HoloLens 2 含Azure AD账户创建的预配包部署失败问题

包含Azure AD账户自动创建/加入、WiFi预导入、开发者模式开启的HoloLens 2批量预配流程是成熟可落地的，很多企业部署场景都在用这套逻辑做设备重置后的零手动初始化，你遇到的WCD校验全绿但OOBE阶段AAD加入失败是非常高频的配置类问题，按以下步骤排查基本都能解决：

• 首先匹配Windows Configuration Designer（WCD）版本
  不要用独立安装的旧版WCD，直接安装对应HoloLens系统版本的Windows SDK，使用SDK配套的WCD组件生成预配包。如果你的HoloLens 2已经更新到22H2及以上版本，旧版Win10配套WCD生成的AAD加入令牌存在声明字段缺失问题，哪怕WCD内所有前置校验显示通过，OOBE阶段解析令牌时也会直接失败。
• 核对Azure AD租户侧配置
  • WCD中AAD相关配置必须选择Azure AD Join，不能选Azure AD注册，后者不支持OOBE阶段无交互自动配置
  • 前往AAD管理中心-设备-设备设置页，确认「用户可将设备加入Azure AD」权限配置正确：如果设置为全部允许，要确认你用来在WCD中获取令牌的账号没有被单独限制；如果设置为指定组允许，要确保取令牌的账号在允许组内。同时该账号不能开启强制交互MFA、不能配置首次登录需要手动同意使用条款，预配流程是无交互的，任何需要手动确认的弹窗都会直接打断AAD加入流程
  • 临时关闭AAD侧的设备加入前置合规检查要求，HoloLens在OOBE阶段还未完成合规状态上报，这类前置拦截会直接返回加入失败
• 预配包本身配置校验
  • 不要用简单模式生成包，直接切高级模式，按优先级排序配置项：把WiFi配置放在所有配置项的最前面，确保AAD加入流程启动前设备已经连通网络。可以先导出仅含WiFi配置的测试包，在重置后的设备OOBE阶段验证能自动连网后，再逐次加开发者模式、AAD加入的配置，方便定位问题
  • 获取AAD令牌后不要手动修改任何AAD相关的默认字段，尤其不要手动指定预生成的本地用户名，保持默认的「AAD用户首次登录时自动关联权限」配置，手动指定本地用户会直接打断AAD账户的创建链路
  • 导出预配包时不要开启包双重加密、不要设置过短的包有效期，加密包在OOBE阶段无法无交互解密，会直接部署失败
• 部署环节注意事项
  • 测试前必须将HoloLens 2完全重置，已经走完OOBE流程进入系统的设备，无法复现和测试OOBE阶段的预配逻辑
  • 存放预配包的U盘必须格式化为FAT32格式，预配包直接放在U盘根目录，不要嵌套任何子文件夹，避免OOBE阶段无法识别
  • 你遇到的无特殊标识的AAD加入失败报错，90%以上都是WCD版本不匹配、MFA交互拦截、网络未提前连通这三类原因导致。如果排查完以上步骤仍失败，可以在预配失败后提取设备内C:\Windows\Provisioning\Logs路径下的预配日志，搜索AADJoin相关的错误条目，能看到具体的失败原因（令牌过期、租户拒绝、网络超时等）。

内容的提问来源于stack exchange，提问作者raggnic