Подробнее о параметрах профиля интерфейса конфигурации встроенного ПО устройства (DFCI) в Microsoft Intune

  • Статья

В этой статье перечислены и описаны параметры профиля DFCI, которые можно контролировать на клиентских устройствах Windows. В рамках решения для управления мобильными устройствами (MDM) используйте эти параметры для управления функциями безопасности, встроенным оборудованием и параметрами загрузки на уровне UEFI в Windows.

Эти параметры применяются к:

  • Windows 11 на поддерживаемом UEFI
  • Windows 10 RS5 (1809) и более поздним версиям с поддерживаемым UEFI

Эти параметры добавляются в профиль конфигурации устройства в Intune, а затем назначаются или развертываются на клиентских устройствах Windows.

Перед началом работы

Предупреждение

Будь осторожен. Настройка и назначение профилей DFCI может заблокировать устройство без возможности восстановления. Параметры профиля DFCI изменяют оборудование устройства и не могут быть исправлены путем повторного создания образа ОС.

Доступ UEFI

  • Разрешить локальному пользователю изменять параметры UEFI: ваши параметры:
    • Только параметры не настроены. Локальный пользователь может изменить любой параметр, за исключением тех параметров, которые явно заданы как Enable или Disable by Intune.
    • Нет. Локальный пользователь не может изменить параметры UEFI (BIOS), включая параметры, не отображаемые в профиле DFCI.

Функции безопасности

  • Виртуализация ЦП и ввода-вывода: Доступны следующие параметры:

    • Не настроено — Intune не изменяет или не обновляет этот параметр.
    • Включено: BIOS включает возможности платформы для виртуализации ЦП и ввода-вывода для использования операционной системой. Система включает технологии безопасности Windows на основе виртуализации и Device Guard.

  • Двоичная таблица платформы Windows (WPBT): WPBT позволяет поставщикам и изготовителям оборудования запускать .exe программу на уровне UEFI. Каждый раз, когда Windows загружается, он просматривает UEFI и запускает .exe. Используйте эту функцию для запуска программ, которые не входят в состав Windows Media.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может разрешить поставщикам и изготовителям оборудования запускать программы, использующие WPBT.
    • Включено: включает WPBT и разрешает .exe запуск программ на уровне UEFI.
    • Отключено: отключает WPBT и запрещает .exe запуск программ на уровне UEFI.

  • Одновременная многопоточность (SMT): также называется гиперпотоком. Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр.
    • Включено: включает SMT на уровне UEFI.
    • Отключено: отключает SMT на уровне UEFI.

Камеры

  • Камеры. Этот параметр управляет всеми аппаратными камерами, встроенными в устройство. Он не управляет подключенными периферийными устройствами, такими как USB-веб-камеры.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные камеры.
    • Включено: включены все встроенные камеры, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB-камеры, не затрагиваются.
    • Отключено: все встроенные камеры, непосредственно управляемые UEFI (BIOS), отключены. Периферийные устройства, например USB-камеры, не затрагиваются.

  • Передние камеры. Этот параметр управляет встроенными камерами видимого света переднего света, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные камеры видимого света с передней стороны.
    • Включено: включены все встроенные камеры видимого света, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB-камеры, не затрагиваются.
    • Отключено: все встроенные камеры видимого света, непосредственно управляемые UEFI (BIOS), отключены. Периферийные устройства, например USB-камеры, не затрагиваются.

  • Задние камеры. Этот параметр управляет встроенными камерами видимого света заднего вида, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные задние камеры.
    • Включено: включены все встроенные камеры видимого света, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB-камеры, не затрагиваются.
    • Отключено: все встроенные камеры видимого света, непосредственно управляемые UEFI (BIOS), отключены. Периферийные устройства, например USB-камеры, не затрагиваются.

  • Инфракрасные (IR) камеры. Этот параметр управляет встроенными инфракрасные камеры, управляемые UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включать встроенные инфракрасные камеры.
    • Включено: включены все встроенные инфракрасные камеры, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB-камеры, не затрагиваются.
    • Отключено: отключены все встроенные инфракрасные камеры, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB-камеры, не затрагиваются.

Микрофоны и динамики

Рекомендуется настроить параметры категории "Микрофоны и динамики"или " Микрофоны ". Если настроить все параметры, эти параметры могут вызвать конфликт. Дополнительные сведения см. в статье Общие сведения о профиле DFCI: Конфликты.

  • Микрофоны и динамики. Этот параметр управляет всеми микрофонами и динамиками, встроенными в устройство. Он не управляет подключенными периферийными устройствами, например USB-устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные микрофоны и динамики.
    • Включено: включены все встроенные микрофоны и динамики, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.
    • Отключено: отключены все встроенные микрофоны и динамики, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.

  • Микрофоны. Этот параметр управляет встроенными микрофонами, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные микрофоны.
    • Включено: включены все встроенные микрофоны, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.
    • Отключено: все встроенные микрофоны, непосредственно управляемые UEFI (BIOS), отключены. Периферийные устройства, например USB, не затрагиваются.

