Autopilot Intune: Panduan Troubleshoot 2026

Diperbarui: 8 Agustus 2026

Troubleshooting Intune Autopilot Windows 11 sebagian besar berputar pada lima titik kegagalan: hardware hash yang tidak ter-upload benar, deployment profile tidak ter-assign, Enrollment Status Page (ESP) yang timeout, error MDM enrollment berbasis lisensi seperti 0x80180018, dan perbedaan alur antara Autopilot v1 klasik dengan Device Preparation v2. Panduan ini menyusun urutan diagnosis yang saya pakai di operasi harian: dari log yang harus dibuka pertama, kode error yang sering muncul, sampai metrik MTTR dan First Call Resolution yang membuktikan perbaikan Anda benar-benar berdampak.

Autopilot Device Preparation (v2) yang dirilis Microsoft pertengahan 2024 tidak memerlukan hardware hash sama sekali, tetapi hanya mendukung deployment Entra ID join (cloud-only). Hybrid Entra ID join wajib memakai Autopilot v1.
ESP timeout mayoritas disebabkan aplikasi Win32 yang tidak silent-install atau bentrokan LOB+Win32 karena keduanya memakai TrustedInstaller dan tidak bisa berjalan paralel.
Error 0x80180018 hampir selalu masalah lisensi (Intune/Entra P1) atau device cap per-user yang terlampaui, bukan bug Autopilot.
File diagnosis pertama yang wajib dibuka adalah C:\ProgramData\Microsoft\IntuneManagementExtension\Logs\IntuneManagementExtension.log, disusul AutopilotDDSZTDFile.json untuk verifikasi profile assignment.
Sejak Microsoft Graph PowerShell SDK v2.34 (Desember 2025) autentikasi upload hash berpindah ke Windows Account Manager (WAM); dialog browser lama sudah tidak muncul.
Metrik yang wajib dilacak bulan depan: Autopilot Success Rate per driver ring, Median ESP Duration, dan FCR untuk tiket "device provisioning failed".

Autopilot v1 vs Device Preparation v2: pilih yang mana

Jujurnya, sebelum menggali error, langkah pertama saya selalu mengonfirmasi jalur enrollment yang dipakai, karena troubleshooting v1 dan v2 nyaris tidak beririsan. Windows Autopilot klasik (v1) yang sudah dipakai sejak 2017 mensyaratkan hardware hash di-registrasikan sebelum device dinyalakan, mendukung Entra ID join maupun Hybrid Entra ID join, dan menampilkan Enrollment Status Page yang sudah familiar. Autopilot Device Preparation (v2) yang dirilis Microsoft pertengahan 2024 mengubah fondasi: hardware hash dihapus dari alur, device cukup di-sign in oleh user pertama saat OOBE, dan skrip PowerShell mendapat perlakuan first-class citizen.

Kelemahan v2 adalah cakupannya. Sampai rilis 2026-06, Device Preparation belum mendukung Hybrid Entra ID join, Autopatch driver rings tertentu, dan self-deploying mode. Artinya banyak tenant enterprise masih harus mempertahankan v1 untuk laptop domain-joined lama, sementara device baru diarahkan ke v2. Di lapangan, campuran ini menjadi sumber kebingungan operasional. Helpdesk sering mendiagnosis device v2 dengan checklist v1, dan menghabiskan waktu di file log yang tidak akan pernah dibuat.

Aspek	Autopilot v1 (klasik)	Device Preparation (v2)
Hardware hash	Wajib pre-registered	Tidak diperlukan
Join type	Entra ID join, Hybrid Entra ID join, self-deploying	Hanya Entra ID join
Enrollment Status Page	Wajib (dengan risiko timeout)	Digantikan halaman baru berbasis Graph
Mixed LOB + Win32 apps	Tidak didukung (bentrok TrustedInstaller)	Didukung penuh
Assigned user	Opsional via CSV/GroupTag	Ditentukan otomatis dari sign-in OOBE
Waktu setup rata-rata (baseline saya)	32 menit	19 menit

Prasyarat sebelum memulai diagnosis

Ada lima hal yang saya verifikasi sebelum menyentuh device. Melewatkan langkah ini adalah alasan paling umum sebuah tiket bolak-balik dari L1 ke L2 tanpa hasil. Pertama, pastikan tenant Anda memiliki lisensi Intune yang cukup untuk user (Microsoft Intune Plan 1 minimum), dan Microsoft Entra ID P1 jika Anda memakai Conditional Access. Kedua, konfirmasi bahwa MDM authority sudah diset ke Microsoft Intune (bukan warisan SCCM co-management yang tidak lengkap). Ketiga, cek bahwa device menjalankan edisi Windows 11 yang didukung. Home edition tidak pernah didukung Autopilot dan akan melempar error 0x80180022.

