はじめに

Windows Autopilot には、いくつかのシナリオがあります。
この記事では、そのなかから Active Directory に参加する場合のシナリオについて公開情報のチュートリアルに沿って画面キャプチャ付きで、手順を紹介しています。

Intune での Windows Autopilot ユーザー駆動型Microsoft Entraハイブリッド参加のステップバイステップチュートリアル
https://learn.microsoft.com/ja-jp/autopilot/tutorial/user-driven/hybrid-azure-ad-join-workflow?wt.mc_id=MVP_407731

その他の Autopilot
Microsoft Entra Hybrid Join（ADDS のドメイン参加）ではなく、Microsoft Entra Join（テナントへの Join）の場合は、以下の記事を参照してください。

Windows Autopilot：ユーザー駆動モードの手順
https://qiita.com/carol0226/items/1e8023611f74f158c38c

※Hybrid 構成は難易度が高いため、Autopilot が初めての場合は、上記の記事を先にマスターすることをお勧めします。

本手順の位置づけ

私が Microsoft Entra 関係で記載している記事で共通で使っている表です。
私なりに、機能を分類してコンポーネントに分割しています。
このうち、本手順は、以下のエリアが対象となります。

分類	コンポーネント	備考
デバイスの手配	A-③ IT 部門	IT 部門がデバイスを購入する
OSキッティング（個人）	C-⑥ Autopilot ユーザー駆動モード	デバイスを利用者へ直接受け渡し利用者の手元で展開を実施
ユーザー管理	D-➂ Microsoft Entra Hybrid Join オンプレドメイン参加	Autopilot の工程の中で、 Active Direcotory に自動的にドメイン参加される
デバイス管理	E-③ Intune 自動登録	MDM の自動登録の構成によって、 Intune にも自動登録される

完全パスワードレス対応 について
私は、並行して FIDO2 を使った完全パスワードレスについての研究を行っています。
＠carol0226 による FIDO2 の公開ストックリスト
https://qiita.com/carol0226/stocks/3670cb8678daed11b191

そのため、ドメイン参加の Autopilot 実行時にも、最後までパスワードを使用せずに Autopilot 展開を終えられるのかどうか・・・もあわせて評価しています。

★FIDO2 を使っていない人もこの記事でドメイン参加の Autopilot を構成できますので、安心してください。

1. 前提事項

1-1. 前提となる環境

以下の記事に Microsoft Entra Hybrid Join を構成するためのノウハウを説明しています。
この構成を実施済みであれば、おおむね本件の前提事項も満たされます。

Microsoft Entra ハイブリッド参加（旧HAADJ）を構成してみた
https://qiita.com/carol0226/items/7c16c4813e2b54a76789

Windows デバイスを Intune に自動登録する
https://qiita.com/carol0226/items/e75b04f2a6a99fa6bcf7

FIDO2 にも対応させる場合は、同時に以下の構成も実施してください。

オンプレドメインの初回ログオンから完全パスワードレスの運用 (物理 PC 対応版)
https://qiita.com/carol0226/items/bb985634fde0a5445310

1-2. システム要件

以下の公開情報に、詳細なシステム要件が記載されています。

公開情報：要件（全般）
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#requirements

公開情報：要件（デバイスの登録）
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=device-enrollemnt-requirements#requirements

公開情報：要件（Intune コネクタ）
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=intune-connector-requirements#requirements

1-3. サンプルアーキテクチャ

ネットワーク構成図

VPN の構成は、以下の記事の方法を使っています。

Azure Marketplace の OpenVPN を使って超簡単・安価にリモートアクセスを可能にする
https://qiita.com/carol0226/items/7a9160b298b736aa187e

私の検証環境 （上記構成図の「オンプレ環境」部分）

ルーター OpenVPN Client
物理環境側のルーターは、以下の GL.iNet 社の GL-AXT1800 を使っています。
このルーターは、OpenVPN のプロファイルを Web の設定画面で読み込ませるだけで繋がるし、物理スイッチを使って、VPN の接続を ON/OFF できるので、このような環境を作る際に非常に重宝しています。
https://www.amazon.co.jp/GL-iNet-GL-AXT1800-WiFiルーターWiFi6-1201Mbps-wiregurad対応/dp/B0B4S2V99D

