Windows Autopilot 设备准备要求

• 适用于:

  ✅ Windows 11

提示

RSS 可用于在向此页面添加或更新要求时发出通知。 例如，以下 RSS 链接包含此文章：

https://learn.microsoft.com/en-us/search/?terms=%22Software%2C%20Networking%2C%20Licensing%2C%20Configuration%2C%20and%20RBAC%20requirements%20for%20Windows%20Autopilot%20device%22

此示例包含 &locale=en-us 变量。 变量 locale 是必需的，但可以更改另一个受支持的区域设置。 例如，&locale=es-es。

有关使用 RSS 进行通知的详细信息，请参阅如何使用 Intune 文档中的文档。

Windows Autopilot 设备准备的要求列表分为五个不同的类别：

• 软件 - OS 要求。
• 网络 - 网络要求。
• 许可 - 许可要求。
• 配置 - Microsoft Entra ID和Microsoft Intune中所需的配置。
• RBAC - Windows Autopilot 设备准备管理员所需的 RBAC 权限。

选择相应的选项卡以查看相关要求：

软件

软件要求

Windows Autopilot 设备准备取决于 Windows 客户端、Microsoft Entra ID中提供的特定功能和移动设备管理 (MDM) 服务（例如Microsoft Intune）。 若要使用 Windows Autopilot 设备准备并访问这些功能，必须满足一些软件要求。

Windows 11

• Windows 11版本 23H2，包含KB5035942或更高版本 - 2024 年 4 月或更高版本的 Windows 安装媒体KB5035942包括在内。
• Windows 11版本 22H2，包含KB5035942或更高版本 - Windows 安装媒体日期为 2024 年 4 月或更高版本KB5035942包括在内。

重要

• 向 OEM 验证从 OEM 提供的设备是否安装了所需的最低更新。
• 如果从安装媒体安装 Windows，请验证媒体是否安装了所需的最低更新。 批量许可服务中心 (VLSC) 中提供了已安装的最新累积更新的 Windows 安装媒体。

支持以下版本：

• Windows 11 专业版。
• Windows 11 专业教育版。
• Windows 11 专业工作站版。
• Windows 11 企业版。
• Windows 11 教育版。

网络

网络要求

Windows Autopilot 设备准备取决于各种基于 Internet 的服务。 必须提供对这些服务的访问权限，以便 Windows Autopilot 设备准备正常运行。 在最简单的情况下，可以通过确保以下条件来实现适当的功能：

• 确保域名服务 (DNS) Internet DNS 名称的名称解析。
• 允许通过端口 80 (HTTP) 、443 (HTTPS) 和 123 (UDP/NTP) 访问所有主机。

若要在以下环境中授予对所需服务的访问权限，可能需要进行其他配置：

• 具有更严格的 Internet 访问。
• 需要进行身份验证，然后才能获取 Internet 访问权限。

注意

(OOBE) 的现装体验期间，不支持智能卡和基于证书的身份验证。 有关详细信息，请参阅 智能卡和基于证书的身份验证。

服务要求

Windows Autopilot 设备准备依赖于多种不同类型的服务才能正常运行。 为了使这些服务正常运行，可能需要执行某些网络配置。 这些服务及其所需的网络配置如下所示：

Windows Autopilot 设备准备部署服务

建立网络连接后，每个 Windows 设备都将联系 Windows Autopilot 设备准备部署服务。 使用以下 URL：

• https://ztd.dds.microsoft.com
• https://cs.dds.microsoft.com
• https://login.live.com

Windows 激活

Windows Autopilot 设备准备需要 Windows 激活服务。 有关激活服务需要访问的 URL 的详细信息，请参阅 Windows 激活或验证失败并出现错误代码0x8004FE33。

Microsoft Entra ID

Microsoft Entra ID验证用户凭据。 此外，在 Windows Autopilot 设备准备期间，设备会加入到Microsoft Entra ID。 有关详细信息，请参阅 Office 365 IP 地址和 URL Web 服务。

Microsoft Intune

进行身份验证后，Microsoft Entra ID触发设备注册到Intune移动设备管理 (MDM) 服务。 有关Intune的网络通信要求的详细信息，请参阅以下文章：

• Intune 网络配置要求和带宽。
• Microsoft Intune的网络终结点。

Windows Autopilot 设备准备自动设备诊断集合

要使诊断能够成功从客户端上传，请确保该 URL lgmsapeweu.blob.core.windows.net 未在网络上被阻止。 在删除诊断之前，诊断可用 28 天。

