Terug naar de blog
21 augustus 2026

Windows Autopilot uitleg: zo werkt zero-touch provisioning

Handen die een netwerkkabel aansluiten in een serverkast

Windows Autopilot is de cloudtechnologie waarmee je nieuwe Windows-apparaten rechtstreeks vanuit de fabriek naar een werkklare, bedrijfsspecifieke staat brengt, zonder dat IT één image hoeft te bouwen. Het proces draait om drie stappen: je registreert het apparaat, je koppelt er een profiel aan in Intune en de gebruiker doorloopt een korte setup. Daarvoor heb je Intune en Microsoft Entra nodig.

Het resultaat is duidelijk:

  • Geen fysieke imaging of laptops die eerst langs IT moeten.
  • Medewerkers pakken een doos uit en kunnen snel aan de slag.
  • IT beheert profielen centraal, waar het apparaat ook staat.

Belangrijkste inzichten

Windows Autopilot maakt zero-touch provisioning mogelijk doordat hardware-registratie, een Intune-profiel en Microsoft Entra samen automatisch de volledige apparaatconfiguratie afhandelen zodra de gebruiker inlogt.

Punt Details
Kernproces in drie stappen Registreer de hardware-hash, wijs een profiel toe in Intune en laat de gebruiker inloggen.
Kies de juiste modus User-driven past bij de meeste MKB-teams; self-deploying alleen bij kiosks met TPM 2.0.
Regel licenties vooraf Controleer Intune en Microsoft Entra ID P1/P2 voordat je met de uitrol start.
Configureer ESP strak Blokkeer bureaubladtoegang tot kritische apps en beveiligingsbeleid zijn toegepast.
Laat het uitvoeren door ASTIA ASTIA verzorgt registratie, Intune-configuratie, ESP-instelling en doorlopende support voor MKB-klanten.

Inhoudsopgave

Wat is Windows Autopilot en waarom is het beter dan imaging?

Bij traditionele imaging bouw je een vast schijfbeeld, zet je dat op elk apparaat en stuur je het rond langs je serviceafdeling. Dat kost tijd, vraagt fysieke toegang tot elk toestel en werkt slecht zodra medewerkers thuis of op locatie werken. Windows Autopilot draait dat om: het apparaat haalt zijn configuratie zelf op zodra het voor het eerst online komt.

Dat werkt omdat Autopilot draait op drie onderling verbonden diensten. Microsoft Entra regelt de identiteit en registratie van het toestel in je tenant. Intune levert het beleid, de apps en de beveiligingsinstellingen. Windows Update for Business zorgt dat het apparaat vanaf dag één up-to-date blijft zonder handmatig ingrijpen.

Het grote voordeel zit in de logistiek. Je leverancier verstuurt het toestel direct naar de medewerker, ook als die in Rotterdam, Vianen of ergens onderweg zit. Zero-touch provisioning is precies daarom aanbevolen bij grootschalige uitrol: je schaalt zonder dat je IT-team evenredig meegroeit.

  • Geen tussenstop bij IT nodig
  • Configuratie en apps volgen automatisch het toegewezen profiel
  • Werkt ongeacht de fysieke locatie van het apparaat

Hoe verloopt het kernproces van Autopilot in de praktijk?

Elke Autopilot-uitrol volgt dezelfde onderliggende keten, ongeacht de grootte van je organisatie. Ken je deze drie stappen, dan begrijp je meteen waar je taken kunt beleggen binnen je team.

  1. Hardware-hash registreren. Elk toestel heeft een unieke hardware-hash. Die verzamel je via PowerShell, laat de OEM het rechtstreeks doen bij aankoop, of exporteert deze via de diagnostische OOBE-pagina van een bestaand toestel. Deze hash koppel je aan je Microsoft Entra-tenant.
  2. Profiel toewijzen in Intune. Zodra het apparaat geregistreerd staat, wijs je er een Autopilot-profiel aan toe. Dat profiel bepaalt de deployment-modus, de OOBE-schermen die verschijnen en welke instellingen automatisch worden toegepast.
  3. Gebruiker start op. De medewerker pakt het toestel uit, verbindt met wifi en meldt zich aan met het bedrijfsaccount. Vanaf dat moment downloadt het toestel zelf de juiste apps, beleidsregels en beveiligingsconfiguraties.

