Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Einführung
Mit in Microsoft Intune integrierten DFCI-Profilen (Device Firmware Configuration Interface) erweitert die Surface UEFI-Verwaltung den modernen Verwaltungsstapel bis auf die UEFI-Hardwareebene (Unified Extensible Firmware Interface). DFCI unterstützt die Zero-Touch-Bereitstellung, eliminiert BIOS-Kennwörter, bietet die Kontrolle über Sicherheitseinstellungen, einschließlich Startoptionen und integrierter Peripheriegeräte, und schafft die Grundlage für zukünftige erweiterte Sicherheitsszenarien. Auf dieser Seite sind alle DFCI-Richtlinieneinstellungen für berechtigte, vom Autopilot bereitgestellte Surface-Geräte aufgeführt.
DFCI wurde für die Verwendung mit der Verwaltung mobiler Geräte auf Softwareebene (Mobile Device Management, MDM) entwickelt und ermöglicht IT-Administratoren das Remotedeaktivieren bestimmter Hardwarekomponenten und verhindern, dass Endbenutzer darauf zugreifen. Wenn Sie beispielsweise vertrauliche Informationen in hochsicheren Bereichen schützen müssen, können Sie die Kamera deaktivieren, und wenn Sie nicht möchten, dass Benutzer von USB-Laufwerken starten, können Sie dies ebenfalls deaktivieren.
Tipp
Die Unterstützung für einige DFCI-Richtlinieneinstellungen variiert je nach Gerät. Lesen Sie die Referenz zu den DFCI-Richtlinieneinstellungen auf dieser Seite, und befolgen Sie die Intune-Anweisungen, um Einstellungen auf Ihren Geräten zu konfigurieren und bereitzustellen.
Voraussetzungen
- Windows 11 oder Windows 10, Version 1809 oder höher
- Geräte müssen bei Windows Autopilot registriert sein. Weitere Informationen finden Sie unter Surface-Registrierungsunterstützung für Windows Autopilot.
Hinweis
Geräte, die manuell oder selbst für Autopilot registriert wurden, z. B. aus einer CSV-Datei importiert wurden, dürfen DFCI nicht verwenden. Entwurfsbedingt erfordert die DFCI-Verwaltung einen externen Nachweis über den kommerziellen Erwerb des Geräts über einen Microsoft CSP-Partner oder die Surface-Registrierung.
Referenz zu DFCI-Richtlinieneinstellungen für Surface-Geräte
Berechtigte Geräte
Sofern nicht anders angegeben, sind die aufgeführten Geräte nur kommerzielle SKUs.
| Gerätetyp | Modelle |
|---|---|
| Surface Pro | Pro for Business 12 Zoll 2. Edition |
| Pro 12th Edition (Snapdragon) | |
| Pro for Business 12. Edition (Intel) | |
| Pro for Business 12 Zoll 1. Edition | |
| Pro for Business 11. Edition (Intel) | |
| Pro mit 5G 11th Edition (Snapdragon) | |
| Pro 11th Edition (Snapdragon) | |
| Pro 10 mit 5G für Unternehmen | |
| Pro 10 | |
| Pro 9 mit 5G (SQ3) | |
| Pro 9 (Intel) | |
| Pro 8 | |
| Pro 7+ | |
| Pro 7 (alle SKUs) | |
| Pro X (alle SKUs) | |
| Surface Laptop | Laptop Ultra |
| Laptop for Business 13 Zoll 2. Edition (Snapdragon) | |
| Laptop 8. Edition (Snapdragon) | |
| Laptop for Business 8. Edition (Intel) | |
| Laptop for Business 13 Zoll 1. Edition (Intel) | |
| Laptop for Business 13 Zoll 1st Edition (Snapdragon) | |
| Laptop 5G for Business 7. Edition (Intel) | |
| Laptop for Business 7. Edition (Intel) | |
| Laptop 7. Edition (Snapdragon) | |
| Laptop 6 | |
| Laptop 5 | |
| Laptop 4 | |
| Laptop 3 (Intel) | |
| Laptop Studio (alle Generationen) | |
| Laptop Go | |
| Laptop Go 2 | |
| Laptop Go 3 | |
| Laptop SE | |
| Surface Hub | Hub 3 |
| Other | Buch 3 |
| Go 3 | |
| Go 4 | |
| Studio 2+ |
Hinweis
Die Verwaltung der DFCI-Einstellungen für integrierte Kamera, Audio und WLAN/Bluetooth wird von Surface Pro X nicht unterstützt. Einige neuere Einstellungen werden nur auf den neuesten Geräten unterstützt.
