Dia 26: Windows Autopilot — Implementação Zero-Touch com Intune
Neste artigo
O Windows Autopilot é a solução de implementação zero-touch da Microsoft para PCs Windows 11. Combinado com o Intune, permite entregar equipamentos directamente da loja ao utilizador final — sem que o administrador de IT tenha de tocar na máquina. No Dia 25 vimos o Intune e a gestão de dispositivos; hoje aprofundamos o Autopilot como ferramenta de implementação automatizada.
ℹ O Autopilot permite entregar PCs directamente da loja ao utilizador — zero configuração manual necessária.
1. Introdução ao Windows Autopilot
O Windows Autopilot é um conjunto de tecnologias integradas no Windows 11 e no Intune que automatizam a configuração inicial de novos PCs. Em vez de criar imagens personalizadas com ferramentas como MDT (Microsoft Deployment Toolkit), o Autopilot usa a imagem OEM original do Windows e aplica políticas, aplicações e configurações via nuvem.
O fluxo é simples: o fabricante (Dell, HP, Lenovo) regista o ID de hardware do PC no Autopilot. Quando o utilizador liga o PC pela primeira vez e se liga à Internet, o Windows detecta que o dispositivo está registado no Autopilot e transfere as políticas de implementação do Intune. O utilizador autentica-se com as suas credenciais do Entra ID e o PC é configurado automaticamente — sem intervenção do administrador.
O registo do hardware pode ser feito de três formas: pelo fabricante (registo automático via Microsoft Partner Center), pelo administrador via importação de CSV no Intune, ou por autosserviço através do Windows Configuration Designer. O método mais comum em PME é a importação manual do CSV com o ID de hardware de cada PC.
O Autopilot suporta quatro modos principais de implementação: Self-Deploying (quiosques e dispositivos partilhados), User-Driven (utilizadores individuais), White Glove (pré-configuração pelo parceiro IT) e Autopilot for pre-provisioned deployment (a evolução do White Glove).
2. Deployment Profiles
Os Deployment Profiles são a peça central do Autopilot. Cada perfil define como o dispositivo se comporta durante a experiência de configuração inicial (OOBE — Out-of-Box Experience). No Intune, os profiles ficam em Devices > Windows > Windows enrollment > Deployment Profiles.
| Definição do Profile | Função |
|---|---|
| Deployment mode | Self-Deploying ou User-Driven |
| Join to Entra ID | Entra ID Joined ou Entra ID Hybrid Joined |
| Microsoft Software License Terms | Ocultar (auto-aceitar) ou Mostrar |
| User account type | Standard ou Administrator |
| Language/Keyboard | Definido pelo perfil ou pelo utilizador |
| Allow White Glove | Sim/Não — permite pré-implementação |
Após criar o profile, é preciso atribuí-lo a grupos do Entra ID. O Autopilot atribui dispositivos a grupos dinâmicos com base no ID de hardware. Uma boa prática é criar um grupo dinâmico enrollmentProfile: com o nome do profile — todos os dispositivos atribuídos ao profile entram automaticamente no grupo.
Para importar dispositivos, o Intune aceita um ficheiro CSV com o ID de hardware (hash TPM), número de série e outras colunas. O formato do CSV deve seguir o template oficial da Microsoft — colunas na ordem correcta, separadas por vírgulas, com cabeçalho.
Device Serial Number,Windows Product ID,Hardware Hash,Manufacturer Name,Device Model
SN123456789,,0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF,Dell,OptiPlex 70903. Self-Deploying Mode
⚠ O Autopilot exige TPM 2.0 para o modo Self-Deploying — PCs antigos sem TPM não suportam este modo.
O Self-Deploying Mode destina-se a dispositivos sem utilizador dedicado: quiosques, salas de reunião, dispositivos partilhados. Neste modo, o dispositivo junta-se ao Entra ID e inscreve-se no Intune sem que qualquer utilizador precise de iniciar sessão. A autenticação do dispositivo é feita via TPM 2.0 — daí o requisito obrigatório.
O fluxo do Self-Deploying é totalmente automático: o PC liga-se à rede, detecta o profile, junta-se ao Entra ID, inscreve-se no Intune, aplica políticas e instala aplicações. Nenhuma credencial é pedida. O dispositivo fica pronto para utilização assim que a Enrollment Status Page conclui.