有关详细信息，请参阅从 Windows 设备收集诊断。

Windows 更新

在 OOBE) 过程中 (现用体验期间，在 Windows OS 配置之后，Windows 更新服务会检索所需的更新。 如果连接到Windows 更新时出现问题，请参阅排查Windows 更新问题。

如果无法访问Windows 更新，则 Windows Autopilot 设备准备过程仍在继续，但关键更新不可用。

传递优化

下载应用程序和更新时，Windows Autopilot 设备准备会联系 传递优化 服务。 此联系人建立内容的对等共享，以便只有几台设备需要从 Internet 下载内容。

• Windows 汇报。
• Microsoft存储应用程序和应用程序更新。
• Office 汇报。
• Intune Win32 应用程序。

如果传递优化服务不可访问，Autopilot 过程仍会继续从云下载传递优化，而无需对等。

网络时间协议 (NTP) 同步

Windows 设备启动时，它会与网络时间服务器通信，以确保设备上的时间正确。 确保可访问的 time.windows.com UDP 端口 123。

域名服务 (DNS)

为了解析所有服务的 Internet 名称，设备将与通常通过 DHCP 提供的 DNS 服务器通信。 此 DNS 服务器必须能够解析 Internet 名称。

诊断数据

默认情况下，诊断数据收集处于启用状态。 有关详细信息，请参阅 管理企业诊断数据。

如果设备无法发送诊断数据，Windows Autopilot 设备准备过程仍会继续。 但是，依赖于诊断数据的服务不起作用。

网络连接状态指示器 (NCSI)

Windows 必须能够判断设备可以访问 Internet。 有关详细信息，请参阅网络连接状态指示器 (NCSI)。

*.msftconnecttest.com 必须可通过 DNS 解析并通过 HTTP 进行访问。

Windows 通知服务 (WNS)

此服务用于使 Windows 能够接收来自应用程序和服务的通知。 有关详细信息，请参阅 Microsoft Store。

如果 WNS 服务不可用，Windows Autopilot 设备准备过程仍会继续，而不会收到通知。

Microsoft Store

可以通过Intune或其他 MDM 服务触发应用程序，将 Microsoft Store 中的应用程序推送到设备。 用户首次登录时，可能还需要应用更新和其他应用程序。 有关详细信息，请参阅更新以Intune与 Windows 上的 Microsoft 应用商店集成和常见问题解答：在托管设备上支持Microsoft应用商店体验。

如果无法访问 Microsoft Store，则 Autopilot 进程仍在继续，无需Microsoft Store 应用程序。

Microsoft 365

作为Intune设备配置的一部分，可能需要安装 Microsoft 365 企业应用程序。 有关包含所有 Office 服务、DNS 名称、IP 地址（包括可能与之前列出的服务重叠Microsoft Entra ID和其他服务）的列表，请参阅Office 365 URL 和 IP 地址范围。

证书吊销列表 (CRL)

其中一些服务还需要检查证书吊销列表 (CRL) 服务中使用的证书。 有关完整列表，请参阅Office 365 URL 和 IP 地址范围和Office 365证书链。

代理设置

应在代理服务器本身上配置为 Windows Autopilot 设备准备部署代理设置。 不完全支持通过Intune策略实现代理设置，因为这可能会导致特权访问部署出现问题和意外行为。

许可

许可要求

Windows Autopilot 设备准备取决于 Windows 客户端和Microsoft Entra ID中提供的特定功能。 它还需要移动设备管理 (MDM) 服务（例如Microsoft Intune）。 可通过各种版本和订阅计划获取这些功能。

若要提供所需的Microsoft Entra ID和 MDM 功能，包括自动 MDM 注册和公司品牌功能，需要以下订阅之一：

• Microsoft 365 商业高级版订阅。
• Microsoft 365 F1或 F3 订阅。
• Microsoft 365 学术版 A1、A3 或 A5 订阅。
• Microsoft 365 企业版 E3 或 E5 订阅，其中包括 (Microsoft Entra ID 和Intune) 的所有 Windows 客户端、Microsoft 365 和 EMS 功能。
• 企业移动性 + 安全性 E3或 E5 订阅，其中包括所有所需的Microsoft Entra ID和Intune功能。
• Intune教育版订阅，其中包括所有所需的Microsoft Entra ID和Intune功能。
• Microsoft Entra ID P1 或 P2，Microsoft Intune订阅或备用 MDM 服务。