Tabelle 1: Referenz der DFCI-Richtlinieneinstellungen: Von Autopilot bereitgestellte Surface-Geräte
| DFCI-Einstellung | Beschreibung | Unterstützung |
|---|---|---|
| UEFI-Zugriff | ||
| Lokalen Benutzern das Ändern der UEFI-Einstellungen (BIOS) gestatten | Mit dieser Einstellung können Sie verwalten, ob Endbenutzer die UEFI-Einstellungen auf berechtigten Geräten ändern können. - Wenn Sie Nur nicht konfigurierte Einstellungen auswählen, können lokale Benutzer (auch Endbenutzer genannt) jede UEFI-Einstellung ändern, mit Ausnahme der Einstellungen, die Sie explizit über Intune aktiviert oder deaktiviert haben. - Wenn Sie "Keine" auswählen, können lokale Benutzer die UEFI-Einstellungen nicht ändern, einschließlich Einstellungen, die nicht im DFCI-Profil angezeigt werden. |
Alle berechtigten Geräte |
| Sicherheitseinstellungen | ||
| Gleichzeitiges Multithreading | Mit dieser Einstellung können Sie steuern, ob die Unterstützung für simultanes Multithreading (SMT) auf berechtigten Geräten aktiviert ist. SMT unterstützt die Intel Hyperthreading-Technologie, die zwei logische Prozessoren für jeden physischen Kern bereitstellt. - Wenn Sie diese Einstellung aktivieren, ist SMT in der UEFI-Ebene aktiviert. - Wenn Sie diese Einstellung deaktivieren, ist SMT in der UEFI-Ebene deaktiviert. - Wenn Sie diese Einstellung nicht konfigurieren, ist SMT aktiviert. |
Alle berechtigten Geräte |
| Kameras | ||
| Kameras | Mit dieser Einstellung können Sie verwalten, ob die integrierte Kamera auf berechtigten Geräten funktionieren kann. - Wenn Sie diese Einstellung aktivieren, sind alle eingebauten Kameras erlaubt. Peripheriegeräte wie USB-Kameras sind davon nicht betroffen. - Wenn Sie diese Einstellung deaktivieren, werden alle eingebauten Kameras deaktiviert. Peripheriegeräte wie USB-Kameras sind davon nicht betroffen. - Wenn Sie diese Einstellung nicht konfigurieren, sind alle eingebauten Kameras aktiviert. |
– Wird auf Surface Pro X nicht unterstützt. – Unterstützt auf Surface Pro 9 mit 5G und allen anderen berechtigten Geräten. |
| Frontkamera | Mit dieser Einstellung können Sie steuern, ob die Frontkamera auf geeigneten Geräten funktionieren kann. - Wenn Sie diese Einstellung aktivieren, ist die Frontkamera zulässig. Peripheriegeräte wie USB-Kameras sind davon nicht betroffen. - Wenn Sie diese Einstellung deaktivieren, ist die Frontkamera deaktiviert. Peripheriegeräte wie USB-Kameras sind davon nicht betroffen. - Wenn Sie diese Einstellung nicht konfigurieren, ist die Frontkamera aktiviert. |
– Wird auf Surface Pro X nicht unterstützt. – Unterstützt auf Surface Pro 9 mit 5G und allen anderen berechtigten Geräten. |
| Rückwärtige Kamera | Mit dieser Einstellung können Sie steuern, ob die Rückfahrkamera auf berechtigten Geräten funktionieren kann. - Wenn Sie diese Einstellung aktivieren, ist die Rückfahrkamera zulässig. Peripheriegeräte wie USB-Kameras sind davon nicht betroffen. - Wenn Sie diese Einstellung deaktivieren, ist die Rückfahrkamera deaktiviert. Peripheriegeräte wie USB-Kameras sind davon nicht betroffen. - Wenn Sie diese Einstellung nicht konfigurieren, ist die Rückfahrkamera zulässig. |