2.構築

以下の流れで作業を行います。7つの章に分かれています。
2-1. Active Directory 用 Intune コネクタをインストールする
2-2. OU 上にコンピューターオブジェクトを作成できるようにする (省略可能)
2-3. Windows Autopilot デバイスを登録する
2-4. デバイスグループを作成する
2-5. Windows Autopilot 展開プロファイルを作成して割り当てる
2-6. (省略可能) 登録状態ページを有効にする
2-7. ドメイン参加プロファイルを作成して割り当てる

2-1. Active Directory 用 Intune コネクタをインストールする

この章では、Hybrid Join 構成を成立させるためにキッティング時にコンピューターオブジェクトをドメインコントローラー上に作成するためのモジュールである Intune コネクタをセットアップしていきます。
2-1-1. Active Directory 用 Intune コネクタをダウンロードする
2-1-2. Active Directory 用 Intune コネクタをサーバーにインストールする
2-1-3. Active Directory 用 Intune コネクタにサインインする
2-1-4. Active Directory 用 Intune コネクタがアクティブであることを確認する

公開情報：Active Directory 用 Intune コネクタをインストールする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#install-the-intune-connector-for-active-directory

2-1-1. Active Directory 用 Intune コネクタをダウンロードする

1．任意のコンピューター上で、 Microsoft Intune 管理センターにサインインします。
※Intune コネクタを導入予定のサーバー上でも構いません。
https://intune.microsoft.com

2．ホーム 画面で、左側のウィンドウで デバイス を選択します。

3．デバイス概要画面の プラットフォーム別 で Windows を選択します。

4．左ペインの デバイスオンボーディング で、登録を選択します。

5．Windows | 登録 画面の Windows Autopilot で、Active Directory の Intune コネクタ を選択します。

6．Active Directory の Intune コネクタ 画面で、追加を選択します。

7．開いた コネクタの追加 ウィンドウの Active Directory の Intune コネクタを構成する で、オンプレミスの Active Directory の Intune コネクタをダウンロード を選択します。

ODJConnectorBootstrapper.exe というファイルがダウンロードされます。

公開情報：Active Directory 用 Intune コネクタをダウンロードする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#download-the-intune-connector-for-active-directory

2-1-2. Active Directory 用 Intune コネクタをサーバーにインストールする

Intune Connector を導入するサーバーはどれ？

私の検証環境では、Active Directory (AD DS) , Microsoft Entra Connect と同居させても動作していました。PoC であれば、これで十分です。

本番環境の場合を想定すると、AD DS と Entra Connect は分離している場合が多いですし、Intune Connector はインターネット接続を必要とするので、Entra Connect と同居が良いのではないかと思います。
Entra Connect を冗長化していた場合、Intune Connector も同じサーバーへ複数導入しての冗長化で良いと思います。

インストール手順

1．ローカル管理者権限を持つアカウントを使用して、Active Directory 用 Intune コネクタ をインストールする予定のサーバーにサインインします。
※前章でダウンロードしたモジュール (ODJConnectorBootstrapper.exe) を上記のサーバーにコピーしてください。

注意点
従来の Intune Connector for Active Directory がインストールされている場合は、新しいモジュールをインストールする際にアンインストールが指示されるようです。詳細については、Intune Connector for Active Directory のアンインストール を参照してください。

2．ダウンロードした ODJConnectorBootstrapper.exe ファイルを実行します。Intune Connector for Active Directory セットアップが起動されるため、規約に同意し、インストール を実行します。

オプション を選択した場合は？
以下の通り、インストールするパスを指定することができます。

3．進捗状況を見守ります。

4．正常に完了したら、今すぐ構成する を選択します。

以下の画面が表示されたら・・・
OK を押して、導入してください。

この画面は WebView2 Runtime というコンポーネントが必要だという意味です。
Intune コネクタでは、WebView2 という仕組みを使って、Web ブラウザのような画面をアプリの中に表示する仕組みがあります。特に認証（ログイン処理など） を行うときに、この仕組みが使われています。

