Remarque
L’accès à cette page requiert une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page requiert une autorisation. Vous pouvez essayer de modifier des répertoires.
Introduction
Avec les profils DFCI (Device Firmware Configuration Interface) intégrés à Microsoft Intune, la gestion UEFI Surface étend la pile de gestion moderne jusqu’au niveau matériel UEFI (Unified Extensible Firmware Interface). DFCI prend en charge le provisionnement sans contact, élimine les mots de passe BIOS, fournit le contrôle des paramètres de sécurité, y compris les options de démarrage et les périphériques intégrés, et jette les bases de scénarios de sécurité avancés à l’avenir. Cette page répertorie tous les paramètres de stratégie DFCI sur les appareils Surface éligibles déployés par Autopilot.
Conçu pour être utilisé avec la gestion logicielle des périphériques mobiles (GPM), DFCI permet aux administrateurs informatiques de désactiver à distance des composants matériels spécifiques et d’empêcher les utilisateurs finaux d’y accéder. Par exemple, si vous avez besoin de protéger des informations sensibles dans des zones hautement sécurisées, vous pouvez désactiver la caméra, et si vous ne souhaitez pas que les utilisateurs démarrent à partir de lecteurs USB, vous pouvez également désactiver cela.
Astuce
La prise en charge de certains paramètres de stratégie DFCI varie selon l’appareil. Consultez la référence des paramètres de stratégie DFCI sur cette page et suivez les instructions d’Intune pour configurer et déployer les paramètres sur vos appareils.
Conditions préalables
- Windows 11 ou Windows 10 version 1809 ou ultérieure
- Les appareils doivent être inscrits avec Windows Autopilot. Pour en savoir plus, voir Prise en charge de l’inscription en surface pour Windows Autopilot.
Remarque
Les appareils enregistrés manuellement ou automatiquement pour Autopilot, tels qu’importés à partir d’un fichier CSV, ne sont pas autorisés à utiliser DFCI. De par sa conception, la gestion DFCI nécessite une attestation externe de l’acquisition commerciale de l’appareil par le biais d’un partenaire CSP Microsoft ou d’une inscription Surface.
Référence des paramètres de stratégie DFCI pour les appareils Surface
Appareils éligibles
Sauf indication contraire, les appareils répertoriés sont uniquement des références SKU commerciales.
| Type de périphérique | Modèles |
|---|---|
| Surface Pro | Professionnel pour les entreprises 12 pouces 2e édition |
| Pro 12e édition (Snapdragon) | |
| Pro for Business 12th Edition (Intel) | |
| Professionnel pour les entreprises 12 pouces 1ère édition | |
| Pro for Business 11th Edition (Intel) | |
| Pro avec 5G 11e édition (Snapdragon) | |
| Pro 11e édition (Snapdragon) | |
| Pro 10 avec 5G for Business | |
| Pro 10 | |
| Pro 9 avec 5G (SQ3) | |
| Pro 9 (Intel) | |
| Pro 8 | |
| Pro 7+ | |
| Pro 7 (toutes les références SKU) | |
| Pro X (toutes les références SKU) | |
| Surface Laptop | Ordinateur portable pour les entreprises 13 pouces 2e édition (Snapdragon) |
| Ordinateur portable 8e édition (Snapdragon) | |
| Laptop for Business 8e édition (Intel) | |
| Ordinateur portable pour les entreprises 13 pouces 1ère édition (Intel) | |
| Ordinateur portable pour les entreprises 13 pouces 1ère édition (Snapdragon) | |
| Ordinateur portable 5G for Business 7e édition (Intel) | |
| Laptop for Business 7e édition (Intel) | |
| Ordinateur portable 7e édition (Snapdragon) | |
| Ordinateur portable 6 | |
| Ordinateur portable 5 | |
| Ordinateur portable 4 | |
| Ordinateur portable 3 (Intel) | |
| Laptop Studio (toutes les générations) | |
| Ordinateur portable Go | |
| Ordinateur portable Go 2 | |
| Ordinateur portable Go 3 | |
| Ordinateur portable SE | |
| Surface Hub | Hub 3 |
| Other | Livre 3 |
| Aller 3 | |
| Aller 4 | |
| Studio 2+ |
Remarque
Surface Pro X ne prend pas en charge la gestion des paramètres DFCI pour la caméra intégrée, l’audio et le Wi-Fi/Bluetooth. Certains paramètres plus récents sont uniquement pris en charge sur les appareils les plus récents.
