Microsoft Surface Enterprise Management Mode (SEMM)

Article
10/04/2023
S’applique à:

Windows 10, Windows 11

Microsoft Surface Enterprise Management Mode (SEMM) est une fonctionnalité des appareils Surface avec l’interface UEFI (Unified Extensible Firmware Interface) surface. Vous pouvez utiliser SEMM pour :

Sécurisez et gérez les paramètres du microprogramme dans votre organization.
Préparez les configurations des paramètres UEFI et installez-les sur un appareil Surface.

SEMM utilise également un certificat pour protéger la configuration contre toute falsification ou suppression non autorisée. Pour migrer un Surface Hub 2S vers Windows 10 Professionnel ou Windows Enterprise, SEMM est requis.

Appareils pris en charge

SEMM est disponible uniquement sur les appareils avec microprogramme UEFI Surface, notamment :

Surface Book (toutes les générations)
Surface Go 4 (références SKU commerciales uniquement)
Surface Go 3 (références SKU commerciales uniquement)
Surface Go 2 (toutes les références SKU)
Surface Go (toutes les références SKU)
Surface Hub 2S
Surface Laptop 5 (références SKU commerciales uniquement)
Surface Laptop 4 (références SKU commerciales uniquement)
Surface Laptop 3 (processeurs Intel uniquement)
Surface Laptop 2 (toutes les références SKU)
Surface Laptop (toutes les références SKU)
Surface Laptop Go 3 (références SKU commerciales uniquement)
Surface Laptop Go 2 (références SKU commerciales uniquement)
Surface Laptop Go (toutes les références SKU)
Surface Laptop SE (toutes les références SKU)
Surface Laptop Studio 2 (références SKU commerciales uniquement)
Surface Laptop Studio (références SKU commerciales uniquement)
Surface Pro 9 (références SKU commerciales uniquement)
Surface Pro 9 avec 5G (références SKU commerciales uniquement)
Surface Pro 8 (références SKU commerciales uniquement)
Surface Pro 7+ (références SKU commerciales uniquement)
Surface Pro 7 (toutes les références SKU)
Surface Pro 6 (toutes les références SKU)
Surface Pro 5e génération (toutes les références SKU)
Surface Pro 4 (toutes les références SKU)
Surface Pro X (toutes les références SKU)
Surface Studio 2+ (références SKU commerciales uniquement)
Surface Studio 2 (toutes les références SKU)
Surface Studio (toutes les références SKU)

Astuce

Les références SKU commerciales (également appelées Surface pour l'entreprise) s’exécutent Windows 10 Professionnel/Entreprise ou Windows 11 Professionnel/Enterprise ; les références SKU grand public s’exécutent Windows 10/Windows 11 Famille. Pour plus d’informations, consultez Afficher vos informations système.

Prise en main

Lorsque les appareils Surface sont configurés par SEMM et sécurisés avec le certificat SEMM, ils sont considérés comme inscrits dans SEMM. Lorsque le certificat SEMM est supprimé et que le contrôle des paramètres UEFI est retourné à l’utilisateur de l’appareil, l’appareil Surface est considéré comme non inscrit dans SEMM.

Il existe deux options d’administration que vous pouvez utiliser pour gérer SEMM et inscrire des appareils Surface :

L’outil autonome SEMM, Microsoft Surface UEFI Configurator, est décrit dans cet article.
Intégration à Microsoft Endpoint Configuration Manager. Pour plus d’informations, consultez Utiliser Microsoft Endpoint Configuration Manager pour gérer des appareils avec SEMM.

Microsoft Surface UEFI Configurator

L’espace de travail principal de SEMM est Microsoft Surface UEFI Configurator, comme illustré dans la figure 1.

Vous pouvez utiliser microsoft Surface UEFI Configurator pour :

Créez des packages Windows Installer (.msi).
Utilisez des images WinPE pour inscrire, configurer et désinscrire SEMM sur un appareil Surface.