O Self-Deploying é ideal para cenários como quiosques de recepção, terminais de ponto de venda, salas de reunião com Teams, ou dispositivos de chão de fábrica. A gestão é feita remotamente via Intune — o dispositivo não tem conta de utilizador local associada.
Limitações do Self-Deploying: requer TPM 2.0 com atestação, o dispositivo não pode ter sido previamente inscrito no Intune, e a reposição de fábrica via Autopilot só funciona se o TPM não foi limpo. Se o TPM for reiniciado, o dispositivo perde a capacidade de se auto-inscrever novamente.
4. User-Driven Mode
O User-Driven Mode é o modo mais comum em PME. Neste modo, o utilizador final liga o PC, liga-se à Internet, introduz as suas credenciais do Entra ID e o restante processo é automatizado. O dispositivo junta-se ao Entra ID, inscreve-se no Intune, aplica políticas e instala aplicações atribuídas ao utilizador e ao dispositivo.
Existem duas variantes do User-Driven conforme o tipo de join:
Entra ID Joined: o dispositivo liga-se directamente ao Entra ID sem dependência de Active Directory on-premises. É a abordagem recomendada para organizações nuvem-first. Não requer conectividade com AD local, é mais simples de implementar e suporta todas as funcionalidades do Intune.
Entra ID Hybrid Joined: o dispositivo junta-se simultaneamente ao AD local e ao Entra ID. Requer o Intune Connector for Active Directory (um conector que lê/escreve no AD on-premises) e conectividade de rede entre o PC e o controlador de domínio durante a implementação. É adequado para organizações com AD on-premises e aplicações legadas que dependem de autenticação Kerberos.
No User-Driven, o utilizador pode escolher o idioma e o teclado durante o OOBE — a menos que o perfil defina esses parâmetros. Para implementações em PME portuguesas, recomenda-se pré-definir o idioma como Português (Portugal) e o teclado ABNT2 ou PT, evitando confusão com layouts americanos.
5. White Glove e Pre-Provisioning
O White Glove permite que um parceiro IT ou administrador pré-configurar o dispositivo antes de o entregar ao utilizador final. O técnico liga o PC, inicia o processo Autopilot e o dispositivo passa pelas fases de device ESP ( Enrollment Status Page) — aplica políticas de dispositivo e instala aplicações atribuídas ao dispositivo. Depois, o dispositivo é desligado e entregue ao utilizador, que completa a fase de user ESP (políticas e aplicações do utilizador).
O White Glove evoluiu para Autopilot pre-provisioned deployment — o nome actual no Intune. A diferença principal é que o pre-provisioned deployment suporta aplicações Win32 empacotadas em .intunewin, enquanto o White Glove original era mais limitado.
| Fase | Ocorre | Conteúdo |
|---|---|---|
| Device ESP (técnico) | White Glove / Pre-provisioning | Políticas de dispositivo, apps Win32 de dispositivo |
| User ESP | Utilizador final liga o PC | Políticas de utilizador, apps Office 365, configuração pessoal |
Para activar o White Glove, o deployment profile tem de ter a opção Allow White Glove activada. O técnico inicia o processo premindo a tecla Windows cinco vezes durante o OOBE — o Windows entra em modo de pré-implementação.
O White Glove é útil quando se precisa de instalar aplicações Win32 grandes (ex: Adobe Creative Cloud, Autodesk, ERP da empresa) que demoram a instalar via nuvem. O técnico pode ligar os PCs numa rede local de alto débito, deixar as aplicações instalarem-se durante a fase de dispositivo, e entregar os PCs prontos a usar ao utilizador final.
6. Enrollment Status Page
A Enrollment Status Page (ESP) é o ecrã que o utilizador vê durante a implementação Autopilot, mostrando o progresso da inscrição e instalação. O ESP garante que o dispositivo não fica utilizável antes de todas as políticas e aplicações essenciais estarem aplicadas — evitando que o utilizador contorne políticas de segurança por aceder ao desktop cedo demais.
O ESP tem duas fases distintas:
Device ESP: mostra o progresso das políticas e aplicações ao nível do dispositivo. Ocorre antes do utilizador iniciar sessão. Aplica configurações de dispositivo (BitLocker, Windows Update, Endpoint protection) e instala aplicações atribuídas ao dispositivo.