Tableau 1. Référence des paramètres de stratégie DFCI : Appareils Surface déployés par Autopilot
| Paramètre DFCI | Description | Pris en charge sur : |
|---|---|---|
| Accès UEFI | ||
| Autoriser l’utilisateur local à modifier les paramètres UEFI (BIOS) | Ce paramètre vous permet de déterminer si les utilisateurs finaux peuvent modifier les paramètres UEFI sur les appareils éligibles. - Si vous sélectionnez Paramètres uniquement non configurés, les utilisateurs locaux (également appelés utilisateurs finaux) peuvent modifier n’importe quel paramètre UEFI, à l’exception des paramètres que vous avez explicitement activés ou désactivés via Intune. - Si vous sélectionnez Aucun, les utilisateurs locaux ne peuvent pas modifier les paramètres UEFI, y compris les paramètres non affichés dans le profil DFCI. |
Tous les appareils éligibles |
| Paramètres de sécurité | ||
| Multithreading simultané | Ce paramètre vous permet de gérer si la prise en charge du multithreading simultané (SMT) est activée sur les appareils éligibles. SMT prend en charge la technologie Hyperthreading d’Intel, qui fournit deux processeurs logiques pour chaque cœur physique. - Si vous activez ce paramètre, SMT est activé dans la couche UEFI. - Si vous désactivez ce paramètre, SMT est désactivé dans la couche UEFI. - Si vous ne configurez pas ce paramètre, SMT est activé. |
Tous les appareils éligibles |
| Appareils photo | ||
| Appareils photo | Ce paramètre vous permet de déterminer si la caméra intégrée peut fonctionner sur des appareils éligibles. - Si vous activez ce paramètre, toutes les caméras intégrées sont autorisées. Les périphériques, comme les caméras USB, ne sont pas affectés. - Si vous désactivez ce paramètre, toutes les caméras intégrées sont désactivées. Les périphériques, comme les caméras USB, ne sont pas affectés. - Si vous ne configurez pas ce paramètre, toutes les caméras intégrées sont activées. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur Surface Pro 9 avec 5G et tous les autres appareils éligibles. |
| Caméra frontale | Ce paramètre vous permet de déterminer si la caméra frontale peut fonctionner sur des appareils éligibles. - Si vous activez ce paramètre, la caméra frontale est autorisée. Les périphériques, comme les caméras USB, ne sont pas affectés. - Si vous désactivez ce paramètre, la caméra frontale est désactivée. Les périphériques, comme les caméras USB, ne sont pas affectés. - Si vous ne configurez pas ce paramètre, la caméra frontale est activée. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur Surface Pro 9 avec 5G et tous les autres appareils éligibles. |
| Caméra arrière | Ce paramètre vous permet de déterminer si la caméra arrière peut fonctionner sur des appareils éligibles. - Si vous activez ce paramètre, la caméra arrière est autorisée. Les périphériques, comme les caméras USB, ne sont pas affectés. - Si vous désactivez ce paramètre, la caméra arrière est désactivée. Les périphériques, comme les caméras USB, ne sont pas affectés. - Si vous ne configurez pas ce paramètre, la caméra arrière est autorisée. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur Surface Pro 9 avec 5G et tous les autres appareils éligibles. |
| Caméra infrarouge (IR) | Ce paramètre vous permet de déterminer si la caméra infrarouge peut fonctionner sur des appareils éligibles. - Si vous activez ce paramètre, la caméra infrarouge est autorisée. Les périphériques, comme les caméras USB, ne sont pas affectés. - Si vous désactivez ce paramètre, la caméra infrarouge est désactivée. Les périphériques, comme les caméras USB, ne sont pas affectés. - Si vous ne configurez pas ce paramètre, la caméra infrarouge est autorisée. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur Surface Pro 9 avec 5G et tous les autres appareils éligibles. |
| Microphones et haut-parleurs | ||
