HOWTO: 在 Intune 中为 Windows Autopilot 部署创建设备组
HOWTO: 在 Intune 中为 Windows Autopilot 部署创建设备组
回顾：
“HOWTO: 收集 DeviceID 用于测试 Windows Autopilot”
"HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune"
如果之前跟随 gOxiA 完成了上面的学习和动手操作，可以继续跟随 gOxiA 完成今天的内容，否则建议您从头开始了解。今天的内容将会非常轻松，会了解如何在 Intune 中创建“设备组”，这部分虽然很轻松，但它也是重点之一，因为在实施 Autopilot 部署时配置文件只能分配给组。
我们可以创建两种类型的设备组，即：动态设备组 和 静态设备组，两者区别在于前者可通过定义规则自动将设备加入到组，或从组删除；而后者则需要由管理员进行分配。
要为 Windows Autopilot 创建设备组，可登录 Auzre门户，定位到“Intune”，会看到“Group”，如下图所示：
进入 “Group” 后在 “All groups” 下点击 “New group”。
在 “New Group” 中，会看到一些选项，带有 * 号的是必须填写的信息。其中“Group Type”表示组的类型，在预定义中包括了“Security” 和 “Office 365”。
- Security，它通常用于管理用户和设备的共享资源的访问权限，也可以为特定的策略创建安全组，这样一来我们就不用为每个成员单独设置权限。
- Office 365，主要是提供对共享邮箱，日历，文件以及SharePoint站点等的访问权限。
本例中，我们要为 Windows Autopilot 创建设备组，所以这里的类型应该是“Security”。“Group name”很好理解，这里命名为了“UserDriven”。“Membership type”便是我们前面提到的静态和动态的组类型，包含了“Assigned”、“Dynanmic User” 和 “Dynamic Device”，是的动态组除了支持设备外，也适用于账户。
当我们选择“Assigned”后，就可以手动添加账户或设备，这里我将添加之前导入的设备。
我们也可以使用动态组，利用一些规则自动将设备添加到组中，这样就不需要手动添加那么麻烦。动态成员规则非常强大，提供了多种属性，可利用各种运算符，根据属性的值，创建具有多个表达式的规则。
来看一个简单的例子“(device.accountEnabled -eq true)”，还是很容易理解的，当设备账户启用状态是“真”时，那么便会设备便会自动加入到这个组，如果组中的设备账户启用状态为“假”时会将设备从组中删除。下图可看到当前动态设备组提供的可用属性。
有关动态组的详细规则，强烈推荐学习官方文档：https://docs.microsoft.com/zh-cn/azure/active-directory/users-groups-roles/groups-dynamic-membership/?WT.mc_id=WDIT-MVP-4000544，随着准备工作的就绪，我们离正式实施 Windows Autopilot 也越来越近！
HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune
HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune
在 6月份 gOxiA 分享了“HOWTO: 收集 DeviceID 用于测试 Windows Autopilot”，如果您已经学习了这篇日志，会发现收集硬件标识信息其实是非常简单的事情，但是需要注意它并不适用在生产环境，应仅用于评估和测试。
今天要分享的是如何将收集的 Windows Autopilot DeviceID 添加到 Intune 中，因为后续我们将实践 Windows Autopliot 的用户驱动模式和自部署模式，所以需要将 DeivceID 事先添加到 Intune 的设备列表中，为此我们需要执行下述的操作步骤：
1. 首先访问 Azure Portal，使用拥有权限的账号密码登录。
2. 在左侧的导航列表中点击“Dashboard”，搜索 Intune，可以将其收藏到导航列表中便于后续访问。
3. 进入 Microsoft Intune 后，点击“Device enrollment”
4. 在“Deive enrollment”下点击“Windows enrollment”，并选择“Windows Autopilot Deployment Program”下的“Devices”，它便是我们要导入 DeviceID 的位置。
5. 进入“Deives”后，点击“Import”来导入我们之前拿到的硬件标识信息文件，它是一个 CSV 格式的文件，在上传后 Intune 会进行校验，如果格式无误便可以导入。
DevicesID 的 CSV 格式应该遵循如下格式内容：
<Serial NUmber>,<Windows Product ID>,<Hardware Hash>,(optional <Group Tag>)
至此，DeviceID 便添加到了 Intune，在设备还没有注册到 Autopilot 上时设备使用序列号作为设备名称，我们可以在 “ Azure Active Driectory”中的“Devices - All devices”下找到它们。
虽然我们在 Intune 中添加了设备的硬件标识信息，但是该设备还未受当前 Intune 的管控，也就是如果我们开机进入 OOBE 阶段，仍可以进行自定义的配置，或者使用其他组织的账号绑定设备。
Intel 存储控制器驱动版本引发的 Windows 蓝屏故障 0xC0000098
Intel 存储控制器驱动版本引发的 Windows 蓝屏故障 0xC0000098
最近在评估一款 PC 设备，由于通过 WDS 部署评估映像，并使用了 DDP（Dynamic Driver Provisioning）注入驱动，发现在部署操作系统后第一次启动时会发生 0xC0000098 故障，提示由 iaStorAC.sys 文件引起。
iaStorAC.sys 文件很常见，是 Intel 存储控制器的驱动模块，经查隶属于 iaAHCIC.inf，随即排查 WDS 驱动库，发现包含两个版本的 iaAHCIC，分别是16.8.0.1000 和 15.2.0.1020。
其中 16.0.8.1000 包含的驱动模块为：iaStorAC.sys
而 15.2.0.1020 包含的驱动模块为：iaStorA.sys 和 iaStorF.sys
猜测 DDP 注入了当前匹配硬件的驱动后，发现还有该硬件的新版本驱动，并包含旧版以外的文件，所以也一同安装了这个新版驱动。在实际排错过程中 gOxiA 也发现系统同时加载了 iaStorA、iaStorF 和 iaStorAC，可预料 iaStorAC 与当前系统不兼容，所以引发 0xC0000098 故障，之后尝试禁用 iaStorAC 发现会导致系统蓝屏，看来要彻底解决只能卸载该驱动。
在脱机状态下，使用 DISM 维护映像，通过 get-drivers 参数获取该驱动分别对应 OEM2.inf 和 OEM16.inf，此时除了对比两个驱动的版本外，也可使用 get-driverinfo 来获取驱动程序的详细信息。当确认影响系统的驱动是 OEM16.inf 后，可通过 remove-driver 将该驱动从脱机系统中移除。
现在重新启动，系统会先执行短暂的初始化，之后便能正常引导系统完成后续的安装。
现在很多品牌机的驱动交付质量都已经大大不如从前，也可能驱动程序更加复杂，导致经常以标准化方式注入驱动后，发现系统出现故障，或驱动未能正常安装的情况，这对于桌面标准化交付来说确实是一个挑战，因为每一批设备可能都需要进行完整的评估和测试。
