Autopilot Device Preparation bliver standard, Hybrid Join bliver tilbage

Microsoft erklærede i september Autopilot Device Preparation som den anbefalede metode til user-driven Windows-deployments. Den nye model er enklere opbygget og kører mere stabilt, men understøtter kun Entra Join. Den, der i dag stadig udrullar nye enheder med hybrid join, bør se nøje på netop dette, for denne begrænsning vejer tungere end spørgsmålet om det rette provisioning-værktøj.

Det vigtigste kort fortalt

• Ny anbefaling: Microsoft anbefaler Autopilot Device Preparation siden september til user-driven enrollments, fordi deployments gennemføres hurtigere og mere pålideligt.
• Kun Entra Join: Device Preparation understøtter udelukkende Entra Join. Hybrid Join er ikke en del af den nye model.
• Ingen in-place-overgang: Microsoft tilbyder ingen understøttet måde at konvertere en hybrid-joined enhed til Entra Join uden en reset. Den, der i dag udrullar nye enheder med hybrid join, skal enten provisionere dem på ny senere eller forblive afhængig af on-premises-teknologi endnu en hardwarecyklus.
• Ingen afskæringsdato: Klassisk Autopilot og Device Preparation eksisterer side om side i overskuelig fremtid.
• Vores anbefaling: Det afgørende er join-typen, ikke værktøjet. Til nye enheder bruger vi fortsat klassisk Autopilot med Entra Join, fordi producenter og forhandlere dermed kan registrere enhederne i jeres tenant allerede inden levering. Den zero-touch-mulighed tilbyder Device Preparation endnu ikke.

Kilde: Microsoft Learn, Compare Windows Autopilot device preparation and Windows Autopilot

Hvad Microsoft har annonceret

I midten af september beskrev Microsoft i Intune Customer Success Blog, hvordan overgangen fra klassisk Windows Autopilot til Device Preparation skal foregå. Budskabet er klart: til user-driven deployments er Device Preparation nu den anbefalede vej.

Selve teknologien er ikke ny: Device Preparation findes siden 2024 som en nyopbygget variant af Autopilot, der arbejder enklere og mere pålideligt og viser deployments næsten i realtid. Indtil for nylig havde den dog en svaghed, for før første login vidste enheden ikke, hvilken tenant den tilhørte. Denne svaghed lukker Device Association, som kom i slutningen af august. Med den kan I tilknytte en Windows-enhed til jeres tenant allerede inden deployment, og den genkendes automatisk som en virksomhedsenhed, får et fastlagt navn og en tilpasset Out-of-Box-Experience, før brugeren afslutter opsætningen.

I behøver ikke skifte med det samme. Klassisk Autopilot og Device Preparation kører side om side i samme tenant, men hver enhed bruger kun én af de to modeller. Er en enhed både registreret til Autopilot og tilknyttet via Device Association, har tilknytningen forrang.

Én politik i stedet for fire byggeklodser

Klassisk Autopilot består af deployment-profiler, Enrollment Status Page, Group Tags og dynamiske grupper. Device Preparation klarer sig med én enkelt provisioning-politik, der definerer, hvad der sker under Out-of-Box-Experience (OOBE), fra enhedsindstillinger over apps og scripts til enhedsnavn. I praksis betyder det:

• Hurtigere tildeling: Ved enrollment placeres enheder via Enrollment Time Grouping straks i en statisk Entra-gruppe. Apps og scripts, der er tildelt denne gruppe, er tilgængelige under provisioning med det samme, uden at vente på evaluering af dynamiske grupper.
• Klar faseopdeling: Under provisioning lægges kun enhedsrelaterede indstillinger og de nødvendige apps på enheden. Alt brugerrelateret følger, når skrivebordet er klar, og den indledende opsætning bliver dermed kortere og mindre fejlbehæftet.
• Bedre reporting: Hvert deployment er synligt næsten i realtid med langt flere detaljer end i klassisk Autopilot, og fejlfinding bliver mærkbart nemmere.