| Microphones et haut-parleurs | Ce paramètre vous permet de déterminer si l’audio embarqué peut fonctionner sur des appareils éligibles. - Si vous activez ce paramètre, tous les microphones et haut-parleurs intégrés sont autorisés. Les périphériques, comme les périphériques USB, ne sont pas affectés. - Si vous désactivez ce paramètre, tous les microphones et haut-parleurs intégrés sont désactivés. Les périphériques, comme les périphériques USB, ne sont pas affectés. - Si vous ne configurez pas ce paramètre, les microphones et les haut-parleurs sont activés. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur Surface Pro 9 avec 5G et tous les autres appareils éligibles. |
| Microphones | Ce paramètre vous permet de déterminer si le microphone intégré peut fonctionner sur des appareils éligibles. - Si vous activez ce paramètre, tous les microphones intégrés sont activés. Les périphériques, comme les périphériques USB, ne sont pas affectés. - Si vous désactivez ce paramètre, tous les microphones intégrés sont désactivés. Les périphériques, comme les périphériques USB, ne sont pas affectés. - Si vous ne configurez pas ce paramètre, les microphones sont activés. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur Surface Pro 9 avec 5G et tous les autres appareils éligibles. |
| Radios | ||
| Radios (Bluetooth, Wi-Fi, NFC, etc.) | Ce paramètre vous permet de déterminer si le Bluetooth, le Wi-Fi ou le sans fil 5G intégré peuvent fonctionner sur des appareils éligibles. - Si vous activez ce paramètre, toutes les radios intégrées sont autorisées. Les périphériques, comme les périphériques USB, ne sont pas affectés. - Si vous désactivez ce paramètre, toutes les radios intégrées sont désactivées. Les périphériques, comme les périphériques USB, ne sont pas affectés. - Si vous ne configurez pas ce paramètre, toutes les radios intégrées sont activées. ASTUCE : Configurez le réglage de la catégorie Radios (Bluetooth, Wi-Fi, NFC, etc.) ou les réglages granulaires Bluetooth, Wi-Fi. Si vous configurez tous les paramètres, ceux-ci peuvent provoquer un conflit. Pour plus d’informations, consultez l’aperçu du profil DFCI : Conflits. MISE EN GARDE : Le paramètre Désactiver ne doit être utilisé que sur les appareils disposant d’une connexion Ethernet câblée. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur tous les autres appareils éligibles. |
| Bluetooth | Ce paramètre vous permet de déterminer si le Bluetooth intégré peut fonctionner sur des appareils éligibles. - Si vous activez ce paramètre, Bluetooth est activé. - Si vous désactivez ce paramètre, Bluetooth est désactivé. - Si vous ne configurez pas ce paramètre, Bluetooth est activé. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur Surface Pro 9 avec 5G et tous les autres appareils éligibles. |
| WWAN (en anglais) | Ce paramètre vous permet de déterminer si le WWAN intégré (sans fil 5G) peut fonctionner sur les appareils éligibles - Si vous activez ce paramètre, le WWAN est activé. - Si vous désactivez ce paramètre, le WWAN est désactivé. - Si vous ne configurez pas ce paramètre, le WWAN est activé. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur Surface Pro 9 avec 5G et tous les autres appareils éligibles. |
| Wi-Fi | Ce paramètre vous permet de déterminer si les Wi-Fi intégrés peuvent fonctionner sur des appareils éligibles - Si vous activez ce paramètre, Wi-Fi est activé. - Si vous désactivez ce paramètre, Wi-Fi est désactivé. - Si vous ne configurez pas ce paramètre, Wi-Fi est activé. |
- Non pris en charge sur Surface Pro X. - Pris en charge sur Surface Pro 9 avec 5G et tous les autres appareils éligibles. |
| Options de démarrage, | ||
