Nowy laptop może trafić prosto do pracownika bez wizyty w dziale IT, ręcznego instalowania systemu i odtwarzania firmowego obrazu. Windows Autopilot automatyzuje właśnie ten proces, łącząc Windows, Microsoft Entra ID, Intune oraz instalowanie aplikacji desktopowych. Wyjaśniam, jak działa takie wdrożenie, czego wymaga, które scenariusze mają sens i gdzie kończą się obietnice „zero-touch”.
Najważniejsze informacje o automatycznym wdrażaniu komputerów z Windows
- Zero-touch oznacza ograniczenie pracy IT, a nie zawsze całkowity brak udziału użytkownika.
- Podstawą są Microsoft Intune, Microsoft Entra ID, automatyczna rejestracja i odpowiednia licencja.
- Najbezpieczniejsza rejestracja urządzeń odbywa się przez producenta lub partnera Microsoft.
- Aplikacje Win32, Microsoft Store i Microsoft 365 można instalować podczas konfiguracji urządzenia.
- Dla nowych wdrożeń w 2026 roku wybierałbym przede wszystkim Windows 11 i Microsoft Entra join.
Jak działa automatyczne wdrażanie Windows
Mechanizm nie tworzy klasycznego obrazu systemu dla każdego modelu komputera. Urządzenie przyjeżdża z fabrycznym, zoptymalizowanym obrazem Windows, a po uruchomieniu pobiera z chmury informacje o organizacji, użytkowniku, politykach i aplikacjach. Dzięki temu dział IT utrzymuje konfigurację w Intune, zamiast przygotowywać i aktualizować obrazy instalacyjne.
Typowy przebieg wygląda prosto. Pracownik rozpakowuje komputer, wybiera region i klawiaturę, łączy się z internetem, a potem loguje kontem firmowym. Reszta, czyli dołączenie do Microsoft Entra ID, rejestracja w Intune, polityki bezpieczeństwa oraz instalacja programów, wykonuje się automatycznie.
To nadal nie jest magia ani całkowicie autonomiczne wdrożenie. W trybie użytkownika potrzebne są internet i logowanie pracownika, a czas konfiguracji zależy od szybkości łącza, liczby aplikacji oraz jakości pakietów instalacyjnych. Najbliżej prawdziwego zero-touch jest tryb samodzielnego wdrażania dla kiosków, ekranów informacyjnych i urządzeń współdzielonych.
Co dzieje się z urządzeniem po uruchomieniu
Serwis rozpoznaje komputer na podstawie jego unikatowej identyfikacji sprzętowej, zwykle nazywanej hardware hash. Zawiera ona między innymi dane producenta, model, numer seryjny i informacje pozwalające powiązać urządzenie z właściwym tenantem Microsoft.
Po identyfikacji pobierany jest profil wdrożeniowy. To on określa między innymi, czy komputer ma dołączyć do Microsoft Entra ID, czy użytkownik może ominąć część ekranów OOBE oraz które ustawienia i aplikacje muszą zostać zastosowane przed udostępnieniem pulpitu.
Co trzeba przygotować przed wdrożeniem
Najczęstszy błąd polega na rozpoczęciu od tworzenia profilu, zanim uporządkuje się fundamenty. Ja zaczynam od sprawdzenia tożsamości, licencji, sieci i rejestracji urządzeń, bo problem w którymkolwiek z tych obszarów potrafi zatrzymać konfigurację na samym początku.
Licencje i usługi
Potrzebny jest Microsoft Intune oraz funkcje Microsoft Entra ID wymagane do automatycznej rejestracji MDM. W praktyce odpowiednie możliwości znajdują się między innymi w planach Microsoft 365 Business Premium, Microsoft 365 E3 i E5, EMS E3 i E5, wybranych planach edukacyjnych oraz w połączeniu Intune z Microsoft Entra ID P1 lub P2.
Licencję Intune trzeba przypisać użytkownikowi albo urządzeniu zgodnie ze scenariuszem. Dla urządzeń bez przypisanego użytkownika, takich jak kiosk, terminal lub ekran informacyjny, można wykorzystać licencję urządzeniową, ale nie daje ona wszystkich funkcji opartych na użytkowniku, na przykład części mechanizmów Conditional Access.
