Autopilot: gruppi dinamici, branding e profilo di distribuzione

Autopilot viene raccontato spesso come il modo per saltare la preparazione dell’immagine. È riduttivo. Quello che fa davvero è permettere a un computer mai toccato da nessuno di decidere, alla prima accensione, a quale organizzazione appartiene e cosa gli è concesso diventare.

Questo capitolo copre le quattro cose da cui dipende quella decisione: il gruppo in cui il dispositivo finisce, cosa vede la persona mentre succede, il profilo che la governa, e la pagina di stato che la trattiene.

Prima si sceglie il modello di join — e si capisce chi lo decide

È il punto più frainteso di Autopilot.

Modello	Oggetto nel DC on-prem?	Quando usarlo
Entra ID join	No	Il modello moderno. Nessuna dipendenza dal domain controller durante l’OOBE
Entra hybrid join	Sì	Solo con dipendenze on-premise vere: applicazioni legacy, GPO non migrabili
Domain join classico	Sì	Il modello vecchio. Niente Intune

Un dispositivo Entra joined può comunque avere l’accesso singolo Kerberos verso le risorse on-premise, tramite Cloud Kerberos Trust. Avere bisogno delle cartelle condivise non è, da solo, un motivo per scegliere l’hybrid join.

Questo capitolo usa Entra ID join.

Il gruppo dinamico

I dispositivi Autopilot devono finire in un gruppo da soli, perché nel momento in cui il profilo va assegnato il dispositivo non ha né utente, né nome, né registrazione.

Intune ed Entra propongono entrambi una regola invitante:

device.deviceOSType -eq "Windows"

Non usarla. Prende tutti i dispositivi Windows del tenant, comprese le macchine registrate a mano e il portatile da cui stai leggendo. Il profilo verrebbe assegnato anche a quelli.

Usa la regola che intercetta i dispositivi Autopilot e basta:

(device.devicePhysicalIds -any (_ -contains "[ZTDId]"))

ZTDId è l’identificativo Zero Touch Deployment, scritto sull’oggetto del dispositivo al momento dell’import dell’hash. Ce l’hanno solo i dispositivi passati da Autopilot.

La personalizzazione aziendale

Durante l’OOBE la persona vede una schermata di accesso Microsoft. Personalizzarla la rende riconoscibile, e conta più di quanto sembri: l’alternativa è chiedere a qualcuno di digitare le credenziali aziendali in una schermata dove l’azienda non compare.

Entra → Personalizzazione aziendale → Personalizza. Carica logo e sfondo, imposta i colori, scrivi un messaggio di benvenuto.

Il profilo di distribuzione

Intune → Dispositivi → Registrazione Windows → Profili di distribuzione → Crea profilo → PC Windows.

Impostazione	Valore	Perché
Modalità di distribuzione	Guidata dall’utente	Chi accede diventa l’utente principale del dispositivo
Aggiungi a Entra ID come	Aggiunto a Entra ID	Vedi la tabella sopra
Condizioni di licenza Microsoft	Nascondi	Già accettate a livello di organizzazione
Impostazioni sulla privacy	Nascondi	Le governa una policy, non chi apre lo scatolone
Tipo di account utente	Standard	Nessuno ha bisogno di essere amministratore locale per contratto. Per i casi che servono c’è LAPS
Configura automaticamente la tastiera	Sì	Con una riserva, vedi sotto
Applica modello nome dispositivo	Sì	WA-%RAND:6%

Assegnalo al gruppo dinamico. Aggiornando la pagina dei dispositivi Autopilot, lo stato del profilo passa a Assigned.

Il modello del nome, e il muro dei 15 caratteri

I nomi dei computer Windows sono limitati a 15 caratteri. Il modello viene applicato e poi troncato, in silenzio.

Usando WA-%SERIAL% su un dispositivo con seriale W11-AUTOPILOT-001 è uscito:

WA-AUTOPILOT001

Esattamente quindici caratteri, il resto tagliato. Con hardware reale i seriali sono spesso più lunghi e meno prevedibili, quindi %SERIAL% produce nomi troncati in modi che non puoi prevedere.

Usa WA-%RAND:6%. Cifre casuali con un prefisso fisso danno nomi di lunghezza nota che non collidono mai.

Tastiera: l’impostazione richiede una lingua, non la installa

Configura automaticamente la tastiera insieme all’impostazione di area sembra destinata a produrre un dispositivo italiano. Non lo fa, se l’immagine non può.

Una ISO en-US non contiene il language pack italiano. Il profilo Autopilot chiede l’italiano, l’immagine non ce l’ha, e l’OOBE ripiega interamente su en-US, tastiera compresa. Il capitolo su lingua e tastiera spiega le vie d’uscita.

La pagina di stato della registrazione

L’ESP è quello che la persona guarda mentre il dispositivo si configura. È anche ciò che decide se può arrivare al desktop prima che il lavoro sia finito.

Intune → Dispositivi → Registrazione Windows → Pagina di stato della registrazione.

Impostazione	Valore
Mostra l’avanzamento di app e profili	Sì
Blocca l’uso del dispositivo finché non è tutto installato	Sì
Installa aggiornamenti Windows durante l’OOBE	No

Com’è fatto un OOBE che funziona

Vale la pena conoscerlo, perché la prima schermata ti dice se il profilo è arrivato prima di qualunque altro segnale.

Sul desktop che ne esce: le applicazioni obbligatorie installate, OneDrive già autenticato, e l’utente è un account Standard — manage-bde rifiuta di funzionare, ed è il comportamento corretto, non un guasto.

Una nota se stai provando su una VM

Due cose che mordono solo sulle macchine virtuali, trattate nei capitoli vicini ma che vale la pena raccogliere qui:

• Senza seriale SMBIOS l’import dell’hash registra zero dispositivi, in silenzio.
• Le ISO montate impediscono a BitLocker di partire, con un registro eventi che dà la colpa al TPM.

E una comodità: Proxmox → Options → Display → Clipboard = VNC abilita il copia e incolla nella console. Richiede la VM spenta, e conviene farlo prima di ritrovarsi a digitare a mano un codice dispositivo.