Sent i 2025 avviklet Microsoft i all stillhet Microsoft Deployment Toolkit (MDT). Ingen stor kunngjøring. Ingen migreringsveiledning. Ingen offisiell erstatning. For tusenvis av IT-team som hadde brukt MDT som ryggraden i Windows-utrullingen sin, var budskapet klart: Finn ut av det selv.
Grunnen til at MDT ble avviklet, er viktig. Sikkerhetsforskere fant sårbarheter som gjorde det mulig å hente ut privilegert Active Directory-påloggingsinformasjon direkte fra MDTs deployment shares. I stedet for å patche den underliggende arkitekturen valgte Microsoft å avslutte produktet helt. Det betyr at virksomheter som fortsatt kjører MDT, ikke bare bruker programvare uten støtte – de kjører infrastruktur med kjente, upatchede sikkerhetssårbarheter.
Samtidig går mange IT-team over til Microsoft Intune og Windows Autopilot. Men her oppstår en kritisk misforståelse: Intune og Autopilot erstatter ikke det MDT faktisk gjorde. De administrerer enheter. De ruller dem ikke ut fra bunnen av.
⚠️ Kjerneproblemet
MDT er borte. Intune kan ikke erstatte det. Og hver dag du kjører eldre utrullingsinfrastruktur, lever du med en kjent sikkerhetsrisiko.
Denne artikkelen forklarer hva MDT faktisk gjorde, hvorfor ikke ett enkelt Microsoft-verktøy erstatter det i dag, og hva moderne IT-team gjør i stedet.
Hva MDT faktisk gjorde – og hvorfor det er vanskelig å erstatte
MDT var verktøyet IT-team grep til når en enhet ikke hadde noe operativsystem. Ikke for konfigurasjon. Ikke for håndheving av policyer. Men for å få Windows inn på en maskin som ikke hadde noe på seg – enten det var en splitter ny enhet rett ut av esken, et system ødelagt av skadevare eller brukt maskinvare som skulle standardiseres før utlevering.
I praksis dekket MDT fire scenarioer som fortsatt oppstår hver dag i IT-avdelingene i større virksomheter:
- Nye enheter som kommer uten et operativsystem som er satt opp for virksomheten
- Systemer som har feilet eller er ødelagt, og som må bygges opp på nytt
- Gjenoppretting etter skadevare som krever fullstendig sletting og ny installasjon
- Brukt maskinvare som skal tas i bruk på nytt i andre avdelinger
For å håndtere dette kombinerte MDT PXE-oppstart, OS-images, driverinjeksjon, oppgavesekvenser (task sequences) og skripting etter utrulling i én arbeidsflyt. Det var komplisert å vedlikeholde – men det fungerte, og det fantes ikke noe tilsvarende innebygd i Microsofts verktøyportefølje som dekket det samme.
Det er derfor det er så vanskelig å erstatte MDT. Utfordringen er ikke å finne et verktøy som etterligner MDTs grensesnitt. Det er å finne noe som tetter det samme hullet i utrullingen, uten å innføre den samme infrastrukturbyrden som gjorde MDT til en belastning i utgangspunktet.
Hvorfor MDT ble bygget for en annen IT-tid
MDT ble utviklet for en lokal verden der alle enheter befant seg i bedriftsnettverket, utrullingsservere ble driftet av egne team, og OS-images ble oppdatert manuelt hvert kvartal. Den modellen fungerte så lenge arbeidsstyrken var stasjonær og infrastrukturen lokal.
Moderne IT-miljøer ser helt annerledes ut. Enhetene er spredt. Teamene jobber eksternt. IT-ansatte forventes å klargjøre en enhet for en medarbeider i et annet land uten noen gang å røre maskinvaren. MDTs arkitektur – bygget rundt imageservere, PXE-infrastruktur og deployment shares – skalerer ikke til den virkeligheten. Den krever fysisk nærhet, servervedlikehold og manuelt vedlikehold av images, noe som sluker timer av IT-avdelingens tid i hver syklus.
Microsofts avvikling av MDT var ikke bare en sikkerhetsbeslutning. Det var en erkjennelse av at den underliggende modellen hadde nådd slutten av sin levetid.
Hvorfor OS-utrulling fortsatt er viktig, også uten MDT
En vanlig antakelse etter at MDT ble avviklet, er at moderne skyverktøy rett og slett har gjort OS-utrulling unødvendig. Den antakelsen er feil, og den skaper et farlig hull i IT-driften.
Tenk på scenarioene som fortsatt oppstår, uansett hvor modent Intune-miljøet ditt er:
- En ekstern medarbeiders bærbare PC svikter fullstendig. Uten mulighet for bare metal-utrulling må enheten sendes tilbake til IT – med flere dagers nedetid og logistikkostnader.
- En enhet rammes av løsepengevirus. Hele operativsystemet må slettes og bygges opp på nytt fra en ren tilstand, ikke bare konfigureres på nytt fra Intune.
