Intune-laiterekisteröinnin virheet Windows 11:ssä – Vianmääritysopas 2026 (80180014, 0x801c03ed, dsregcmd)

Päivitetty: 24. kesäkuuta 2026

Intune-laiterekisteröinti epäonnistuu Windows 11:ssä yleensä neljästä syystä: laitteella ei ole voimassa olevaa Entra ID -liitosta, käyttäjällä ei ole oikeaa Intune-lisenssiä, MDM-rekisteröinnin URL-osoitteita ei ole määritetty Entra ID:ssä, tai Conditional Access estää rekisteröinnin. Tässä oppaassa käyn läpi yleisimmät virhekoodit (80180014, 0x801c03ed, 0x80180023, CAA20003), niiden konkreettiset syyt ja korjaukset PowerShell- ja dsregcmd-komennoilla. Olen käyttänyt samaa runbookia kymmenissä asiakasympäristöissä – se toimii sekä Autopilot- että käsin rekisteröinneissä.

• Aja aina ensin dsregcmd /status – se kertoo onko laite Entra ID -liittynyt (AzureAdJoined), hybridiliittynyt vai vain työpaikkaan liittynyt (WorkplaceJoined). Väärä tila on syy noin puoleen rekisteröintivirheistä.
• Virhe 80180014 (auto-enrollment) liittyy lähes aina puuttuvaan MDM-käyttöoikeuteen Entra ID:ssä tai ryhmäkäytäntöön Enable automatic MDM enrollment using default Azure AD credentials.
• Virhe 0x801c03ed (Tenant restrictions) johtuu Conditional Access -käytännöistä tai laiteplatformin esto-säännöistä Intunen Enrollment restrictions -profiilissa.
• Käytä MDMDiagnosticsTool.exe -area DeviceEnrollment -cab -työkalua kerätäksesi täydellisen vikadiagnostiikan yhdellä komennolla.
• Autopilot-vikoja kannattaa tutkia ESP:n (Enrollment Status Page) lokeista ja Intune-portaalin Autopilot-tapahtumalokeista – ne näyttävät tarkemman virhepolun kuin yksittäinen virhekoodi.
• Intunen heinäkuun 2025 päivitys (palvelujulkaisu 2507) muutti diagnostiikkalokien sijaintia – uudet sijainnit löytyvät Microsoft Learnin Troubleshoot Windows enrollment -ohjeesta.

Mitä Intune-rekisteröinti tarkalleen tekee Windows 11:ssä?

Intune-rekisteröinnissä Windows 11 -laite kytketään Microsoft Intune -hallintapalveluun MDM-protokollalla (Mobile Device Management). Käytännössä tämä tarkoittaa, että laite saa MDM-sertifikaatin, sen OMA-DM-client -palvelu alkaa kommunikoida Intunen kanssa, ja Entra ID merkitsee laitteen MDMUrl- ja ComplianceUrl-attribuutit. Käyttäjälle se näkyy yhtenä rivinä Settings → Accounts → Access work or school -näkymässä, mutta taustalla tapahtuu kolme erillistä asiaa.

Ensimmäisenä laite liitetään Entra ID:hen (Entra Join, Hybrid Join tai Workplace Join). Toiseksi MDM-palvelu rekisteröidään, ja kolmanneksi käyttäjälle työnnetään ensimmäiset käytännöt ja sovellukset. Jos jokin näistä kolmesta vaiheesta epäonnistuu, virhekoodi näkyy yleensä yhden vaiheen kohdalla, mutta varsinainen syy voi olla aiemmassa vaiheessa. Tämä on syy siihen, miksi vianmääritys aloitetaan aina dsregcmd /status -komennolla – se kertoo, missä vaiheessa polkua laite on jumissa.

Vuoden 2026 Windows 11 24H2- ja 25H1-versioissa rekisteröintiloki on siirtynyt aiempaa enemmän rakenteisten ETW-tapahtumien suuntaan. Vanha tapa lukea pelkkiä Event Viewerin DeviceManagement-Enterprise-Diagnostics-Provider -lokeja toimii edelleen, mutta täydellisen kuvan saa vain MDMDiagnosticsTool-pakettia avaamalla. Tästä lisää alempana.

