소개
Surface UEFI 관리는 Microsoft Intune에 기본 제공되는 DFCI(Device Firmware Configuration Interface) 프로필을 사용하여 최신 관리 스택을 UEFI(Unified Extensible Firmware Interface) 하드웨어 수준으로 확장합니다. DFCI는 제로 터치 프로비저닝을 지원하고, BIOS 암호를 제거하고, 부팅 옵션 및 기본 제공 주변 장치를 포함한 보안 설정을 제어하고, 향후 고급 보안 시나리오를 위한 토대를 마련합니다. 이 페이지에는 적격 Autopilot 배포 Surface 디바이스의 모든 DFCI 정책 설정 이 나열됩니다.
MDM(소프트웨어 수준 모바일 장치 관리)과 함께 사용하도록 설계된 DFCI를 사용하면 IT 관리자가 특정 하드웨어 구성 요소를 원격으로 사용하지 않도록 설정하고 최종 사용자가 액세스하지 못하도록 할 수 있습니다. 예를 들어 보안이 매우 안전한 영역에서 중요한 정보를 보호해야 하는 경우 카메라를 비활성화할 수 있으며, 사용자가 USB 드라이브에서 부팅하는 것을 원하지 않는 경우에도 비활성화할 수 있습니다.
팁
일부 DFCI 정책 설정에 대한 지원은 장치에 따라 다릅니다. 이 페이지에서 DFCI 정책 설정 참조를 검토하고 Intune 지침에 따라 디바이스에 설정을 구성하고 배포합니다.
필수 구성 요소
- Windows 11 또는 Windows 10 버전 1809 이상
- 장치는 Windows Autopilot에 등록되어 있어야 합니다. 자세한 내용은 Windows Autopilot에 대한 Surface 등록 지원을 참조하세요.
참고
Autopilot에 수동으로 등록한 디바이스(예: CSV 파일에서 가져온 디바이스)는 DFCI를 사용할 수 없습니다. 기본적으로 DFCI 관리에는 Microsoft CSP 파트너 또는 Surface 등록을 통한 장치의 상업적 인수에 대한 외부 증명이 필요합니다.
Surface 장치에 대한 DFCI 정책 설정 참조
적격 장치
달리 지정하지 않는 한 나열된 장치는 상용 SKU 전용입니다.
| 디바이스 유형 | 모델 |
|---|---|
| Surface Pro | 비즈니스용 Pro 12인치 2nd Edition |
| Pro 12번째 버전(Snapdragon) | |
| Pro for Business 12번째 버전(Intel) | |
| 비즈니스용 Pro 12인치 1차 버전 | |
| Pro for Business 11번째 버전(Intel) | |
| Pro 5G 11번째 버전(Snapdragon) | |
| Pro 11번째 버전(Snapdragon) | |
| 비즈니스용 Pro 10 5G | |
| 프로 10 | |
| Pro 9 5G(SQ3) | |
| Pro 9(Intel) | |
| 프로 8 | |
| 프로 7+ | |
| Pro 7(모든 SKU) | |
| Pro X(모든 SKU) | |
| surface 노트북 | Laptop Ultra |
| 비즈니스용 노트북 13인치 2nd Edition(Snapdragon) | |
| 노트북 8번째 버전(Snapdragon) | |
| 비즈니스용 노트북 8번째 버전(Intel) | |
| 비즈니스용 노트북 13인치 1st Edition(Intel) | |
| 비즈니스용 노트북 13인치 1판(Snapdragon) | |
| 비즈니스용 노트북 5G 7세대(Intel) | |
| 비즈니스용 노트북 7번째 버전(Intel) | |
| 노트북 7판(Snapdragon) | |
| 노트북 6 | |
| 노트북 5 | |
| 노트북 4 | |
| 노트북 3(Intel) | |
| 노트북 스튜디오(모든 세대) | |
| Laptop Go | |
| Laptop Go 2 | |
| Laptop Go 3 | |
| 노트북 SE | |
| Surface Hub | 허브 3 |
| 기타 | 제3권 |
| 이동 3 | |
| 이동 4 | |
| 스튜디오 2+ |
참고
Surface Pro X는 기본 제공 카메라, 오디오 및 Wi-Fi/Bluetooth에 대한 DFCI 설정 관리를 지원하지 않습니다. 일부 최신 설정은 최신 디바이스에서만 지원됩니다.
