Surface エンタープライズ管理モード (SEMM) の使用を開始する

  • 適用対象: Windows 10, Windows 11

Microsoft Surface Enterprise Management Mode (SEMM) は、Surface Unified Extensible Firmware Interface (UEFI) を備えた Surface デバイスの機能です。 SEMM を使用すると、次のことができます。

  • organization 内のファームウェア設定をセキュリティで保護し、管理します。
  • UEFI 設定の構成を準備し、Surface デバイスにインストールします。

SEMM では、許可されていない改ざんや削除から構成を保護するために証明書も使用されます。

Surface デバイスを SEMM に登録する

この記事では、Surface UEFI 構成パッケージを作成して、ファームウェア レベルでハードウェア コンポーネントを有効または無効にし、Surface デバイスを SEMM に登録する方法について説明します。 Surface デバイスが SEMM によって構成され、SEMM 証明書でセキュリティ保護されている場合、それらは SEMM に登録されている と見なされます。 SEMM 証明書が削除され、UEFI 設定の制御がデバイスのユーザーに返されると、Surface デバイスは SEMM に登録 されていないと見なされます 。

Microsoft Configuration Manager を使用して SEMM でデバイスを管理することもできます。

SEMM の代わりに、新しい Surface デバイスでは、Microsoft Intune を介したファームウェア設定のサブセットのリモート管理がサポートされています。 詳細については、「 Surface デバイスでの DFCI の管理」を参照してください。

サポートされるデバイス

SEMM は、Surface UEFI ファームウェアを搭載したデバイスで使用できます。

注

このページに記載されている場合を除き、SEMM のサポートは 商用 SKU に限定されます。

  • Surface Laptop Ultra
  • Surface Laptop for Business 13 インチ 第 2 版 (Snapdragon)
  • Surface Laptop 8th Edition (Snapdragon)
  • Surface Laptop for Business 第 8 版 (Intel)
  • Surface Laptop for Business 13 インチ 第 1 エディション (Intel)
  • Surface Laptop for Business 13 インチ 第 1 エディション (Snapdragon)
  • Surface Laptop 5G for Business 第 7 版 (Intel)
  • Surface Laptop for Business 第 7 版 (Intel)
  • Surface Laptop 第 7 版 (Snapdragon)
  • Surface Laptop 6
  • Surface Laptop 5
  • Surface Laptop 4
  • Surface Laptop 3 (Intel)
  • Surface Laptop 2 (すべての SKU)
  • Surface Laptop (すべての SKU)
  • Surface Laptop Go 3
  • Surface Laptop Go 2
  • Surface Laptop Go (すべての SKU)
  • Surface Laptop SE (すべての SKU)
  • Surface Laptop Studio (すべての世代)
  • Surface Book (すべての世代)
  • Surface Pro for Business 12 インチ 第 2 版
  • Surface Pro 12th Edition (Snapdragon)
  • Surface Pro for Business 第 12 エディション (Intel)
  • Surface Pro for Business 12 インチ 第 1 エディション
  • Surface Pro for Business 第 11 エディション (Intel)
  • 5G 対応 Surface Pro 第 11 版 (Snapdragon)
  • Surface Pro 11th Edition (Snapdragon)
  • ビジネス向け 5G 対応 Surface Pro 10 5G
  • Surface Pro 10
  • 5G 対応 Surface Pro 9 (SQ3)
  • Surface Pro 9 (Intel)
  • Surface Pro 8
  • Surface Pro 7+
  • Surface Pro 7 (すべての SKU)
  • Surface Pro 6 (すべての SKU)
  • Surface Pro 第 5 世代 (すべての SKU)
  • Surface Pro 4 (すべての SKU)
  • Surface Pro X (すべての SKU)
  • Surface Go 4
  • Surface Go 3
  • Surface Go 2 (すべての SKU)
  • Surface Go (すべての SKU)
  • Surface Studio 2+
  • Surface Studio 2 (すべての SKU)
  • Surface Studio (すべての SKU)
  • Surface Hub 3
  • Surface Hub 2S

ヒント

商用 SKU (別名 法人向け Surface) は、Windows 10 Pro/Enterprise または Windows 11 Pro/Enterprise を実行し、コンシューマー SKU は Windows 10/Windows 11 Home を実行します。 詳細については、「 システム情報を表示する」を参照してください。

