Windows Autopilot ile Sıfır Dokunuşlu Cihaz Kurulumu: Adım Adım

Her yeni dizüstü bilgisayar için imaj yükleyip etki alanına katmak, BT ekibinin haftasını cihaz hazırlamakla geçirmesi demektir. Windows Autopilot bu işi tersine çevirir: cihaz kutudan çıktığı haliyle kullanıcıya gider, ilk açılışta internetten kurumsal yapılandırmayı alır. BT ekibi cihaza dokunmaz; cihaz Entra ID’ye katılır, Intune’a kaydolur, politikaları ve uygulamaları kendisi yükler. Aşağıda cihaz kaydını, profil seçimini, katılım türü kararını, Enrollment Status Page ayarlarını ve sahada en çok takılınan sorun giderme adımlarını sırayla anlatıyoruz.

Autopilot neyi değiştirir: imaj yerine provizyon

Klasik yöntemde BT ekibi bir referans imaj hazırlar, cihazı WDS, MDT veya USB ile yeniden yükler, etki alanına katar ve kullanıcıya teslim eder. Bu modelin maliyeti imajı güncel tutmak, sürücü paketlerini yönetmek ve her cihaza fiziksel olarak dokunmaktır. Altı ay güncellenmemiş bir imaj, kurulumdan sonra saatlerce güncelleme indirir.

Autopilot üreticinin cihazda bulunan Windows kurulumunu kullanır. OOBE (ilk açılış deneyimi) sırasında cihaz Autopilot hizmetine sorgu yapar, kayıtlıysa kurumun dağıtım profilini alır ve kurulumu Intune üzerinden sürdürür. Yapılandırma artık imajda değil, politikada durur. Ön koşullar şunlar:

• Kullanıcılar için Entra ID P1 ve Intune içeren lisans (örneğin Business Premium veya Microsoft 365 E3); seçim için Microsoft 365 lisans seçimi yazısına bakabilirsiniz.
• Intune’da Windows için otomatik MDM kaydının (MDM user scope) etkin olması.
• Entra ID’de kullanıcıların cihaz katmasına izin verilmesi ve kullanıcı başına cihaz sınırının ihtiyaca uygun olması.
• Cihazların OOBE sırasında Microsoft’un Autopilot ve Intune uç noktalarına internet erişimi; kimlik doğrulamalı proxy bu aşamada sorun çıkarır.
• Windows’un Pro, Enterprise veya Education sürümü; Home sürümü desteklenmez.

Cihazları Autopilot’a kaydetme: üretici, bayi ve hash yöntemi

Bir cihazın Autopilot profili alabilmesi için donanım kimliğinin kurumun tenant’ına kayıtlı olması gerekir. Üç yol var:

Mevcut bir cihazdan hash toplamak için Windows’ta yönetici PowerShell oturumu açın. OOBE ekranında Shift+F10 ile komut istemi açıp powershell yazarak da aynı işi yapabilirsiniz:

New-Item -Type Directory -Path C:\HWID -Force
Set-Location C:\HWID
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned -Force
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -OutputFile C:\HWID\AutopilotHWID.csv

# Alternatif: doğrudan Intune'a yükleme ve grup etiketi atama
Get-WindowsAutopilotInfo -Online -GroupTag "MERKEZ-OFIS"

CSV dosyası Intune yönetim merkezinde Devices > Windows > Enrollment > Windows Autopilot > Devices altında içe aktarılır. Grup etiketi (group tag), cihazları farklı profillere yönlendirmenin en temiz yoludur. Profil ataması dinamik cihaz gruplarıyla yapılır:

# Tüm Autopilot cihazları
(device.devicePhysicalIDs -any (_ -startsWith "[ZTDid]"))

# Yalnız belirli grup etiketine sahip cihazlar
(device.devicePhysicalIds -any (_ -eq "[OrderID]:MERKEZ-OFIS"))

Dinamik grup üyeliğinin hesaplanması ve profilin cihaza atanması zaman alır. Intune’da cihazın profil durumu “Assigned” olmadan cihazı OOBE’ye göndermeyin. Acele edilen cihaz, kurumsal ekran yerine standart Windows kurulumuna düşer.