Rejestracja komputera
Najlepiej poprosić producenta, dystrybutora lub partnera CSP o rejestrację urządzeń jeszcze przed dostawą. W takim modelu organizacja nie musi uruchamiać każdego laptopa i ręcznie zbierać identyfikatora sprzętowego. Partner potrzebuje zgody organizacji, a w procesie autoryzacji wykorzystywane są uprawnienia administratora globalnego, dlatego warto ograniczyć je czasowo i kontrolować, komu są przyznawane.
Ręczne zebranie hardware hash przez PowerShell ma sens głównie przy testach, sprzęcie już posiadanym albo scenariuszu awaryjnym. Dla większej partii komputerów jest to pracochłonne i zwiększa ryzyko pomyłki w pliku CSV. Sama rejestracja urządzenia nie oznacza jeszcze jego pełnego wdrożenia, ponieważ później trzeba przypisać profil, grupę oraz polityki.
Sieć i ustawienia Entra
Komputer musi mieć dostęp do usług Microsoft podczas OOBE. W typowej konfiguracji trzeba zapewnić rozwiązywanie nazw DNS oraz ruch co najmniej przez TCP 80 i 443 oraz UDP 123. Problematyczne bywają sieci z captive portalem, uwierzytelnianiem przed dostępem do internetu, filtrowaniem adresów Microsoft i restrykcyjnym proxy.
Warto też skonfigurować automatyczną rejestrację urządzeń w Intune, zasady dołączania do Microsoft Entra ID oraz odpowiednie grupy dynamiczne. Nowe wdrożenia projektowałbym jako cloud-native z Microsoft Entra join. Hybrydowe dołączanie do lokalnego Active Directory nadal istnieje, ale wymaga domeny, łączności z kontrolerem i często VPN, więc komplikuje scenariusz pracy zdalnej.
Który scenariusz wdrożenia wybrać
Nie ma jednego profilu dobrego dla każdego komputera. Wybór zależy od tego, czy urządzenie ma jednego użytkownika, czy będzie współdzielone, czy ktoś z IT przygotuje je wcześniej oraz czy organizacja chce zachować zależność od lokalnej domeny.
| Scenariusz | Najlepsze zastosowanie | Najważniejsze ograniczenie |
|---|---|---|
| Tryb użytkownika | Laptop dla konkretnego pracownika | Użytkownik musi uruchomić komputer, połączyć go z siecią i zalogować się |
| Wstępne przygotowanie | Komputery przygotowywane przez IT, producenta lub partnera | Wymaga fizycznego przejęcia urządzenia przed wysyłką |
| Tryb samodzielnego wdrażania | Kioski, urządzenia współdzielone, digital signage | Wymaga zgodnego sprzętu z TPM 2.0 i nie pasuje do typowego laptopa użytkownika |
| Reset Autopilot | Przekazanie komputera innemu pracownikowi | Nie zastępuje pełnego procesu dla wszystkich scenariuszy, szczególnie przy urządzeniach hybrydowych |
| Istniejące urządzenia | Przygotowanie używanych komputerów do nowego wdrożenia | Może wymagać ponownej instalacji systemu i użycia Configuration Manager |
Do zwykłych laptopów firmowych najczęściej wybieram tryb użytkownika z Microsoft Entra join. Wstępne przygotowanie ma sens, gdy aplikacji jest dużo albo komputer ma być gotowy jeszcze przed dostawą. Tryb samodzielnego wdrażania traktowałbym jako narzędzie do urządzeń bez osobistej tożsamości, a nie jako uniwersalny zamiennik konfiguracji laptopów.
Reset jest przydatny przy zmianie pracownika. Usuwa dane, aplikacje i ustawienia użytkownika, ale zachowuje połączenie urządzenia z Microsoft Entra ID i Intune, dzięki czemu kolejna osoba może szybko otrzymać komputer w stanie firmowym.
Jak przeprowadzić wdrożenie krok po kroku
Najbardziej przewidywalny proces zaczyna się od małego pilotażu. Zamiast importować od razu kilkaset komputerów, przygotowałbym 5-10 urządzeń testowych reprezentujących różne modele, lokalizacje i profile pracowników.
- Sprawdź licencje i automatyczną rejestrację. Upewnij się, że użytkownicy mają odpowiednie uprawnienia i przypisane subskrypcje.