Surface UEFI コンフィギュレータ

SEMM のプライマリ ワークスペースは、Surface UEFI Configurator を含む Surface IT Toolkit です。

構成パッケージ

Surface UEFI 構成パッケージは、Surface デバイスで SEMM を実装および管理するための主要なメカニズムです。 これらのパッケージには、図 2 に示すように、構成ファイルと証明書ファイルが含まれています。 構成ファイルには、Microsoft Surface UEFI Configurator でパッケージを作成するときに指定された UEFI 設定が含まれています。 SEMM にまだ登録されていない Surface デバイスで構成パッケージを初めて実行すると、デバイスのファームウェアに証明書ファイルがプロビジョニングされ、SEMM にデバイスが登録されます。 SEMM にデバイスを登録する際、証明書が保存され、登録が完了する前に、SEMM 証明書の拇印の最後の 2 桁を入力して操作を確認するように求められます。 この確認を実行するには、ユーザーが登録時にデバイスの前に物理的にその場にいる必要があります。

SEMM 証明書の要件の詳細については、この記事で後述する 「Surface エンタープライズ管理モード証明書の要件 」セクションを参照してください。

カテゴリ 説明 詳細情報
MSI パッケージ Surface デバイスを SEMM に登録し、登録されたデバイスの UEFI ファームウェア設定を管理します。
Surface ドックを SEMM に登録し、登録済みドックの UEFI ファームウェア設定を管理します。		 Surface デバイスの UEFI 設定を構成する
Surface Dock の UEFI 設定を構成する
WinPE イメージ WinPE イメージを使用して、Surface デバイスで SEMM を登録、構成、および登録解除します。 -
DFIパッケージ DFI パッケージを作成して Surface Hub デバイスを SEMM に登録し、登録済みの Surface Hub デバイスの UEFI ファームウェア設定を管理します。 -

ヒント

SEMM で UEFI パスワードを要求するオプションがあります。 その場合、Surface UEFI の [セキュリティ]、[ デバイス]、[ ブート構成]、および [エンタープライズ管理] の各ページを表示するには、パスワードが必要です。

デバイスが SEMM に登録されると、構成ファイルが読み取られ、ファイルで指定された設定が UEFI に適用されます。 SEMM に既に登録されているデバイスで構成パッケージを実行すると、構成ファイルの署名がデバイス ファームウェアに格納されている証明書と照合されます。 署名が一致しない場合、デバイスに変更は適用されません。

ヒント

証明書ファイル (.pfx) へのアクセス権を持つ管理者は、CertMgr で .pfx ファイルを開いて、いつでもサムプリントを読み取ることができます。 CertMgr で拇印を表示するには:

  1. .pfx ファイルを選択して長押し (または右クリック) し、[ 開く] を選択します。
  2. ナビゲーション ウィンドウで、フォルダーを展開します。
  3. [ 証明書] を選択します。
  4. メイン ウィンドウで、証明書を長押し (または右クリック) して、[ 開く] を選択します。
  5. [ 詳細] タブを選択します。
  6. [ 表示 ] ドロップダウン メニューで、[ すべて] または [プロパティのみ ] を選択する必要があります。
  7. 拇 印 フィールドを選択します。

SEMM に Surface デバイスを登録するか、構成パッケージから UEFI 構成を適用するには、目的の Surface デバイスで管理者特権で .msi ファイルを実行します。 Microsoft Configuration Manager や Microsoft Deployment Toolkit など、アプリケーションの展開またはオペレーティング システム展開テクノロジを使用できます。 SEMM にデバイスを登録する場合は、そのデバイスでの登録を確認するために物理的に立ち会う必要があります。 SEMM に既に登録されているデバイスに構成を適用する場合、ユーザーの操作は必要ありません。

回復要求

Surface IT ツールキットの 回復要求 機能を使用して、SEMM から Surface デバイスの登録を解除できます。

SEMM 証明書の要件

Microsoft Surface UEFI Configurator で SEMM を使用し、UEFI 設定を適用する場合は、構成ファイルの署名を確認するために証明書が必要です。 この証明書により、デバイスが SEMM に登録された後は、承認された証明書で作成されたパッケージのみを使用して UEFI 設定を変更できます。

注

登録済みの Surface デバイスで SEMM または Surface UEFI の設定を変更するには、SEMM 証明書が必要です。 SEMM 証明書が破損しているか失われた場合、SEMM を削除またはリセットすることはできません。 バックアップと復元のための適切なソリューションを使用して、SEMM 証明書を適切に管理します

Microsoft Surface UEFI Configurator ツールで作成されたパッケージは、証明書で署名されます。 この証明書により、デバイスが SEMM に登録された後は、承認された証明書で作成されたパッケージのみを使用して UEFI の設定を変更できます。

SEMM 証明書には、次の設定をお勧めします。

  • キー アルゴリズム – RSA
  • キーの長さ – 2048
  • ハッシュ アルゴリズム – SHA-256
  • 種類 – SSL サーバー認証
  • キーの使用法 – デジタル署名、キーの暗号化
  • プロバイダー – Microsoft Enhanced RSA and AES Cryptographic Provider
  • 有効期限 – 証明書の作成から 15 か月
  • キーのエクスポート ポリシー – エクスポート可能