Keempat, pastikan network selama OOBE memiliki akses tanpa proxy ke domain wajib Microsoft: *.manage.microsoft.com, *.dm.microsoft.com, *.microsoftonline.com, login.live.com, dan *.msftconnecttest.com. Jika Anda memiliki filtering SSL yang meng-inspect trafik ini, Autopilot akan gagal secara diam-diam tanpa error yang jelas. Kelima, pastikan Assigned User (jika dipakai) sudah memiliki lisensi Intune sebelum Autopilot dieksekusi. Membiarkan Assigned User tanpa lisensi adalah cara nomor satu memicu 0x80180018 di helpdesk saya. Untuk fondasi Conditional Access dan identity yang benar, review dulu panduan lengkap Microsoft Entra ID dan Conditional Access.

Cara mendapatkan hardware hash Windows 11 dan upload langsung ke Intune

Metode klasik ekstrak hardware hash ke CSV masih valid, tetapi sejak akhir 2025 saya selalu mendorong tim untuk memakai upload langsung via Microsoft Graph. Prosesnya menghemat langkah manual (attach CSV di portal Intune), dan menghilangkan sumber error umum: file CSV yang di-edit di Excel dan berubah encoding. Berikut skrip yang saya standarkan untuk pre-provisioning technician:

# Jalankan sebagai Administrator di device baru saat OOBE (Shift+F10)
Set-ExecutionPolicy -Scope Process -ExecutionPolicy Unrestricted -Force

# Install modul Graph yang diperlukan (SDK v2.34+ memakai WAM)
Install-Module -Name Microsoft.Graph.Authentication -Force -Scope CurrentUser
Install-Module -Name Microsoft.Graph.DeviceManagement.Enrollment -Force -Scope CurrentUser
Install-Script -Name Get-WindowsAutopilotInfo -Force

# Autentikasi via WAM dialog dan upload hash langsung ke tenant
# Parameter -GroupTag akan otomatis memicu dynamic group + profile assignment
Get-WindowsAutopilotInfo.ps1 `
    -Online `
    -GroupTag "PILOT-RING-1" `
    -AssignedUser "[email protected]"

# Alternatif: export ke CSV untuk bulk upload
Get-WindowsAutopilotInfo.ps1 -OutputFile C:\Temp\hash.csv

Sejak Microsoft Graph PowerShell SDK v2.34 (Desember 2025), dialog autentikasi berubah dari popup browser menjadi Windows Account Manager (WAM). Ini kadang membingungkan technician baru: mereka mengklik "Sign in" dan mengharapkan tab browser terbuka, padahal dialog Windows native muncul di background. Kalau Anda memakai virtual machine untuk testing, WAM tidak selalu tersedia, jadi fallback ke device-code flow dengan Connect-MgGraph -UseDeviceAuthentication. Referensi resmi tersedia di Windows Autopilot troubleshooting FAQ dari Microsoft.

Verifikasi setelah upload

Setelah upload, tunggu 5–10 menit lalu cek device muncul di Intune admin center → Devices → Enrollment → Windows enrollment → Devices. Kalau Anda memakai GroupTag, dynamic Azure AD group memakan waktu tambahan 15–30 menit untuk memproses membership. Selama window ini, device baru akan boot OOBE tetapi tidak menerima profile, dan ESP akan gagal dengan pesan generik. Sabar lebih murah dibandingkan wipe berulang.

Kenapa Autopilot stuck di Enrollment Status Page?

