Autopilotを利用したThinkSmartの自動展開

Microsoft Autopilotを使用して、Microsoft Teams Roomsを搭載したThinkSmartを展開できるようになりました。ThinkSmartをネットワークに接続し、電源を入れるだけで、数時間放置すればデバイスは使用可能な状態に設定されます。Autopilotを使用したThinkSmartの展開方法について説明します。

Microsoft Autopilotを使用した、Microsoft Teams Rooms搭載ThinkSmartデバイスのセットアップビデオ（7倍速）です。

前提条件

Microsoft Teams Rooms用リソースアカウントを台数分作成
展開するデバイス台数分のMicrosoft Teams Room Proライセンスを所有すること
設定用管理者アカウントが下記の管理者権限を有すること
- Intune Administrator / Policy and Profile Manager
- Teams Rooms Pro Manager permissions

設定方法

Microsoft Entra管理センターでの設定

デフォルトでは、Microsoft Teams Roomsを搭載したThinkSmartには「Administrator」と「Skype」という2つのローカルユーザーが存在します。デバイスをIntuneに登録した後も、「Administrator」ローカル管理者としてデバイスにログインできるようにするためには、LAPS（Local Administrator Password Solution）を有効にする必要があります。

左側カラムのメニューから「デバイス」＞「すべてのデバイス」を選択します。
デバイス設定を選択します。
Microsoft Entra Local Administrator Password Solution(LAPS)の有効化項目で「はい」を選択

Microsoft Intune管理センターでAutopilot関連プロファイルの設定

Microsoft Intune管理センターでAutopilotに関連するプロファイルを設定するのは初回のみ必要です。その後、Microsoft Teams Roomsデバイスが導入された場合、Microsoft Teams Rooms Pro管理ポータルを通じてデバイスにアカウントを割り当てることで、デバイスは自動的に展開されます。

１．デバイスの自動登録を設定

デバイス＞登録＞自動登録＞MDMユーザースコープを一部もしくはすべてに設定

２．デバイスグループを作成

会社で導入する全てのMicrosoft Teams Roomsデバイスが自動的に同一グループに追加される動的デバイスグループを作成します。一度設定すれば、指定したGroup Tagを持つデバイスは自動的にこのグループに追加され、割り当てられたプロファイルが自動的に適用されます。

グループ＞すべてのグループ＞新しいグループ＞グループ名を入力＞メンバーシップの種類を「動的デバイス」に選択＞編集をクリックして下記のコマンドを入力して保存

　(device.devicePhysicalIds -any _ -startswith"[OrderID]:MTR-")

3. ThinkSmartでローカル管理者アカウントによるログインを有効

「デバイス」＞「構成」＞「作成」＞「新しいポリシー」＞「Windows 10以降」＞「設定カタログ」を選択して作成します。
プロファイル名を入力し、「次へ」を選択
「設定の追加」をクリックし、「Local Policies Security Options」を検索
「アカウント: 管理者アカウントの状態を有効にする」をチェック
「アカウント: 管理者アカウントの状態を有効にする」を有効
スコープタグで「次へ」を選択
作成したデバイスグループに割り当て、プロファイルを作成

4. ローカル管理者アカウントのパスワードのセキュリティーポリシーの設定

エンドポイントセキュリティ＞アカウント保護＞ポリシー作成で、Windows 10以降とLAPSを選択
プロファイル名を入力し、「次へ」をクリック
バックアップディレクトリやパスワードの複雑さを設定し、ポリシーを作成

５．Microsoft Teams Rooms自動更新ツールの展開

Microsoft Teams Rooms自動更新ツールを利用すると、Microsoft Teams Roomsが初期設定段階で自動的に最新状態に更新できます。Microsoft Teams Rooms自動更新ツールのIntuneから配布を設定します。

Microsoft Teams Rooms自動更新ツールをダウンロード
アプリ＞Windowsのアプリ＞追加＞Windows アプリ（Win32)を選択＞ダウンロードしたツールを選択して「OK」

発行元で「Microsoft」をインプット次へ
プログラムタブで次へ
必要条件タブで「32ビット、６４ビット、Windows 10 21H2」を選択して次へ

検出規則で「検出規則を手動で構成する」を選択して、「追加をクリック」して保存
アプリを作成した動的デバイスグループに割り当て

６．デバイスへ割り当てるプロファイルを設定

７．登録ステータスページを設定

Intune管理センターで

デバイス＞登録＞登録ステータスページ＞プロファイル名を入力＞「インストールエラーが発生した場合にデバイスの使用をユーザーに許可するを「いいえ」に設定
Microsoft Teams Rooms自動アップデートアプリのインストールが完了しないと使用できないことを設定します。

８．デバイスの登録

Intuneにデバイスを登録する方法は複数ありますが、どの方法を使用しても、登録されたデバイスがMicrosoft Teams Rooms Pro管理センターに自動的に表示されるようにするためには、「MTR-」で始まるGroup Tagを登録する必要があります。

①　デバイスメーカーが提供するAutopilot登録サービスを利用

レノボは、製造されたデバイスと指定されたグループタグを企業や組織のテナントに登録する有料サービスを提供しています。

②　マニュアル登録

台数が少ない場合や検証目的で、デバイスからPowerShellを使用してハードウェアハッシュ（4KHH）を手動で抽出し、Intuneに登録することが可能です。参考資料

デバイスをセットアップして、PowerShellを管理者権限で起動
下記のコマンドを実行
抽出したファイルをメモ帳で開いて第一行目の最後のところ、「,Group Tag」を追加
ファイルの最後のところ「,MTR-」で始まる組織が使用したGroup Tagの文字を追加
Intune管理センター> デバイス> 登録> デバイス登録> 追加をクリックして、ハッシュファイルをインポート
登録状況を確認して、デバイスをリセット

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Microsoft Teams Rooms Pro管理ポータルで自動ログオンの設定

Microsoft Teams Rooms Pro管理ポータルへアクセスしてデバイスの自動ログインを設定します。

Autopilotデバイス＞デバイスを選択し、アカウントを割り当てる＞作成したリソースアカウントをデバイスに割り当てる＞パスワードを自動生成するか、手動で設定するかを選択します。

デバイスの展開

Microsoft Intune管理センターとMicrosoft Teams Rooms Proの設定を完了した後、Microsoft Teams Roomsを搭載したThinkSmartをネットワークに接続して電源を入れてください。その後、デバイスは自動的にセットアップされ、Microsoft Teams Roomsの待ち受け画面が表示されたら、使用準備が整います。

本記事はお客さまのデプロイメントや活用をサポートする目的で公開されています。
情報は予告なく変更または削除となる場合があります。

Lenovo Tech ブログ