また、SEMM 証明書は、中間証明機関 (CA) が SEMM 専用の 2 層公開キー基盤 (PKI) アーキテクチャで認証され、証明書の失効が有効になることをお勧めします。 2 層 PKI 構成の詳細については、「 Test Lab Guide: Deploying an AD CS Two-Tier PKI Hierarchy」を参照してください。

自己署名証明書

次の PowerShell スクリプトの例を使用して、概念実証シナリオで使用する自己署名証明書を作成できます。 このスクリプトを使用するには、次のテキストをメモ帳にコピーし、ファイルを PowerShell スクリプト (.ps1) として保存します。

注

このスクリプトは、パスワードが 12345678 の証明書を作成します。 このスクリプトによって生成された証明書は、運用環境では推奨されません。

if (-not (Test-Path "Demo Certificate"))  { New-Item -ItemType Directory -Force -Path "Demo Certificate" }
if (Test-Path "Demo Certificate\TempOwner.pfx") { Remove-Item "Demo Certificate\TempOwner.pfx" }

# Generate the Ownership private signing key with password 12345678
$pw = ConvertTo-SecureString "12345678" -AsPlainText -Force

$TestUefiV2 = New-SelfSignedCertificate `
  -Subject "CN=Surface Demo Kit, O=Contoso Corporation, C=US" `
  -Type SSLServerAuthentication `
  -HashAlgorithm sha256 `
  -KeyAlgorithm RSA `
  -KeyLength 2048 `
  -KeyUsage KeyEncipherment `
  -KeyUsageProperty All `
  -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" `
  -NotAfter (Get-Date).AddYears(25) `
  -TextExtension @("2.5.29.37={text}1.2.840.113549.1.1.1") `
  -KeyExportPolicy Exportable

$TestUefiV2 | Export-PfxCertificate -Password $pw -FilePath "Demo Certificate\TempOwner.pfx"

重要

SEMM および Microsoft Surface UEFI Configurator で使用するには、秘密キーとパスワード保護を使用して証明書をエクスポートする必要があります。 Microsoft Surface UEFI Configurator では、SEMM 証明書ファイル (.pfx) と証明書パスワードを選択するように求められます。

自己署名証明書を作成するには:

  1. C: ドライブで、スクリプトを保存するフォルダーを作成します。たとえば、C:\SEMM などです。
  2. スクリプト例をメモ帳 (または同等のテキスト エディター) にコピーし、ファイルを PowerShell スクリプト (.ps1) として保存します。
  3. 管理者の資格情報を使用してコンピューターにサインインし、管理者特権の PowerShell セッションを開きます。
  4. スクリプトの実行を許可するようにアクセス許可が設定されていることを確認します。 既定では、実行ポリシーを変更しない限り、スクリプトの実行はブロックされます。 詳細については、「 実行ポリシーについて」を参照してください。
  5. コマンド プロンプトで、スクリプトの完全パスを入力し、 Enter キーを押します。 スクリプトは、TempOwner.pfx という名前のデモ証明書を作成します。

または、PowerShell を使用して独自の自己署名証明書を作成することもできます。 詳細については、「 New-SelfSignedCertificate」を参照してください。

注

PKI インフラストラクチャでオフライン ルートを使用する組織の場合、SEMM 証明書を認証するには、ルート CA に接続された環境で Microsoft Surface UEFI コンフィギュレーターを実行する必要があります。 Microsoft Surface UEFI Configurator で生成されたパッケージはファイルとして転送できるため、USB スティックなどのリムーバブル記憶域を使用してオフライン ネットワーク環境の外部に転送できます。

証明書の管理に関する FAQ

推奨される 最小 期間は 15 か月です。 有効期限が 15 か月未満の証明書を使用することも、有効期限が 15 か月を超える証明書を使用することもできます。

注

証明書の有効期限が切れても、自動的には更新されません。

証明書の有効期限は SEMM に登録されているデバイスの機能に影響しますか?

いいえ、証明書は SEMM の IT 管理者管理タスクにのみ影響を与え、有効期限が切れたときにデバイスの機能には影響しません。

SEMM パッケージと証明書を持つすべてのコンピューターで SEMM パッケージと証明書を更新する必要がありますか。

SEMM のリセットまたはリカバリを機能させるには、証明書が有効であり、期限切れになっていない必要があります。

注文したサーフェスごとにパッケージを一括リセットできますか? 環境内のすべてのマシンをリセットするものを構築できますか?

特定のデバイスの種類のための構成パッケージを作成する PowerShell サンプルは、シリアル番号に依存しないリセット パッケージの作成にも使用できます。 証明書がまだ有効な場合は、PowerShell を使用してリセット パッケージを作成し、SEMM をリセットできます。

  • 最終更新: