Windows Autopilot uitgelegd: een nieuwe laptop klaar zonder IT-bezoek

Windows Autopilot is een dienst van Microsoft waarmee een nieuwe Windows-laptop zichzelf inricht voor je bedrijf. Je medewerker pakt de laptop uit, maakt verbinding met internet en logt in met het werkaccount. Daarna koppelt de laptop zich aan je organisatie in Microsoft Entra ID, schrijft hij zich in bij Microsoft Intune en haalt hij de apps, instellingen en beveiliging op die voor die medewerker klaarstaan. Niemand van IT hoeft de laptop aan te raken.

Dit artikel gaat over Windows Autopilot voor het uitrollen van Windows-apparaten, niet over andere producten die ook Autopilot heten. Je leest hoe het werkt, welke varianten er zijn, wat je nodig hebt en waar het misgaat.

Wat is Windows Autopilot precies?

Vroeger richtte IT een laptop in met een image: een kopie van Windows met alle software erin, die je per model moest bijhouden. De laptop kwam eerst naar kantoor, werd gewist en opnieuw geïnstalleerd.

Autopilot gebruikt de Windows-installatie die de fabrikant al op de laptop heeft gezet en maakt die bedrijfsklaar. Tijdens de eerste opstart past het je instellingen en beleid toe, installeert het apps en kan het de editie omzetten, bijvoorbeeld van Windows Pro naar Enterprise. Images en drivers per model onderhouden is dus niet meer nodig.

Hoe werkt Windows Autopilot stap voor stap?

1. De laptop wordt geregistreerd

Elke laptop heeft een unieke hardware-identiteit, de hardware-hash, met onder meer fabrikant, model en serienummer. Die moet bij de Autopilot-dienst bekend zijn en aan jouw organisatie gekoppeld. Pas dan weet de laptop bij de eerste start bij wie hij hoort.

Die registratie doet bij voorkeur de leverancier of je IT-partner bij aankoop, met gegevens van de verpakking of de fabrikant. Een beheerder van jouw organisatie geeft de partner daarvoor toestemming.

Zelf registreren kan ook: je leest de hardware-hash uit en uploadt die in Intune. Daarvoor moet de laptop wel eerst in Windows opstarten. Laptops die al als bedrijfsapparaat in Intune staan, laat je automatisch omzetten naar Autopilot.

2. Je wijst een deploymentprofiel toe

In het deploymentprofiel in Intune leg je vast hoe de eerste opstart verloopt: welke variant, welke taal en welk toetsenbord, of licentie- en privacyschermen worden overgeslagen, of de medewerker lokale beheerder wordt of standaardgebruiker, en welk naamsjabloon de laptop krijgt. Het profiel koppel je aan een groep apparaten.

3. De medewerker logt in met het werkaccount

De medewerker zet de laptop aan, maakt verbinding met internet en ziet een aanmeldscherm met de naam en het logo van je organisatie. Inloggen gaat met het zakelijke e-mailadres, het wachtwoord en zo nodig MFA. De laptop wordt lid van Entra ID en schrijft zich automatisch in bij Intune. Wie hier inlogt, wordt in Intune de primaire gebruiker.

4. Intune levert, de Enrollment Status Page houdt bij

Intune stuurt nu de apps, beveiligingsinstellingen, wifi-profielen en certificaten die aan de laptop en de gebruiker zijn toegewezen. De Enrollment Status Page (ESP) toont de voortgang, eerst voor het apparaat en daarna voor het account.

Je kunt de ESP laten wachten tot de belangrijkste apps er staan, zodat niemand op een half ingerichte laptop begint. Je bepaalt ook na hoeveel minuten de ESP een foutmelding geeft (standaard 60) en welke tekst erbij staat, bijvoorbeeld het nummer van je helpdesk.

Welke varianten van Windows Autopilot zijn er?

Autopilot kent drie werkwijzen. Daarnaast is er sinds 3 juni 2024 een nieuwere variant: Windows Autopilot device preparation.

User-driven is voor de meeste MKB-bedrijven de standaard.

Self-deploying werkt zonder gebruikersaccount en vraagt een TPM 2.0-chip. Er komt geen primaire gebruiker op het apparaat, dus het past bij gedeelde apparaten.

Pre-provisioning splitst het werk. Een technicus of je IT-partner drukt in het eerste scherm vijf keer op de Windows-toets en laat het apparaatdeel alvast installeren. De medewerker doorloopt daarna alleen nog het accountdeel. Ook hiervoor is TPM 2.0 nodig.

Windows Autopilot device preparation vraagt geen registratie vooraf. Het beleid hangt aan een groep gebruikers en de laptop komt bij de inschrijving direct in een vaste apparaatgroep. Tijdens de inrichting installeert het een beperkte lijst essentiële apps en scripts, en een rapport toont bijna live hoe elke uitrol verloopt. Wel geldt: alleen Windows 11, alleen Entra join, en geen pre-provisioning, self-deploying of Autopilot Reset. Per laptop draait altijd maar één van beide varianten.