（WebView2 Runtime のインストール手順）

赤枠の箇所の Download を押します。
赤枠の箇所の Download を押します。
同意してダウンロード のリンクを押します。
ダウンロードされた MicrosoftEdgeWebview2Setup.exe を実行します。
ブラウザは 閉じる ボタンを押して終了させます。
インストール中は、以下のウィンドウが表示されています。
インストールが終わると、特に何もメッセージなどは表示されずに、ウィンドウが閉じます。
設定パネルで導入された結果を確認することができます。

5．設定パネルで以下のように Intune コネクタが導入されていることが確認できます。

公開情報：サーバーに Intune Connector for Active Directory をインストールする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#install-the-intune-connector-for-active-directory-on-the-server

2-1-3. Active Directory 用 Intune コネクタにサインインする

1．スタートボタンから Intune connector for Active Directory を探して、起動します。

2．Active Directory の Intune コネクタ ウィンドウで サインイン を選択します。

3．サインイン タブで、Intune 管理者ロールを持つ Microsoft Entra ID 資格情報を使用してサインインします。ユーザーアカウントに Intune ライセンスが割り当てられている必要があります。サインインプロセスが完了するまでに数分かかる場合があります。

※この場面で FIDO2 を使ったパスワードレス認証もサポートされていました。

4．サインインプロセスが完了したら、Active Directory の Intune コネクタが正常に登録されました と表示されます。
OK を選択してウィンドウを閉じます。

5．管理されたサービスアカウントが正常に設定されました と表示されます。
冒頭のダブルコーテーションで括られた名前は、##### が 5 文字のランダム文字である msaODJ##### 形式でネーミングされており、MSA アカウントと呼ばれます。

ポイント
上記のウィンドウで表示された MSA の名前をメモしておいてください。
MSA の名前は、後で、コンピューターオブジェクトを OU に作成できるように MSA を構成するために必要になる場合があります。

なお、メモし忘れた場合は、下図のキャプチャで 登録されたサービスアカウントを構成する のボタンを押せば再表示することができます。

6．登録タブで、 Active Directory の Intune コネクタが登録されたことを確認します。サインイン ボタンがグレーアウトされ、管理されたサービスアカウントを構成する が有効になっていれば OK です。

7．Active Directory の Intune コネクタ ウィンドウを閉じます。

公開情報：Active Directory 用 Intune コネクタにサインインする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#sign-in-to-the-intune-connector-for-active-directory

2-1-4. Active Directory 用 Intune コネクタがアクティブであることを確認する

1．Intune 管理センターの画面に戻ります。
以下の表示が残っていれば ✖ を押して閉じます。

2．Active Directory の Intune コネクタ ページで、最新の情報に更新 を押します。

コネクタ名 にサーバーが表示され状態に アクティブ と表示されていることを確認します
バージョンが 6.2501.2000.5 以上であることを確認します。

※サーバーが表示されない場合はしばらく待って 最新の情報に更新 を押してみてください。

コネクタ名が表示されない場合
（Intune エンドポイントとの疎通問題）
Intune コネクタを導入したサーバーがインターネット上の Intune エンドポイントまで疎通できていない可能性が考えられます。

公開情報：Microsoft Intune のネットワークエンドポイント
https://learn.microsoft.com/ja-jp/intune/intune-service/fundamentals/intune-endpoints?wt.mc_id=MVP_407731

（プロキシ環境の場合）
ネットワーク環境で Web プロキシがある場合は、以下の公開情報を参考に、 Intune Connector for Active Directory がプロキシ経由で疎通できるように構成します。

公開情報：Web プロキシ設定の構成
https://learn.microsoft.com/ja-jp/autopilot/autopilot-hybrid-connector-proxy?wt.mc_id=MVP_407731

（その他のチェックポイント）
以下の要件やトラブルシューティングのページも確認してみてください。

公開情報：要件（Intune コネクタ）
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=intune-connector-requirements#requirements

公開情報：Intune Connector for Active Directory のトラブルシューティング
https://learn.microsoft.com/ja-jp/autopilot/troubleshooting-faq?wt.mc_id=MVP_407731#intune-connector-for-active-directory------------

公開情報：Intune Connector for Active Directory がアクティブであることを確認する
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#verify-the-intune-connector-for-active-directory-is-active

2-2. OU 上にコンピューターオブジェクトを作成できるようにする (省略可能)

