Administrar DFCI en dispositivos Surface

  • Se aplica a: Windows 10, Windows 11

Introducción

Con los perfiles de la interfaz de configuración del firmware del dispositivo (DFCI) integrados en Microsoft Intune, la administración de la UEFI de Surface amplía la pila de administración moderna hasta el nivel de hardware de la Unified Extensible Firmware Interface (UEFI). DFCI admite el aprovisionamiento sin interacción, elimina las contraseñas del BIOS, proporciona control de la configuración de seguridad, incluidas las opciones de arranque y los periféricos integrados, y sienta las bases para escenarios de seguridad avanzada en el futuro. En esta página se enumeran todas las configuraciones de directiva DFCI en dispositivos Surface implementados en Autopilot aptos.

Diseñado para usarse con la administración de dispositivos móviles (MDM) a nivel de software, DFCI permite a los administradores de TI deshabilitar de forma remota componentes de hardware específicos e impedir que los usuarios finales accedan a ellos. Por ejemplo, si necesita proteger información confidencial en áreas de alta seguridad, puede deshabilitar la cámara, y si no desea que los usuarios arranquen desde unidades USB, también puede deshabilitarla.

Sugerencia

La compatibilidad con algunas configuraciones de directiva DFCI varía según el dispositivo. Revise la referencia de configuración de directiva DFCI en esta página y siga las instrucciones de Intune para configurar e implementar opciones en sus dispositivos.

Requisitos previos

Nota

Los dispositivos registrados manualmente o de forma automática para Autopilot, como los importados desde un archivo CSV, no pueden usar DFCI. Por diseño, la administración de DFCI requiere una atestación externa de la adquisición comercial del dispositivo a través de un partner de CSP de Microsoft o el registro de Surface.

Referencia de configuración de directivas DFCI para dispositivos Surface

Dispositivos elegibles

A menos que se especifique lo contrario, los dispositivos enumerados son solo SKU comerciales.

Tipo de dispositivo Modelos
Surface Pro Pro for Business, 12 pulgadas, 2.ª edición
Pro 12.ª edición (Snapdragon)
Pro for Business 12.ª edición (Intel)
Pro for Business 12 pulgadas 1.ª edición
Pro for Business 11.ª edición (Intel)
Pro con 5G 11.ª edición (Snapdragon)
Pro 11.ª edición (Snapdragon)
Pro 10 con 5G para empresas
Pro 10
Pro 9 con 5G (SQ3)
Pro 9 (Intel)
Pro 8
Pro 7+
Pro 7 (todas las SKU)
Pro X (todas las SKU)
Surface Laptop Portátil para empresas, 13 pulgadas, 2.ª edición (Snapdragon)
Portátil 8.ª edición (Snapdragon)
Laptop para empresas 8.ª edición (Intel)
Laptop para empresas de 13 pulgadas 1.ª edición (Intel)
Laptop for Business de 13 pulgadas 1.ª edición (Snapdragon)
Laptop 5G para empresas 7.ª edición (Intel)
Laptop para empresas 7.ª edición (Intel)
Portátil 7.ª edición (Snapdragon)
Laptop 6
Laptop 5
Laptop 4
Laptop 3 (Intel)
Laptop Studio (todas las generaciones)
Laptop Go
Laptop Go 2
Laptop Go 3
Laptop SE
Surface Hub Centro 3
Otros Libro 3
Go 3
Go 4
Estudio 2+

Nota

Surface Pro X no admite la administración de la configuración DFCI para la cámara integrada, el audio y Wi-Fi/Bluetooth. Algunas opciones de configuración más recientes solo se admiten en los dispositivos más recientes.

Tabla 1. Referencia de configuración de directivas DFCI: dispositivos Surface implementados por Autopilot

Configuración de DFCI Descripción Compatible en
Acceso a UEFI
Permitir que el usuario local cambie la configuración de UEFI (BIOS) Esta configuración te permite administrar si los usuarios finales pueden modificar la configuración de UEFI en dispositivos elegibles.

- Si seleccionas Solo opciones no configuradas, los usuarios locales (también conocidos como usuarios finales) pueden cambiar cualquier configuración de UEFI, excepto cualquier configuración que hayas habilitado o deshabilitado explícitamente a través de Intune.
- Si selecciona Ninguno, los usuarios locales no pueden cambiar la configuración de UEFI, incluida la configuración que no se muestra en el perfil de DFCI.		 Todos los dispositivos elegibles
Configuración de seguridad
Multithreading simultáneo Esta configuración le permite administrar si la compatibilidad con subprocesos múltiples simultáneos (SMT) está habilitada en dispositivos elegibles. SMT es compatible con la tecnología Intel hyperthreading, que proporciona dos procesadores lógicos para cada núcleo físico.