Wat heb je nodig voor Windows Autopilot?

• Microsoft Entra ID met automatische inschrijving in Intune, waarvoor Entra ID P1 of P2 nodig is.
• Microsoft Intune, of een andere MDM-dienst die met Autopilot samenwerkt.
• Een passende licentie per gebruiker, zoals Microsoft 365 Business Premium, E3, E5, F1 of F3, of Entra ID P1 met een los Intune-abonnement. Business Basic en Business Standard bevatten geen Entra ID P1 en geen Intune. Actuele prijzen vind je bij Microsoft 365-licenties en prijzen.
• Windows 11 Pro, Enterprise of Education. Windows Home staat niet in Microsofts lijst.
• Gebruikers die apparaten aan Entra ID mogen koppelen, voor de user-driven variant.
• Internet, met toegang tot de Microsoft-diensten die Autopilot gebruikt.

Wijs de licentie ook echt toe: zonder Intune-licentie blijft de ESP volgens Microsoft hangen. En nieuwe laptops koppel je volgens Microsoft het best alleen aan Entra ID, niet meer ook aan een lokaal Active Directory-domein.

Wat levert Windows Autopilot het MKB op?

Een nieuwe medewerker krijgt de laptop rechtstreeks van de leverancier, ook thuis. Op de eerste werkdag is het inloggen en beginnen.

Een kapotte of gestolen laptop vervang je snel. De medewerker logt in op de nieuwe laptop en krijgt dezelfde inrichting. Staan de bestanden in OneDrive of SharePoint, dan kan de medewerker verder zodra die gesynchroniseerd zijn.

Een laptop hergebruiken gaat met Autopilot Reset, die je vanuit Intune op afstand start. Persoonlijke bestanden, apps en instellingen verdwijnen, de koppeling met Entra ID en Intune blijft. De volgende gebruiker logt in en wordt de nieuwe primaire gebruiker.

Geen image meer. Een nieuw laptopmodel betekent geen nieuw image.

Standaardgebruiker vanaf de start. Niemand begint op een laptop met volledige beheerrechten.

Waar gaat het mis? De bekendste valkuilen

De laptop is niet geregistreerd. Een laptop die snel in een winkel is gekocht, kent Autopilot niet. Windows start dan de gewone installatie, zonder jouw instellingen. Spreek met je leverancier af dat hij elke laptop registreert, en controleer voor het uitpakken of het apparaat met een profiel in Intune staat.

Iemand anders logt als eerste in. Wie bij de eerste opstart inlogt, wordt de primaire gebruiker. Laat de laptop dus niet "even klaarzetten" met een ander of gedeeld account. Is dat gebeurd, reset hem dan.

Geen of beperkt internet. Zonder verbinding haalt de laptop geen profiel op. Wifi met een aanmeldpagina, zoals in een hotel, of een strenge firewall vraagt extra instellingen.

Apps die lang duren. Hoe meer en grotere apps tijdens de ESP moeten landen, hoe langer de medewerker wacht, tot de tijdslimiet een foutmelding geeft. Laat de ESP alleen wachten op apps die echt nodig zijn om te beginnen. Microsoft waarschuwt ook om MSI-pakketten en Win32-apps niet te combineren, omdat de installaties elkaar blokkeren.

Een nieuw moederbord. Na zo'n reparatie herkent Autopilot de laptop niet meer en moet hij opnieuw worden geregistreerd.

Hoe past Autopilot bij Intune?

Autopilot regelt het begin: de laptop koppelen aan je organisatie en inschrijven. Intune doet alles daarna: apps leveren, updates en beveiliging bijhouden, BitLocker en Defender aanzetten en controleren of een laptop aan je eisen voldoet. Meer daarover lees je in wat is Microsoft Intune.

Autopilot is dus zo goed als je inrichting in Intune. Zonder klaargezette apps en beleid levert het een lege laptop op. Het meeste werk zit in de voorbereiding: welke apps krijgt iedereen, welke instellingen gelden en wie mag wat.

Samen dekken ze de hele levensloop: Autopilot bij de start, Intune tijdens het gebruik, Autopilot Reset bij een nieuwe gebruiker. Gaat een laptop definitief de deur uit, haal hem dan uit Intune en uit Autopilot.

Hoe wij het doen

Bij Virtual Computing hoort Autopilot bij ons Intune-apparaatbeheer. We werken met een user-driven profiel waarin de medewerker standaardgebruiker is, een Enrollment Status Page die wacht tot de belangrijkste apps er staan, en een foutmelding die naar onze support verwijst. Laptops die al in Intune staan, zetten we om naar Autopilot, en een privé-pc kan zich niet per ongeluk bij je bedrijf inschrijven. Beheer van eigen laptops en pc's via Intune kost bij ons vanaf €10 per device per maand. Hoe dat past in je hele werkplek, lees je bij Modern Workplace en werkplekbeheer.