Na die aanmelding gebeurt het echte werk op de achtergrond: certificaten worden uitgerold, beveiligingsbeleid wordt toegepast en bedrijfsapps installeren zichzelf. De gebruiker ziet alleen een voortgangsscherm.

Welke deployment-modus past bij jouw organisatie?

Autopilot kent drie modi, en de keuze hangt vooral af van wie het toestel gebruikt en waar het staat.

  • User-driven mode is de standaard voor de meeste MKB-omgevingen. De medewerker doorloopt zelf de aanmelding, en volgens Microsofts eigen documentatie is dit voor gebruikersgerichte inzet de praktische norm bij hybride teams: bijna zero-touch voor IT, één korte handeling voor de gebruiker.
  • Self-deploying mode slaat de gebruikersaanmelding helemaal over en is bedoeld voor kiosks, vergaderzaalschermen of digitale signage. Deze modus vereist wel TPM 2.0 en apparaatattest, en ondersteunt geen virtuele machines.
  • Pre-provisioning (white-glove) laat een technicus of leverancier het grootste deel van de configuratie vooraf uitvoeren, waarna de eindgebruiker alleen nog persoonlijke instellingen afrondt. Handig als je apparaten via een reseller laat voorbereiden.

Werk je met veel thuiswerkers? Kies user-driven. Richt je een balie of productievloer in met vaste schermen? Dan is self-deploying logischer, mits je hardware aan de TPM-vereisten voldoet.

Wat heb je nodig aan licenties en hardware?

Voordat je begint, check je vier dingen: het besturingssysteem, de hardware, je Intune-abonnement en je Entra-licentie.

  • Windows-editie: Autopilot ondersteunt Windows 10 en Windows 11 Pro, Enterprise en Business-edities.
  • TPM 2.0: verplicht voor self-deploying en pre-provisioning; sterk aan te raden voor elke moderne bedrijfslaptop.
  • Intune: het platform waarmee je profielen, apps en beleid beheert.
  • Microsoft Entra ID: voor automatische MDM-inschrijving is Entra ID P1 of P2 de door Microsoft aanbevolen configuratie. Ook al lijkt basisregistratie soms zonder deze licentie te werken.

Controleer deze licenties vroeg in je planning. Niets is vervelender dan een uitrol die vastloopt op een ontbrekende Entra-licentie terwijl de dozen al onderweg zijn naar je medewerkers.

Hoe richt je Autopilot stap voor stap in?

Onderstaande volgorde werkt voor de meeste MKB-trajecten, van eerste test tot volledige uitrol.

  1. Exporteer de hardware-hash. Gebruik het PowerShell-script Get-WindowsAutopilotInfo of laat je OEM de hash meteen aanleveren. Bouw je een CSV-bestand zelf, houd dan de strikte formatvereisten aan: exact de juiste kolomnamen, hoofdlettergevoelige headers, en open het bestand in Kladblok, niet in Excel, om ongewenste opmaak te voorkomen.
  2. Importeer in Intune. Upload de CSV of laat OEM-registratie automatisch synchroniseren met je tenant. Wacht op de bevestiging dat elk toestel zichtbaar is in je apparatenlijst.
  3. Bouw je Autopilot-profiel. Kies de deployment-modus, pas OOBE-schermen aan (taal, licentievoorwaarden overslaan, gebruikersnaam) en configureer de Enrollment Status Page.
  4. Wijs het profiel toe aan een apparaatgroep, niet aan individuele toestellen. Dat scheelt beheer zodra je meer apparaten toevoegt.
  5. Test met een klein groepje. Draai de volledige flow op twee of drie representatieve toestellen voordat je de grote import doet.
  6. Documenteer en synchroniseer. Leg vast welke profielen bij welke afdeling horen en forceer een synchronisatie in Intune zodat wijzigingen direct doorwerken.