표 1. DFCI 정책 설정 참조: Autopilot 배포 Surface 장치
| DFCI 설정 | 설명 | 지원되는 버전 |
|---|---|---|
| UEFI 액세스 | ||
| 로컬 사용자가 UEFI(BIOS) 설정을 변경하도록 허용 | 이 설정을 사용하면 최종 사용자가 적격 장치에서 UEFI 설정을 수정할 수 있는지 여부를 관리할 수 있습니다. - 구성되지 않은 설정만을 선택하면 로컬 사용자(최종 사용자라고도 함)는 Intune을 통해 명시적으로 사용하도록 설정하거나 사용하지 않도록 설정한 설정을 제외한 UEFI 설정을 변경할 수 있습니다. - 없음을 선택하면 로컬 사용자가 DFCI 프로필에 표시되지 않은 설정을 포함하여 UEFI 설정을 변경할 수 없습니다. |
모든 지원 장치 |
| 보안 설정 | ||
| 동시 멀티스레딩 | 이 설정을 사용하면 적격 장치에서 SMT(동시 멀티스레딩) 지원을 사용할 수 있는지 여부를 관리할 수 있습니다. SMT는 물리적 코어마다 2개의 논리 프로세서를 제공하는 Intel 하이퍼스레딩 기술을 지원합니다. - 이 설정을 사용하도록 설정하면 UEFI 계층에서 SMT가 켜집니다. - 이 설정을 사용하지 않도록 설정하면 UEFI 계층에서 SMT가 꺼집니다. - 이 설정을 구성하지 않으면 SMT가 활성화됩니다. |
모든 지원 장치 |
| 카메라 | ||
| 카메라 | 이 설정을 통해 기본 제공 카메라가 적격 장치에서 작동할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 활성화하면 모든 내장 카메라가 허용됩니다. USB 카메라와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 비활성화하면 모든 내장 카메라가 비활성화됩니다. USB 카메라와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 구성하지 않으면 모든 내장 카메라가 활성화됩니다. |
- Surface Pro X에서는 지원되지 않습니다. - 9G Surface Pro 5 및 기타 모든 적격 장치에서 지원됩니다. |
| 전면 카메라 | 이 설정을 통해 전면 카메라가 적격 장치에서 작동할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 활성화하면 전면 카메라가 허용됩니다. USB 카메라와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 비활성화하면 전면 카메라가 비활성화됩니다. USB 카메라와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 구성하지 않으면 전면 카메라가 활성화됩니다. |
- Surface Pro X에서는 지원되지 않습니다. - 9G Surface Pro 5 및 기타 모든 적격 장치에서 지원됩니다. |
| 후면 카메라 | 이 설정을 통해 후면 카메라가 적격 장치에서 작동할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 활성화하면 후방 카메라가 허용됩니다. USB 카메라와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 비활성화하면 후면 카메라가 비활성화됩니다. USB 카메라와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 구성하지 않으면 후면 카메라가 허용됩니다. |
- Surface Pro X에서는 지원되지 않습니다. - 9G Surface Pro 5 및 기타 모든 적격 장치에서 지원됩니다. |
| IR(적외선) 카메라 | 이 설정을 통해 적외선 카메라가 적격 장치에서 작동할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 활성화하면 적외선 카메라가 허용됩니다. USB 카메라와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 비활성화하면 적외선 카메라가 비활성화됩니다. USB 카메라와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 구성하지 않으면 적외선 카메라가 허용됩니다. |