– Wird auf Surface Pro X nicht unterstützt. – Unterstützt auf Surface Pro 9 mit 5G und allen anderen berechtigten Geräten. |
| Infrarotkamera | Mit dieser Einstellung können Sie steuern, ob die Infrarotkamera auf berechtigten Geräten funktionieren kann. - Wenn Sie diese Einstellung aktivieren, ist die Infrarotkamera zugelassen. Peripheriegeräte wie USB-Kameras sind davon nicht betroffen. - Wenn Sie diese Einstellung deaktivieren, ist die Infrarotkamera deaktiviert. Peripheriegeräte wie USB-Kameras sind davon nicht betroffen. - Wenn Sie diese Einstellung nicht konfigurieren, ist die Infrarotkamera zulässig. |
– Wird auf Surface Pro X nicht unterstützt. – Unterstützt auf Surface Pro 9 mit 5G und allen anderen berechtigten Geräten. |
| Mikrofone und Lautsprecher | ||
| Mikrofone und Lautsprecher | Mit dieser Einstellung können Sie steuern, ob On-Board-Audio auf berechtigten Geräten funktionieren kann. - Wenn Sie diese Einstellung aktivieren, sind alle eingebauten Mikrofone und Lautsprecher zugelassen. Peripheriegeräte wie USB-Geräte sind davon nicht betroffen. - Wenn Sie diese Einstellung deaktivieren, werden alle eingebauten Mikrofone und Lautsprecher deaktiviert. Peripheriegeräte wie USB-Geräte sind davon nicht betroffen. - Wenn Sie diese Einstellung nicht konfigurieren, sind Mikrofone und Lautsprecher aktiviert. |
– Wird auf Surface Pro X nicht unterstützt. – Unterstützt auf Surface Pro 9 mit 5G und allen anderen berechtigten Geräten. |
| Mikrofone | Mit dieser Einstellung können Sie steuern, ob das integrierte Mikrofon auf berechtigten Geräten funktionieren kann. - Wenn Sie diese Einstellung aktivieren, sind alle eingebauten Mikrofone aktiviert. Peripheriegeräte wie USB-Geräte sind davon nicht betroffen. - Wenn Sie diese Einstellung deaktivieren, werden alle eingebauten Mikrofone deaktiviert. Peripheriegeräte wie USB-Geräte sind davon nicht betroffen. - Wenn Sie diese Einstellung nicht konfigurieren, sind die Mikrofone aktiviert. |
– Wird auf Surface Pro X nicht unterstützt. – Unterstützt auf Surface Pro 9 mit 5G und allen anderen berechtigten Geräten. |
| Funkempfang | ||
| Funkgeräte (Bluetooth, Wi-Fi, NFC usw.) | Mit dieser Einstellung können Sie verwalten, ob integriertes Bluetooth, WLAN oder 5G-Drahtlos auf berechtigten Geräten funktioniert. - Wenn Sie diese Einstellung aktivieren, sind alle eingebauten Funkgeräte zulässig. Peripheriegeräte wie USB-Geräte sind davon nicht betroffen. - Wenn Sie diese Einstellung deaktivieren, sind alle eingebauten Funkgeräte deaktiviert. Peripheriegeräte wie USB-Geräte sind davon nicht betroffen. - Wenn Sie diese Einstellung nicht konfigurieren, sind alle integrierten Funkgeräte aktiviert. TIPP: Konfigurieren Sie die Kategorieeinstellung Funkgeräte (Bluetooth, Wi-Fi, NFC usw.) oder die granularen Einstellungen Bluetooth, Wi-Fi. Wenn Sie alle Einstellungen konfigurieren, können diese Einstellungen einen Konflikt verursachen. Weitere Informationen finden Sie unter DFCI-Profilübersicht: Konflikte. ACHTUNG: Die Einstellung "Deaktivieren" sollte nur auf Geräten mit einer kabelgebundenen Ethernet-Verbindung verwendet werden. |
