Autopilot Device Preparation blir standard, Hybrid Join henger etter

Microsoft erklærte i september Autopilot Device Preparation som anbefalt fremgangsmåte for user-driven Windows-deployments. Det nye modellen er enklere bygd opp og kjører mer stabilt, men støtter bare Entra Join. Den som i dag ruller ut nye enheter med Hybrid Join, bør merke seg nettopp dette, for denne begrensningen veier tyngre enn spørsmålet om hvilket provisioning-verktøy man bør velge.

Det viktigste kort oppsummert

• Ny anbefaling: Microsoft anbefaler fra september Autopilot Device Preparation for user-driven enrollments, fordi deployments med dette kjører raskere og mer pålitelig.
• Bare Entra Join: Device Preparation støtter utelukkende Entra Join. Hybrid Join er ikke en del av den nye modellen.
• Ingen in-place-overgang: Microsoft tilbyr ingen støttet måte å konvertere en hybrid-joined enhet til Entra Join uten en reset. Den som i dag ruller ut nye enheter med Hybrid Join, må enten provisionere dem på nytt senere, eller forbli avhengig av on-premises-infrastruktur gjennom én til hardwaresyklus.
• Ingen avviklingsdato: Klassisk Autopilot og Device Preparation vil eksistere side om side i overskuelig fremtid.
• Vår anbefaling: Det avgjørende er join-typen, ikke verktøyet. For nye enheter fortsetter vi med klassisk Autopilot og Entra Join, fordi produsenter og forhandlere da kan registrere enhetene i tenanten allerede før levering. Denne zero-touch-muligheten finnes ikke i Device Preparation ennå.

Kilde: Microsoft Learn, Compare Windows Autopilot device preparation and Windows Autopilot

Hva Microsoft har annonsert

I midten av september beskrev Microsoft i Intune Customer Success Blog hvordan overgangen fra klassisk Windows Autopilot til Device Preparation skal se ut. Budskapet er tydelig: For user-driven deployments er Device Preparation nå den anbefalte veien.

Selve teknologien er ikke ny: Device Preparation har eksistert siden 2024 som en nybygget variant av Autopilot, enklere og mer pålitelig, med deployments som vises tilnærmet i sanntid. Frem til nylig hadde den likevel én mangel: før første innlogging visste ikke enheten hvilken tenant den tilhørte. Den mangelen ble tettet i slutten av august med Device Association. Med dette knytter dere en Windows-enhet til tenanten allerede før deployment, og den gjenkjennes automatisk som en bedriftsenhet, får et fastsatt navn og en tilpasset out-of-box-experience, enda før brukeren fullfører oppsettet.

Dere trenger ikke bytte med én gang. Klassisk Autopilot og Device Preparation kjører side om side i samme tenant, men hver enhet bruker bare én av de to modellene. Er en enhet både registrert for Autopilot og tilordnet via Device Association, har Association forrang.

Én policy i stedet for fire byggeklosser

Klassisk Autopilot bygger på deployment-profiler, Enrollment Status Page, Group Tags og dynamiske grupper. Device Preparation klarer seg med én enkelt provisioning-policy som definerer hva som skjer under out-of-box-experience (OOBE), fra enhetsinnstillinger og apper til skript og enhetsnavn. I praksis betyr det:

• Raskere tilordninger: Ved enrollment havner enheter umiddelbart i en statisk Entra-gruppe via Enrollment Time Grouping. Apper og skript som er tilordnet denne gruppen, er tilgjengelige under provisioning med én gang, uten å vente på evaluering av dynamiske grupper.
• Tydelig faseskille: Under provisioning legges bare enhetsbaserte innstillinger og de appene som faktisk trengs på enheten. Alt brukerrelatert følger etter når skrivebordet er oppe, noe som gjør førsteoppsett kortere og mindre feilutsatt.
• Bedre rapportering: Hvert deployment er synlig tilnærmet i sanntid, med vesentlig mer detaljer enn i klassisk Autopilot, og feilsøking blir merkbart enklere.