- Surface Pro X에서는 지원되지 않습니다. - 9G Surface Pro 5 및 기타 모든 적격 장치에서 지원됩니다. |
| 마이크 및 스피커 | ||
| 마이크 및 스피커 | 이 설정을 사용하면 온보드 오디오가 적격 장치에서 작동할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 활성화하면 모든 내장 마이크와 스피커를 사용할 수 있습니다. USB 장치와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 비활성화하면 모든 내장 마이크와 스피커가 비활성화됩니다. USB 장치와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 구성하지 않으면 마이크와 스피커가 활성화됩니다. |
- Surface Pro X에서는 지원되지 않습니다. - 9G Surface Pro 5 및 기타 모든 적격 장치에서 지원됩니다. |
| 마이크 | 이 설정을 통해 기본 제공 마이크가 적격 장치에서 작동할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 활성화하면 모든 내장 마이크가 활성화됩니다. USB 장치와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 비활성화하면 모든 내장 마이크가 비활성화됩니다. USB 장치와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 구성하지 않으면 마이크를 사용할 수 있습니다. |
- Surface Pro X에서는 지원되지 않습니다. - 9G Surface Pro 5 및 기타 모든 적격 장치에서 지원됩니다. |
| 무선 | ||
| 라디오(Bluetooth, Wi-Fi, NFC 등) | 이 설정을 통해 기본 제공 Bluetooth, Wi-Fi 또는 5G 무선이 적격 장치에서 작동할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 활성화하면 모든 내장 라디오가 허용됩니다. USB 장치와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 비활성화하면 모든 내장 라디오가 비활성화됩니다. USB 장치와 같은 주변 장치는 영향을 받지 않습니다. - 이 설정을 구성하지 않으면 모든 내장 라디오가 활성화됩니다. 팁:범주 설정 라디오(Bluetooth, Wi-Fi, NFC 등) 또는 세부 설정 Bluetooth, Wi-Fi를 구성합니다. 모든 설정을 구성하는 경우 이러한 설정에 충돌이 발생할 수 있습니다. 자세한 내용은 DFCI 프로필 개요: 충돌을 참조하세요. 주의:사용 안 함 설정은 유선 이더넷 연결을 사용하는 장치에서만 사용해야 합니다. |
- Surface Pro X에서는 지원되지 않습니다. - 다른 모든 적격 장치에서 지원됩니다. |
| Bluetooth | 이 설정을 사용하면 기본 제공 Bluetooth가 적격 장치에서 작동할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 활성화하면 블루투스가 활성화됩니다. - 이 설정을 비활성화하면 Bluetooth가 비활성화됩니다. - 이 설정을 구성하지 않으면 Bluetooth가 활성화됩니다. |
- Surface Pro X에서는 지원되지 않습니다. - 9G Surface Pro 5 및 기타 모든 적격 장치에서 지원됩니다. |
| WWAN | 이 설정을 사용하면 기본 제공 WWAN(5G 무선)이 적격 장치에서 작동하는지 여부를 관리할 수 있습니다 - 이 설정을 사용하도록 설정하면 WWAN이 사용하도록 설정됩니다. - 이 설정을 비활성화하면 WWAN이 비활성화됩니다. - 이 설정을 구성하지 않으면 WWAN이 사용하도록 설정됩니다. |
- Surface Pro X에서는 지원되지 않습니다. - 9G Surface Pro 5 및 기타 모든 적격 장치에서 지원됩니다. |