Dağıtım profili türleri ve seçim kriterleri

• User-driven: Kullanıcı cihazı açar, ağa bağlanır ve kurumsal hesabıyla oturum açar; kurulum bu kimlikle devam eder. Kişiye atanmış dizüstü bilgisayarlar için varsayılan mod budur.
• Self-deploying: Kullanıcı etkileşimi olmadan cihaz kendini kaydeder. Kiosk, toplantı odası ekranı ve paylaşılan cihazlar için uygundur. TPM 2.0 donanım doğrulaması gerekir ve yalnız Entra join ile çalışır.
• Pre-provisioning: BT ekibi veya bayi, cihazda OOBE’de Windows tuşuna beş kez basarak teknisyen akışını başlatır; cihaz politikaları ve uygulamaların büyük kısmı kullanıcıya gitmeden yüklenir. Kullanıcı oturum açtığında yalnız kullanıcıya özgü kısım kalır. TPM 2.0 donanım doğrulaması gerektirir, sanal makinelerde çalışmaz. Teknisyen akışında kablolu ağ kullanın; Wi-Fi profili sorunlarını baştan eler.

Microsoft ayrıca kayıt gerektirmeyen ve kurulum ilerlemesini daha ayrıntılı raporlayan Autopilot device preparation modelini sunuyor. Bu model yalnız Entra join senaryolarını destekler ve klasik profillerin bazı özelliklerini içermez; mevcut özellik kapsamını Microsoft’un Windows Autopilot dokümantasyonundan kontrol edin.

Entra join mi hibrit join mi

Hibrit Entra join’de cihaz hem şirket içi AD’ye hem Entra ID’ye katılır. Autopilot ile bu senaryo için Intune Connector for Active Directory’nin şirket içi bir sunucuya kurulması, Intune’da Domain Join yapılandırma profili oluşturulması ve cihazın OOBE sırasında bir etki alanı denetleyicisine erişebilmesi gerekir. Cihaz nesnesinin Entra ID’ye ulaşması da Entra Connect Sync ile cihaz senkronizasyonuna bağlıdır; bu özellik Cloud Sync’te yoktur (ayrıntı için Entra Connect Sync ve Cloud Sync karşılaştırması). Hareketli parça sayısı artar. Arıza noktası da artar.

Entra join’li cihazlar, kullanıcı hibrit kimlikle senkronize edildiği sürece şirket içi dosya paylaşımlarına ve Kerberos kullanan uygulamalara tek oturum açmayla erişebilir. GPO bağımlılığı, cihaz adına göre çalışan eski uygulamalar veya bilgisayar hesabına dayalı yetkilendirme gibi somut bir engel yoksa yeni cihazlarda Entra join’i tercih edin. “Hep böyle yaptık” somut bir engel değildir.

Enrollment Status Page ve uygulama sırası

Enrollment Status Page (ESP), kurulum tamamlanana kadar kullanıcının masaüstüne geçmesini engelleyen ilerleme ekranıdır. Yanlış ayarlanırsa ya kullanıcı yarım yapılandırılmış bir cihaza oturum açar ya da kurulum zaman aşımına düşer.

• Uygulama ve profil ilerlemesini göster: Evet.
• Zaman aşımı: Varsayılan 60 dakika; ağ hızına ve zorunlu uygulama sayısına göre belirleyin.
• Kurulum tamamlanana kadar cihaz kullanımını engelle: Tüm uygulamalar için değil, yalnız seçilen zorunlu uygulamalar (VPN istemcisi, güvenlik ajanı, Office) için engelleyin.
• Hata durumunda sıfırlamaya izin ver: Pilot aşamasında hayır; logların toplanabilmesi için cihaz hata ekranında kalmalı.

Win32 paketleme, algılama kuralları ve bağımlılık tanımları Intune ile Win32 uygulama dağıtımı yazısında ayrıntılı anlatılıyor. ESP’de beklenen bir uygulamanın algılama kuralı hatalıysa kurulum başarılı olsa bile ESP zaman aşımına düşer. Sahada ESP sorunlarının önemli bir kısmı aslında paketleme sorunudur.

Kayıt hatalarında sorun giderme

İlk iş hatanın hangi aşamada olduğunu belirlemek. Profil hiç gelmediyse kayıt ve atama; Entra join başarısızsa kimlik ve kayıt kısıtlamaları; ESP’de bekliyorsa politika veya uygulama sorunudur. Aşamayı bilmeden log okumak zaman kaybıdır.

Cihaz üzerinde tanılama paketini şu komutla alın (OOBE’de Shift+F10 ile açılan komut isteminden de çalışır):

MDMDiagnosticsTool.exe -area "DeviceEnrollment;DeviceProvisioning;Autopilot" -zip C:\Temp\autopilot-diag.zip

Paket içinde ve Olay Görüntüleyicisi’nde bakılacak başlıca kaynaklar:

• Microsoft-Windows-ModernDeployment-Diagnostics-Provider/Autopilot: Profil indirme ve Autopilot aşamaları.
• Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Admin: MDM kaydı ve politika uygulama hataları.
• C:\ProgramData\Microsoft\IntuneManagementExtension\Logs: Win32 uygulamaları ve betikler.