– Wird auf Surface Pro X nicht unterstützt. - Wird auf allen anderen berechtigten Geräten unterstützt. |
| Bluetooth | Mit dieser Einstellung können Sie steuern, ob das integrierte Bluetooth auf berechtigten Geräten funktionieren kann. - Wenn Sie diese Einstellung aktivieren, ist Bluetooth aktiviert. - Wenn Sie diese Einstellung deaktivieren, ist Bluetooth deaktiviert. - Wenn Sie diese Einstellung nicht konfigurieren, ist Bluetooth aktiviert. |
– Wird auf Surface Pro X nicht unterstützt. – Unterstützt auf Surface Pro 9 mit 5G und allen anderen berechtigten Geräten. |
| WWAN | Mit dieser Einstellung können Sie verwalten, ob das integrierte WWAN (5G Wireless) auf berechtigten Geräten funktioniert - Wenn Sie diese Einstellung aktivieren, ist WWAN aktiviert. - Wenn Sie diese Einstellung deaktivieren, ist WWAN deaktiviert. - Wenn Sie diese Einstellung nicht konfigurieren, ist WWAN aktiviert. |
– Wird auf Surface Pro X nicht unterstützt. – Unterstützt auf Surface Pro 9 mit 5G und allen anderen berechtigten Geräten. |
| Wi-Fi | Mit dieser Einstellung können Sie verwalten, ob integrierte Wi-Fi auf berechtigten Geräten funktionieren können - Wenn Sie diese Einstellung aktivieren, ist Wi-Fi aktiviert. - Wenn Sie diese Einstellung deaktivieren, ist Wi-Fi deaktiviert. - Wenn Sie diese Einstellung nicht konfigurieren, ist Wi-Fi aktiviert. |
– Wird auf Surface Pro X nicht unterstützt. – Unterstützt auf Surface Pro 9 mit 5G und allen anderen berechtigten Geräten. |
| Startoptionen | ||
| Starten von externen Medien (USB, SD) | Mit dieser Einstellung können Sie verwalten, ob berechtigte Geräte von externen Medien gestartet werden können. - Wenn Sie diese Einstellung aktivieren, können Endbenutzer das Gerät von USB-Flash-Laufwerken oder anderen Nicht-Festplattenspeichertechnologien starten. - Wenn Sie diese Einstellung deaktivieren, können Endbenutzer das Gerät nicht von USB-Flash-Laufwerken oder anderen Nicht-Festplattenspeichertechnologien starten. - Wenn Sie diese Einstellung nicht konfigurieren, können Endbenutzer das Gerät von USB-Flash-Laufwerken oder anderen Nicht-Festplattenspeichertechnologien starten. |
Alle berechtigten Geräte |
| Anschlüsse | ||
| USB-Typ A | Mit dieser Einstellung können Sie verwalten, wie Geräte USB-A-Verbindungen verwenden können. - Wenn Sie diese Einstellung aktivieren, können USB-A-Datenverbindungen auf berechtigten Geräten funktionieren. - Wenn Sie diese Einstellung deaktivieren, können USB-A-Datenverbindungen auf berechtigten Geräten nicht funktionieren. - Wenn Sie diese Einstellung nicht konfigurieren, können USB-A-Datenverbindungen auf allen Geräten funktionieren. ACHTUNG: Wenn Sie sowohl den Start von externen Medien als auch USB-Typ A deaktivieren und das Gerät aus irgendeinem Grund nicht mehr gestartet werden kann, können Sie das Gerät nicht wiederherstellen, ohne die SSD auszutauschen. Sie können nicht von externen Medien starten und einen PXE-Start oder eine DFCI-Aktualisierung über das Netzwerk durchführen. |
Unterstützt nur auf Surface Laptop Go 2 und höher (Geräte, die nach dem 1. Juni 2022 veröffentlicht wurden). |
| Einstellungen zum Aufwecken | ||