| 와이파이 | 이 설정을 사용하면 기본 제공 Wi-Fi가 적격 장치에서 작동할 수 있는지 여부를 관리할 수 있습니다 - 이 설정을 사용하도록 설정하면 Wi-Fi가 사용하도록 설정됩니다. - 이 설정을 사용하지 않도록 설정하면 Wi-Fi가 사용하지 않도록 설정됩니다. - 이 설정을 구성하지 않으면 Wi-Fi가 사용하도록 설정됩니다. |
- Surface Pro X에서는 지원되지 않습니다. - 9G Surface Pro 5 및 기타 모든 적격 장치에서 지원됩니다. |
| 부팅 옵션 | ||
| 외부 미디어에서 부팅(USB, SD) | 이 설정을 사용하면 적격 장치를 외부 미디어에서 부팅할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 사용하면 최종 사용자가 USB 플래시 드라이브 또는 기타 비 하드 드라이브 스토리지 기술에서 장치를 부팅할 수 있습니다. - 이 설정을 사용하지 않도록 설정하면 최종 사용자가 USB 플래시 드라이브 또는 기타 하드 드라이브가 아닌 스토리지 기술에서 장치를 부팅할 수 없습니다. - 이 설정을 구성하지 않으면 최종 사용자가 USB 플래시 드라이브 또는 기타 비 하드 드라이브 스토리지 기술에서 디바이스를 부팅할 수 있습니다. |
모든 지원 장치 |
| 포트 | ||
| USB 타입 A | 이 설정을 사용하면 장치에서 USB-A 연결을 활용하는 방법을 관리할 수 있습니다. - 이 설정을 활성화하면 USB-A 데이터 연결이 적격 장치에서 작동할 수 있습니다. - 이 설정을 사용하지 않도록 설정하면 USB-A 데이터 연결이 적격 장치에서 작동하지 않습니다. - 이 설정을 구성하지 않으면 USB-A 데이터 연결이 모든 장치에서 작동할 수 있습니다. 주의: 외부 미디어와 USB 타입 A에서 부팅을 모두 사용하지 않도록 설정하고 어떤 이유로든 장치를 부팅할 수 없게 되면 SSD를 교체하지 않고는 장치를 복구할 수 없습니다. 외부 미디어에서 부팅할 수 없으며 네트워크에서 PXE 부팅 또는 DFCI 새로 고침을 수행할 수 없습니다. |
Surface Laptop Go 2 이상(2022년 6월 1일 이후에 출시된 장치)에서만 지원됩니다. |
| 절전 모드 해제 설정 | ||
| Wake-On-LAN | 이 설정을 사용하면 적격 장치를 최신 대기 또는 최대 절전 모드에서 원격으로 시작할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 사용하도록 설정하면 적격 장치를 원격으로 Wake-On-LAN으로 구성할 수 있습니다. - 이 설정을 사용하지 않도록 설정하면 적격 디바이스를 원격으로 LAN에서 절전 모드 해제하도록 구성할 수 없습니다. - 이 설정을 구성하지 않으면 적격 디바이스를 원격으로 LAN에서 절전 모드 해제하도록 구성할 수 있습니다. |
Surface Laptop Go 2 이상(2022년 6월 1일 이후에 출시된 장치)에서만 지원됩니다. |
| Wake-On-Power | 이 설정을 사용하면 적격 장치를 전원에 연결될 때 최대 절전 모드 또는 전원이 꺼진 상태에서 자동으로 시작할 수 있는지 여부를 관리할 수 있습니다. - 이 설정을 사용하도록 설정하면 적격 Surface 장치를 전원에 연결될 때 자동으로 시작되도록 구성할 수 있습니다. - 이 설정을 사용하지 않도록 설정하면 적격 Surface 장치가 전원에 연결될 때 자동으로 시작되도록 구성할 수 없습니다. - 이 설정을 구성하지 않으면 적격 Surface 장치는 전원에 다시 연결될 때 자동으로 시작되도록 구성할 수 없습니다. |
Surface Laptop Go 2 이상(2022년 6월 1일 이후에 출시된 장치)에서만 지원됩니다. |
참고
Intune의 DFCI에는 CPU 및 IO 가상화, 네트워크 어댑터에서 부팅 사용 안 함, WPBT(Windows 플랫폼 이진 테이블), NFC 및 SD 카드와 같이 현재 Surface 장치에 적용되지 않는 설정이 포함되어 있습니다.
시작
intune.microsoft.com 에서 테넌트에 로그인합니다.
Microsoft Intune 관리 센터에서 디바이스 > 구성 프로필 > 만들기를 선택합니다.
플랫폼에서 Windows 10 이상을 선택합니다.