Enrollment Status Page adalah sumber tiket paling produktif di helpdesk Autopilot. Default timeout ESP adalah 60 menit, dan ketika hitungan mundur habis tanpa keberhasilan, device drop ke desktop dengan status "Setup failed", meninggalkan user yang tidak tahu harus melapor ke mana. Dari data 6 bulan terakhir di operasi saya, 71% tiket ESP stuck disebabkan aplikasi Win32 yang tidak silent-install atau bentrokan LOB+Win32. Sisanya mayoritas real-time clock mismatch di Hybrid Entra ID join deployment.

Diagnosis dimulai dari registry. Buka HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Autopilot\EnrollmentStatusTracking dan telusuri ke Device\Setup\Apps\Tracking\Sidecar\Win32App_{AppID}. Nilai InstallationState = 4 menandakan app tersebut gagal; ESP akan berhenti pada baris itu dan tidak akan pindah ke app berikutnya. Salin GUID app, cocokkan dengan portal Intune untuk mengenalinya, lalu buka log Intune Management Extension:

# Log utama Intune Management Extension
notepad C:\ProgramData\Microsoft\IntuneManagementExtension\Logs\IntuneManagementExtension.log

# Log spesifik per Win32 app
notepad C:\ProgramData\Microsoft\IntuneManagementExtension\Logs\AgentExecutor.log

# Grep exit code non-zero (butuh PowerShell 7 atau install ripgrep)
Get-Content .\IntuneManagementExtension.log |
    Select-String -Pattern "ExitCode.*[1-9]" |
    Select-Object -Last 20

Root cause paling sering: installer MSI/EXE yang menunggu dialog konfirmasi tersembunyi (hidden UI acceptance), install script yang meminta reboot mid-flow tanpa 3010 exit code, atau bandwidth OOBE terlalu tipis sehingga download 500 MB Adobe Reader menghabiskan seluruh window 60 menit. Solusi taktis: naikkan ESP timeout ke 120 menit untuk pilot ring, pindahkan app besar (Microsoft 365 Apps, Adobe suite) ke required setelah OOBE daripada blocking ESP, dan pastikan semua installer memakai flag silent (/qn, /S, --silent). Jangan diasumsikan default-nya sudah silent.

Kasus khusus: real-time clock mismatch di Hybrid join

Pada Hybrid Entra ID join, setelah offline domain join diterapkan, device melakukan time sync ke on-prem time server. Kalau clock device meleset lebih dari 5 menit, sync gagal, dan ESP hang menunggu tanda tangan Kerberos yang tidak pernah datang. Saya kena kasus ini persis waktu roll-out laptop batch pertama dari vendor baru: semua clock BIOS mundur 3 jam karena factory reset di zona waktu yang berbeda. Fix cepat: pada image reference Anda, hardcode NTP server publik sebagai fallback via w32tm /config. Fix permanen: sinkronkan BIOS clock semua device sebelum shipping dari vendor.

Kode error MDM enrollment yang sering muncul

Kode error MDM di Autopilot memiliki reputasi menakutkan karena angka hex yang panjang, tetapi mayoritas jatuh ke tiga bucket. Berikut tiga yang paling sering muncul di tiket helpdesk saya, lengkap dengan diagnosa cepat.

0x80180018: Error lisensi user

Error 0x80180018 berarti "There was an error with your license". Terjemahan operasional: user yang mencoba sign in tidak punya lisensi Intune, atau device cap per-user (default 5) sudah terlampaui. Ini sangat umum di lab admin yang sering re-enroll device testing dengan akun yang sama. Fix:

Buka Entra ID portal → Users → cari user → Licenses. Pastikan minimum "Intune Plan 1" ter-assign.
Buka Intune → Devices → All devices → filter by user. Hapus device stale yang sudah tidak dipakai (retire, bukan wipe, agar user cap turun).
Cek Device Enrollment Limit di Entra ID → Devices → Device settings. Default 5, boleh dinaikkan sampai 20 atau Unlimited untuk admin.

0x80180022: Edisi Windows tidak didukung

Kode 0x80180022 muncul ketika device menjalankan Windows 11 Home. Autopilot dan Intune tidak mendukung Home edition; Anda perlu Pro, Enterprise, Education, atau Pro for Workstations. Fix satu-satunya: upgrade edisi via changepk.exe atau product key baru. Kalau device datang dari retail store, negosiasikan dengan vendor untuk pre-load edisi Pro sebelum shipment.