Device Preparation støtter bare Entra Join

Device Preparation støtter bare Entra Join. Hybrid Join er ikke en del av den nye arkitekturen, og ingenting i Microsofts annonsering tyder på at det vil endre seg. Klassisk Autopilot kan fortsatt håndtere Hybrid Join, men Microsofts utviklingsretning peker tydelig mot deployments uten Domain Controller. På Microsoft Learn står det nå også eksplisitt:

„Microsoft recommends deploying new devices as cloud-native using Microsoft Entra join. Deploying new devices as Microsoft Entra hybrid join devices isn't recommended …"

Den som har kjørt Hybrid Join med Autopilot kjenner utfordringene: Under provisioning må enheten nå en Domain Controller, Intune Connector for Active Directory må være tilgjengelig og fungerende, og gruppepolicyer kjører parallelt med Intune. Det er nettopp disse avhengighetene som forårsaker de fleste feil og forsinkelser i deployments. For oss har Hybrid Join derfor alltid vært en overgangsløsning og aldri målet i seg selv.

En Entra-joined enhet trenger ved oppsettet ingenting annet enn en internettforbindelse. Konfigurasjon, apper, oppdateringer og compliance-policyer leveres fullstendig via Intune, og tilgang til bedriftsressurser styres av Conditional Access. Det passer godt til en arbeidshverdag som i stadig større grad utspiller seg utenfor bedriftsnettverket, hjemmefra, på reise eller et sted imellom.

Hos oss har dette prinsippet i mange år gått under navnet «Starbucks Deployment», og allerede i 2019 ble vi belønnet for det med Microsoft Global Modern Desktop Partner of the Year Award.

Veien fra Hybrid Join til Entra Join går via en reset

Én ting er avgjørende for planleggingen: En hybrid-joined enhet kan bare konverteres til en Entra-joined enhet på en støttet måte ved hjelp av en full reset. Alle enheter dere i dag ruller ut med Hybrid Join, må altså provisioneres på nytt når dere skal over på Entra Join.

Det høres ut som mye arbeid, men det lar seg godt planlegge i praksis. Oftest skjer overgangen i takt med den normale hardwaresyklusen: Nye enheter kommer direkte med Entra Join, mens de hybrid-joined enhetene fases ut gradvis. Den som vil over i cloud raskere, setter i tillegg eksisterende enheter opp på nytt med Entra Join i bølger.

Hvorfor vi likevel anbefaler klassisk Autopilot

Vi anbefaler likevel ikke å gå over til Device Preparation ennå. For nye enheter fortsetter vi å anbefale klassisk Autopilot, men konsekvent med Entra Join.

Den viktigste grunnen er integrasjonen med produsenter og forhandlere. Med klassisk Autopilot registrerer OEM-en eller forhandleren enheten direkte i tenanten allerede før forsendelse. Den kan sendes rett til den ansatte, viser bedriftens branding ved første oppstart og setter seg selv opp uten at IT-avdelingen trenger å gripe inn.

For Device Association må dere foreløpig selv lese ut enhetsinformasjonen lokalt og laste den opp i Intune. Det fungerer godt for staging på lager, utrullinger med teknikere eller interne deployments, men ikke for direktelevering til brukerne. Microsoft har annonsert at OEM-er og partnere vil kunne forhåndstilordne enheter for Device Preparation, men uten noen tidsplan.

I tillegg dekker Device Preparation ennå ikke alle scenariene klassisk Autopilot håndterer:

• Pre-Provisioning: En partner installerer apper og anvender policyer allerede før levering, slik at ansatte starter med en nesten ferdig konfigurert enhet.
• Self-Deploying Mode: Kiosk- og delte enheter som rulles ut uten brukerinnlogging.
• Utvidede provisioning-alternativer: Flere apper under oppsett og muligheten til å låse skrivebordet til nødvendig brukerbasert konfigurasjon er fullført.
• Spesielle enhetsscenarioer: Teams Rooms og firmware-administrasjon via DFCI.