| Wake-on-LAN | Mit dieser Einstellung können Sie verwalten, ob berechtigte Geräte remote aus dem modernen Standbymodus oder dem Ruhezustand gestartet werden können. - Wenn Sie diese Einstellung aktivieren, können berechtigte Geräte für Remote-Wake-on-LAN konfiguriert werden. - Wenn Sie diese Einstellung deaktivieren, können berechtigte Geräte nicht so konfiguriert werden, dass sie remote im LAN aktiviert werden. - Wenn Sie diese Einstellung nicht konfigurieren, können berechtigte Geräte so konfiguriert werden, dass sie remote im LAN aktiviert werden. |
Unterstützt nur auf Surface Laptop Go 2 und höher (Geräte, die nach dem 1. Juni 2022 veröffentlicht wurden). |
| Wake-on-Power | Mit dieser Einstellung können Sie verwalten, ob berechtigte Geräte automatisch aus dem Ruhezustand oder dem ausgeschalteten Zustand gestartet werden können, wenn sie an das Stromnetz angeschlossen werden. – Wenn Sie diese Einstellung aktivieren, können berechtigte Surface-Geräte so konfiguriert werden, dass sie automatisch gestartet werden, wenn sie an das Stromnetz angeschlossen werden. – Wenn Sie diese Einstellung deaktivieren, können berechtigte Surface-Geräte nicht so konfiguriert werden, dass sie automatisch gestartet werden, wenn sie an das Stromnetz angeschlossen sind. – Wenn Sie diese Einstellung nicht konfigurieren, können berechtigte Surface-Geräte nicht so konfiguriert werden, dass sie automatisch gestartet werden, wenn sie wieder an die Stromversorgung angeschlossen werden. |
Unterstützt nur auf Surface Laptop Go 2 und höher (Geräte, die nach dem 1. Juni 2022 veröffentlicht wurden). |
Hinweis
DFCI in Intune enthält Einstellungen, die derzeit nicht für Surface-Geräte gelten: CPU- und E/A-Virtualisierung, Deaktivieren des Starts von Netzwerkadaptern, Windows Platform Binary Table (WPBT), NFC und SD-Karte.
Erste Schritte
Melden Sie sich unter intune.microsoft.com bei Ihrem Mandanten an.
Wählen Sie im Microsoft Intune Admin Center Gerätekonfigurationsprofile > Profil erstellen aus>.
Wählen Sie unter "Plattform" die Option "Windows 10 und höher" aus.
Wählen Sie unter Profiltyp die Option Vorlagen>,Geräte-Firmware-Konfigurationsschnittstelle und dann Erstellen aus.
Unter Verwenden von DFCI-Profilen auf Windows-Geräten in Microsoft Intune finden Sie vollständige Anweisungen, einschließlich:
- Erstellen Ihrer Microsoft Entra-Sicherheitsgruppen
- Erstellen der Profile
- Profile zuweisen und neu starten
- Aktualisieren vorhandener DFCI-Einstellungen
- Wiederverwenden, Zurückziehen oder Wiederherstellen des Geräts
Verhindern, dass Benutzer UEFI-Einstellungen ändern
Für viele Kunden ist die Möglichkeit, Benutzer am Ändern der UEFI-Einstellungen zu hindern, äußerst wichtig und einer der Hauptgründe für die Verwendung von DFCI. Wie oben in Tabelle 1 aufgeführt, wird diese Funktionalität über die Einstellung Lokalen Benutzern das Ändern von UEFI-Einstellungen gestatten. Wenn Sie diese Einstellung nicht bearbeiten oder konfigurieren, kann der lokale Benutzer alle UEFI-Einstellungen ändern, die nicht von Intune verwaltet werden. Daher wird dringend empfohlen, die Option Lokalen Benutzern das Ändern der UEFI-Einstellungen gestatten auf "Keine" zu setzen.