| Démarrage à partir d’un support externe (USB, SD) | Ce paramètre vous permet de déterminer si les appareils éligibles peuvent être démarrés à partir d’un support externe. - Si vous activez ce paramètre, les utilisateurs finaux peuvent démarrer l’appareil à partir de clés USB ou d’autres technologies de stockage autres que les disques durs. - Si vous désactivez ce paramètre, les utilisateurs finaux ne peuvent pas démarrer l’appareil à partir de clés USB ou d’autres technologies de stockage autres que les disques durs. - Si vous ne configurez pas ce paramètre, les utilisateurs finaux peuvent démarrer l’appareil à partir de clés USB ou d’autres technologies de stockage autres que les disques durs. |
Tous les appareils éligibles |
| Ports | ||
| USB type A | Ce paramètre vous permet de gérer la façon dont les appareils peuvent utiliser des connexions USB-A. - Si vous activez ce paramètre, les connexions de données USB-A peuvent fonctionner sur les appareils éligibles. - Si vous désactivez ce paramètre, les connexions de données USB-A ne peuvent pas fonctionner sur les appareils éligibles. - Si vous ne configurez pas ce paramètre, les connexions de données USB-A peuvent fonctionner sur tous les appareils. MISE EN GARDE : Si vous désactivez à la fois le démarrage à partir d’un support externe et le port USB de type A et que l’appareil devient inactivable pour une raison quelconque, vous ne pourrez pas récupérer l’appareil sans remplacer le SSD. Vous ne pourrez pas démarrer à partir d’un support externe et effectuer un démarrage PXE ou une actualisation DFCI à partir du réseau. |
Pris en charge uniquement sur Surface Laptop Go 2 et versions ultérieures (appareils publiés après le 1er juin 2022). |
| Paramètres de sortie de veille | ||
| Wake-on-LAN | Ce paramètre vous permet de déterminer si les appareils éligibles peuvent être démarrés à distance à partir de l’état de veille moderne ou d’état de veille prolongée. - Si vous activez ce paramètre, les appareils éligibles peuvent être configurés pour Wake-on-LAN à distance. - Si vous désactivez ce paramètre, les appareils éligibles ne peuvent pas être configurés pour sortir du mode veille à distance sur le réseau local. - Si vous ne configurez pas ce paramètre, les appareils éligibles peuvent être configurés pour sortir du mode veille à distance sur le réseau local. |
Pris en charge uniquement sur Surface Laptop Go 2 et versions ultérieures (appareils publiés après le 1er juin 2022). |
| Wake-on-Power | Ce paramètre vous permet de déterminer si les appareils éligibles peuvent être automatiquement démarrés à partir de l’état de mise en veille prolongée ou éteints lorsqu’ils sont connectés à l’alimentation. - Si vous activez ce paramètre, les appareils Surface éligibles peuvent être configurés pour démarrer automatiquement lorsqu’ils sont connectés à l’alimentation. - Si vous désactivez ce paramètre, les appareils Surface éligibles ne peuvent pas être configurés pour démarrer automatiquement lorsqu’ils sont connectés à l’alimentation. - Si vous ne configurez pas ce paramètre, les appareils Surface éligibles ne peuvent pas être configurés pour démarrer automatiquement lorsqu’ils sont reconnectés à l’alimentation. |
Pris en charge uniquement sur Surface Laptop Go 2 et versions ultérieures (appareils publiés après le 1er juin 2022). |
Remarque
DFCI dans Intune inclut des paramètres qui ne s’appliquent pas actuellement aux appareils Surface : virtualisation du processeur et des E/S, désactivation du démarrage à partir des cartes réseau, table binaire de plateforme Windows (WPBT), NFC et carte SD.
Prise en main
Connectez-vous à votre client sur intune.microsoft.com.
Dans le Centre d’administration Microsoft Intune, sélectionnez Profils > de configuration des appareils > Créer un profil.
Sous Plateforme, sélectionnez Windows 10 et versions ultérieures.
Sous Type de profil, sélectionnez Modèles>Interface de configuration du microprogramme de l’appareil , puis sélectionnez Créer.
