをはじめとした複数のWin32アプリのインストールと、アカウントのセットアップ時のストアアプリのインストールを含む）。ちなみに、事前プロビジョニング用シナリオの場合は、アカウントのセットアップ（ユーザーESP）以外は事前プロビジョニング（技術者フロー）のフェーズまでに終わっているため、ユーザーの待ち時間の大幅を期待できます。
セットアップが完了したデバイスには、デバイスに割り当てられたアプリ（Microsoft 365アプリ、Google Chrome、PowerShell 7.x）やユーザーに割り当てられたストアアプリ（Adobe Reader、EmEditor）がインストール済みになっており、Entraハイブリッド参加により、Intuneへのデバイス登録に加えて、オンプレミスのActive Directoryの「Computers」コンテナーにデバイスが登録され、ドメイン参加が完了した状態になります。今回はユーザーにWindows 10/11 Enterprise（E3）ライセンスが割り当てられているため、デバイスのWindows 11のエディションはProからEnterpriseに切り替わりました（画面4、画面5）。なお、Windows AutopilotにWindows 10/11 Enterpriseライセンスは必須ではありません。ライセンスがない場合、プレインストールされたエディションがそのまま使用されることになります。
画面4 デバイスにはデバイスとユーザーに割り当てたアプリがインストール済みになり、Windows 11 ProはWindows 11 Enterpriseに切り替わった（エディションの切り替えはライセンスが割り当てられているため）
画面5 IntuneとオンプレミスのActive Directoryドメインの「Computers」コンテナーの両方にデバイスが登録される
デバイスの展開状況については、現在、プレビュー機能として提供されている「Windows Autopilotデプロイの状態」レポートで確認することもできます。このレポートは「ホーム｜デバイス｜監視」にあるレポートの一覧から「Windows Autopilotデプロイの状態」にあります。レポートでは、デプロイの成功/失敗のステータスの他、適用されたデプロイプロファイルや登録状態ページ（ESP）などを確認できます。なお、失敗の記録は、Intune用Active Directoryコネクターの状態が非アクティブのときのオンプレミス側デバイス登録のエラー（エラーコード80070774）です。事前プロビジョニングの展開シナリオの複数回のエラーは記録されていませんでした。
画面6 Windows Autopilotデプロイの状態レポート（プレビュー）
エラーコード80070774Entraハイブリッド参加用にデバイスの展開を成功させるには、Active Directory用Intuneコネクタがアクティブになっている必要があります。非アクティブ（例、Intune ODJConnector Serviceが停止されていると、非アクティブになります）の状態の場合、Intuneへのデバイスの登録は成功しますが、Active Directoryドメインへのデバイスの作成が失敗し、デバイスの展開はエラーコード80070774で失敗します。エラーコード80070774を回避するには、Active Directory用Intuneコネクタがアクティブ化、Intuneからのデバイスの削除、問題が発生したデバイスのリセットが必要です。 |
Windows Hello for Businessの手動セットアップEntra IDおよびハイブリッドID（Entraと同期されたオンプレミスのADユーザー）では、既定ですべてのユーザーに多要素認証（MFA）が要求されます。原因は不明ですが、今回実施した従来のWindows AutopilotによるEntraハイブリッド参加デバイスの展開では、Windows Autopilotの展開中、ハイブリッドIDによるサインイン後にWindows Hello for Businessのセットアップが開始されることなく、セットアップが終了しました。また、「設定｜アカウント｜サインインオプション」にある「PIN（Windows Hello）」は「このオプションは現在利用できません」と表示され、手動でPINをセットアップすることもできませんでした。この問題は、ローカルまたはグループポリシーで「コンピューターの構成￥管理用テンプレート￥Windows Hello for Business￥Windows Hello for Business の使用: 有効」に設定し、サインイン後、手動でWindows Hello for BusinessのPINをセットアップすることで解消しました。
（Windows Hello for BusinessのPINは、ローカルポリシーによる有効化後に手動でセットアップした） |
Windows Autopilotではできないことを補完する、SetROBO for Kittingのご紹介Windows AutopilotやIntuneを使用すると、デバイスのシステムやセキュリティをポリシーベースで設定し、アプリやスクリプトを配布することができますが、標準機能では対応できない部分がどうしてもあります。例えば、サイレントインストールに対応していない、GUI操作が必須のアプリケーションのインストールや、ユーザーごと、ユーザーの所属やデバイスの場所ごとの細かい個別設定などです。株式会社アープのキッティング自動化ツール「SetROBO for Kitting」を使用すると、Windows Autopilotでデプロイされたデバイスに、追加の個別設定を自動展開することができます。詳しくは、以下の製品コラムで確認してください。 これからのPCキッティング作業を変える最強コンビ、Windows Autopilot × SetROBO for Kitting｜製品コラム |
Windows Autopilot試乗会 (1)｜(2)｜(3)｜(4)｜(5)｜(6)｜(7)｜(8)｜(9)｜(10)