Device Preparation understøtter kun Entra Join

Device Preparation understøtter kun Entra Join. Hybrid Join er ikke en del af den nye arkitektur, og intet i Microsofts annoncering tyder på, at det ændrer sig. Klassisk Autopilot understøtter ganske vist stadig Hybrid Join, men Microsofts udvikling sigter tydeligt mod deployments uden Domain Controller. På Microsoft Learn fremgår det nu også udtrykkeligt:

„Microsoft recommends deploying new devices as cloud-native using Microsoft Entra join. Deploying new devices as Microsoft Entra hybrid join devices isn't recommended …"

Den, der har brugt Hybrid Join med Autopilot, kender udfordringerne: under provisioning skal enheden nå en Domain Controller, Intune Connector for Active Directory skal være tilgængelig og fungere, og gruppepolitikker kører parallelt med Intune. Det er præcis disse afhængigheder, de fleste deployments fejler eller hakker på. For os har Hybrid Join derfor altid været en overgangsløsning og aldrig målet.

En Entra-joined enhed behøver ved opsætningen ikke andet end en internetforbindelse. Konfiguration, apps, opdateringer og compliance-politikker leveres fuldt ud via Intune, og adgang til virksomhedsressourcer styres af Conditional Access. Det passer til en arbejdsverden, der i stigende grad udspiller sig uden for virksomhedsnetværket, hjemme, på farten eller et sted midt imellem.

Hos os hedder dette princip „Starbucks Deployment" og har gjort det i årevis, og allerede i 2019 blev vi hædret med Microsoft Global Modern Desktop Partner of the Year Award for netop det.

Vejen fra Hybrid til Entra Join går via en reset

Ét punkt er afgørende for planlægningen: en hybrid-joined enhed kan på understøttet vis kun konverteres til en Entra-joined enhed ved hjælp af en reset. Alle enheder, I i dag udrullar med hybrid join, skal altså på et tidspunkt provisioneres på ny for at skifte til Entra Join.

Det lyder umiddelbart som meget arbejde, men kan i praksis planlægges kontrolleret. Oftest forløber skiftet i takt med den normale hardwarecyklus: nye enheder kommer direkte med Entra Join, mens de hybrid-joined enheder udfases gradvist. Den, der vil i skyen hurtigere, udrullar derudover eksisterende enheder i bølger med Entra Join.

Hvorfor vi alligevel anbefaler klassisk Autopilot

Vi anbefaler dog endnu ikke at skifte til Device Preparation. Til nye enheder anbefaler vi fortsat klassisk Autopilot, men konsekvent med Entra Join.

Den vigtigste grund er tilknytningen til producenter og forhandlere. Med klassisk Autopilot registrerer OEM'en eller forhandleren enheden direkte i jeres tenant allerede inden forsendelse. Den sendes direkte til medarbejderne, viser jeres branding ved første opstart og konfigurerer sig selv, uden at IT behøver gribe ind.

Til Device Association skal I i øjeblikket selv indlæse enhedsoplysningerne lokalt og uploade dem til Intune. Det fungerer fint til staging på lager, udrullinger med teknikere eller interne deployments, men ikke til direkte forsendelse til brugerne. Microsoft har annonceret, at OEM'er og partnere fremover vil kunne forhåndstilknytte enheder, dog uden en tidsplan.

Hertil kommer scenarier, som Device Preparation endnu ikke dækker fuldt ud:

• Pre-Provisioning: En partner installerer apps og anvender politikker allerede inden levering, så medarbejderne starter med en næsten færdigkonfigureret enhed.
• Self-Deploying Mode: Kiosk- og delte enheder, der udrulles uden brugerlogin.
• Udvidede provisioning-muligheder: Flere apps under opsætningen og mulighed for at låse skrivebordet, indtil den nødvendige brugerrelaterede konfiguration er afsluttet.
• Særlige enhedsscenarier: Teams Rooms og firmware-styring via DFCI.