- Si habilitas esta configuración, SMT se activa en la capa UEFI.
- Si deshabilitas esta configuración, SMT se desactivará en la capa UEFI.
- Si no configura esta opción, SMT estará habilitado.		 Todos los dispositivos elegibles
Cámaras
Cámaras Esta configuración le permite administrar si la cámara integrada puede funcionar en dispositivos aptos.

- Si habilita esta configuración, se permitirán todas las cámaras integradas. Los periféricos, como las cámaras USB, no se ven afectados.
- Si deshabilita esta configuración, todas las cámaras integradas estarán deshabilitadas. Los periféricos, como las cámaras USB, no se ven afectados.
- Si no configura esta opción, se habilitarán todas las cámaras integradas.		 - No se admite en Surface Pro X.
- Compatible con Surface Pro 9 con 5G y todos los demás dispositivos compatibles.
Cámara frontal Esta configuración le permite administrar si la cámara frontal puede funcionar en dispositivos elegibles.

- Si habilita esta configuración, se permitirá la cámara frontal. Los periféricos, como las cámaras USB, no se ven afectados.
- Si deshabilitas esta configuración, la cámara frontal estará deshabilitada. Los periféricos, como las cámaras USB, no se ven afectados.
- Si no configuras esta opción, la cámara frontal está habilitada.		 - No se admite en Surface Pro X.
- Compatible con Surface Pro 9 con 5G y todos los demás dispositivos compatibles.
Cámara trasera Esta configuración le permite administrar si la cámara trasera puede funcionar en dispositivos aptos.

- Si habilita esta configuración, se permitirá la cámara trasera. Los periféricos, como las cámaras USB, no se ven afectados.
- Si deshabilita esta configuración, la cámara trasera se deshabilitará. Los periféricos, como las cámaras USB, no se ven afectados.
- Si no configura esta opción, se permite la cámara trasera.		 - No se admite en Surface Pro X.
- Compatible con Surface Pro 9 con 5G y todos los demás dispositivos compatibles.
Cámara de infrarrojos (IR) Esta configuración le permite administrar si la cámara de infrarrojos puede funcionar en dispositivos elegibles.

- Si habilita esta configuración, se permitirá la cámara infrarroja. Los periféricos, como las cámaras USB, no se ven afectados.
- Si desactiva esta configuración, la cámara infrarroja se desactivará. Los periféricos, como las cámaras USB, no se ven afectados.
- Si no configura esta configuración, se permite la cámara infrarroja.		 - No se admite en Surface Pro X.
- Compatible con Surface Pro 9 con 5G y todos los demás dispositivos compatibles.
Micrófonos y altavoces
Micrófonos y altavoces Esta configuración le permite administrar si el audio integrado puede funcionar en dispositivos compatibles.

- Si habilitas esta configuración, se permitirán todos los micrófonos y altavoces integrados. Los periféricos, como los dispositivos USB, no se ven afectados.
- Si deshabilitas esta configuración, se deshabilitarán todos los micrófonos y altavoces integrados. Los periféricos, como los dispositivos USB, no se ven afectados.
- Si no configura esta opción, los micrófonos y altavoces estarán habilitados.		 - No se admite en Surface Pro X.
- Compatible con Surface Pro 9 con 5G y todos los demás dispositivos compatibles.
Micrófonos Esta configuración le permite administrar si el micrófono integrado puede funcionar en dispositivos aptos. - Si habilita esta configuración, todos los micrófonos integrados estarán habilitados. Los periféricos, como los dispositivos USB, no se ven afectados.
- Si deshabilitas esta configuración, se deshabilitan todos los micrófonos integrados. Los periféricos, como los dispositivos USB, no se ven afectados.
- Si no configura esta opción, los micrófonos se habilitan.		 - No se admite en Surface Pro X.
- Compatible con Surface Pro 9 con 5G y todos los demás dispositivos compatibles.
Señales de radio
Radios (Bluetooth, Wi-Fi, NFC, etc.) Esta configuración te permite administrar si las conexiones inalámbricas Bluetooth, Wi-Fi o 5G inalámbricas pueden funcionar en dispositivos aptos.

- Si habilita esta configuración, se permitirán todas las radios integradas. Los periféricos, como los dispositivos USB, no se ven afectados.
- Si deshabilita esta configuración, se deshabilitarán todas las radios integradas. Los periféricos, como los dispositivos USB, no se ven afectados.
- Si no configura esta configuración, todas las radios integradas estarán habilitadas.