Aja ensin diagnostiikka: dsregcmd ja MDMDiagnosticsTool

Vianmäärityksessä on yksi kultainen sääntö: kerää tilannekuva ennen kuin alat poistamaan rekisteröintejä tai käynnistämään uudelleen. Käytännössä se tarkoittaa kahta komentoa, jotka ajetaan järjestelmänvalvojan oikeuksilla:

# 1) Tarkista laitteen liitostila Entra ID:hen
dsregcmd /status

# 2) Kerää MDM-diagnostiikkapaketti yhteen .cab-tiedostoon
MDMDiagnosticsTool.exe -area DeviceEnrollment;DeviceProvisioning;Autopilot -cab C:\Temp\mdm-diag.cab

Ensimmäisen komennon tulosteesta tarkistan aina viisi riviä: AzureAdJoined, EnterpriseJoined, DomainJoined, WorkplaceJoined ja MdmUrl. Jos AzureAdJoined on YES mutta MdmUrl on tyhjä, automaattinen MDM-rekisteröinti ei ole laukaissut – syy on yleensä lisenssissä tai ryhmäkäytännössä. Jos AzureAdJoined on NO ja WorkplaceJoined on YES, käyttäjä on yhdistänyt laitteen väärällä tavalla (lisätty pelkkä työtili eikä laitetta liitetty Entra ID:hen).

Toinen komento luo .cab-paketin, joka sisältää MDM-tapahtumalokit, rekisterivedoksen, sertifikaattilistat ja diagnostiikkaraportit. Tämä on sama paketti, jonka Microsoftin tukikin pyytää tikettiin. Suosittelen ajamaan sen heti virheen jälkeen – jos käynnistät laitteen uudelleen, osa lokeista pyyhkiytyy.

Miksi Intune-rekisteröinti epäonnistuu virheellä 80180014?

Virhekoodi 80180014 tarkoittaa "Auto MDM Enroll: Failed (Unknown Win32 Error code: 0x80180014)" -tilannetta, ja se näkyy useimmiten Event Viewerissa DeviceManagement-Enterprise-Diagnostics-Provider/Admin-lokin tapahtumana 75 tai 76. Käytännössä syitä on neljä, ja ne ratkaistaan tässä järjestyksessä.

Syy 1: Käyttäjältä puuttuu Intune-lisenssi. Tarkista PowerShellillä Entra ID -portaalista:

# Tarvitsee Microsoft.Graph-moduulin
Connect-MgGraph -Scopes "User.Read.All","Directory.Read.All"

# Tarkista käyttäjän lisenssit
Get-MgUserLicenseDetail -UserId "[email protected]" |
  Select-Object SkuPartNumber, @{n="Services";e={$_.ServicePlans.ServicePlanName -join ","}} |
  Where-Object { $_.Services -match "INTUNE" }

Jos komento ei palauta yhtään riviä, käyttäjällä ei ole Intune-palvelua lisenssissä. Microsoft 365 Business Premium, Enterprise Mobility + Security (EMS) E3/E5 ja Microsoft 365 E3/E5 sisältävät Intunen – pelkkä Microsoft 365 Business Basic ei.

Syy 2: MDM-käyttöoikeus puuttuu Entra ID:ssä. Tämä on yleisin syy ympäristöissä, joissa Intune on otettu käyttöön vasta hiljattain. Mene Entra-portaalissa Devices → Mobility (MDM and MAM) → Microsoft Intune ja varmista, että MDM user scope -asetus on joko All tai sisältää sen ryhmän, jossa käyttäjä on. Jos asetus on None, automaattinen rekisteröinti ei laukea koskaan, vaikka kaikki muu olisi kunnossa.