既定では、MSA は Computers コンテナーにコンピューターオブジェクトを作成することしかできません。

MSA には、組織単位 (OU) でコンピューターオブジェクトを作成するためのアクセス権が無いため、MSA が OU でオブジェクトを作成できるようにするには、追加の構成が必要です。

ポイント
Autopilot で展開された PC を特定の OU に始めから所属させたい場合に本設定が必要になります。

2-2-1. OU でのオブジェクトの作成を許可するように MSA を構成する

作業概要
Intune Connector for Active Directory がインストールされたディレクトリ (通常はC:\Program Files\Microsoft Intune\ODJConnector) の配下に、ODJConnectorEnrollmentWizard フォルダがあります。その配下にある "ODJConnectorEnrollmentWizard.exe.config" というコンフィグファイルを編集し、OU を追加する必要があります。

構成手順
1．Intune Connector for Active Directory がインストールされているサーバーで、"ODJConnectorEnrollmentWizard ディレクトリ" に移動します。

2．"ODJConnectorEnrollmentWizard ディレクトリ" で、テキストエディターで既存の ODJConnectorEnrollmentWizard.exe.config ファイルを編集で開きます。

3．ODJConnectorEnrollmentWizard.exe.config ファイルの add key 要素で、value= の横に、OU を追加する必要があります。
修正すべき箇所は、下図の赤枠の vaule の "" で括られた中です。

たとえば、以下のように avd.server-on.net というドメイン配下に Autopilot という OU を用意していた場合は、OU=Autopilot,DC=avd,DC=server-on,DC=net と記載します。複数の OU がある場合はカンマ区切りで設定できます。

4．必要なすべての OU が追加されたら、ODJConnectorEnrollmentWizard.exe.config ファイルを保存します。

5．スタート ボタンから Intune Connector for Active Directory を探して開きます。

6．Active Directory の Intune コネクタ ウィンドウの登録タブで マネージドサービスアカウントの構成 を選択します。

7．管理されたサービスアカウントが正常に設定されました というウィンドウが表示されます。OK を選択してウィンドウを閉じます。

※このタイミングで編集したコンフィグファイルが読み込まれているみたいです。

8．用意した OU を右クリックして、プロパティを開きます。セキュリティタブを見ると、MSA アカウントが追加されていることが確認できれば OK です。特殊なアクセス許可にチェックが入っています。

公開情報：OU でのオブジェクトの作成を許可するように MSA を構成する (省略可能)
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#configure-the-msa-to-allow-creating-objects-in-ous-optional

2-2-2. 組織単位でコンピューターアカウントの上限を増やす

1．用意した OU を右クリックして、プロパティを開きます。

2．セキュリティタブを表示して 詳細設定 を開きます。

3．以下の通り MSA アカウントが登録されており、アクセス権として コンピューターオブジェクトの作成 が構成されていれば OK です。この章は SKIP してください。

上記の設定が構成されていなかった場合は、公開情報の手順を参考に MSA アカウントのアクセス権（コンピューターオブジェクトの作成）を追加してください。結果的に、上記のキャプチャのようになれば OK です。

（公開情報の手順）
1．上のキャプチャ セキュリティの詳細設定画面 で、左下の追加を押します。

2．プリンシパルの選択 を押します。

3．オブジェクトの種類 をクリックします。

4．サービスアカウント にチェックを入れます。

5．オブジェクト名の欄に MSA と入力して 名前の確認 を押します。以下の通り、前章で作成された MSA アカウント名が表示されれば OK です。

6．アクセス許可エントリ ウィンドウで 適用先: ドロップダウンメニューを選択し このオブジェクトのみ を選択します。

7．アクセス許可 で、すべての項目の選択を解除(★)し、コンピューターオブジェクトの作成 チェックボックスのみを選択します。★右下の すべてクリア　というボタンがあるので、活用できます。

8．設定が終わったら OK を選択して アクセス許可エントリ ウィンドウを閉じます。

9．セキュリティの詳細設定 ウィンドウで、以下の行が追加されていれば OK です。適用または OK を選択して変更を適用します。

公開情報：組織単位でコンピューターアカウントの上限を増やす
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#increase-the-computer-account-limit-in-the-organizational-unit