0x80180014: MDM enrollment gagal setelah join

Kode 0x80180014 menandakan MDM enrollment gagal setelah Entra ID join berhasil. Root cause paling sering: MDM user scope diset ke "None" atau "Some" di portal Intune (Devices → Windows → Windows enrollment → Automatic Enrollment), dan user Anda tidak masuk grup yang ter-scope. Fix: ubah MDM user scope ke "All", atau tambahkan user ke grup yang sudah di-scope. Cek dokumentasi resmi di Windows Autopilot known issues.

Mengumpulkan log dengan MDM Diagnostic Tool

Ketika error tidak jelas atau harus dieskalasi ke Microsoft, cara paling efisien mengumpulkan bukti adalah lewat MDM Diagnostic Tool bawaan. Tool ini membundel event log, registry, dan konfigurasi MDM ke satu file CAB yang siap dilampirkan ke tiket. Jalankan sebagai administrator:

# Bundel diagnostik lengkap khusus Autopilot
mdmdiagnosticstool.exe -area Autopilot -cab C:\Temp\AutopilotDiag.cab

# Bundel diagnostik yang lebih luas (Autopilot + DeviceEnrollment + AzureAd)
mdmdiagnosticstool.exe -area "Autopilot;DeviceEnrollment;AzureAd" -cab C:\Temp\FullDiag.cab

# Ekstrak CAB untuk analisis lokal
expand.exe -F:* C:\Temp\AutopilotDiag.cab C:\Temp\AutopilotDiag

File paling informatif di dalam CAB adalah AutopilotDDSZTDFile.json (isi profile yang di-deliver ke device; kalau kosong berarti tidak ada profile ter-assign) dan tpm.txt (status TPM attestation, wajib bersih untuk self-deploying). Alternatif yang lebih modern adalah Get-AutopilotDiagnostics, script community yang mem-parse CAB dan menampilkan hasil dalam bentuk yang bisa dibaca manusia:

# Install script sekali
Install-Script -Name Get-AutopilotDiagnostics -Force

# Jalankan analisis; tambahkan -Online untuk mengambil detail profile dari Graph
Get-AutopilotDiagnostics -CABFile C:\Temp\AutopilotDiag.cab -Online -ShowPolicies

Output-nya mencakup ringkasan waktu tiap tahap (Device ESP, User ESP, per-app install), sehingga Anda bisa mengukur exactly di mana waktu deployment terbuang. Data ini adalah bahan bakar utama untuk metrik yang saya bahas di bagian akhir.

Troubleshooting Hybrid Entra ID join

Hybrid Entra ID join adalah skenario dengan tingkat kegagalan tertinggi, karena melibatkan tiga sistem yang harus setuju secara bersamaan: Entra ID Connect, on-prem Domain Controller, dan Intune. Selain masalah clock yang sudah dibahas, tiga penyebab utama kegagalan yang saya temui:

Intune Connector for Active Directory not healthy. Cek server tempat connector di-install (Server Manager → Services → "Intune Connector for Active Directory"). Restart service, lalu cek Devices → Enrollment → Intune Connector for Active Directory di portal Intune. Status harus "Active" dengan timestamp check-in kurang dari 30 menit.
Computer OU tidak ada atau tidak punya izin. Domain Join Profile mengarahkan device ke OU tertentu. Kalau OU dihapus atau connector service account tidak punya Create Computer Objects permission, offline domain join gagal tanpa error yang informatif di client.
Network line-of-sight ke DC. Setelah reboot pertama, device harus bisa mencapai DC untuk finalize domain join. VPN tidak berjalan di OOBE, jadi kalau device diprovisi remote, gagal. Solusi: gunakan Always On VPN dengan device tunnel atau (lebih baik) migrasi ke Autopilot v2 Entra join murni.

Untuk isu Group Policy yang menyusul setelah domain join sukses, saya rekomendasikan review cara memperbaiki Group Policy tidak diterapkan di Windows 11. Ada banyak overlap simptom dengan Autopilot Hybrid yang menyisakan device di state setengah-configured.