Syy 3: Ryhmäkäytäntö ei ole päällä. Hybriditapauksessa tarvitaan ryhmäkäytäntö Computer Configuration → Policies → Administrative Templates → Windows Components → MDM → Enable automatic MDM enrollment using default Azure AD credentials. Tämän asetuksen pitää olla Enabled ja arvon User Credential. Jos gpresult /h -raportti ei näytä tätä asetusta, asetus ei sovellu – tarkista samalla ryhmäkäytäntöjen yleinen kohdistus erillisestä ryhmäkäytäntöjen vianmääritysoppaasta.

Syy 4: Auto-enrollment task on poistettu käytöstä. Tarkista ja käynnistä uudelleen ajastettu tehtävä:

# Listaa MDM auto-enrollment -tehtävän tila
Get-ScheduledTask -TaskPath "\Microsoft\Windows\EnterpriseMgmt\" -ErrorAction SilentlyContinue |
  Format-Table TaskName, State

# Käynnistä se manuaalisesti
Get-ScheduledTask -TaskName "Schedule created by enrollment client*" -TaskPath "\Microsoft\Windows\EnterpriseMgmt\*" |
  Start-ScheduledTask

Jos tehtävää ei ole olemassa lainkaan, auto-enrollment ei ole koskaan käynnistynyt – palaa syihin 2 ja 3.

Virhe 0x801c03ed – Tenant restrictions ja Conditional Access

Virhe 0x801c03ed tarkoittaa "Mobile Device Management Authority is blocking the registration." Käytännössä rekisteröintipyyntö pääsee Intunelle asti, mutta Intune kieltää sen. Syitä on kaksi, ja ne johtuvat täysin eri paikoista:

Ensimmäinen on Intunen rekisteröintirajoitukset. Microsoft Intune -portaalissa Devices → Enrollment → Enrollment restrictions → Device platform restrictions -kohdassa voi estää tietyt laiteplatformit, henkilökohtaiset laitteet tai tietyt OS-versiot. Jos Windows (MDM) on estetty oletusprofiilissa, jokainen Windows-rekisteröinti torjutaan tällä virhekoodilla. Tarkista, että käyttäjälle kohdistuva profiili sallii Windows (MDM)-platformin ja että Windows (MDM) personally owned on sallittu, jos käyttäjä rekisteröi BYOD-laitteen.

Toinen on Conditional Access. Jos käytössä on käytäntö, joka vaatii compliant tai hybrid Entra-joined laitteen kaikilta sovelluksilta, syntyy klassinen muna-kana-ongelma: rekisteröintiä ei voi tehdä, koska laitetta ei ole vielä rekisteröity. Korjaus on poikkeuttaa Microsoft Intune Enrollment -palvelusovellus (Application ID d4ebce55-015a-49b5-a083-c84d1797ae8c) käytännöstä. Tämän jälkeen rekisteröinti onnistuu, ja varsinainen Intune Compliance -käytäntö huolehtii laitteen vaatimustenmukaisuudesta jatkossa.

Suosittelen myös testaamaan rekisteröintiä toisella käyttäjällä, joka on selvästi sallittujen ryhmien sisäpuolella. Jos rekisteröinti onnistuu hänellä mutta ei alkuperäisellä käyttäjällä, ongelma on lähes varmasti ryhmäjäsenyydessä – ei Windows-laitteessa.

Muut yleiset virhekoodit ja niiden korjaukset

Alla taulukko vuoden 2026 alkupuoliskolla yleisimmin nähdyistä virhekoodeista. Olen järjestänyt ne sen mukaan, mistä ongelma yleensä todellisuudessa löytyy – ei sen mukaan, mitä virhekoodi sanoo.