2-3. Windows Autopilot デバイスを登録する

本運用時は、ハードウェアメーカーから Autopilot 用のハードウェアハッシュの情報を提供してもらい、Intune 管理センターにアップロードします。そうすることで、メーカーから出荷された PC を Autopilot の対象にすることができます。

例えば、HP 社のパソコンの場合ですが、以下のサイトの後半の方に、デバイス ID 発行についての説明が記載されています。
このように、利用する PC メーカーから情報を入手して対応することができます。

HP 社の Autopilot に関するページ
https://jp.ext.hp.com/business-solution/autopilot/

Surafce の場合は、以下の公開情報に説明されています。

公開情報：Windows Autopilot と Surface デバイス
https://learn.microsoft.com/ja-jp/surface/windows-autopilot-and-surface-devices?wt.mc_id=MVP_407731

しかし、PoC で Autopilot を検証する際に新品の PC を使う訳にはいかないため、既存の PC や仮想マシンを使うことになります。

既存 PC を使って Autopilot の検証をする際に、ハードウェアハッシュを取り出す方法があります。取得の方法は、以下の公開情報に記載されている通り、いくつかあります。

公開情報：ハードウェアハッシュを収集する
https://learn.microsoft.com/ja-jp/autopilot/add-devices?wt.mc_id=MVP_407731#collect-the-hardware-hash

本章では、上記の公開情報のうち、2 番目の PowerShell でシリアルを取得する方法を紹介していきます。

公開情報：PowerShell
https://learn.microsoft.com/ja-jp/autopilot/add-devices?wt.mc_id=MVP_407731#powershell

既存 PC のハードウェアハッシュを取得する手順

1．目的の PC にサインインして、PowerShell（管理者）を開いて、以下のスクリプトを実行します。

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

（実行結果）

上記の赤下線部に、デバイスのシリアルナンバーが表示されます。

上記のフォルダに AutopilotHWID.csv ファイルが出力されています。

2．続けて、Intune 管理ポータルへ AutopilotHWID.csv ファイルをアップロードします。
こうすることで、このハードウェアが Autopilot で展開できるようになります。

3．インポートを押します。

4．先ほどエクスポートされた AutopilotHWID.csv ファイルを指定して「インポート」を押します。

6．以下のメッセージが表示されて、インポートが進行します。

7．インポートが終わると、以下の通知が表示されます。

8．「最新の情報に更新」を押すと、一覧にインポートされたデバイスが表示されます。

9．シリアル番号の箇所をクリックして、デバイスの詳細を表示できます。

上記の画面で、デバイス名を任意で設定が可能です。
ここには、企業内で管理している資産番号などを記入しておくと良いと思います。

残念ながら、下記で説明されているとおり、この欄に記載した名前がコンピューター名には採用されないようです。

デバイス名の (i) にマウスをポイントした際のメッセージ
デバイスの一意の名前を構成します。Microsoft Entra Hybrid に参加しているデプロイでは、この名前は無視されます。デバイス名は、Microsoft Entra Hybrid デバイスのドメイン参加プロファイルからのものです。

公開情報：Windows Autopilot デバイスを登録する
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#register-windows-autopilot-devices

2-4. デバイスグループを作成する

1．Microsoft Intune 管理センターで、[グループ>新しいグループ] を選択します。

2．グループ ウィンドウで、次のオプションを選択します。
グループの種類 で セキュリティ を選択します。
グループ名 と グループの説明 を入力します。
メンバーシップの種類として 動的デバイス が選択します。
動的デバイスメンバー で 動的クエリの追加 を選択します。

3．ルール構文 ボックスで編集を選択し、次のいずれかのコード行を入力します。

4．規則の構文欄に、(device.devicePhysicalIDs -any _ -startsWith "[ZTDId]") と入力して OK を押します。