Så snart producenter og forhandlere kan forhåndstilknytte enheder til Device Preparation, revurderer vi vores anbefaling. Strategien bag ændrer sig ikke: den, der i dag planlægger et nyt deployment, planlægger med Entra Join. Et senere skift fra klassisk Autopilot til Device Preparation berører kun provisioning-vejen for nye enheder og ikke forvaltningsmodellen, identitetsplatformen eller enhedsarkitekturen.

„Uden Domain Join virker vores enheder ikke"

Det sætning hører vi hele tiden. Teknologien bag Entra Join er moden og velbegrundet, og når det kniber, skyldes det sjældent Entra Join i sig selv, men afhængigheder, processer og antagelser, der har hobet sig op rundt om Active Directory over årene.

• Gruppepolitikker: Mange organisationer har langt flere GPO'er, end de har brug for, og efter vores erfaring virker en betydelig del af dem slet ikke længere. Med vores blueprint starter Entra-klienter på få minutter på en afprøvet og fleksibel baseline, som vi driver fuldt ud som Infrastructure as Code i Managed Intune og løbende holder opdateret.
• Adgang til on-premises-ressourcer: Filservere, printere og interne webapplikationer forbliver tilgængelige for Entra-joined enheder. Så længe enheden kan nå en Domain Controller, henter den Kerberos-tickets og logger på on-premises-ressourcer via Single Sign-on med Windows Hello for Business via Cloud Kerberos Trust. Disse scenarier bør I dog altid teste med rigtige brugere og rigtige fagsystemer.
• Certifikater og netværksadgang: Netværks- og VPN-autentificering er ofte afhængig af computercertifikater fra en on-premises-CA, der valideres via en Network Policy Server (NPS). På Entra-joined enheder distribuerer Intune certifikaterne, f.eks. via Microsoft Cloud PKI eller SCEPman, og netværksautentificeringen håndteres af en skybaseret RADIUS-løsning som RADIUSaaS.
• Pålidelige app-deployments: Når Autopilot-deployments fejler, skyldes det som oftest ikke join-typen, men dårligt byggede eller ikke vedligeholdte softwarepakker. Derfor bruger vi RealmJoin, vores ledsager til Intune med mere end 2.500 færdigpakkede applikationer. Uanset værktøjet gælder: ved den indledende opsætning hører kun de apps på enheden, som brugerne reelt har brug for den første dag. Alt andet følger, når enheden er i produktion, eller ligger klar til selvinstallation i Intune Company Portal eller i RealmJoin App Catalog.

Konklusion

Device Preparation kan endnu ikke alt, hvad klassisk Autopilot kan. Retningen er alligevel klar: Microsoft investerer i Entra Join, og Hybrid Join bliver i stigende grad en legacy-model.

Det kan give mening at køre eksisterende hybrid-joined enheder videre til slutningen af deres livscyklus, selv om det betyder at drive en moderne og en klassisk forvaltningsmodel parallelt. At udrulla nye enheder i dag med hybrid join binder jer derimod til on-premises-afhængigheder endnu en hardwarecyklus, mens Microsoft videreudvikler provisioning og forvaltning til Entra Join.

Hvis I planlægger overgangen fra Hybrid Join til Entra Join, kæmper med jeres Autopilot-deployments eller ønsker at forvalte jeres Windows-enheder fuldt ud via Intune, hjælper vi gerne.

Kilder

• Moving from Windows Autopilot to Windows Autopilot device preparation (Microsoft Tech Community, september 2026)
• Introducing device association for Windows Autopilot device preparation (Microsoft Tech Community, august 2026)
• Compare Windows Autopilot device preparation and Windows Autopilot (Microsoft Learn)
• Windows Autopilot device association FAQ (Microsoft Learn)
• Microsoft Entra joined vs. hybrid joined (Microsoft Learn)