Virhekoodi	Tilanne	Tyypillinen syy	Korjauspolku
0x80180023	Manuaalinen MDM-rekisteröinti	MDM-asetukset Entra ID:ssä eivät ole julkaistu kaikille	Aseta MDM user scope = All ja toista 15 min kuluttua
0x80004005	Geneerinen "Unspecified error"	Sertifikaattivirhe tai välityspalvelin estää MDM-URL:n	Tarkista TLS-välimuisti, lisää poikkeukset enterpriseregistration.windows.net ja manage.microsoft.com
CAA20003	Käyttäjä ei voi liittää laitetta	Entra ID -ryhmäkäytäntö "Users may join devices" ei salli käyttäjää	Lisää käyttäjä sallittuun ryhmään: Entra → Devices → Device settings
0x801c0003	Auto-enrollment Hybrid-koneella	Laite ei vielä näy Entra ID:ssä tai hybridi-synkronointi viivästyy	Aja dsregcmd /join tai odota AAD Connect -syklin yli (30 min)
0x80192EE7	Rekisteröinti yhteyden katkettua	Reverse-proxy tai SSL-tarkastus rikkoo Intune-yhteyden	Salli ohitus *.manage.microsoft.com TLS-tarkastuksesta
0x801C001D	Autopilot-vaiheessa	Laite-hash puuttuu Autopilot-laitelistasta	Vie hash uudelleen Get-WindowsAutopilotInfo-skriptillä

Yksi varoituksen sana TLS-tarkastuksesta: monet asiakkaani ovat löytäneet juurisyyksi yrityksen reunalla olevan SSL-purkaus/-tarkastuslaitteen. Microsoft ei tue Intune-päätepisteiden TLS-tarkastusta, ja se rikkoo aina ennemmin tai myöhemmin sertifikaattipinningin. Microsoftin virallinen päätepistelista on syytä lisätä ohitukseksi kaikkiin välityspalvelimiin.

Autopilot-rekisteröinnin vianmääritys 2026

Autopilot on Windows 11:n nollatouch-rekisteröintimenetelmä, jossa käyttäjä saa täysin esimääritetyn laitteen suoraan toimittajalta. Vianmääritys eroaa tavallisesta MDM-rekisteröinnistä siinä, että suuri osa lokeista ja vaiheista tapahtuu Enrollment Status Pagen (ESP) takana, ennen kuin käyttäjä näkee työpöytää.

ESP:n tarkat lokit löytyvät kahdesta paikasta. Lokaalisti polusta C:\Windows\Logs\Autopilot ja Event Viewerista Applications and Services Logs → Microsoft → Windows → Autopilot. Jos haluat tutkia ESP:n etenemistä reaaliaikaisesti, paina Shift+F10 ESP-näytöllä – saat komentokehotteen, jossa voit ajaa diagnostiikkakomennot saman tien.

# Avaa komentokehote ESP-näytöllä: Shift+F10
# Tarkista Autopilot-profiilin lataus
dir C:\Windows\Provisioning\Autopilot\

# Katso reaaliaikaista MDM-rekisteröinnin etenemistä
wevtutil qe Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Admin /c:20 /rd:true /f:text

# Kerää diagnostiikkapaketti ESP-vaiheessa
MDMDiagnosticsTool.exe -area Autopilot;DeviceEnrollment -cab C:\Windows\Temp\autopilot-diag.cab

Yleisin Autopilot-virhe vuoden 2026 alussa on ollut 0x80070774 – "DNS name doesn't exist". Syyksi on osoittautunut joko väärin määritetty hybridi-DNS (laite yrittää tehdä Hybrid Join -liittymisen verkossa, jossa ei näy domain-controllereita) tai puuttuva aatest.microsoftonline.com-päätepiste välityspalvelimen sallittavissa.

Toinen Autopilot-spesifi virhe on 0x80180005. Se tarkoittaa, että laite-hash on rekisteröity väärälle vuokraajalle (tenant) – esimerkiksi laite on aiemmin ollut testitenantissa, eikä sitä ole poistettu sieltä. Korjaus: poista hash vanhasta tenantista Devices → Windows enrollment → Devices ja vie se uudelleen oikealle.

Tapahtumalokit ja MDM-diagnostiikkapaketti

Kun virhekoodi ei riitä, mene tapahtumalokien tarkasteluun. Intune-rekisteröinnin lokit ovat hajautuneet kolmeen eri paikkaan, ja jokainen tarjoaa eri näkökulman.