Радио

Рекомендуется настроить параметры категории "Радио" (Bluetooth, Wi-Fi, NFC и т. д.)илидетализированные параметры Bluetooth, Wi-Fi и т. д. Если настроить все параметры, эти параметры могут вызвать конфликт. Дополнительные сведения см. в статье Общие сведения о профиле DFCI: Конфликты.

  • Радиосвязи (Bluetooth, Wi-Fi, NFC и т. д.): этот параметр управляет всеми встроенными радиостанциями, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включать все встроенные радиомодулы.

    • Включено: включены все встроенные радиомодули, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.

    • Отключено: отключены все встроенные радиомодули, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.

      Если задано значение Отключено, устройству требуется проводное сетевое подключение. В противном случае устройство может быть неуправляемым.

  • Bluetooth: этот параметр управляет встроенными радиостанциями Bluetooth, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные радиомодулы Bluetooth.
    • Включено: включены все встроенные радиостанции Bluetooth, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.
    • Отключено: отключены все встроенные радиостанции Bluetooth, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.

  • WWAN: этот параметр управляет встроенными радиомодулями WWAN, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные радиостанции WWAN.
    • Включено: включены все встроенные радиостанции WWAN, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.
    • Отключено: отключены все встроенные радиостанции WWAN, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.

  • NFC: этот параметр управляет встроенными nfc-радиомодуелями, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные nfc-радиосвязи.
    • Включено: включены все встроенные NFC-радиоприемы, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.
    • Отключено: отключены все встроенные nfc-радиоприемы, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.

  • Wi-Fi: этот параметр управляет встроенными Wi-Fi радиоприемными устройствами, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные Wi-Fi радио.
    • Включено. Включены все встроенные Wi-Fi радиоприемные устройства, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.
    • Отключено: отключены все встроенные Wi-Fi радиоприемы, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.

Параметры загрузки

Предупреждение

Отключение всех параметров внешней загрузки или всех внешних портов значительно усложняет восстановление ОС. Чтобы восстановить устройство, которое больше не может загрузить Windows, может потребоваться физически открыть устройство и заменить аппаратное хранилище.

  • Загрузка с внешнего носителя (USB, SD): Доступны следующие параметры:

    • Не настроено — Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может разрешить загрузку с внешнего носителя.

    • Включено: UEFI (BIOS) позволяет загружаться с носителя, не являющегося жестким диском.

    • Отключено: UEFI (BIOS) предотвращает загрузку из хранилища, не являющегося жестким диском, что также отключает загрузку с сетевых адаптеров.

      Если установленоОтключено, не переключайте функцию загрузки с сетевых адаптеров на Включено. Это делает настройки "Загрузка с внешнего носителя" (USB, SD) или "Загрузка с сетевых адаптеров" не соответствующими требованиям.

  • Загрузка через сетевые адаптеры: Доступны следующие параметры:

    • Не настроено — Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может разрешить загрузку со встроенных сетевых адаптеров.
    • Включено: UEFI (BIOS) позволяет загружаться со встроенных сетевых интерфейсов.
    • Отключено: UEFI (BIOS) предотвращает загрузку встроенных сетевых интерфейсов.

Порты

Предупреждение

Отключение всех параметров внешней загрузки или всех внешних портов значительно усложняет восстановление ОС. Чтобы восстановить устройство, которое больше не может загрузить Windows, может потребоваться физически открыть устройство и заменить аппаратное хранилище.

  • ТИП USB A. Этот параметр управляет встроенными портами USB типа A, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включать встроенные usb-порты типа A.
    • Включено: включены все встроенные порты USB типа A, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.
    • Отключено: все встроенные порты USB типа A, непосредственно управляемые UEFI (BIOS), отключены. Периферийные устройства, например USB, не затрагиваются.

  • SD карта. Этот параметр управляет встроенными портами SD карта, управляемыми UEFI (BIOS). Он не управляет подключенными периферийными устройствами.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может включить встроенные порты SD карта.
    • Включено: включены все встроенные порты SD карта, непосредственно управляемые UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.
    • Отключено. Отключены все встроенные порты SD карта непосредственно под управлением UEFI (BIOS). Периферийные устройства, например USB, не затрагиваются.

Параметры пробуждения

  • Пробуждение по локальной сети. Пробуждение по локальной сети позволяет администратору сети удаленно разбудить устройство в спящем режиме с помощью локальной сети.

    Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может препятствовать пробуждению устройства по локальной сети.
    • Включено: UEFI (BIOS) позволяет пробуждение устройства по локальной сети.
    • Отключено: UEFI (BIOS) предотвращает пробуждение устройства по локальной сети.

  • Пробуждение при включении питания. Когда устройство подключено к источнику питания, этот параметр определяет, можно ли автоматически запускать соответствующие устройства из состояния гибернации или выключения. Доступны следующие параметры:

    • Не настроено: Intune не изменяет или не обновляет этот параметр. По умолчанию ОС может предотвратить пробуждение устройства при подключении к источнику питания.
    • Включено: UEFI (BIOS) позволяет просыпать устройство при подключении к источнику питания.
    • Отключено. UEFI (BIOS) предотвращает пробуждение устройства при его подключении к источнику питания.