User ESP: mostra o progresso das políticas e aplicações ao nível do utilizador. Ocorre após o utilizador iniciar sessão. Aplica configurações de utilizador (Outlook, OneDrive, modelos do Office) e instala aplicações atribuídas ao utilizador.
O profile ESP permite configurar várias opções:
- Mostrar progresso de instalação (apps, políticas, perfis)
- Bloquear utilização do dispositivo até a inscrição terminar
- Permitir que o utilizador recolha registos se a instalação falhar
- Tempo limite após o qual mostrar uma mensagem de erro (recomendado: 60 minutos)
- Mostrar mensagem personalizada durante a instalação
- Apenas mostrar erros em dispositivos inscritos pelo Autopilot
Uma configuração crítica é o tempo limite. Se não for definido, o ESP pode ficar preso indefinidamente se uma aplicação Win32 falhar silenciosamente. O valor recomendado é 60 minutos — tempo suficiente para a maioria das implementações, mas não tão longo que o utilizador desista.
7. Erros Comuns e Lista de Verificação
Os problemas mais frequentes com Autopilot enquadram-se em três categorias: registo de hardware, conectividade de rede e aplicações Win32. A tabela seguinte resume os erros mais comuns e as respectivas soluções:
| Erro | Causa | Solução |
|---|---|---|
| 0x800705b4 (tempo limite) | Sem conectividade com endpoints Intune | Verificar firewall/proxy — ver lista de endpoints |
| 0x80180014 | TPM não atestado ou indisponível | Verificar TPM 2.0 activo na BIOS, reiniciar TPM |
| ESP preso em “A preparar” | App Win32 com instalação lenta ou travada | Verificar instalador .intunewin, definir timeout |
| Dispositivo não entra no Autopilot | Hardware hash não importado ou grupo errado | Confirmar importação CSV, verificar grupo dinâmico |
| Falha no Hybrid Join | Sem conectividade com controlador de domínio | Verificar VPN/DirectAccess, conector Intune AD |
O Autopilot requer conectividade com vários endpoints da Microsoft. O PC precisa de aceder a:
# Endpoints necessários para Autopilot (parciais)
login.microsoftonline.com # Autenticação Entra ID
device.login.microsoftonline.com # Device registration
enterpriseregistration.windows.net # Device join
management.azure.com # Intune enrolment
config.office.com # Políticas Office 365
*.manage.microsoft.com # Intune delivery
autopilot.windows.com # Autopilot service
cs.dds.microsoft.com # Configuration servicePara diagnosticar problemas, o Windows inclui ferramentas incorporadas. A mais útil é o Get-WindowsAutopilotInfo módulo PowerShell, que extrai o hardware hash de um dispositivo para importação manual:
# Instalar módulo e obter hardware hash
Install-Module -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -Online -AssignedComputerName "PC-RECEPCAO-01"
# Exportar para CSV (importação manual no Intune)
Get-WindowsAutopilotInfo -OutputFile "dispositivos.csv"
# Diagnosticar problemas de inscrição
Get-EventLog -LogName "Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Admin" -Newest 50A lista de verificação seguinte resume os passos críticos para uma implementação Autopilot bem-sucedida em PME:
✓ Lista de Verificação Autopilot
- Licenças Intune atribuídas aos utilizadores (Plan 1 ou Plan 2)
- TPM 2.0 activo na BIOS (obrigatório para Self-Deploying, recomendado para todos)
- Dispositivos importados no Intune (CSV ou registo automático OEM)
- Deployment Profile criado e atribuído ao grupo dinâmico correcto
- ESP Profile configurado com tempo limite (recomendado: 60 min)
- Endpoints da Microsoft acessíveis (firewall/proxy configurado)
- Aplicações Win32 empacotadas como .intunewin e atribuídas a grupos
- Para Hybrid Join: Intune Connector for AD instalado e funcional
- Teste com um dispositivo piloto antes de implementar em massa
- Condicionais de acesso configuradas para exigir dispositivos conformes
O Autopilot transformou a implementação de PCs Windows em PME. Em vez de imagens personalizadas, scripts manuais e horas de configuração por dispositivo, o administrador cria profiles no Intune, importa os IDs de hardware e entrega os PCs directamente aos utilizadores. A configuração é feita automaticamente pela nuvem — com a garantia de que todas as políticas de segurança e aplicações necessárias estão aplicadas antes de o utilizador aceder ao desktop.