1. DeviceManagement-Enterprise-Diagnostics-Provider/Admin – pääloki, joka näyttää onnistuneet ja epäonnistuneet rekisteröintiyritykset. Tapahtumat 71–76 ovat auto-enrollment-koodeja, 1900-sarja on käytäntöjen sovellusta.

2. AAD/Operational – näyttää Entra ID -liitoksen onnistumisen, virheet ja autentikointitokenien hankinnan. Tämä on se loki, johon mennä, kun dsregcmd /status näyttää AzureAdJoined : NO.

3. ModernDeployment-Diagnostics-Provider/Autopilot – pelkästään Autopilot-tilanteita varten. Hyödyllinen kun ESP jää jumiin Device prep- tai Account setup -vaiheeseen.

# Vie kaikki kolme lokia kerralla evtx-muodossa
$logs = @(
  "Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Admin",
  "Microsoft-Windows-AAD/Operational",
  "Microsoft-Windows-ModernDeployment-Diagnostics-Provider/Autopilot"
)
foreach ($l in $logs) {
  $file = "C:\Temp\$($l.Replace('/','_')).evtx"
  wevtutil epl $l $file /ow:true
  Write-Host "Vietiin: $file"
}

MDM-diagnostiikkapaketti (.cab) sisältää nuo samat lokit ja paljon enemmän – esimerkiksi rekisterivedoksen polusta HKLM\Software\Microsoft\Enrollments\ ja sertifikaattivarastoista. Se on raskaampi lukea, mutta välttämätön monimutkaisissa tapauksissa. Microsoft Learnin Windows-rekisteröintivirheiden ohje sisältää ajantasaiset polkuviittaukset.

Hybridiympäristö: Hybrid Entra Join ja co-management

Hybridiympäristössä Windows 11 -laite on samaan aikaan paikallisessa Active Directory:ssä ja Entra ID:ssä. Intune-rekisteröinti vaatii silloin yhden lisävaiheen: hybridi-liitoksen on toimittava ennen kuin MDM-rekisteröinti voi alkaa. Olen kirjoittanut aiemmin hybridiympäristöjen Entra ID -ongelmien vianmäärityksestä, ja monet samoista lokeista pätevät tässäkin.

Hybrid Entra Join -tilan tarkistus on suoraviivaista:

dsregcmd /status | findstr /i "AzureAdJoined DomainJoined TenantName"

Hyvän hybridiliitoksen tuloste näyttää:

AzureAdJoined : YES
EnterpriseJoined : NO
DomainJoined : YES
TenantName : Yritys Oy

Jos AzureAdJoined on NO mutta DomainJoined on YES, hybridi-liitos on epäonnistunut. Yleisimmät syyt ovat: SCP (Service Connection Point) puuttuu Active Directorystä, AAD Connect ei synkronoi laitteita Entra ID:hen, tai paikallinen DNS ei pysty resolvoimaan enterpriseregistration.windows.net-osoitetta sisäverkosta.

Co-managementissa SCCM ja Intune jakavat laitteen hallinnan. Vianmäärityksessä on tärkeää muistaa, että MDM-rekisteröintiä ohjaa silloin SCCM:n Co-management-asetuksen Enable automatic enrollment. Jos käytät pelkkää ryhmäkäytäntöä, sitä ei sovelleta co-managed-laitteille.

Miten estät rekisteröintiongelmat ennakolta?

Olen oppinut kantapään kautta, että suurin osa rekisteröintivirheistä ratkeaa kuudella tarkistuksella, jotka voi tehdä ennen kuin laitteita aletaan jakaa käyttäjille. Tämä on minun standardi-checklisteni jokaiselle uudelle tenantille tai isolle rolloutille:

1. MDM user scope on All – tai vähintään pilottiryhmä on sisällä Entra ID:ssä Mobility-asetuksissa.
2. Conditional Access poikkeaa Intune Enrollment -palvelusovelluksen – muuten klassinen muna-kana-ongelma.
3. Intune Enrollment restrictions sallii Windows (MDM) – sekä yritys- että BYOD-laitteille tarpeen mukaan.
4. Lisenssit ovat ryhmäpohjaisia, eivät käyttäjäkohtaisia – muuten uudet käyttäjät jäävät jatkuvasti väliin.
5. Välityspalvelin ei tarkasta TLS:ää Intune-päätepisteissä – lisää poikkeukset Microsoftin julkaisemista URL-listoista.
6. Ryhmäkäytäntö "Enable automatic MDM enrollment" on linkitetty kaikkiin laite-OU:hin – hybridiympäristöissä erityisesti.