프로필 유형에서 템플릿>디바이스 펌웨어 구성 인터페이스를 선택한 다음 만들기를 선택합니다.
다음을 포함한 전체 지침은 Microsoft Intune의 Windows 장치에서 DFCI 프로필 사용을 참조하세요.
- Microsoft Entra 보안 그룹 만들기
- 프로필 만들기
- 프로필 할당 및 재부팅
- 기존 DFCI 설정 업데이트
- 장치 다시 사용, 사용 중지 또는 복구
사용자가 UEFI 설정을 변경하지 못하도록 방지
많은 고객에게 사용자가 UEFI 설정을 변경하지 못하도록 차단하는 기능은 매우 중요하며 DFCI를 사용하는 주된 이유입니다. 위의 표 1에 나열된 것처럼 이 기능은 로컬 사용자가 UEFI 설정을 변경하도록 허용 설정을 통해 관리됩니다. 이 설정을 편집하거나 구성하지 않으면 로컬 사용자는 Intune에서 관리하지 않는 UEFI 설정을 변경할 수 있습니다. 따라서 로컬 사용자가 UEFI 설정을 변경할 수 있도록 허용을없음으로 설정하는 것이 좋습니다.
DFCI 관리 디바이스에서 UEFI 설정 확인
테스트 환경에서 Surface UEFI 인터페이스의 설정을 확인할 수 있습니다.
Surface UEFI 열기:
- Surface의 볼륨 크게 버튼을 길게 누르고 동시에 전원 버튼을 눌렀다 뗍니다.
- Surface 로고가 나타나면 볼륨 크게 단추에서 손가락을 뗍니다. UEFI 메뉴는 몇 초 내에 표시됩니다.
장치를 선택합니다. UEFI 메뉴는 다음 그림과 같이 구성된 설정을 반영합니다.
참고
- 로컬 사용자가 UEFI 설정을 변경할 수 있도록 허용이없음으로 설정되어 있으므로 설정이 회색으로 표시(비활성)됩니다.
- 마이크 및 스피커 정책이 사용 안 함으로 설정되어 있으므로 온보드 오디오가 꺼져 있습니다.
DFCI 정책 설정 제거
DFCI 프로필을 만들 때 구성된 모든 설정은 프로필의 관리 scope 내의 모든 장치에 계속 적용됩니다. DFCI 프로필을 직접 편집하여 DFCI 정책 설정만 제거할 수 있습니다. 원래 DFCI 프로필이 삭제된 경우 새 프로필을 만들고 적절한 설정을 편집합니다.
DFCI 관리 제거
DFCI 관리를 제거하고 디바이스를 공장 새 상태로 되돌리려면:
- Intune에서 디바이스 사용 중지:
- intune.microsoft.com 에서 Microsoft Intune에서 장치>모든 장치를 선택합니다.
- 사용 중지하려는 디바이스를 선택한 다음 사용 중지/초기화를 선택합니다. 자세한 내용은 장치 초기화, 사용 중지 또는 수동으로 등록 취소를 사용하여 장치 제거를 참조하세요.
- Intune에서 Autopilot 등록을 삭제합니다.
- 디바이스 > 등록 > Windows Autopilot > 디바이스를 선택합니다.
- Windows Autopilot 디바이스에서 삭제할 디바이스를 선택한 다음 삭제를 선택합니다.
- Surface 브랜드 이더넷 어댑터를 사용하여 장치를 유선 인터넷에 연결합니다. 장치를 다시 시작하고 UEFI 메뉴를 엽니다(볼륨 크게 버튼을 길게 누르고 전원 버튼을 눌렀다가 놓습니다).
- 관리>, 구성, > 네트워크에서 새로 고침을 선택합니다.
Intune을 사용하지만 DFCI 관리는 하지 않는 디바이스를 관리하려면 Autopilot에 디바이스를 자체 등록하고 Intune에 등록합니다. DFCI는 자체 등록된 디바이스에 적용되지 않습니다.