Ces packages contiennent un fichier de configuration qui spécifie les paramètres UEFI. Les packages SEMM contiennent également un certificat installé et stocké dans le microprogramme et utilisé pour vérifier la signature des fichiers de configuration avant l’application des paramètres UEFI.

Astuce

Vous pouvez maintenant utiliser le configurateur UEFI surface et SEMM pour gérer les ports sur la station Surface 2 ou la station d’accueil Surface Thunderbolt 4. Pour plus d’informations, consultez Sécuriser les ports de la station d’accueil Surface avec SEMM.

Microsoft Surface UEFI Configurator.

Figure 1. Microsoft Surface UEFI Configurator

Vous pouvez utiliser l’outil Microsoft Surface UEFI Configurator dans trois modes :

Package de configuration UEFI Surface. Utilisez ce mode pour créer un package de configuration UEFI Surface afin d’inscrire un appareil Surface dans SEMM et de configurer les paramètres UEFI sur les appareils inscrits.
Package de réinitialisation UEFI Surface. Utilisez ce mode pour désinscrire un appareil Surface de SEMM.
Demande de récupération UEFI Surface. Utilisez ce mode pour répondre à une demande de récupération afin de désinscrire un appareil Surface de SEMM où une opération de réinitialisation du package échoue.

Télécharger Microsoft Surface UEFI Configurator

Vous pouvez télécharger Microsoft Surface UEFI Configurator à partir de la page Outils Surface pour l’informatique du Centre de téléchargement Microsoft.

Pour les appareils Intel/AMD, téléchargez : SurfaceUEFI_Configurator_v2.97.139.0_x64.msi
Pour les appareils ARM, téléchargez : SurfaceUEFI_Configurator_v2.97.139.0_x86.msi

Package de configuration

Les packages de configuration UEFI Surface sont le mécanisme principal permettant d’implémenter et de gérer SEMM sur les appareils Surface. Ces packages contiennent un fichier de configuration et un fichier de certificat, comme illustré dans la figure 2. Le fichier de configuration contient les paramètres UEFI spécifiés lors de la création du package dans microsoft Surface UEFI Configurator. Lorsqu’un package de configuration s’exécute pour la première fois sur un appareil Surface qui n’est pas déjà inscrit dans SEMM, il provisionne le fichier de certificat dans le microprogramme de l’appareil et inscrit l’appareil dans SEMM. Lors de l’inscription d’un appareil dans SEMM, et avant que le certificat soit stocké et que l’inscription se termine, vous êtes invité à confirmer l’opération en fournissant les deux derniers chiffres de l’empreinte numérique du certificat SEMM. Cette confirmation nécessite qu’un utilisateur soit physiquement présent sur l’appareil lors de l’inscription pour effectuer la confirmation.

Sécuriser un package de configuration SEMM avec un certificat.

Figure 2. Sécuriser un package de configuration SEMM avec un certificat

Pour plus d’informations sur la configuration requise pour le certificat SEMM, consultez la section Conditions requises pour les certificats en mode De gestion d’entreprise surface plus loin dans cet article.

Astuce

Vous avez la possibilité d’exiger un mot de passe UEFI avec SEMM. Si vous le faites, le mot de passe est requis pour afficher les pages Sécurité, Appareils, Configuration de démarrage et Gestion d’entreprise de Surface UEFI.

Une fois qu’un appareil est inscrit dans SEMM, le fichier de configuration est lu et les paramètres spécifiés dans le fichier sont appliqués à UEFI. Lorsque vous exécutez un package de configuration sur un appareil déjà inscrit dans SEMM, la signature du fichier de configuration est vérifiée par rapport au certificat stocké dans le microprogramme de l’appareil. Si la signature ne correspond pas, aucune modification n’est appliquée à l’appareil.