Pro-tip: Gebruik altijd één apart testprofiel met een kleine testgroep en representatieve hardware voordat je een grote batch toevoegt. Zo vang je ESP- en app-installatieproblemen op zonder dat honderd medewerkers tegen dezelfde fout aanlopen.

Welke operationele valkuilen zie je het vaakst?

De meeste Autopilot-problemen zijn te herleiden tot een paar terugkerende fouten, en die zijn stuk voor stuk te voorkomen.

  • Hardware niet vooraf geregistreerd. Gaat een toestel voor het eerst online zonder dat de hash al in je tenant staat, dan krijgt de gebruiker gewoon de standaard Windows-installatiewizard te zien in plaats van je bedrijfsprofiel. Spreek dit vooraf af met je leverancier.
  • Enrollment Status Page te losjes ingesteld. Zonder een strak geconfigureerde ESP kan een gebruiker het bureaublad bereiken terwijl kritische beveiligingsbeleid nog niet is toegepast. Bepaal expliciet welke apps en policies verplicht voltooid moeten zijn voordat het toestel vrijgegeven wordt.
  • Licenties niet gecontroleerd. Ontbrekende Entra-licenties leiden tot inschrijvingsfouten die pas bij de eerste medewerker opduiken, niet tijdens je test.
  • Co-management niet vooraf getest. Werk je al met Configuration Manager naast Intune, plan dan de workload-splitsing vroeg en test dit in een kleine pilot om beleidsconflicten te voorkomen.

Pro-tip: Vraag je hardwareleverancier expliciet om de hardware-hash mee te sturen bij bestelling. Dat ene verzoek scheelt je achteraf uren handmatig hashes verzamelen.

Hoe los je veelvoorkomende Autopilot-storingen op?

Loopt een uitrol vast, controleer dan eerst deze vier dingen voordat je verder zoekt.

  • Staat het toestel echt in je tenant? Controleer of de hardware-hash daadwerkelijk gekoppeld is aan het apparaat in Intune. Ontbreekt die koppeling, dan start het toestel gewoon de standaardinstallatie.
  • Is er een netwerkprobleem tijdens de OOBE? Time-outs bij het downloaden van updates of ESP-fouten komen vaak door trage of geblokkeerde wifi tijdens de eerste opstart.
  • Klopt de foutcode met een bekend patroon? Microsoft documenteert de meest voorkomende Autopilot-foutcodes met oplossingen op Microsoft Learn.
  • Blijft het probleem terugkomen bij meerdere toestellen? Dan wijst dat op een structureel profiel- of licentieprobleem, geen incident. Dat is het moment om een managed partner te laten meekijken in plaats van elk toestel los te fixen.

Waarom ASTIA Autopilot vaak adviseert bij MKB-klanten

Zodra een organisatie structureel meer thuis of hybride werkt, zien wij bij ASTIA dat losse imaging-trajecten simpelweg niet meer opschalen. Autopilot lost dat logistieke probleem op, mits de registratie, profielen en ESP goed staan ingericht.

Moderne kantoorwerkplek met een netwerkrek

Onze klanten krijgen van ons de volledige implementatie: registratie, Intune-configuratie, monitoring en doorlopende support, zodat IT zich niet hoeft te verdiepen in elke uitzondering.

Schema van het implementatieproces van Windows Autopilot

Autopilot laten inrichten en beheren door ASTIA

Autopilot zelf goed inrichten kost tijd: hashes verzamelen, profielen bouwen, ESP testen en dat allemaal foutloos herhalen bij elke nieuwe medewerker. Astia neemt dat volledige traject over als onderdeel van werkplekbeheer: wij verzorgen de apparaatregistratie, bouwen je Intune-profielen, stellen de Enrollment Status Page in en begeleiden de migratie van je bestaande vloot.

Astia

Werk je nu nog met handmatige imaging of loopt je huidige Autopilot-uitrol vast op ESP-fouten en licentievragen? Neem contact op via onze pagina over managed werkplekken en vraag een vrijblijvende doorlichting van je huidige provisioning-proces aan. Je krijgt binnen een paar dagen concreet advies over wat er nodig is om zero-touch daadwerkelijk zero-touch te maken.

Bronnen

Aanbeveling