Consultez Utiliser des profils DFCI sur les appareils Windows dans Microsoft Intune pour obtenir des instructions complètes, notamment :
- Créer vos groupes de sécurité Microsoft Entra
- Créer les profils
- Attribuer les profils et redémarrer
- Mettre à jour les paramètres DFCI existants
- Réutiliser, retirer ou récupérer l’appareil
Empêcher les utilisateurs de modifier les paramètres UEFI
Pour de nombreux clients, la possibilité d’empêcher les utilisateurs de modifier les paramètres UEFI est d’une importance cruciale et constitue l’une des principales raisons d’utiliser DFCI. Comme indiqué ci-dessus dans le tableau 1, cette fonctionnalité est gérée via le paramètre Autoriser l’utilisateur local à modifier les paramètres UEFI. Si vous ne modifiez pas ou ne configurez pas ce paramètre, l’utilisateur local peut modifier n’importe quel paramètre UEFI non géré par Intune. Par conséquent, il est vivement recommandé de définir Autoriser l’utilisateur local à modifier les paramètres UEFI surAucun.
Vérifier les paramètres UEFI sur les appareils gérés par DFCI
Dans un environnement de test, vous pouvez vérifier les paramètres dans l’interface UEFI de Surface.
Ouvrir l’UEFI Surface :
- Appuyez de façon prolongée sur le bouton d’augmentation du volume de votre Surface et, dans le même temps, appuyez et relâchez le bouton d’alimentation .
- Lorsque le logo Surface s’affiche, relâchez votre pression sur le bouton d’augmentation du volume. Le menu UEFI sʼaffiche après quelques secondes.
Sélectionnez les appareils. Le menu UEFI reflète les paramètres configurés, comme illustré dans la figure suivante.
Remarque
- Les paramètres sont grisés (inactifs) car Autoriser l’utilisateur local à modifier le paramètre UEFI est défini sur Aucun.
- L’audio intégré est désactivé car la stratégie Microphones et haut-parleurs est définie sur Désactivé.
Supprimer les paramètres de stratégie DFCI
Lorsque vous créez un profil DFCI, tous les paramètres configurés restent en vigueur sur tous les appareils dans l’étendue de gestion du profil. Vous ne pouvez supprimer les paramètres de stratégie DFCI qu’en modifiant directement le profil DFCI. Si le profil DFCI d’origine a été supprimé, créez un nouveau profil et modifiez les paramètres appropriés.
Suppression de la gestion DFCI
Pour supprimer la gestion DFCI et restaurer l’appareil à un nouvel état d’usine :
- Retirer l’appareil d’Intune :
- Dans Microsoft Intune à intune.microsoft.com, choisissez Appareils>Tous les appareils.
- Sélectionnez l’appareil que vous souhaitez mettre hors service, puis choisissez Mettre hors service/Effacer. Pour plus d’informations, consultez Supprimer des appareils à l’aide de l’outil de réinitialisation, de mise hors service ou de désinscription manuelle de l’appareil.
- Supprimez l’inscription Autopilot d’Intune :
- Choisir l’inscription des appareils > Windows > Autopilot > appareils.
- Sous Appareils Windows Autopilot, choisissez les appareils que vous souhaitez supprimer, puis choisissez Supprimer.
- Connectez l’appareil à Internet filaire avec un adaptateur Ethernet de marque Surface. Redémarrez l’appareil et ouvrez le menu UEFI (appuyez de façon prolongée sur le bouton d’augmentation du volume tout en appuyant sur le bouton d’alimentation et en le relâchant).
- Sélectionnez Gestion > Configurer > Actualiser à partir du réseau.
Pour gérer l’appareil avec Intune mais sans gestion DFCI, inscrivez-le automatiquement sur Autopilot et inscrivez-le dans Intune. DFCI ne sera pas appliqué aux appareils auto-inscrits.
En savoir plus
- Gestion du DFCI | Microsoft Docs
- Utiliser des profils DFCI sur les appareils Windows dans Microsoft Intune
- Paramètres DFCI pour Windows 10/11 dans Microsoft Intune
- Windows Autopilot
- Windows Autopilot et appareils Surface
- Ignite 2019 : Annonce de la gestion à distance des paramètres UEFI de Surface à partir d’Intune