Activer ou désactiver des appareils dans l’UEFI Surface avec SEMM

La liste suivante présente tous les appareils disponibles que vous pouvez gérer dans SEMM :

Port USB d’accueil
Audio intégré
Unité de traitement graphique numérique
Type cover
Micro SD carte
Appareil photo frontal
Caméra arrière
Caméra infrarouge (pour Windows Hello)
Bluetooth uniquement
Réseau sans fil et Bluetooth
Évolution à long terme (LTE)
GPU discret (dGPU)
Microphone intégré
Émulation d’adresse MAC
Réseau local câblé
Communication en champ proche (NFC)

Remarque

Dans la page Appareils UEFI, les appareils intégrés peuvent varier en fonction de votre appareil ou de votre environnement d’entreprise. Par exemple, la page Appareils UEFI n’est pas prise en charge sur Surface Pro X ; LTE s’affiche uniquement sur les appareils équipés de LTE.

Configurer des paramètres avancés avec SEMM

Tableau 1. Paramètres avancés

Paramètre	Description
IPv6 pour démarrage PXE	Vous permet de gérer la prise en charge IPv6 pour le démarrage PXE. Si vous ne configurez pas ce paramètre, la prise en charge IPv6 du démarrage PXE est activée.
Autre démarrage	Vous permet de gérer l’utilisation d’un autre ordre de démarrage pour démarrer directement sur un périphérique USB ou Ethernet en appuyant à la fois sur le bouton Descendre le volume et le bouton Marche/Arrêt pendant le démarrage. Si vous ne configurez pas ce paramètre, le démarrage alternatif est activé.
Verrou d’ordre de démarrage	Vous permet de verrouiller l’ordre de démarrage pour empêcher les modifications. Si vous ne configurez pas ce paramètre, le verrouillage de l’ordre de démarrage est désactivé.
Démarrage USB	Vous permet de gérer le démarrage sur des périphériques USB. Si vous ne configurez pas ce paramètre, le démarrage USB est activé.
Pile réseau	Vous permet de gérer les paramètres de démarrage de la pile réseau. Si vous ne configurez pas ce paramètre, la possibilité de gérer les paramètres de démarrage de la pile réseau est activée.
Mise sous tension automatique	Vous permet de gérer les paramètres de démarrage de la mise sous tension automatique. Si vous ne configurez pas ce paramètre, la mise sous tension automatique est activée.
Multithreading simultané (SMT)	Vous permet de gérer le multithreading simultané (SMT) pour activer ou désactiver l’hyperthreading. Si vous ne configurez pas ce paramètre, SMT est activé.
Activer la limite de batterie	Vous permet de gérer la fonctionnalité limite de batterie. Si vous ne configurez pas ce paramètre, la limite de batterie est activée
Sécurité	Affiche la page Sécurité UEFI surface . Si vous ne configurez pas ce paramètre, la page Sécurité s’affiche.
Périphériques	Affiche la page Appareils UEFI Surface. Si vous ne configurez pas ce paramètre, la page Appareils s’affiche.
Démarrage	Affiche la page de démarrage UEFI surface. Si vous ne configurez pas ce paramètre, la page Démarrage s’affiche.
DateTime	Affiche la page DateTime UEFI surface. Si vous ne configurez pas ce paramètre, la page DateTime s’affiche.
EnableOSMigration	Vous permet de migrer le Surface Hub 2S de Windows 10 Collaboration vers Windows 10/11 Pro ou Enterprise. Si vous ne configurez pas ce paramètre, les appareils Surface Hub 2S peuvent exécuter uniquement le système d’exploitation Windows 10 Collaboration. Remarque : Le double démarrage entre Windows 10 Collaboration et Windows 10/11 Pro/Enterprise n’est pas disponible sur Surface Hub 2S.
Cœur sécurisé	Vous permet de gérer la fonctionnalité Secured Core. Si vous ne configurez pas ce paramètre, la fonctionnalité Secured Core est activée sur les appareils pris en charge.
Wake-on-LAN	Vous permet de gérer la fonctionnalité Wake-on-LAN. Si vous ne configurez pas ce paramètre, wake-on-LAN est activé sur les appareils pris en charge.
Wake-on-Power	Vous permet de gérer la fonctionnalité Wake-on-Power. Si vous ne configurez pas ce paramètre, wake-on-power est désactivé sur les appareils pris en charge.