Metrik helpdesk yang perlu Anda ukur bulan depan

Semua troubleshooting di atas hanya berharga jika Anda bisa membuktikan perbaikan itu berdampak. Berikut tiga metrik yang saya minta tim lacak setiap bulan untuk kategori Autopilot, dengan target realistis berdasarkan benchmark internal dan data industri.

1. Autopilot Success Rate per driver ring (target: ≥95%)

Hitung: (Deployment sukses tanpa manual intervention / Total deployment attempts) × 100. Segmentasikan per driver ring (pilot, ring 1, broad) untuk menangkap regresi lebih awal — ring pilot yang turun ke 85% adalah sinyal untuk menahan promosi ke ring berikutnya. Data source: Intune Autopilot report → Deployment status. Jangan lupa exclude deployment yang gagal karena user error (misal, mengetik password salah 3× dan lockout).

2. Median ESP Duration (target: <25 menit untuk v1, <18 menit untuk v2)

Median lebih relevan daripada rata-rata karena outlier (device dengan install 90 menit) menyembunyikan trend. Kumpulkan data dari Get-AutopilotDiagnostics yang dijalankan sebagai post-install script. Kalau median naik >20% bulan-ke-bulan, hampir pasti ada app baru yang di-add ke ESP tanpa profiling durasi install-nya.

3. First Call Resolution untuk tiket "device provisioning failed" (target: ≥75%)

Menurut benchmark MetricNet, FCR IT service desk rata-rata industri 70–75%; high performer di atas 85%. Untuk Autopilot spesifik, target 75% realistis karena banyak kegagalan butuh akses tenant admin. Kunci menaikkan FCR: knowledge base yang up-to-date (lihat contoh struktur artikel troubleshooting yang berhasil saya standarkan) dan L1 diberi izin melakukan device retire + re-assign profile tanpa eskalasi.

Publikasikan tiga metrik ini di dashboard yang dilihat manajemen. Autopilot yang tidak gagal adalah investasi terbaik untuk menekan MTTR total helpdesk Anda — device yang provisioning bersih tidak pernah menjadi tiket sama sekali. Untuk membaca lebih dalam soal MTTR reduction, MetricNet mempublikasikan panduan mendalam Mean Time to Resolve yang saya rujuk untuk penetapan target.

Pertanyaan yang Sering Diajukan

Apakah Autopilot bisa dipakai di Windows 11 Home?

Tidak. Autopilot dan Intune MDM enrollment hanya mendukung edisi Pro, Enterprise, Education, atau Pro for Workstations. Percobaan enroll di Home edition akan gagal dengan error 0x80180022. Solusinya adalah upgrade edisi via changepk.exe atau membeli product key edisi yang didukung.

Berapa lama waktu default sebelum Enrollment Status Page timeout?

Default timeout ESP adalah 60 menit. Anda bisa menaikkan sampai 1440 menit (24 jam) di ESP profile Intune, tetapi lebih baik memindahkan app yang lambat ke required setelah OOBE daripada memperpanjang timeout. Timeout panjang menyembunyikan masalah performa yang seharusnya diperbaiki.

Bagaimana cara ambil hardware hash tanpa reboot device?

Tekan Shift+F10 di layar OOBE Windows 11 untuk membuka Command Prompt, ketik powershell, lalu jalankan skrip Get-WindowsAutopilotInfo.ps1 -Online. Metode ini bekerja tanpa boot ke desktop dan tidak akan memicu TPM attestation issue karena device belum pernah sign-in.

Kenapa Autopilot Device Preparation tidak muncul di tenant saya?

Device Preparation v2 hanya tersedia jika tenant Anda memiliki lisensi Microsoft Intune Plan 1 (atau lebih tinggi), dan Anda memakai Intune Service Release 2410 atau lebih baru. Cek tenant Anda di Intune admin center → Tenant administration → Tenant status untuk memastikan service release memenuhi syarat.

Apakah saya masih perlu hardware hash jika sudah pakai Autopilot v2?

Tidak untuk v2, tetapi ya untuk v1 dan Hybrid Entra ID join. Sepanjang Anda masih mengoperasikan skenario Hybrid atau self-deploying (kiosk/shared device), extraction hash tetap wajib. Rekomendasi saya: dokumentasikan matriks kapan hash diperlukan agar technician tidak menjalankan skrip yang tidak perlu di device v2.