ℹ️ À savoir · En bref
Autopilot prépare un poste neuf sans image : l'utilisateur l'allume, se connecte avec son compte professionnel, et Intune installe configuration et applications. Le support ne touche plus le poste.
Deux variantes coexistent : Autopilot (classique, très configurable) et Autopilot device preparation (plus simple, sans enregistrement préalable, Windows 11 et Entra join uniquement).
Objectifs de la fiche
- Enregistrer des appareils et les cibler avec un group tag.
- Choisir le mode de déploiement et régler l'ESP.
- Comprendre Autopilot device preparation et quand l'utiliser.
- Dépanner un déploiement bloqué en OOBE.
Autopilot classique : le parcours
enregistrement
# Enregistrer un poste existant ou de test (en administrateur)
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -Online -GroupTag "CORP-STD" # envoie le hash dans Intune
# Ou exporter le hash en CSV pour un import manuel
Get-WindowsAutopilotInfo -OutputFile C:\Temp\hash.csv
règles de groupe
# Groupe dynamique : tous les appareils Autopilot
(device.devicePhysicalIDs -any (_ -startsWith "[ZTDid]"))
# Groupe dynamique : uniquement le group tag CORP-STD
(device.devicePhysicalIds -any (_ -eq "[OrderID]:CORP-STD"))
💡 Astuce
En production, demande l'enregistrement par le constructeur ou le revendeur à la commande : les postes arrivent déjà rattachés au tenant. Le script sert aux postes existants et aux tests.
Les modes de déploiement
| Mode | Pour qui | Particularités |
|---|---|---|
| User-driven | Poste attribué à un utilisateur | Le cas standard : l'utilisateur se connecte en OOBE |
| Pré-provisionnement | Préparer le poste avant livraison | Le technicien (ou le revendeur) lance la phase appareil (5 appuis sur la touche Windows en OOBE), l'utilisateur ne fait que la phase utilisateur |
| Self-deploying | Kiosques, salles de réunion, postes partagés | Aucun utilisateur ; TPM 2.0 avec attestation obligatoire ; Entra join uniquement |
| Appareils existants | Migration depuis ConfigMgr | Fichier JSON de profil déposé par une séquence de tâches |
| Type de jonction | Recommandation |
|---|---|
| Entra joined | Recommandé pour tout nouveau poste ; l'accès aux ressources AD fonctionne via Kerberos et l'authentification hybride |
| Entra hybrid joined | Possible avec le connecteur Intune pour Active Directory, mais plus fragile (ligne de vue sur un DC pendant l'OOBE, connecteur à maintenir) : à éviter pour le neuf |
L’Enrollment Status Page (ESP)
- Affiche la progression et peut bloquer l'utilisation du poste tant que les applications choisies ne sont pas installées.
- Ne bloque que sur les applications indispensables (VPN, sécurité, agent de gestion), pas sur tout le catalogue.
- Règle le délai d'expiration (60 min par défaut) et l'autorisation de réinitialiser ou d'utiliser le poste en cas d'échec.
- Les versions récentes permettent d'installer les mises à jour qualité Windows pendant l'OOBE (avec redémarrage possible).
⚠️ Piège
Mélanger des applications MSI métier (LOB) et Win32 pendant l'ESP provoque des échecs (deux installateurs en parallèle). Package tout en Win32.
Une stratégie qui redémarre le poste ou change le compte pendant l'ESP (BitLocker mal configuré, renommage, scripts) casse le déploiement : la tester à part.
Autopilot device preparation
| Critère | Autopilot | Device preparation |
|---|---|---|
| Enregistrement préalable | Oui (hash) | Non (identifiants d'entreprise possibles) |
| Jonction | Entra ou hybride | Entra uniquement |
| Modes | User-driven, pré-provisionnement, self-deploying, existants | User-driven, automatique (Windows 365) |
| Applications pendant l'OOBE | Jusqu'à 100 (ESP) | Jusqu'à 25 essentielles + 10 scripts |
| Windows | Windows 10 et 11 | Windows 11 (24H2, ou 22H2/23H2 avec la mise à jour requise) |
| Suivi | Rapport de déploiement, peu temps réel | Rapport quasi temps réel |
ℹ️ À savoir
Si un appareil est à la fois enregistré dans Autopilot et visé par device preparation, c'est le profil Autopilot qui s'applique : désenregistre-le pour utiliser device preparation.
Dépanner en OOBE
diagnostic
# En OOBE : Maj + F10 ouvre une invite de commandes
mdmdiagnosticstool.exe -area Autopilot;DeviceEnrollment;DeviceProvisioning;TPM -cab C:\Temp\autopilot.cab
# Profil Autopilot reçu par le poste
type C:\Windows\ServiceState\wmansvc\AutopilotDDSZTDFile.json
# Journal des événements Autopilot
Get-WinEvent -LogName "Microsoft-Windows-ModernDeployment-Diagnostics-Provider/Autopilot" -MaxEvents 30
| Symptôme | Cause probable | Parade |
|---|---|---|
| Pas de page de connexion de l'entreprise | Profil non affecté (groupe dynamique pas encore à jour) ou pas de réseau | Vérifier le groupe et le profil, attendre la mise à jour, redémarrer l'OOBE |
| ESP bloquée sur une application | Application en échec ou en attente d'un redémarrage | Rapport de l'appareil dans Intune, journaux IME, réduire les apps bloquantes |
| Self-deploying en échec | TPM sans attestation ou firmware ancien | Mettre à jour le firmware, vérifier tpmtool getdeviceinformation |
| Jonction hybride en échec | Pas de DC joignable, connecteur absent ou ancien | Ligne de vue DC (VPN pré-ouverture), connecteur à jour, ou passer en Entra joined |
| Nom du poste incohérent | Modèle de nom non pris en charge (hybride) | Modèle %SERIAL% ou %RAND:x% en Entra joined |
🔷 En contexte Citrix
Autopilot vise les postes physiques : jamais sur une image maître MCS ni sur des VDA non persistants (risque de doublons d'appareils).
Pour un poste qui ouvre surtout une session Citrix, garde l'ESP minimale : Workspace app, agent de sécurité, certificats. Le reste vit dans le bureau virtuel.
À retenir
- Enregistrement (hash ou revendeur) → group tag → profil → OOBE → ESP.
- Entra joined pour le neuf ; l'hybride reste fragile.
- ESP : bloquer seulement sur l'essentiel, tout en Win32.
- Device preparation : pas de hash, Windows 11, 25 apps, Entra join uniquement.
- OOBE : Maj + F10, mdmdiagnosticstool, journal ModernDeployment.
Auto-évaluation
Q1. Quelle règle de groupe dynamique cible les appareils avec le group tag « CORP-STD » ?
→ (device.devicePhysicalIds -any (_ -eq "[OrderID]:CORP-STD"))
Q2. Quand choisir le pré-provisionnement ?
→ Quand on veut installer la partie appareil (apps, sécurité) avant la livraison, pour que l'utilisateur n'attende que la partie utilisateur.
Q3. Pourquoi éviter de mélanger MSI métier et Win32 dans l'ESP ?
→ Les deux canaux d'installation peuvent entrer en conflit (installateur Windows occupé) et faire échouer le déploiement.
Q4. Ton appareil devait passer par device preparation mais reçoit le profil Autopilot. Pourquoi ?
→ Il est encore enregistré dans Autopilot avec un profil affecté ; le profil Autopilot a priorité. Le désenregistrer.