- Zarejestruj urządzenia. Preferowana jest rejestracja przez OEM lub partnera. Import hardware hash zostaw dla testów i istniejącego sprzętu.
- Utwórz grupy urządzeń. Group tag może rozdzielać na przykład laptopy handlowców, programistów i urządzenia wspólne.
- Skonfiguruj profil wdrożeniowy. Określ typ dołączenia, widoczność ekranów OOBE, język, nazwę urządzenia oraz zachowanie podczas konfiguracji.
- Dodaj politykę Enrollment Status Page. Wskaż, które aplikacje i ustawienia muszą zakończyć instalację przed pokazaniem pulpitu.
- Przygotuj aplikacje i polityki. Najpierw wdrażaj zabezpieczenia, sterowniki i podstawowe narzędzia, a dopiero potem programy opcjonalne.
- Przetestuj cały cykl. Sprawdź pierwsze uruchomienie, restart, logowanie, aktualizacje, zmianę użytkownika i reset urządzenia.
- Rozszerz wdrożenie etapami. Po pilotażu zwiększaj grupy, obserwując raporty, błędy instalacji i czas osiągnięcia gotowości.
Nie polecam przypisywania jednego profilu do wszystkich komputerów tylko dlatego, że jest to prostsze administracyjnie. Różnice między działami często dotyczą aplikacji, certyfikatów, VPN i poziomu dostępu, a dobrze zaprojektowane grupy ograniczają późniejsze wyjątki.
Jak wdrażać aplikacje desktopowe bez blokowania użytkownika
Autopilot nie zastępuje systemu pakowania aplikacji. To Intune dostarcza programy na urządzenie, dlatego jakość instalatorów ma bezpośredni wpływ na czas wdrożenia. Najczęściej wykorzystuje się aplikacje Win32, Microsoft Store oraz pakiety Microsoft 365.
Win32 dla aplikacji firmowych
Aplikację Win32 warto opakować tak, aby instalowała się bez interfejsu użytkownika, zwracała poprawny kod zakończenia i miała wiarygodną regułę wykrywania. Reguła może sprawdzać wersję pliku, klucz rejestru albo obecność konkretnego produktu. Bez tego Intune może uznać instalację za nieudaną albo próbować ją powtarzać.
Przy aplikacjach biznesowych definiuję także zależności, wymagania i kolejność instalacji. Przykładowo klient VPN powinien pojawić się przed aplikacją, która wymaga dostępu do zasobów wewnętrznych. Programy, które nie są konieczne do rozpoczęcia pracy, lepiej wdrażać po zakończeniu OOBE, aby nie wydłużać pierwszego uruchomienia.
Przeczytaj również: winget upgrade --all - jak bezpiecznie aktualizować aplikacje
Microsoft Store i Microsoft 365
Aplikacje dostępne w Microsoft Store są wygodne w utrzymaniu, bo aktualizacje mogą być zarządzane centralnie. Nie każdy program desktopowy ma jednak odpowiedni pakiet Store, dlatego w praktyce środowisko mieszane jest normalne. Microsoft 365 można wdrażać osobnym pakietem z wybranymi aplikacjami, kanałem aktualizacji i ustawieniami zgodnymi z polityką organizacji.
Największą pułapką jest umieszczenie zbyt wielu aplikacji jako wymaganych podczas ESP. Pracownik widzi wtedy długie oczekiwanie, a jeden wadliwy instalator może zablokować cały komputer. Ja rozdzielam aplikacje na krytyczne do pracy, standardowe i opcjonalne, a wymagane instalacje ograniczam do rzeczy naprawdę potrzebnych pierwszego dnia.