Überprüfen der UEFI-Einstellungen auf DFCI-verwalteten Geräten
In einer Testumgebung können Sie die Einstellungen in der Surface UEFI-Oberfläche überprüfen.
Öffnen Sie Surface UEFI:
- Halten Sie die Lauter-Taste auf Ihrem Surface gedrückt, und drücken Sie gleichzeitig die Ein/Aus-Taste , und lassen Sie sie wieder los.
- Wenn Sie das Surface-Logo sehen, lassen Sie die Lauter-Taste los. Das UEFI-Menü wird innerhalb weniger Sekunden angezeigt.
Geräte auswählen. Das UEFI-Menü spiegelt die konfigurierten Einstellungen wider, wie in der folgenden Abbildung dargestellt.
Hinweis
- Die Einstellungen sind ausgegraut (inaktiv), da Lokalen Benutzern das Ändern der UEFI-Einstellung gestatten auf "Keine" festgelegt ist.
- Das Onboard-Audio ist deaktiviert, da die Richtlinie für Mikrofone und Lautsprecher auf Deaktiviert festgelegt ist.
Entfernen von DFCI-Richtlinieneinstellungen
Wenn Sie ein DFCI-Profil erstellen, bleiben alle konfigurierten Einstellungen auf allen Geräten im Verwaltungsbereich des Profils wirksam. Sie können DFCI-Richtlinieneinstellungen nur entfernen, indem Sie das DFCI-Profil direkt bearbeiten. Wenn das ursprüngliche DFCI-Profil gelöscht wurde, erstellen Sie ein neues Profil, und bearbeiten Sie die entsprechenden Einstellungen.
Entfernen der DFCI-Verwaltung
So entfernen Sie die DFCI-Verwaltung und setzen das Gerät auf den Werksneuzustand zurück:
- Ziehen Sie das Gerät aus Intune zurück:
- Wählen Sie in Microsoft Intune unter intune.microsoft.com Geräte>Alle Geräte aus.
- Wählen Sie das Gerät aus, das Sie außer Betrieb nehmen möchten, und wählen Sie dann Zurückziehen/Zurücksetzen aus. Weitere Informationen finden Sie unter Entfernen von Geräten durch Zurücksetzen, Zurückziehen oder manuelles Aufheben der Registrierung des Geräts.
- Löschen Sie die Autopilot-Registrierung aus Intune:
- Wählen Sie Geräteregistrierung > Windows Autopilot-Geräte > aus.>
- Wählen Sie unter Windows Autopilot-Geräte die Geräte aus, die Sie löschen möchten, und wählen Sie dann Löschen aus.
- Verbinden Sie das Gerät mit einem Ethernet-Adapter der Marke Surface mit dem kabelgebundenen Internet. Starten Sie das Gerät neu, und öffnen Sie das UEFI-Menü (halten Sie die Lauter-Taste gedrückt, während Sie gleichzeitig die Ein/Aus-Taste drücken und loslassen).
- Wählen Sie Verwaltung > Konfigurieren > Aktualisieren vom Netzwerk aus.
Um das Gerät mit Intune, aber ohne DFCI-Verwaltung zu verwalten, registrieren Sie es selbst bei Autopilot, und registrieren Sie es in Intune. DFCI wird nicht auf selbst registrierte Geräte angewendet.
Weitere Informationen
- DFCI-Verwaltung | Microsoft-Dokumentation
- Verwenden von DFCI-Profilen auf Windows-Geräten in Microsoft Intune
- DFCI-Einstellungen für Windows 10/11 in Microsoft Intune
- Windows Autopilot
- Windows Autopilot und Surface-Geräte
- Ignite 2019: Ankündigung der Remoteverwaltung von Surface UEFI-Einstellungen über Intune