Device Firmware Configuration Interface (DFCI)-beheer

Met Windows Autopilot Deployment en Intune kunnen UEFI-instellingen (Unified Extensible Firmware Interface) worden beheerd nadat het apparaat is geregistreerd. UEFI-instellingen kunnen worden beheerd via de Device Firmware Configuration Interface (DFCI). DFCI stelt Windows in staat om beheeropdrachten van Intune door te geven aan UEFI voor Windows Autopilot geïmplementeerde apparaten. Met deze mogelijkheid kan de eindgebruiker de controle over de BIOS-instellingen beperken. De opstartopties kunnen bijvoorbeeld worden vergrendeld om te voorkomen dat gebruikers een ander besturingssysteem opstarten, bijvoorbeeld een besturingssysteem dat niet dezelfde beveiligingsfuncties heeft.

Als een gebruiker een eerdere Windows-versie opnieuw installeert, een afzonderlijk besturingssysteem installeert of de harde schijf formatteert, kan hij DFCI-beheer niet overschrijven. Deze functie kan ook voorkomen dat malware communiceert met processen van het besturingssysteem, waaronder verhoogde besturingssysteemprocessen. De vertrouwensketen van DFCI maakt gebruik van cryptografie met openbare sleutels en is niet afhankelijk van lokale UEFI-wachtwoordbeveiliging. Deze beveiligingslaag voorkomt dat lokale gebruikers toegang krijgen tot beheerde instellingen vanuit de UEFI-menu's van het apparaat.

Zie Device Firmware Configuration Interface (DFCI) Introduction (DFCI) voor een overzicht van de voordelen, scenario's en vereisten van DFCI.

Belangrijk

Een apparaat wordt automatisch ingeschreven voor DFCI-beheer tijdens het inrichten van Windows Autopilot wanneer de volgende acties worden uitgevoerd:

• De OEM activeert DFCI voor het apparaat.
• Het apparaat is geregistreerd voor Windows Autopilot via de OEM of een Cloud Solution Partner (CSP) in Partner Center.

Inschrijving in DFCI-beheer activeert een extra herstart tijdens de Out-Of-Box Experience (OOBE).

Levenscyclus van DFCI-beheer

De levenscyclus van DFCI-beheer omvat de volgende processen:

• UEFI-integratie.
• Apparaatregistratie.
• Profiel maken.
• Inschrijving.
• Beheer.
• Pensioen.
• Herstel.

Zie de volgende afbeelding:

Vereisten

• Er is een momenteel ondersteunde versie van Windows en een ondersteunde UEFI vereist.
• De fabrikant van het apparaat moet DFCI hebben toegevoegd aan de UEFI-firmware tijdens het fabricageproces, of als een firmware-update die kan worden geïnstalleerd. Werk samen met de leveranciers van het apparaat om te bepalen welke fabrikanten DFCI ondersteunen of welke firmwareversie nodig is om DFCI te gebruiken.
• Het apparaat moet worden beheerd met Microsoft Intune. Zie Windows-apparaten inschrijven voor Intune met Windows Autopilot voor meer informatie.
• Het apparaat moet zijn geregistreerd voor Windows Autopilot door een Microsoft Cloud Solution Provider-partner (CSP) of rechtstreeks zijn geregistreerd door de OEM. Voor Surface-apparaten is Microsoft-registratieondersteuning beschikbaar op Microsoft apparaten Windows Autopilot-ondersteuning.

Belangrijk

Apparaten die handmatig zijn geregistreerd voor Windows Autopilot (bijvoorbeeld door te importeren vanuit een CSV-bestand) mogen geen DFCI gebruiken. DFCI-beheer vereist standaard een externe verklaring van de commerciële aanschaf van het apparaat via een OEM- of Microsoft CSP-partnerregistratie bij Windows Autopilot. Wanneer het apparaat is geregistreerd, wordt het serienummer weergegeven in de lijst met Windows Autopilot-apparaten.

DFCI-profiel beheren met Windows Autopilot

Er zijn vier basisstappen voor het beheren van een DFCI-profiel met Windows Autopilot:

1. Een Windows Autopilot-profiel maken
2. Een paginaprofiel voor de inschrijvingsstatus maken
3. Een DFCI-profiel maken
4. De profielen toewijzen

Zie De profielen maken en de profielen toewijzen en opnieuw opstarten voor meer informatie.

De bestaande DFCI-instellingen kunnen ook worden gewijzigd op apparaten die in gebruik zijn. Wijzig de instellingen in het bestaande DFCI-profiel en sla de wijzigingen op. Aangezien het profiel al is toegewezen, worden de nieuwe DFCI-instellingen van kracht wanneer het apparaat de volgende keer wordt gesynchroniseerd of opnieuw wordt opgestart.

Om te bepalen of een apparaat geschikt is voor DFCI, kan de volgende Intune Graph API aanroep worden gebruikt:

managedDevice/deviceFirmwareConfigurationInterfaceManaged

Zie Overzicht van API-voor apparaten en apps van Intune en Werken met Intune in Microsoft Graph voor meer informatie.

OEM's die DFCI ondersteunen

• Acer.
• Asus.
• Dynabook.
• Fujitsu.
• Microsoft Surface.
• Panasonic.
• VAIO.
• Samsung.
• NEC.

Andere OEM's zijn in behandeling.

Bekende problemen

DFCI-inschrijving is mislukt voor Professional-edities van Windows 11, versie 24H2

Datum toegevoegd: 9 oktober 2024 Datum bijgewerkt: 11 februari 2025

DFCI kan momenteel niet worden geconfigureerd tijdens de Out-of-Box Experience (OOBE) op apparaten met Professional-edities van Windows 11, versie 24H2

Voor apparaten die al zijn ingericht en Professional-edities van Windows 11, versie 24H2, installeert u KB5046740 of hoger om u in te schrijven voor DFCI. Apparaten met Professional-edities van Windows 11, versie 24H2 waarop KB5046740 of hoger zijn geïnstalleerd, worden automatisch ingeschreven bij DFCI na opnieuw opstarten.

Als DFCI moet worden geconfigureerd tijdens OOBE-inrichting op 24H2-apparaten, volgt u deze stappen:

1. Zorg er tijdens de OOBE-onboarding voor dat het apparaat is bijgewerkt naar de Enterprise-editie van Windows 11, versie 24H2.
2. Synchroniseer het apparaat na een upgrade naar de Enterprise-editie van Windows 11 versie 24H2.
3. Zodra het apparaat is gesynchroniseerd, start u het opnieuw op om het te registreren bij DFCI.

Verwante onderwerpen

• Microsoft DFCI-scenario's.
• Windows Autopilot en Surface-apparaten.