Autopilot und Device Preparation: Troubleshooting
Eine Seite, um alles rund um Autopilot zu beheben. Häufige Probleme und Fehlercodes samt Lösungen!
Einleitung
Dieser Post ist ein direkter Troubleshooting-Leitfaden für Probleme mit Windows Autopilot oder Device Preparation in Intune. Alles zu Intune:
Auf einen Blick: häufige Probleme und Fehlercodes
- Internetverbindung und Firewall-/Proxy-Einschränkungen - stelle zuerst sicher, dass das Gerät Internet hat und alle Netzwerk-Endpunkte erreichbar sind
- Intune-/Entra-ID-Geräteeinschränkungen - Platform Restrictions sind konfiguriert, das Limit der Geräteanzahl ist überschritten, oder ein Deployment-Profil oder die Enrollment Status Page (ESP) ist falsch konfiguriert oder nicht zugewiesen.
- Intune-Lizenz - stelle sicher, dass der Benutzer, der das Gerät einrichtet bzw. sich in der Out-of-the-Box-Experience (OOBE) anmeldet, eine passende Intune-Lizenz zugewiesen hat.
- Hardware: TPM-Version - Windows 11 verlangt TPM 2.0. Besonders bei Self-Deploying-Geräten braucht es zusätzlich TPM Attestation, die auf einer VM nie möglich ist.
- Probleme bei der App-Installation - manche Apps lassen sich während der OOBE nicht installieren. Meist braucht die App eine Benutzereingabe, oder zu viele Apps sind für die Installation während des Enrollments vorgesehen. Ich empfehle höchstens 5 Apps für ein reibungsloses Deployment. Du kannst auch Apps aus dem Provisioning entfernen, um mögliche Probleme einzugrenzen. (Versuche, das Company Portal aus den erforderlichen Apps im Provisioning zu entfernen 😉)
Bei Windows Autopilot kannst du auf diese Fehlercodes stossen:
| Fehlercode | Ursache | Was tun |
|---|---|---|
| 801C0003 | Benutzer erreicht das Gerätelimit | In Intune die Enrollment Device Limit Restrictions prüfen |
| 80180018 | Dem Benutzer ist keine Intune-Lizenz zugewiesen | Dem Benutzer eine Intune-Lizenz zuweisen |
| 0x800705B4 | Probleme mit der TPM-Version | TPM prüfen und aktualisieren |
| 0x801c03ea | TPM Attestation fehlgeschlagen | TPM prüfen und aktualisieren |
| 0xc1036501 | Das Gerät kann kein automatisches MDM-Enrollment durchführen, weil in Entra ID mehrere MDM-Konfigurationen vorhanden sind | Genau eine MDM-Konfiguration als Ziel festlegen (Intune-Konfiguration prüfen) |
| 0x81039023 | Pre-provisioning-Technician-Flow oder Self-Deployment-Modus wegen TPM Attestation fehlgeschlagen | TPM prüfen und aktualisieren |
| 0x81039024 | Bekannte Schwachstellen im TPM erkannt | TPM-Firmware aktualisieren |
| 0x80180014 | Versuch, ein vorab bereitgestelltes oder Self-Deployment-Gerät erneut bereitzustellen | Den Geräteeintrag in Intune löschen und das Profil erneut bereitstellen |
| 0x801C03F3 | Gerät ist in Entra ID nicht vorhanden | Das Gerät erneut registrieren |
| 0x80070002 | Nur Hybrid Entra ID Join (HEIDJ): Gerät ist bereits mit Active Directory verbunden | Die Hybrid-Komponenten prüfen |
| 0x801c0003 | Entra-ID-Join-Fehler | Die EID-Gerätekonfiguration prüfen und erneut versuchen |
| 0x80180018 | MDM-Enrollment-Fehler | Die Intune-Konfiguration prüfen und erneut versuchen |
Troubleshooting im Intune-Portal und -Service
Dieser Abschnitt gibt einen Überblick über mögliche falsch konfigurierte Einstellungen im Intune- und Entra-ID-Portal. Du siehst immer eine kurze Beschreibung, die wahrscheinlichen (relevanten) Einstellungen, eine Navigation oder einen Link, wo du sie findest, und ein Beispielbild.
Entra ID
MDM- und MAM-Scope
Der MDM- und MAM-Scope legt fest, welche Benutzer Microsoft Intune über Entra ID zur Geräteverwaltung nutzen dürfen. Prüfe, ob der betroffene Benutzer Mitglied der gewählten Gruppe im MDM user scope ist, oder stelle auf «All» um.
Devices>Enroll devices>Automatic Enrollment
Device Join
Entscheidend ist, dass die Einstellung Users may join the device to Entra ID für die Autopilot-Benutzer aktiviert ist. Prüfe auch die Maximum number of devices per user, wenn ein Benutzer ohne Intune-/Geräteadmin-Rolle das Gerät einrichtet und Entra ID beitritt.