Klasyczny Autopilot czy device preparation w 2026 roku
W 2026 roku trzeba odróżniać klasyczny mechanizm od Windows Autopilot device preparation. Oba korzystają z chmurowego modelu wdrażania, ale mają inne założenia. Device preparation upraszcza konfigurację i nie wymaga wcześniejszej rejestracji urządzenia w klasycznej bazie Autopilot, natomiast początkowo oferuje mniej scenariuszy i możliwości personalizacji.
| Obszar | Klasyczny Autopilot | Device preparation |
|---|---|---|
| System | Obsługiwane wersje Windows 11, a dokumentacja obejmuje także wspierane scenariusze Windows 10 | Windows 11, zasadniczo wersja 22H2 lub nowsza zgodnie z wymaganiami |
| Rejestracja sprzętu | Wymagana rejestracja urządzenia | Brak klasycznej rejestracji, możliwe powiązanie urządzenia z tenantem |
| Scenariusze | Użytkownik, pre-provisioning, self-deploying, istniejące urządzenia i reset | Głównie wdrożenie użytkownika oraz tryb automatyczny |
| Aplikacje i skrypty | Więcej możliwości konfiguracji i większa liczba aplikacji | Do 25 aplikacji kluczowych i do 10 skryptów PowerShell w początkowym modelu |
| Monitorowanie | Bogate opcje, ale raporty nie zawsze są dostępne w czasie rzeczywistym | Prostsze wdrożenie i bardziej aktualne informacje diagnostyczne |
Device preparation wybrałbym dla nowego, prostego środowiska Windows 11, w którym liczy się szybkie uruchomienie bez pre-stagingu. Klasyczny wariant pozostaje lepszy, gdy potrzebuję pre-provisioningu, resetu, trybu kiosku, obsługi istniejących urządzeń albo rozbudowanej personalizacji OOBE.
Windows 10 zakończył standardowe wsparcie 14 października 2025 roku. Nawet jeśli część dokumentacji nadal opisuje jego obsługę w określonych scenariuszach, dla nowych komputerów w 2026 roku planowałbym Windows 11 i sprawdził zgodność sprzętu, TPM 2.0 oraz aplikacji.
Gdzie wdrożenia najczęściej się wykładają
Najczęściej problemem nie jest sama usługa, lecz niespójny proces przygotowania. Profil przypisany do złej grupy, brak licencji, niepoprawna reguła wykrywania aplikacji albo filtr sieciowy potrafią wyglądać dla użytkownika jak „zawieszony Windows”.
- Brak internetu podczas OOBE powoduje problemy z pobraniem profilu i logowaniem.
- Captive portal i proxy mogą blokować usługi Microsoft, nawet gdy zwykła przeglądarka działa.
- Niepoprawny hardware hash sprawia, że urządzenie nie zostaje rozpoznane jako firmowe.
- Zbyt ciężki ESP wydłuża wdrożenie i zwiększa ryzyko zatrzymania na jednej aplikacji.
- Stare instalatory Win32 bez trybu silent i reguł wykrywania są trudne do automatyzacji.
- Hybrydowe dołączanie wymaga dodatkowej infrastruktury, VPN lub dostępu do kontrolera domeny.
- Brak testu resetu może ujawnić problemy dopiero przy przekazywaniu sprzętu innej osobie.
Dobrym testem jest odtworzenie rzeczywistej sytuacji pracownika zdalnego. Komputer powinien zostać uruchomiony poza biurem, przez zwykłe domowe Wi-Fi, bez ręcznej pomocy administratora. Jeżeli wtedy instalacja kończy się poprawnie, masz znacznie większą pewność, że proces jest naprawdę odporny, a nie tylko poprawny w laboratoryjnej sieci.
Jak podejść do wdrożenia, żeby nie stworzyć sobie nowego problemu
Największą wartość daje nie samo automatyczne rozpakowanie komputera, lecz powtarzalny standard zarządzania urządzeniami. Dobrze zaprojektowane grupy, małe profile, poprawnie pakowane aplikacje i sensownie ustawiony ESP skracają pracę IT także po pierwszym wdrożeniu.
Moja praktyczna rekomendacja jest prosta: zacznij od kilku modeli komputerów, wybierz Microsoft Entra join, zautomatyzuj rejestrację przez dostawcę i ogranicz liczbę aplikacji wymaganych przed pokazaniem pulpitu. Dopiero po przejściu pełnego cyklu, łącznie z resetem i zmianą użytkownika, zwiększaj skalę.
Autopilot nie eliminuje potrzeby projektowania środowiska, ale przenosi ciężar pracy z ręcznej konfiguracji na dobrze opisane zasady. To właśnie ta zmiana sprawia, że nowe komputery mogą być dostarczane szybciej, bezpieczniej i z dużo mniejszą liczbą niespodzianek.