注意

使用 Microsoft 365 订阅时，仍需要向用户分配许可证，以便他们可以在 Intune 中注册设备。 有关详细信息，请参阅向用户分配许可证，以便他们可以在 Intune 中注册设备。

此外，还建议使用以下方法，但不是必需的：

• Microsoft 365 企业应用版 - 可以通过Intune或其他 MDM 服务轻松部署 Microsoft 365 企业应用程序。
• Windows 订阅激活 - 自动将设备从 Windows 专业版升级到 Windows 企业版。

配置

配置要求

在使用 Windows Autopilot 设备准备之前，需要执行一些配置任务来支持常见的 Autopilot 方案。

• 配置Microsoft Entra自动注册。 有关Microsoft Intune，请参阅设置 Windows 自动Intune注册和启用 Windows 自动注册了解详细信息。 如果使用不同的移动设备管理 (MDM) 服务，请联系供应商以获取这些服务所需的特定 URL 或配置。

• 登录的第一个用户需要具有Microsoft Entra加入权限。 有关详细信息，请参阅允许用户将设备加入Microsoft Entra ID。

以下配置是可选的，但建议使用。 它们不是必需的：

• 自动从 Windows 专业版升级到 Windows 企业版。 有关详细信息，请参阅 Windows 订阅激活。

除了运行 Windows 的硬件要求之外，使用 Autopilot 没有其他硬件要求。 有关更多信息，请参阅：

• 查找Windows 11规格、功能和计算机要求。
• Windows 最低硬件要求。
• Windows 11要求。

RBAC

所需的 RBAC 权限

Intune 角色中需要以下基于角色的访问控制 (RBAC) 权限，用户才能管理 Windows Autopilot 设备准备：

• 设备配置

  • 阅读
  • 删除
  • Assign
  • 创建
  • 更新

• 注册计划

  • 注册时间设备成员身份分配

• 托管应用

  • 阅读

• 移动应用程序

  • 阅读

• 组织

  • 阅读

若要创建具有以下权限的自定义角色，以便用于 Windows Autopilot 设备准备：

1. 登录到 Microsoft Intune 管理中心。

2. 在 “主页 ”屏幕中，选择左侧窗格中的“ 租户管理 ”。

3. 在 租户管理员中 |租户状态 屏幕，选择“ 角色”。

4. 在 Endpoint Manager 角色中 |“所有角色”屏幕，确保在“管理”下选择了“所有角色”。

5. 选择“创建”下拉菜单，然后选择“Intune角色”。 此时会打开 “添加自定义角色” 屏幕。

6. 在 “添加自定义角色” 屏幕中：

   1. 在 “基本信息 ”页中：

      1. 名称 - 输入自定义角色的名称，例如 Windows Autopilot 设备准备管理员。

      2. 说明 - 输入自定义角色的说明。

   2. 选择 下一步。

   3. 在 “权限” 页的“ 选择以下类别以配置设置”下，滚动列表以查找以下设置。 找到设置后，将其展开，然后更改为以下权限：

      • 设备配置

        • 读取：是
        • 删除：是
        • 分配：是
        • 创建：是
        • 更新：是

        “查看报表 ”可以保留默认值“ 否”。

      • 注册计划

        • 注册时间设备成员身份分配：是

        所有其他权限可以保留默认值 “否”。

      • 托管应用

        • 读取：是

        所有其他权限可以保留默认值 “否”。

      • 移动应用程序

        • 读取：是

        所有其他权限可以保留默认值 “否”。

      • 组织

        • 读取：是

        所有其他权限可以保留默认值 “否”。

   4. 正确设置所有权限后，选择“ 下一步”。

   5. 在 “作用域标记 ”页中，选择“ 下一步”。

      注意

      范围标记 是可选的。 如果需要指定自定义范围标记，请在此页执行此操作。 有关范围标记的详细信息，请参阅 为分布式 IT 使用基于角色的访问控制和范围标记。

   6. 在“ 查看 + 创建 ”页中，验证所有权限是否正确，然后选择“ 创建”。

7. 现在可以将新的自定义 Windows Autopilot 设备准备角色分配给管理 Windows Autopilot 设备准备的用户。

有关详细信息，请参阅 Microsoft Intune 的基于角色的访问控制 (RBAC)。