Intune
Enrollment Device Limit Restrictions
Für einen Benutzer ohne Intune-/Geräteadmin-Rolle kann eine Gerätelimit-Einschränkung gelten.
Devices>Enroll devices>Enrollment device limit restrictions (seitlich)
Enrollment Device Platform Restrictions
Prüfe die Platform Restriction und die blockierten Hersteller.
Devices>Enroll devices>Enrollment device platform restrictions (seitlich)
Device-Preparation-Profil
Stelle sicher, dass beim Speichern der Device-Preparation-Profile keine Probleme auftreten. Es erkennt mögliche Fehlkonfigurationen der Gerätegruppe automatisch. Die Gruppe, die du dort angibst, muss einen Owner haben:
Intune Autopilot ConfidentialClient (ist dieser nicht vorhanden, warte ein paar Minuten und füge Intune Provisioning Client hinzu).
Deployment-Profil
Stelle sicher, dass das Deployment-Profil die richtige Deployment method hat und alle Einstellungen wie gewünscht konfiguriert sind (meist kannst du die Standardwerte belassen). Stelle sicher, dass es der richtigen Gruppe zugewiesen ist, in der dein Device Hash oder dein Benutzer Mitglied ist.
Devices>Enroll devices>Deployment profile
Enrollment Status Page (ESP)
Die ESP kann ganz übersprungen (Show app and profile configuration progress) oder konfiguriert werden. Meist macht die Einstellung Block device use until required apps are installed if they are assigned to the user/device während Autopilot Probleme: Gib weniger als 5 Apps an. Stelle sicher, dass sie der richtigen Gruppe zugewiesen ist, in der dein Device Hash oder dein Benutzer Mitglied ist.
Devices>Enroll devices>Enrollment status page
Autopilot-Deployments überwachen
Navigiere in Intune zu devices>Monitor.
Hier findest du Reports für Autopilot und Device Preparation:
Jedes Enrollment ist hier mit Reporting-Daten in nahezu Echtzeit aufgelistet. Besonders Device Preparation bietet ein besseres Reporting mit Status der Enrollment-Phase, App-Installation und Fehlergründen.
Troubleshooting auf dem Gerät
Eine Eingabeaufforderung in der OOBE öffnen
Drücke Shift + (FN) F10, um eine cmd zu öffnen
Gib in der cmd «powershell» ein, um in eine PowerShell-Sitzung zu wechseln
Diese Kürzel kannst du in die Eingabeaufforderung tippen, um eine in Windows eingebaute Systemanwendung zu öffnen:
- explorer - Datei-Explorer
- eventvwr - Event Viewer
- control - Systemsteuerung
- devmgmt - Geräte-Manager
- taskmgr - Task-Manager
Drücke Win + R und tippe «ms-settings:», um die Windows-Einstellungen zu öffnen
MDMDiagnosticsTool
MDMDiagnosticsTool.exe ist dein vollständiges Reporting-Tool, um alle nötigen Logs zu erhalten! Führe es so aus:
mdmdiagnosticstool.exe -out c:\IntuneLogsEvent Viewer
Für ein detaillierteres Troubleshooting empfehle ich dir einen Blick auf die Event-Viewer-Kanäle zum Windows Provisioning. Das sind die wichtigsten:
Applications and Services Logs > Microsoft > Windows
- Devicemanagement-Enterprise-Diagnostics-Provider
- Moderndeployment-Diagnostics-Provider
- Provisioning-Diagnostics-Provider
- Aad-Operational
Policies und Apps beheben
Wenn bei Policies und Apps etwas schiefgeht, können auch andere Komponenten als der Provisioning-Dienst die Ursache sein. Dazu gehört vor allem die Intune Management Extension (IME), die für Apps und Scripts zuständig ist. Folge diesem Troubleshooting-Ablauf:
Mehr dazu im eigenen Post:
Was heisst das für Schweizer Firmen?
- Hast du noch ein lokales Active Directory, ist Hybrid Join naheliegend. Prüfe vor dem Autopilot-Projekt, ob du auf reinen Entra ID Join umstellen kannst, wie Microsoft es empfiehlt
- Bleib bei wenigen Apps in der ESP: Das hält das erste Anmelden für Mitarbeitende kurz und spart kleinen IT-Teams Support-Aufwand
- Mit Autopilot erhalten Geräte vom ersten Start an deine Policies. Das unterstützt die technischen Massnahmen, die das revDSG für die Datensicherheit verlangt (Art. 8 revDSG), ersetzt sie aber nicht
- Die Lizenz entscheidet früh: Ohne zugewiesene Intune-Lizenz scheitert das Enrollment mit dem Fehlercode 80180018
powered by Oceanleaf
Verwandte Beiträge