PROPINA: Configure la configuración de categoría Radios (Bluetooth, Wi-Fi, NFC, etc.) o la configuración granular Bluetooth, Wi-Fi. Si configura todas las opciones, puede provocar un conflicto. Para obtener más información, vaya a Descripción general del perfil de DFCI: Conflictos.

PRECAUCIÓN: La configuración Deshabilitar solo debe usarse en dispositivos con una conexión Ethernet cableada.		 - No se admite en Surface Pro X.
- Compatible con todos los demás dispositivos compatibles.
Bluetooth Esta configuración te permite gestionar si el Bluetooth integrado puede funcionar en dispositivos aptos.

- Si habilitas esta configuración, Bluetooth estará habilitado.
- Si deshabilitas esta configuración, Bluetooth estará deshabilitado.
- Si no configuras esta opción, Bluetooth está habilitado.		 - No se admite en Surface Pro X.
- Compatible con Surface Pro 9 con 5G y todos los demás dispositivos compatibles.
WWAN Esta configuración te permite administrar si WWAN integrado (5G inalámbrico) puede funcionar en dispositivos elegibles

- Si habilita esta configuración, WWAN estará habilitado.
- Si deshabilita esta configuración, WWAN se deshabilitará.
- Si no establece esta opción, WWAN está habilitado.		 - No se admite en Surface Pro X.
- Compatible con Surface Pro 9 con 5G y todos los demás dispositivos compatibles.
Wi-Fi Esta configuración le permite administrar si los Wi-Fi integrados pueden funcionar en dispositivos elegibles

- Si habilitas esta configuración, Wi-Fi estará habilitada.
- Si deshabilitas esta configuración, Wi-Fi estará deshabilitada.
- Si no configura esta opción, Wi-Fi está habilitado.		 - No se admite en Surface Pro X.
- Compatible con Surface Pro 9 con 5G y todos los demás dispositivos compatibles.
Opciones de arranque
Arranque desde medios externos (USB, SD) Esta configuración le permite administrar si los dispositivos aptos se pueden arrancar desde medios externos.

- Si habilita esta configuración, los usuarios finales pueden arrancar el dispositivo desde unidades flash USB u otras tecnologías de almacenamiento que no sean unidades de disco duro.
- Si deshabilitas esta configuración, los usuarios finales no podrán arrancar el dispositivo desde unidades flash USB u otras tecnologías de almacenamiento que no sean unidades de disco duro.
- Si no configura esta opción, los usuarios finales pueden iniciar el dispositivo desde unidades flash USB u otras tecnologías de almacenamiento que no sean unidades de disco duro.		 Todos los dispositivos elegibles
Puertos
USB tipo A Esta configuración le permite administrar cómo los dispositivos pueden usar conexiones USB-A.

- Si habilita esta configuración, las conexiones de datos USB-A pueden funcionar en dispositivos elegibles.
- Si deshabilitas esta configuración, las conexiones de datos USB-A no podrán funcionar en los dispositivos elegibles.

- Si no configura esta opción, las conexiones de datos USB-A pueden funcionar en todos los dispositivos.

PRECAUCIÓN: Si deshabilita tanto el arranque desde medios externos como el USB tipo A y el dispositivo no se puede iniciar por cualquier motivo, no podrá recuperar el dispositivo sin reemplazar el SSD. No podrá arrancar desde medios externos y realizar un arranque PXE o una actualización DFCI desde la red.		 Solo se admite en Surface Laptop Go 2 y versiones posteriores (dispositivos publicados después del 1 de junio de 2022).
Configuración de reactivación
Wake-on-LAN Esta configuración le permite administrar si los dispositivos aptos se pueden iniciar de forma remota desde el modo de espera moderno o hibernar.

- Si habilita esta configuración, los dispositivos elegibles se pueden configurar para Wake-on-LAN de forma remota.
- Si deshabilitas esta configuración, los dispositivos aptos no podrán configurarse para reactivarse de forma remota en LAN.
- Si no configura esta opción, los dispositivos aptos se pueden configurar para reactivarse de forma remota en LAN.		 Solo se admite en Surface Laptop Go 2 y versiones posteriores (dispositivos publicados después del 1 de junio de 2022).
Wake on Power Esta configuración le permite administrar si los dispositivos aptos se pueden iniciar automáticamente desde estados de hibernación o apagado cuando están conectados a la alimentación.

- Si habilita esta configuración, los dispositivos Surface aptos se pueden configurar para que se inicien automáticamente cuando se conecten a la alimentación.
- Si deshabilitas esta configuración, los dispositivos Surface aptos no se podrán configurar para iniciarse automáticamente cuando se conecten a la alimentación.
- Si no configura esta opción, los dispositivos Surface aptos no se podrán configurar para iniciarse automáticamente cuando se vuelvan a conectar a la alimentación.		 Solo se admite en Surface Laptop Go 2 y versiones posteriores (dispositivos publicados después del 1 de junio de 2022).