5．以下のように表示されたら保存を押します。

参考（公開情報から抜粋しています）
以下のように、一定のルールを用いて動的なデバイスグループを構成できます。

すべての Windows Autopilot デバイスを含むグループを作成するには、次のように入力します。
(device.devicePhysicalIDs -any _ -startsWith "[ZTDId]")
Intune の [グループタグ] フィールドは、Microsoft Entra デバイスの OrderID 属性にマップされます。特定のグループタグ (OrderID) を持つすべての Windows Autopilot デバイスを含むグループを作成するには、次のように入力します。
(device.devicePhysicalIds -any _ -eq "[OrderID]:179887111881")
特定の発注書 ID を持つすべての Windows Autopilot デバイスを含むグループを作成するには、次のように入力します。
(device.devicePhysicalIds -any _ -eq "[PurchaseOrderId]:76222342342")

【Microsoft Intune】Auto Pilot 案件でハマったポイント【パート1.5】
ChihiroUeguchi さんの記事で具体的な事例が紹介されています。
https://qiita.com/ChihiroUeguchi/items/cef1a5ec9d7e7161c055

6．グループを指定して、以下の画面の戻ってきたら作成を押します。

7．以下の通知が表示されます。

8．グループの一覧に以下のように表示されます。

9．もう一度、グループ内のメンバーを表示します。
動的メンバーシップによって、前章で作成した Autopilot デバイスが一覧に表示されていれば OK です。

動的メンバーシップの反映時間
私の PoC 環境では、数分で反映されています。
本番環境の場合は、デバイス数が多いこともあり、公開情報では数時間～24時間との記載もあるので、注意してください。

公開情報：Microsoft Entra ID での動的なグループ処理を理解して管理する
https://learn.microsoft.com/ja-jp/entra/identity/users/manage-dynamic-group?wt.mc_id=MVP_407731

公開情報：デバイスグループを作成する
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#create-a-device-group

2-5. Windows Autopilot 展開プロファイルを作成して割り当てる

Windows Autopilot 展開プロファイルは、Windows Autopilot デバイスを構成するために使用されます。

1．Microsoft Intune 管理センターにサインインします。
https://intune.microsoft.com

2．ホーム 画面で、左側のウィンドウで デバイス を選択します。
デバイス | 概要 画面の プラットフォーム別 で Windows を選択します。

3．デバイス | Windows 画面の デバイスオンボーディング で登録を選択します。
続いて Windows | 登録 画面の デプロイプロファイル を選択します。

4．Windows AutoPilot Deployment プロファイル 画面で プロファイルの作成 ドロップダウンメニューを選択し Windows PC を選択します。

5．プロファイルの作成 画面の基本ページで名前とオプションの説明を入力します。
割り当てられたグループ内のすべてのデバイスが自動的に Windows Autopilot に登録させたい場合は、すべての対象デバイスを Autopilot に変換 をはいに設定して次へを選択します。

ポイント
「すべての対象デバイスを Autopilot に変換する」の設定は、既に従来のキッティング方法（手作業や Sysprep , SCCM など）で展開された PC が、Entra テナントに Join されて運用されているデバイスのことを指しています。

この設定が有効な場合、既存 PC のハードウェアハッシュが自動的に取得されてこの Autopilot プロファイルに登録されます。この既存 PC を、再展開しようとした際に、Autopilot が発動するようになります。
※ 2-3. 章（Windows Autopilot デバイスを登録する）の作業が不要になります。

キッティング方式を、「手動や Sysprep」のやり方から Autopilot へ移行する際に非常に有用な機能です。

なお、登録が処理されるまで 48 時間程度待つ必要があるとの記載があるので、注意してください。

6．Out-of-box experience (OOBE) ページの 配置モード で ユーザードリブン を選択します。
次のように Microsoft Entra ID に参加 ボックスで、Microsoft Entra ハイブリッド参加済み を選択します。次へを選択します。

AD 接続チェックをスキップする の設定について
社内 LAN（ドメインコントローラーと疎通が可能な場所）でキッティングをする場合は いいえ で問題ありません。デバイスは、キッティング中にドメイン参加されます。

事前プロビジョニングを活用し、アウトソースのキッティング場所で作業を行うような場合に、ドメインコントローラーとの疎通が取れない場合ははいにしてスキップさせます。
この場合は利用者が初回ログオンする際に、ドメイン参加が行われます。

VPN サポートについて
なお、いずれの場合も、ユーザーが初回ログオンする際に、ドメインコントローラーとの疎通が必要です。
社内 LAN で初回ログオンを行う場合は、VPN サポートは不要です。
社外（在宅など）で初回ログオンを行う場合は、VPN サポートを使用して、ドメインコントローラーと疎通が取れる仕組みと組み合わせる必要があります。