- Ny maskinvare leveres med et forbrukerimage av Windows som må erstattes med virksomhetens standardoppsett før innrullering.
- En enhet i et sikret anlegg må bygges opp på nytt uten å være koblet til internett under utrullingen.
Dette er ikke unntakstilfeller. Det er rutinehendelser i enhver virksomhet som administrerer mer enn noen hundre endepunkter. Mangelen på et godt utrullingsverktøy får ikke disse scenarioene til å forsvinne – det gjør dem bare dyrere og mer tidkrevende å håndtere.
Hvorfor Intune og Autopilot ikke kan erstatte MDT
Dette er den viktigste misforståelsen å rydde opp i: Microsoft Intune er en plattform for enhetsadministrasjon. Windows Autopilot er en tjeneste for enhetskonfigurasjon. Ingen av dem er et utrullingsverktøy.
Windows Autopilot krever en enhet som allerede kjører en støttet versjon av Windows. Tjenesten håndterer tilpasning av førstegangsoppsettet (out-of-box experience), Azure AD join og innledende policyer. Den installerer ikke Windows på en maskin uten operativsystem. Den gjenoppretter ikke en enhet som ikke starter. Den installerer ikke et nytt image på et system som er kompromittert av skadevare.
Intune dekker administrasjonslaget over operativsystemet – programvaredistribusjon, konfigurasjonspolicyer, håndheving av samsvar og patchehåndtering. Intune er svært godt på det det gjør. Men det har den samme avhengigheten: Enheten må kjøre Windows før Intune kan gjøre noe som helst.
💡 Hullet forklart enkelt
Autopilot konfigurerer en enhet. Intune administrerer en enhet. Ingen av dem kan skape en enhet fra bunnen av. Det er det hullet MDT fylte – og det hullet som fortsatt må fylles i dag.
Alternativer til MDT: Hva er de reelle valgene?
Virksomheter som vurderer erstatninger for MDT, ender som regel opp i én av fire kategorier. Slik står de seg mot hverandre på de punktene som betyr mest:
Hvert alternativ innebærer en avveining. Spørsmålet er ikke hvilket verktøy som teknisk sett klarer jobben – det er hvilken modell som passer der IT-driften er på vei.
Intune + Autopilot
Microsofts egen vei fungerer godt for nye enheter som leveres med Windows forhåndsinstallert. Den er enkel, skybasert og integreres godt med resten av Microsoft-porteføljen. Men den dekker ikke bare metal-scenarioer, og behandler du den som en fullverdig erstatning for MDT, blir hullet synlig første gang en enhet må bygges opp fra null.
Configuration Manager (SCCM / MECM)
SCCM er fortsatt det mest kapable alternativet for virksomheter som trenger full kontroll over utrullingen – inkludert OS-imaging, PXE-oppstart og oppgavesekvenser. Men det krever betydelig lokal infrastruktur, egen kompetanse til vedlikehold og løpende investeringer i håndtering av images. For team som beveger seg mot skybasert drift, går det i feil retning.
Imagebaserte verktøy
Imagebaserte utrullingsverktøy forenkler MDT-arbeidsflyten og reduserer noe av arbeidet med å lage images. De er et fornuftig overgangsalternativ for virksomheter som ikke er klare for en helt skybasert modell. Den underliggende tilnærmingen – å vedlikeholde OS-images og rulle dem ut med tradisjonelle mekanismer – krever fortsatt manuelt vedlikehold og skalerer dårlig i distribuerte miljøer.
Skybaserte klargjøringsplattformer
Den nye kategorien. Disse plattformene ruller ut Windows fra bare metal over internett, uten lokal infrastruktur, uten vedlikehold av images og med automatisk driverhåndtering. Den første utrullingen kan settes opp på under én time. Enheter hvor som helst kan klargjøres eller gjenopprettes uten å sendes tilbake til IT. Det er hit utrulling av endepunkter i større virksomheter er på vei.
Det egentlige skiftet: fra imaging til skybasert utrulling
Den dypere endringen som avviklingen av MDT signaliserer, handler ikke om å finne et verktøy som gjør det MDT gjorde. Den handler om å erkjenne at hele imagemodellen – bygg et image, vedlikehold det, rull det ut – er i ferd med å bli erstattet.
Det er dyrt å vedlikeholde OS-images. Hver programvareoppdatering, hver Windows-patch og hver driverendring kan kreve at et nytt image bygges, testes og distribueres. I en enhetspark på tusenvis av enheter med variert maskinvare blir dette en fulltidsjobb. Teamene som gjør det godt, skaper ikke strategisk verdi – de håndterer teknisk gjeld.
Det moderne alternativet fjerner imaget helt. I stedet for å rulle ut et ferdigbygd image henter plattformen et rent Microsoft-operativsystem, legger automatisk på de riktige driverne for den aktuelle maskinvaren og overlater enheten til Intune for konfigurasjon. Ingen images å vedlikeholde. Ingen infrastruktur å drifte. Ingen manuell pakking.