Nota

DFCI en Intune incluye configuraciones que actualmente no se aplican a los dispositivos Surface: virtualización de CPU y E/S, deshabilitar el arranque desde adaptadores de red, tabla binaria de la plataforma de Windows (WPBT), NFC y tarjeta SD.

Comenzar

  1. Inicie sesión en su espacio empresarial en intune.microsoft.com.

  2. En el Centro de administración de Microsoft Intune, seleccione Perfiles > de configuración de dispositivos > Crear perfil.

  3. En Plataforma, selecciona Windows 10 y versiones posteriores.

  4. En Tipo de perfil, seleccione Plantillas>,Interfaz de configuración de firmware de dispositivo y, a continuación, seleccione Crear.

    Comenzar a crear perfiles DFCI

  5. Consulte Utilizar perfiles DFCI en dispositivos Windows en Microsoft Intune para obtener instrucciones completas, entre las que se incluyen:

    • Creación de grupos de seguridad de Microsoft Entra
    • Crear los perfiles
    • Asigne los perfiles y reinicie
    • Actualizar la configuración DFCI existente
    • Reutilice, retire o recupere el dispositivo

Impedir que los usuarios cambien la configuración de UEFI

Para muchos clientes, la capacidad de impedir que los usuarios cambien la configuración de UEFI es de vital importancia y una razón principal para usar DFCI. Como se indicó anteriormente en la tabla 1, esta funcionalidad se administra mediante la opción Permitir al usuario local cambiar la configuración de UEFI. Si no edita ni configura esta configuración, el usuario local puede cambiar cualquier configuración de UEFI no administrada por Intune. Por lo tanto, se recomienda encarecidamente establecer Permitir que el usuario local cambie la configuración de UEFI en Ninguno.

Bloquear el acceso de usuarios para cambiar la configuración de UEFI

Comprobar la configuración de UEFI en dispositivos administrados por DFCI

En un entorno de prueba, puedes comprobar la configuración en la interfaz UEFI de Surface.

  1. Abrir UEFI de Surface:

    • Mantén presionado el botón de subir volumen de Surface y, al mismo tiempo, presiona y suelta el botón de inicio/ apagado .
    • Cuando veas el logotipo de Surface, suelta el botón de subir volumen. El menú UEFI se mostrará en unos segundos.

  2. Selecciona dispositivos. El menú UEFI reflejará las opciones configuradas, como se muestra en la siguiente figura.

    UEFI de Surface.

    Nota

    • La configuración aparece atenuada (inactiva) porque Permitir que el usuario local cambie la configuración de UEFI está establecida en Ninguno.
    • El audio integrado está desactivado porque la directiva Micrófonos y altavoces está establecida en Deshabilitado.

Quitar la configuración de directiva DFCI

Al crear un perfil DFCI, todas las opciones configuradas permanecerán vigentes en todos los dispositivos dentro del ámbito de administración del perfil. Solo puede quitar la configuración de directiva DFCI editando el perfil DFCI directamente. Si se ha eliminado el perfil DFCI original, cree un nuevo perfil y edite la configuración correspondiente.

Eliminación de la administración DFCI

Para quitar la administración DFCI y devolver el dispositivo al nuevo estado de fábrica:

  1. Retirar el dispositivo de Intune:
    1. En Microsoft Intune en intune.microsoft.com, elija Todos>los dispositivos.
    2. Seleccione el dispositivo que desea retirar y, a continuación, elija Retirar/Borrar. Para obtener más información, consulte Quitar dispositivos mediante el borrado, retirar o anular manualmente la inscripción del dispositivo.
  2. Eliminar el registro de Autopilot de Intune:
    1. Elegir la inscripción de > dispositivos > Dispositivos Windows Autopilot>.
    2. En Dispositivos de Windows Autopilot, elige los dispositivos que quieras eliminar y, a continuación, elige Eliminar.
  3. Conecte el dispositivo a Internet por cable con un adaptador Ethernet de la marca Surface. Reinicia el dispositivo y abre el menú UEFI (mantén presionado el botón de subir volumen mientras presionas y sueltas el botón de inicio/apagado).
  4. Selecciona Administración > Configurar > Actualizar desde la red.

Para administrar el dispositivo con Intune pero sin la administración de DFCI, regístrelo automáticamente en Autopilot e inscríbalo en Intune. DFCI no se aplicará a los dispositivos registrados automáticamente.

Obtén más información

  • Last updated on