Autopilot Device Preparation blir standard, Hybrid Join hamnar på efterkälken

Microsoft förklarade Autopilot Device Preparation i september som det rekommenderade förfarandet för user-driven Windows-driftsättningar. Det nya modellen är enklare uppbyggd och körs stabilare, men stöder bara Entra Join. Den som fortfarande hybrid-jointar nya enheter bör titta noga på just det, eftersom denna begränsning väger tyngre än frågan om vilket provisioneringsverktyg som är rätt.

Det viktigaste i korthet

• Ny rekommendation: Microsoft rekommenderar Autopilot Device Preparation sedan september för user-driven enrollments, eftersom driftsättningar därmed går snabbare och mer tillförlitligt.
• Bara Entra Join: Device Preparation stöder uteslutande Entra Join, Hybrid Join är inte avsett i det nya modellen.
• Ingen in-place-övergång: Microsoft erbjuder ingen stödd väg att byta en hybrid-jointad enhet till Entra Join utan återställning. Den som rullar ut nya enheter som hybrid idag provisionerar om dem senare eller förblir ytterligare en hårdvarucykel beroende av on-premises-teknik.
• Inget avvecklingsdatum: Klassisk Autopilot och Device Preparation existerar parallellt inom överskådlig tid.
• Vår rekommendation: Det avgörande är join-typen, inte verktyget. För nya enheter håller vi fast vid klassisk Autopilot med Entra Join, eftersom tillverkare och återförsäljare då kan registrera enheterna redan före leverans. Den zero-touch-vägen erbjuder Device Preparation ännu inte.

Källa: Microsoft Learn, Compare Windows Autopilot device preparation and Windows Autopilot

Vad Microsoft har meddelat

I mitten av september beskrev Microsoft i Intune Customer Success Blog hur övergången från klassisk Windows Autopilot till Device Preparation ska se ut. Budskapet är tydligt: för user-driven driftsättningar är Device Preparation nu den rekommenderade vägen.

Tekniken i sig är inte ny: Device Preparation finns sedan 2024 som en ombyggd variant av Autopilot som fungerar enklare och mer tillförlitligt och visar driftsättningar nästan i realtid. Fram till nyligen hade den dock ett gap, eftersom enheten inför den första inloggningen inte visste vilken tenant den tillhörde. Det gapet täppte Device Association till i slutet av augusti. Med den kopplar ni en Windows-enhet till er tenant redan innan driftsättningen, och den identifieras automatiskt som en företagsenhet, tilldelas ett bestämt namn och en anpassad out-of-box-experience, innan användaren ens har slutfört installationen.

Ni behöver inte byta omedelbart. Klassisk Autopilot och Device Preparation kan köras parallellt i samma tenant, men varje enhet använder bara ett av de två modellerna. Är en enhet både registrerad för Autopilot och kopplad via Device Association har Association företräde.

En policy i stället för fyra byggblock

Klassisk Autopilot består av deployment-profiler, Enrollment Status Page, Group Tags och dynamiska grupper. Device Preparation klarar sig med en enda provisioningspolicy som styr vad som händer under out-of-box-experience (OOBE), från enhetsinställningar till appar, skript och enhetsnamn. I praktiken innebär det:

• Snabbare tilldelningar: Vid enrollment hamnar enheter via Enrollment Time Grouping omedelbart i en statisk Entra-grupp. Appar och skript som är tilldelade den gruppen är direkt tillgängliga under provisioneringen, utan att behöva vänta på att dynamiska grupper utvärderas.
• Tydlig fasuppdelning: Under provisioneringen installeras bara enhetsrelaterade inställningar och de appar som verkligen behövs. Allt användarrelaterat följer när skrivbordet är uppe, vilket gör den initiala installationen kortare och mindre felbenägen.
• Bättre rapportering: Varje driftsättning är synlig nästan i realtid, med betydligt mer detaljer än i klassisk Autopilot, vilket gör felsökning märkbart enklare.

Device Preparation stöder bara Entra Join

Device Preparation stöder bara Entra Join. Hybrid Join är inte avsett i den nya arkitekturen, och inget i Microsofts meddelanden tyder på att det kommer att ändras. Klassisk Autopilot kan fortfarande hantera Hybrid Join, men Microsofts utveckling siktar tydligt mot driftsättningar utan Domain Controller. På Microsoft Learn framgår det numera även uttryckligen:

„Microsoft recommends deploying new devices as cloud-native using Microsoft Entra join. Deploying new devices as Microsoft Entra hybrid join devices isn't recommended …"

Den som har kört Hybrid Join med Autopilot känner till utmaningarna: under provisioneringen måste enheten nå en Domain Controller, Intune Connector for Active Directory måste vara tillgänglig och fungera, och grupprinciper körs parallellt med Intune. Det är precis dessa beroenden som orsakar eller bromserar de flesta driftsättningar. För oss har Hybrid Join därför alltid varit en övergångslösning och aldrig målet.

En Entra-jointad enhet behöver vid installationen inget annat än en internetanslutning. Konfiguration, appar, uppdateringar och efterlevnadsprinciper levereras helt via Intune, och åtkomsten till företagsresurser styrs av Conditional Access. Det passar en arbetsvardag som i allt större utsträckning utspelar sig utanför företagsnätverket, i hemmet, på resande fot eller någonstans däremellan.

Hos oss kallas detta princip sedan många år för "Starbucks Deployment", och redan 2019 belönades vi för det med Microsoft Global Modern Desktop Partner of the Year Award.

Vägen från Hybrid till Entra Join går via en återställning

En punkt är avgörande för planeringen: en hybrid-jointad enhet kan på ett stöttat sätt bara omvandlas till en Entra-jointad enhet via en återställning. Varje enhet ni rullar ut som hybrid idag måste alltså provisioneras om när ni byter till Entra Join.