ここで必要な VPN の機能は OS のログオン前に VPN が確立する仕組みが必要なのでソリューションを選びます。Always On VPN（デバイストンネル）は要件を満たしています。

公開情報：VPN サポートを使用したMicrosoft Entra ハイブリッド参加のユーザー駆動モード
https://learn.microsoft.com/ja-jp/autopilot/user-driven#user-driven-mode-for-microsoft-entra-hybrid-join-with-vpn-support

公開情報：Always On VPN の概要
https://learn.microsoft.com/ja-jp/windows-server/remote/remote-access/overview-always-on-vpn

参考：3rd Party の VPN サポート
3rd Party の例として IIJ フレックスモビリティの場合に、どのように VPN サポートを組み合わせるのかが示された記事がありました。
https://ent.iij.ad.jp/articles/3363/

7．割り当て タブでは 組み込まれたグループ 欄の グループの追加 を選択します。続いてデバイスグループ（例では Hybrid Join Autopilot グループを選択した画面になっています。）
次へを押して先に進めます。

8．確認および作成 タブでは、設定した内容を確認して作成を押します。

9．以下の通知が表示されれば OK です。

10．以下のように作成されたプロファイルが表示されます。

公開情報：Windows Autopilot 展開プロファイルを作成して割り当てる
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#create-and-assign-a-windows-autopilot-deployment-profile

2-6. (省略可能) 登録状態ページを有効にする

本章は、省略可能です。
省略した場合は、Autopilot 展開後に、利用者はすぐにデスクトップ画面に到達し業務を始められますが、PC へ展開されるユーザー設定やアプリが遅れて配布されることになる場合があります。

登録状態ページを構成することで、利用者が使い始める前のタイミングで導入しておくべきアプリを指定することが可能になります。

以下の記事の手順などを参考に、事前に Intune でアプリの展開を構成しておく必要があります。

[GSA] グローバルセキュアアクセスクライアントの導入手順（Win32アプリ）
https://qiita.com/carol0226/items/8e30fc6caf36c83894dc
→　本記事で後述する手順では、この GSA クライアントを指定する場合を例にしています。

Intune で Windows 用のポータルサイトアプリを展開する（ストアアプリ）
https://qiita.com/carol0226/items/bf8261d0bc6fef32bdcf

Intune で Microsoft 365 for Apps を展開する（Microsoft 365 アプリ）
https://qiita.com/carol0226/items/d75517263a97a2a998db

Intune + OCT(xml) で Office アプリを展開する（Office アプリ）
https://qiita.com/carol0226/items/365a6f0979462e3ba436

[GSA] グローバルセキュアアクセスクライアントの導入手順 (Win32 アプリ)
https://qiita.com/carol0226/items/8e30fc6caf36c83894dc

1．Intune 管理センターで左ペイン デバイス を開き、登録を表示させてから 登録状態ページ を選択します。

2．以下の画面で ＋作成 を押します。

3．基本タブでは、任意の名前（例：GSA クライアントのインストールを待機する）を入力し次へを押して進めます。

4．以下の画面では アプリとプロファイルの構成の進行状況を表示します をはいにします。
続いて これらの必要なアプリがユーザーまたはデバイスに割り当てられている場合、それらがインストールされるまでデバイスの使用をブロックします の項目で 選択しました を選び、＋アプリを選択 ボタンを押します。

5．以下の画面で事前インストールするアプリを選択します。
（例：GlobalSecureAccessClient.exe の場合）

6．以下の画面のように表示されたら次へを押して進めます。

7．割り当て タブでは ①：グループの追加 を押し ②：デバイスグループ を選択してから ③：選択 を押し、一覧に ④：選んだグループ が表示されたら ⑤：次へ を押して進めます。

8．スコープタグ では、特に設定することはないため次へを押して進めます。

9．確認および作成 タブでは、設定した内容を確認して作成を押します。

10．以下の通知が表示されれば OK です。

11．以下のように、登録状態ページの一覧に追加されます。

公開情報：(省略可能) 登録状態ページを有効にする
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#optional-turn-on-the-enrollment-status-page