Astuce

Lorsque vous créez un package de configuration SEMM, deux caractères s’affichent sur la page Réussite , comme illustré dans la figure 3.

Affichage de l’empreinte numérique du certificat.

Figure 3. Affichage des deux derniers caractères de l’empreinte numérique du certificat sur la page Réussite

Ces caractères sont les deux derniers caractères de l’empreinte numérique du certificat et doivent être écrits ou enregistrés. Les caractères sont nécessaires pour confirmer l’inscription à SEMM sur un appareil Surface, comme illustré dans la figure 4.

Confirmation de l’inscription dans SEMM.

Figure 4. Confirmation de l’inscription dans SEMM avec l’empreinte numérique du certificat SEMM

Astuce

Les administrateurs ayant accès au fichier de certificat (.pfx) peuvent lire l’empreinte numérique à tout moment en ouvrant le fichier .pfx dans CertMgr. Pour afficher l’empreinte numérique avec CertMgr :

Sélectionnez et maintenez (ou cliquez avec le bouton droit) le fichier .pfx, puis sélectionnez Ouvrir.
Dans le volet de navigation, développez le dossier .
Sélectionnez Certificats.
Dans le volet main, sélectionnez et maintenez enfoncé (ou cliquez avec le bouton droit) votre certificat, puis sélectionnez Ouvrir.
Sélectionnez l’onglet Détails .
Dans le menu déroulant Afficher , vous devez sélectionner Tous ou Propriétés uniquement .
Sélectionnez le champ Empreinte numérique .

Pour inscrire un appareil Surface dans SEMM ou appliquer la configuration UEFI à partir d’un package de configuration, exécutez le fichier .msi avec des privilèges d’administration sur l’appareil Surface prévu. Vous pouvez utiliser des technologies de déploiement d’applications ou de système d’exploitation, comme Microsoft Endpoint Configuration Manager ou Microsoft Deployment Toolkit. Lorsque vous inscrivez un appareil dans SEMM, vous devez être physiquement présent pour confirmer l’inscription sur l’appareil. Lorsque vous appliquez une configuration à des appareils déjà inscrits dans SEMM, l’interaction de l’utilisateur n’est pas requise.

Pour obtenir une procédure pas à pas sur l’inscription d’un appareil Surface dans SEMM ou l’application d’une configuration UEFI Surface avec SEMM, consultez Inscrire et configurer des appareils Surface avec SEMM.

Réinitialiser le package

Un package de réinitialisation UEFI Surface est utilisé pour effectuer une seule tâche : désinscrire un appareil Surface de SEMM. Le package de réinitialisation contient des instructions signées pour supprimer le certificat SEMM du microprogramme de l’appareil et réinitialiser les paramètres UEFI aux paramètres d’usine par défaut. À l’instar d’un package de configuration UEFI Surface, un package de réinitialisation doit être signé avec le même certificat SEMM que celui approvisionné sur l’appareil Surface. Lorsque vous créez un package de réinitialisation SEMM, vous devez fournir le numéro de série de l’appareil Surface que vous envisagez de réinitialiser. Les packages de réinitialisation SEMM ne sont pas universels : ils sont spécifiques à un appareil.

Demande de récupération

Dans certains scénarios, il peut être impossible d’utiliser un package de réinitialisation UEFI Surface. (Par exemple, si Windows devient inutilisable sur l’appareil Surface.) Dans ces scénarios, vous pouvez désinscrire l’appareil Surface de SEMM via la page Gestion d’entreprise de Surface UEFI (illustré dans la figure 5) avec une opération de demande de récupération.

Lancez une demande de récupération SEMM.