For IT-team har dette skiftet en konkret effekt: Timene som tidligere gikk med til å lage images og pakke drivere, kan brukes på arbeid som faktisk tar virksomheten videre.
Provision Manager – bygget for verden etter MDT
CapaOne Provision Manager, en del av CapaOne-plattformen for endepunktadministrasjon, er utviklet spesielt for å fylle hullet MDT etterlater seg – uten å gjeninnføre infrastrukturkompleksiteten som gjorde MDT til en belastning.
Det er en 100 % skybasert løsning. Det finnes ingen servere å vedlikeholde, ingen deployment shares å sikre og ingen images å bygge. En enhet kan klargjøres fra bare metal til et fullt administrert endepunkt med bare en internettforbindelse. Den første utrullingsmalen kan settes opp på under én time.
For IT-team som administrerer en distribuert arbeidsstyrke, er fjerngjenoppretting den funksjonen som gir mest verdi med en gang. Når en enhet svikter – hvor som helst i verden – kan den installeres på nytt fra skyen uten å sendes tilbake til IT. Enheten starter, kobler seg til plattformen og får et rent operativsystem med de riktige driverne allerede installert, før Provision Manager automatisk overlater den til Intune. CapaOne fungerer også helt uten Intune. Nedetiden måles i timer, ikke dager.
De viktigste funksjonene:
- Skybasert bare metal-utrulling av operativsystemet – klargjør hvilken som helst enhet fra bunnen av med bare en internettforbindelse, uten lokal server eller fysiske medier
- Automatisk driverinstallasjon med produsentsertifiserte driverpakker for maskinvare fra Dell, HP, Lenovo og Microsoft – slutt på manuell driverpakking og færre hendelser etter utrulling
- Fjerngjenoppretting – installer en enhet som har sviktet, på nytt uten å sende den tilbake til IT
- Universell imaging – ett maskinvareuavhengig OS-image fungerer på tvers av alle enhetsmodeller og reduserer vedlikeholdet av images til null
- Full integrasjon med Autopilot – gir det bare metal-grunnlaget Autopilot trenger for nye eller ødelagte enheter
- Null infrastruktur – erstatter eldre utrullingsservere helt, frigjør IT fra servervedlikehold og reduserer driftskostnadene
Provision Manager er tilgjengelig nå.
Se hvordan CapaOne Provision Manager erstatter MDT – uten infrastrukturen.
«Det var fleksibiliteten som skilte seg ut med en gang. Jeg installerte en maskin på nytt fra et eksternt kontor – uten lokal server, uten USB-pinne og uten firmanettverk. Og det å vite at jeg kan gjenopprette en enhet som er helt ute av funksjon, fra skyen, endrer fullstendig hvordan jeg tenker på enhetsfeil.»
Lars Olsen, LEMAN
→ Book en demo og se det i praksis
Forberedelser til et miljø uten MDT
For IT-team som fortsatt kjører MDT, handler det ikke bare om å finne en erstatning. Det handler om å forstå sikkerhetseksponeringen som følger med å fortsette å kjøre det. De kjente sårbarhetene som gjør det mulig å hente ut påloggingsinformasjon, kommer ikke til å bli patchet. Hver dag MDT fortsatt er en del av utrullingen din, er en dag der risikoen står åpen.
Overgangen ser forskjellig ut avhengig av hvor du starter:
- Team som allerede bruker Intune og Autopilot, må tette bare metal-hullet. Autopilot håndterer konfigurasjon – ikke utrulling fra null.
- Team som kjører SCCM sammen med MDT, må bestemme seg for om de skal utvide den lokale investeringen eller begynne overgangen til skybasert drift.
- Team med et stort sett moderne miljø og enkelte eldre scenarioer har mest nytte av et skybasert klargjøringslag som håndterer unntakstilfellene uten å kreve full infrastruktur.
Fellesnevneren er at det riktige tidspunktet å løse dette på er før neste enhetsfeil, ikke etter.
Konklusjon: Hva erstatter egentlig MDT?
Microsoft Deployment Toolkit avvikles fordi modellen det ble bygget på – imageservere, PXE-infrastruktur og lokale deployment shares – ikke lenger passer til hvordan IT i større virksomheter drives. Sikkerhetssårbarhetene fremskyndet beslutningen, men retningen var allerede klar.
Intune og Autopilot dekker administrasjons- og konfigurasjonslaget godt. De dekker ikke utrullingslaget. Det hullet er reelt, og det blir synlig i det øyeblikket en enhet må bygges opp fra bunnen av.
Den egentlige erstatningen for MDT er ikke et verktøy som gjenskaper det MDT gjorde. Det er en modell som gjør det MDT gjorde, unødvendig – skybasert OS-utrulling som håndterer bare metal-klargjøring, driverorkestrering og fjerngjenoppretting uten noe av infrastrukturen som gjorde MDT vanskelig å vedlikeholde og til slutt umulig å sikre.
CapaOne Provision Manager er tilgjengelig nå.