Lisäksi pilotoi aina uusi Windows-versio (24H2, 25H1) muutamalla testilaitteella ennen laajaa käyttöönottoa. Olen nähnyt useita feature-päivityksiä, jotka rikkoivat Hybrid Join -liittymät yhdessä yössä – ja niiden korjaaminen oli huomattavasti hitaampaa kuin esitestaus olisi ollut. Microsoftin Intunen What's new -julkaisutiedot kannattaa lukea kuukausittain – siellä mainitaan etukäteen, jos rekisteröintipolku muuttuu.

Usein kysytyt kysymykset

Miten manuaalisesti rekisteröin Windows 11 -laitteen Intuneen?

Avaa Settings → Accounts → Access work or school → Connect ja syötä työtilin sähköposti. Älä klikkaa pelkkää "Sign in"-vaihtoehtoa – se tekee vain Workplace Joinin. Valitse sen sijaan "Join this device to Microsoft Entra ID" alavalikosta, jolloin laite liitetään Entra ID:hen ja MDM-rekisteröinti laukeaa automaattisesti, jos kaikki muu on kunnossa.

Voinko poistaa Intune-rekisteröinnin ilman tehdasasetusten palautusta?

Kyllä. Mene Settings → Accounts → Access work or school, valitse työtili ja klikkaa "Disconnect". Tämä poistaa MDM-rekisteröinnin ja Entra ID -liitoksen. Jos rekisteröinti jää roikkumaan, aja PowerShellillä järjestelmänvalvojana: dsregcmd /leave. Tarkista lopuksi, että HKLM\Software\Microsoft\Enrollments\-rekisteriavaimen alta on poistunut MDM-GUID-kansio.

Kuinka kauan Intune-rekisteröinnin pitäisi kestää?

Itse MDM-rekisteröintivaihe vie 1–3 minuuttia. Autopilotissa koko ketju (Entra Join → MDM-rekisteröinti → ESP → ensimmäiset sovellukset) kestää tyypillisesti 15–45 minuuttia riippuen siitä, montako sovellusta ESP odottaa. Jos ESP näyttää samaa vaihetta yli 60 minuuttia, jokin on jumissa – kerää diagnostiikkapaketti ja tarkista lokit.

Miksi Intune näyttää laitteen rekisteröidyksi mutta laitteella ei näy käytäntöjä?

Käytäntöjen ensimmäinen sync tapahtuu rekisteröinnin jälkeen muutamassa minuutissa, mutta kohdennuksen pitää olla kunnossa. Tarkista Intune-portaalissa Devices → All devices → laite → Device configuration -välilehti. Jos käytäntöjä ei näy lainkaan, kohdennusryhmä ei sisällä laitetta tai käyttäjää. Voit pakottaa synkronoinnin: Settings → Accounts → Access work or school → työtili → Info → Sync.

Toimiiko Intune-rekisteröinti ilman internetyhteyttä?

Ei. Rekisteröinti vaatii suoran HTTPS-yhteyden Microsoftin päätepisteisiin (manage.microsoft.com, login.microsoftonline.com, enterpriseregistration.windows.net ja muut). Eristetyissä verkoissa, joissa on pakollinen välityspalvelin, määritä WinHTTP-välityspalvelin komennolla netsh winhttp set proxy ennen rekisteröintiä, ja varmista että kaikki Intune-päätepisteet on sallittu välityspalvelimessa ilman TLS-tarkastusta.