Figure 5. Lancer une demande de récupération SEMM sur la page Gestion d’entreprise

Lorsque vous utilisez le processus de la page Gestion d’entreprise pour réinitialiser SEMM sur un appareil Surface, vous recevez une demande de réinitialisation. Cette demande de réinitialisation peut être enregistrée sous la forme d’un fichier sur un lecteur USB, copiée sous forme de texte ou lue en tant que code QR avec un appareil mobile pour être facilement envoyée par e-mail ou par message. Utilisez l’option Demande de réinitialisation du configurateur UEFI de Microsoft Surface pour charger un fichier de demande de réinitialisation ou pour entrer le texte de la demande de réinitialisation ou le code QR. Microsoft Surface UEFI Configurator génère un code de vérification qui peut être entré sur l’appareil Surface. Si vous entrez le code sur l’appareil Surface et sélectionnez Redémarrer, l’appareil est désinscrit de SEMM.

Remarque

Une demande de réinitialisation expire deux heures après sa création.

Pour obtenir une procédure pas à pas montrant comment désinscrire des appareils Surface à partir de SEMM, consultez Désinscriptionner des appareils Surface à partir de SEMM.

Conditions requises pour les certificats en mode de gestion d’entreprise Surface

Lorsque vous utilisez SEMM avec Microsoft Surface UEFI Configurator et que vous souhaitez appliquer des paramètres UEFI, un certificat est requis pour vérifier la signature des fichiers de configuration. Ce certificat garantit qu’après l’inscription d’un appareil dans SEMM, seuls les packages créés avec le certificat approuvé peuvent être utilisés pour modifier les paramètres UEFI.

Remarque

Pour modifier les paramètres SEMM ou UEFI surface sur les appareils Surface inscrits, le certificat SEMM est requis. Si le certificat SEMM est endommagé ou perdu, SEMM ne peut pas être supprimé ou réinitialisé. Gérer votre certificat SEMM en conséquence avec une solution appropriée pour la sauvegarde et la récupération

Les packages créés avec l’outil Microsoft Surface UEFI Configurator sont signés avec un certificat. Ce certificat garantit qu’une fois qu’un appareil est inscrit dans SEMM, seuls les packages créés avec le certificat approuvé peuvent être utilisés pour modifier les paramètres d’UEFI.

Paramètres de certificat recommandés

Les paramètres suivants sont recommandés pour le certificat SEMM :

Algorithme de clé – RSA
Longueur de clé – 2048
Algorithme de hachage – SHA-256
Type – Authentification du serveur SSL
Utilisation de la clé : signature numérique, chiffrement de clé
Fournisseur : fournisseur de services de chiffrement RSA et AES améliorés Microsoft
Date d’expiration : 15 mois à compter de la création du certificat
Stratégie d’exportation de clé – Exportable

Il est également recommandé que le certificat SEMM soit authentifié dans une architecture d’infrastructure à clé publique (PKI) à deux niveaux où l’autorité de certification intermédiaire est dédiée à SEMM, ce qui permet la révocation des certificats. Pour plus d’informations sur une configuration PKI à deux niveaux, consultez Guide du laboratoire de test : Déploiement d’une hiérarchie DKI AD CS Two-Tier.

Certificat auto-signé

Vous pouvez utiliser l’exemple de script PowerShell suivant pour créer un certificat auto-signé à utiliser dans des scénarios de preuve de concept. Pour utiliser ce script, copiez le texte suivant dans le Bloc-notes, puis enregistrez le fichier en tant que script PowerShell (.ps1).