Det låter vid första anblick som mycket arbete, men det går att planera ordnat i praktiken. Vanligast är att bytet sker i takt med den normala hårdvarucykeln: nya enheter kommer direkt med Entra Join, medan de hybrid-jointade successivt fasas ut. Den som vill ta klivet till molnet snabbare återinstallerar befintliga enheter i vågor med Entra Join.

Varför vi ändå rekommenderar klassisk Autopilot

Vi rekommenderar ändå inte att byta till Device Preparation ännu. För nya enheter rekommenderar vi fortsatt klassisk Autopilot, men då konsekvent med Entra Join.

Det viktigaste skälet är kopplingen till tillverkare och återförsäljare. Med klassisk Autopilot registrerar OEM eller återförsäljaren enheten direkt i er tenant redan innan leverans. Den kan skickas direkt till medarbetarna, visar er branding vid första start och konfigurerar sig själv utan att IT behöver ingripa.

För Device Association måste ni för närvarande själva läsa av enhetsinformationen lokalt och ladda upp den i Intune. Det fungerar bra för staging i lager, utrullningar med tekniker eller interna driftsättningar, men inte för direktleverans till användarna. Microsoft har aviserat att OEM och partner i framtiden ska kunna förtilldela enheter, men utan tidplan.

Därtill finns scenarier som Device Preparation ännu inte täcker fullt ut:

• Pre-Provisioning: En partner installerar appar och tillämpar principer redan innan leverans, så att medarbetarna startar med en nästan färdigkonfigurerad enhet.
• Self-Deploying Mode: Kiosk- och delade enheter som rullas ut utan användarinloggning.
• Utökade provisioneringsalternativ: Fler appar under installationen och möjligheten att låsa skrivbordet tills den nödvändiga användarrelaterade konfigurationen är klar.
• Speciella enhetsscenarier: Teams Rooms och firmware-hantering via DFCI.

Så snart tillverkare och återförsäljare kan förtilldela enheter för Device Preparation ser vi över vår rekommendation. Strategin bakom förändras inte av det: den som planerar en ny driftsättning idag planerar med Entra Join. En senare övergång från klassisk Autopilot till Device Preparation påverkar då bara provisioneringsvägen för nya enheter, inte hanteringsmodellen, identitetsplattformen eller enhetsarkitekturen.

„Utan Domain Join fungerar inte våra enheter"

Den meningen hör vi hela tiden. Tekniken bakom Entra Join är mogen och beprövad, och när det kärvar beror det sällan på Entra Join i sig, utan på beroenden, processer och antaganden som har samlats på hög kring Active Directory under åren.

• Grupprinciper: Många organisationer har betydligt fler GPO:er än de behöver, och enligt vår erfarenhet är en ansenlig del av dem inte längre aktiva. Med vår blueprint startar Entra-klienter på några minuter på en beprövad och flexibel baslinje som vi i Managed Intune driver helt som Infrastructure as Code och löpande håller aktuell.
• Åtkomst till on-premises-resurser: Filservrar, skrivare och interna webbapplikationer förblir nåbara även för Entra-jointade enheter. Så länge enheten når en Domain Controller hämtar den Kerberos-biljetter och loggar in på on-premises-resurser via single sign-on, med Windows Hello for Business via Cloud Kerberos Trust. Dessa scenarier bör ni ändå alltid testa med riktiga användare och riktiga verksamhetssystem.
• Certifikat och nätverksåtkomst: Nätverks- och VPN-autentisering är ofta kopplad till datorcertifikat från en on-premises-CA som kontrolleras via en Network Policy Server (NPS). För Entra-jointade enheter distribuerar Intune certifikaten, till exempel via Microsoft Cloud PKI eller SCEPman, och nätverksautentiseringen hanteras av en molnklar RADIUS-lösning som RADIUSaaS.
• Tillförlitliga app-driftsättningar: När Autopilot-driftsättningar misslyckas beror det vanligtvis inte på join-typen utan på dåligt byggda eller underhållna programvarupaket. Därför använder vi RealmJoin, vår kompletterande lösning till Intune med mer än 2 500 färdigpaketerade applikationer. Oavsett vilket verktyg som används gäller: vid den initiala installationen hör bara de appar till enheten som användaren verkligen behöver dag ett. Allt annat installeras efteråt när enheten är i drift, eller finns tillgängligt för självinstallation i Intune Company Portal eller i RealmJoin App Catalog.

Slutsats

Device Preparation kan ännu inte allt som klassisk Autopilot kan. Riktningen är ändå tydlig: Microsoft investerar i Entra Join, och Hybrid Join blir alltmer ett legacy-modell.

Att köra befintliga hybrid-jointade enheter till slutet av deras livscykel kan vara rimligt, även om ni då parallellt underhåller ett modernt och ett klassiskt hanteringsmodell. Att däremot rulla ut nya enheter som hybrid idag binder er ytterligare en hårdvarucykel till on-premises-beroenden, medan Microsoft fortsätter att utveckla provisionering och hantering för Entra Join.

Om ni planerar övergången från Hybrid Join till Entra Join, kämpar med era Autopilot-driftsättningar eller vill hantera era Windows-enheter helt via Intune hjälper vi gärna.

Källor

• Moving from Windows Autopilot to Windows Autopilot device preparation (Microsoft Tech Community, september 2026)
• Introducing device association for Windows Autopilot device preparation (Microsoft Tech Community, augusti 2026)
• Compare Windows Autopilot device preparation and Windows Autopilot (Microsoft Learn)
• Windows Autopilot device association FAQ (Microsoft Learn)
• Microsoft Entra joined vs. hybrid joined (Microsoft Learn)