Så snart produsenter og forhandlere kan forhåndstilordne enheter for Device Preparation, vurderer vi anbefalingen vår på nytt. Strategien bak endres ikke: Den som planlegger en ny utrulling i dag, planlegger med Entra Join. En senere overgang fra klassisk Autopilot til Device Preparation berører da bare provisioning-veien for nye enheter, ikke forvaltningsmodellen, identitetsplattformen eller enhetsarkitekturen.

Uten Domain Join fungerer ikke enhetene våre

Det er noe vi hører stadig vekk. Teknologien bak Entra Join er moden og velutprøvd, og når det butter, skyldes det sjelden Entra Join i seg selv, men heller avhengigheter, prosesser og antakelser som har hopet seg opp rundt Active Directory over mange år.

• Gruppepolicyer: Mange virksomheter har langt flere GPO-er enn de trenger, og etter vår erfaring har en betydelig andel av dem ingen effekt lenger. Med vår blueprint kommer Entra-klienter i gang på få minutter på en velutprøvd og fleksibel baseline, som vi drifter fullt ut som Infrastructure as Code i Managed Intune og holder løpende oppdatert.
• Tilgang til on-premises-ressurser: Filservere, skrivere og interne webapplikasjoner er tilgjengelige også for Entra-joined enheter. Så lenge enheten når en Domain Controller, henter den Kerberos-billetter og logger på on-premises-ressurser med single sign-on, via Windows Hello for Business over Cloud Kerberos Trust. Dere bør likevel alltid teste disse scenariene med ekte brukere og ekte fagsystemer.
• Sertifikater og nettverkstilgang: Nettverks- og VPN-autentisering er ofte knyttet til maskinsertifikater fra en on-premises-CA som verifiseres via en Network Policy Server (NPS). For Entra-joined enheter distribuerer Intune sertifikatene, for eksempel via Microsoft Cloud PKI eller SCEPman, og nettverksautentiseringen håndteres av en skybasert RADIUS-løsning som RADIUSaaS.
• Pålitelige app-deployments: Når Autopilot-deployments feiler, skyldes det som regel ikke join-typen, men dårlig bygde eller ikke vedlikeholdte programvarepakker. Derfor bruker vi RealmJoin, vår Intune-ledsager med over 2 500 ferdigpakkede applikasjoner. Uavhengig av verktøy gjelder én tommelfingerregel: Ved førsteoppsett hører bare de appene hjemme på enheten som brukerne faktisk trenger første arbeidsdag. Alt annet kan rulles ut etterpå når enheten er i drift, eller gjøres tilgjengelig for selvinstallasjon i Intune Company Portal eller i RealmJoin App Catalog.

Konklusjon

Device Preparation kan ennå ikke alt som klassisk Autopilot kan. Retningen er likevel tydelig: Microsoft investerer i Entra Join, og Hybrid Join blir i stadig større grad et legacy-modell.

Det kan være fornuftig å videreføre eksisterende hybrid-joined enheter til slutten av livssyklusen, selv om det betyr at dere parallelt drifter en moderne og en klassisk forvaltningsmodell. Å rulle ut nye enheter med Hybrid Join i dag binder dere derimot til on-premises-avhengigheter gjennom én til hardwaresyklus, mens Microsoft videreutvikler provisioning og forvaltning for Entra Join.

Planlegger dere overgangen fra Hybrid Join til Entra Join, sliter dere med Autopilot-deployments, eller ønsker dere å administrere Windows-enhetene fullstendig via Intune, hjelper vi gjerne.

Kilder

• Moving from Windows Autopilot to Windows Autopilot device preparation (Microsoft Tech Community, september 2026)
• Introducing device association for Windows Autopilot device preparation (Microsoft Tech Community, august 2026)
• Compare Windows Autopilot device preparation and Windows Autopilot (Microsoft Learn)
• Windows Autopilot device association FAQ (Microsoft Learn)
• Microsoft Entra joined vs. hybrid joined (Microsoft Learn)