Remarque

Ce script crée un certificat avec un mot de passe de 12345678. Le certificat généré par ce script n’est pas recommandé pour les environnements de production.

if (-not (Test-Path "Demo Certificate"))  { New-Item -ItemType Directory -Force -Path "Demo Certificate" }
if (Test-Path "Demo Certificate\TempOwner.pfx") { Remove-Item "Demo Certificate\TempOwner.pfx" }

# Generate the Ownership private signing key with password 12345678
$pw = ConvertTo-SecureString "12345678" -AsPlainText -Force

$TestUefiV2 = New-SelfSignedCertificate `
  -Subject "CN=Surface Demo Kit, O=Contoso Corporation, C=US" `
  -Type SSLServerAuthentication `
  -HashAlgorithm sha256 `
  -KeyAlgorithm RSA `
  -KeyLength 2048 `
  -KeyUsage KeyEncipherment `
  -KeyUsageProperty All `
  -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" `
  -NotAfter (Get-Date).AddYears(25) `
  -TextExtension @("2.5.29.37={text}1.2.840.113549.1.1.1") `
  -KeyExportPolicy Exportable

$TestUefiV2 | Export-PfxCertificate -Password $pw -FilePath "Demo Certificate\TempOwner.pfx"

Important

Pour une utilisation avec SEMM et Microsoft Surface UEFI Configurator, le certificat doit être exporté avec la clé privée et la protection par mot de passe. Microsoft Surface UEFI Configurator vous invite à sélectionner le fichier de certificat SEMM (.pfx) et le mot de passe du certificat.

Pour créer un certificat auto-signé :

Sur votre lecteur C : , créez le dossier dans lequel vous allez enregistrer le script ; par exemple, C :\SEMM.
Copiez l’exemple de script dans le Bloc-notes (ou un éditeur de texte équivalent), puis enregistrez le fichier en tant que script PowerShell (.ps1).
Connectez-vous à votre ordinateur avec des informations d’identification d’administrateur, puis ouvrez une session PowerShell avec élévation de privilèges.
Assurez-vous que vos autorisations sont définies pour autoriser l’exécution des scripts. Par défaut, l’exécution des scripts est bloquée, sauf si vous modifiez la stratégie d’exécution. Pour plus d’informations, consultez À propos des stratégies d’exécution.
À l’invite de commandes, entrez le chemin complet du script, puis appuyez sur Entrée. Le script crée un certificat de démonstration nommé TempOwner.pfx.

Vous pouvez également créer votre propre certificat auto-signé à l’aide de PowerShell. Pour plus d’informations, consultez New-SelfSignedCertificate.

Remarque

Pour les organisations qui utilisent une racine hors connexion dans leur infrastructure PKI, Microsoft Surface UEFI Configurator doit être exécuté dans un environnement connecté à l’autorité de certification racine pour authentifier le certificat SEMM. Les packages générés par microsoft Surface UEFI Configurator peuvent être transférés sous forme de fichiers, de sorte qu’ils peuvent être transférés en dehors de l’environnement réseau hors connexion avec un stockage amovible, tel qu’une clé USB.

FAQ sur la gestion des certificats

La durée minimale recommandée est de 15 mois. Vous pouvez utiliser un certificat qui expire dans moins de 15 mois ou un certificat qui expire dans plus de 15 mois.

Remarque

Lorsqu’un certificat expire, il ne se renouvelle pas automatiquement.

Un certificat expiré affecte-t-il les fonctionnalités des appareils inscrits auprès de SEMM ?

Non, un certificat affecte uniquement les tâches de gestion des administrateurs informatiques dans SEMM et n’a aucun effet sur les fonctionnalités de l’appareil lorsqu’il expire.

Le package ET le certificat SEMM devront-ils être mis à jour sur tous les ordinateurs qui l’ont ?

Si vous souhaitez que la réinitialisation ou la récupération SEMM fonctionne, le certificat doit être valide et n’a pas expiré.

Des packages de réinitialisation en bloc peuvent-ils être créés pour chaque surface que nous commanderons ? Peut-on créer une machine qui réinitialise toutes les machines de notre environnement ?

Les exemples PowerShell qui créent un package de configuration pour un type d’appareil spécifique peuvent également être utilisés pour créer un package de réinitialisation indépendant du numéro de série. Si le certificat est toujours valide, vous pouvez créer un package de réinitialisation à l’aide de PowerShell pour réinitialiser SEMM.