Sahada sık gördüğümüz durumlar ve kontrol noktaları:

• Cihaz kurumsal ekranı göstermiyor: Kayıt yapılmamış, profil atanmamış veya cihaz OOBE’ye profil atanmadan önce başlamış olabilir. Intune’da profil durumunu kontrol edip cihazı sıfırlayın.
• Kayıt kısıtlaması hatası: Autopilot’a kayıtlı cihazlar kurumsal sayıldığı için kişisel cihaz engeli onları durdurmaz. Reddin olağan nedenleri Windows (MDM) platform kısıtlaması, kullanıcı başına cihaz sınırının (Intune kayıt sınırı veya Entra ID cihaz sınırı) dolması ve cihazın önceki kaydından kalan eski nesnelerdir. Kısıtlama ilkelerini ve sınırları kontrol edip eski Intune ve Entra ID cihaz nesnelerini temizleyin.
• Hibrit join’de takılma: Intune Connector’ın durumuna, bağlayıcı hesabının cihaz nesnesi oluşturma yetkisi olan OU’ya ve cihazın DC’ye erişimine bakın.
• Kimlik doğrulamalı proxy: OOBE’de cihaz bağlamında çalışan bileşenler proxy kimlik bilgisi giremez; gerekli uç noktalar için istisna tanımlayın.

Pilot ve yaygınlaştırma kontrol listesi

• Lisanslar, MDM otomatik kaydı ve Entra ID cihaz katılım ayarları doğrulandı.
• Grup etiketleri ve dinamik cihaz grupları tanımlandı; profil ataması “Assigned” durumunda.
• Cihaz adlandırma şablonu belirlendi (örneğin ERT-%SERIAL%; bilgisayar adı için 15 karakter sınırına dikkat).
• ESP’de engelleyici uygulama listesi kısa tutuldu; tüm uygulamalar Win32 olarak test edildi.
• User-driven ve gerekiyorsa pre-provisioning akışları en az iki farklı donanım modeliyle denendi.
• Sıfırlama (Autopilot Reset veya Wipe) sonrası cihazın tekrar profil aldığı doğrulandı.
• Kullanıcıya gönderilecek kısa kurulum yönergesi hazırlandı: ağ bağlantısı, oturum açma, MFA kaydı.
• Elden çıkarılan cihazların Autopilot kaydını silme adımı envanter sürecine eklendi.

Autopilot’un pilot ve yaygınlaştırma aşamaları ve cihaz yaşam döngüsünün periyodik takibi için teknik destek ve periyodik bakım ile Microsoft 365 hizmetleri sayfalarındaki kapsamı inceleyebilirsiniz.

Sık sorulan sorular

Autopilot için cihazın donanım hash’ini mutlaka toplamak gerekir mi?

Klasik Autopilot dağıtım profillerinde cihazın Autopilot hizmetine kayıtlı olması gerekir; kaydı üretici, bayi veya CSP yapabileceği gibi donanım hash’i toplanarak elle de yapılabilir. Microsoft’un daha yeni Autopilot device preparation modeli kayıt gerektirmez, ama desteklediği senaryolar daha sınırlıdır.

Autopilot cihazı sıfırlandıktan sonra da aynı profili alır mı?

Evet. Cihaz Autopilot hizmetinde kayıtlı kaldığı sürece sıfırlama veya yeni bir Windows kurulumu sonrasında OOBE sırasında aynı dağıtım profilini alır. Bu yüzden satılan, iade edilen veya başka bir kuruma devredilen cihazların Autopilot kaydı silinmelidir.

Hibrit Entra join Autopilot ile VPN üzerinden çalışır mı?

Hibrit join profilinde cihaz ilk kurulum sırasında bir etki alanı denetleyicisine erişebilmelidir. Uzak kullanıcılar için profilde AD bağlantı denetimini atlama seçeneği ve oturum açma öncesi bağlanan bir VPN istemcisi gerekir. Bu karmaşıklık nedeniyle Microsoft yeni cihazlarda Entra join önerir.

Enrollment Status Page zaman aşımına uğrarsa ne yapılmalı?

Önce ESP’nin hangi aşamada (cihaz hazırlığı, cihaz kurulumu veya hesap kurulumu) beklediğini belirleyin. Ardından MDMDiagnosticsTool ile log paketi alın ve Intune Management Extension loglarında hangi uygulamanın beklendiğine bakın. Zaman aşımını uzatmak yerine ESP’de zorunlu tutulan uygulama listesini kısaltmak çoğu zaman kalıcı çözümdür.