参考：時間制限またはエラーの発生時にカスタムメッセージを表示する
JBS さんが公開している記事で詳細に解説されています。
https://blog.jbs.co.jp/entry/2024/12/25/124939

2-7. ドメイン参加プロファイルを作成して割り当てる

本章がデバイスをドメインに参加させるために必要な最重要の設定です。

1．Microsoft Intune 管理センターで、左ペイン デバイス を開き構成を表示させてから 新しいポリシー を選択します。右ペインに表示された欄へ、下図の選択肢の通りに入力し ドメイン参加 のテンプレートを選びます。最後に作成ボタンを押します。

2．基本タブでは任意の名前（例：Hybrid Join Autopilot）を入力し次へを押して進めます。

3．構成設定 タブでは、以下の情報を入力し次へを押して進めます。

コンピューター名プレフィックス ＝　PC名の接頭語（例：PC）
ドメイン名 ＝　フルサイズのドメイン名（例：avd.server-on.net）
組織単位 ＝　DN 形式で OU 名（例：OU=Autopilot,DC=avd,DC=server-on,DC=net）

組織単位 の設定時の注意
この欄で設定した OU に、ドメイン参加した際のコンピューターオブジェクトが作成されます。

以下の章の構成を実施している場合に OU の指定が可能です。
2-2. OU 上にコンピューターオブジェクトを作成できるようにする (省略可能)

このフィールドを空白のままにすると、コンピューターオブジェクトが Active Directory の既定のコンテナー (Computers) に作成されます。

4．割り当て タブでは ①：グループの追加 を押し ②：デバイスグループ を選択してから ③：選択 を押し、一覧に ④：選んだグループ が表示されたら ⑤：次へ を押して進めます。

5．適用性ルール タブは、特に設定することはありません。次へを押して進めます。

6．確認および作成 タブでは、設定した内容を確認して作成ボタンを押します。

7．以下の通知が表示されれば OK です。

公開情報：ドメイン参加プロファイルを作成して割り当てる
https://learn.microsoft.com/ja-jp/autopilot/windows-autopilot-hybrid?wt.mc_id=MVP_407731&tabs=general-requirements#create-and-assign-a-domain-join-profile

3. 展開の実施

PC の OOBE が完了したあと、パスワードを使ったドメインログオンは、すぐに実施できます。

しかし、FIDO2 でログオンできるようになるまでは、Hybrid Join が成立したあと、１回再起動の実施が必要でした（サインインオプション のリンクが表示されていません）

詳細
以下の画面では、登録済みの欄は保留のままです（まだ FIDO2 ログオンは出来ない）

保留だった箇所に、日時が入ります。これでデバイス側が Hybrid Join 構成になっています。

そのあと、PC を再起動すると、FIDO2 でログオンができるようになります。

FIDO2 対応について
Windows ログオン画面にセキュリティキーのアイコンが出るためには、Hybrid Join の構成になっている必要があります。この方法で Autopilot を構成した場合、ドメイン参加を実施したコンピューターオブジェクトが Entra テナントへ同期され、登録状態に日付が入った状態になる必要があります。
その後、PC を再起動することで、セキュリティキーのアイコンが表示されています。

そのため、初回ログオン時に、即座には FIDO2 ログオンができません。
この点は、運用でカバーする必要があります。

対策として、「管理者キッティングであれば、管理者が１回ログオンする」または「ユーザー駆動のキッティングであれば、手順書に対応を明記する」になると思います。

お知らせ
本構成を使った、展開についての全画面キャプチャは、別途記事を投稿予定です。

おススメ：管理者が１回ログオンしておく

おススメの対応として、ドメイン管理者が１回ログオンしておきましょう。
これをやっておかないと、PC 上にローカル管理者権限をもったユーザーが誰も居ない状態になっています。
PC がドメインネットワークに接続できない状況が発生すると、管理者ログオンができずにメンテナンスができなくなります。

加えて、管理者が１回ログオンしておけば、サインインオプションで FIDO2 のアイコンが表示されているかどうか確認してから、出荷をすることも可能です。

参考

展開時の状況事のステータスについて、こちらの記事がとても参考になります。