Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Введение
Благодаря профилям интерфейса конфигурации встроенного ПО устройства (DFCI), встроенным в Microsoft Intune, управление UEFI Surface расширяет современный стек управления вплоть до аппаратного уровня UEFI (Unified Extensible Firmware Interface, UEFI). DFCI поддерживает автоматическую подготовку, избавляет от паролей BIOS, обеспечивает управление настройками безопасности, включая параметры загрузки и встроенные периферийные устройства, и закладывает основу для расширенных сценариев безопасности в будущем. На этой странице перечислены все параметры политики DFCI на подходящих устройствах Surface, развернутых с помощью Autopilot.
Разработанный для использования с программным управлением мобильными устройствами (MDM), DFCI позволяет ИТ-администраторам удаленно отключать определенные аппаратные компоненты и предотвращать доступ конечных пользователей к ним. Например, если вам необходимо защитить конфиденциальную информацию в областях с высоким уровнем безопасности, вы можете отключить камеру, а если вы не хотите, чтобы пользователи загружались с USB-накопителей, вы также можете отключить ее.
Совет
Поддержка некоторых параметров политики DFCI зависит от устройства. Просмотрите справочник по параметрам политики DFCI на этой странице и следуйте инструкциям Intune для настройки и развертывания параметров на своих устройствах.
Предварительные условия
- Windows 11 или Windows 10 версии 1809 или более поздней
- Устройства должны быть зарегистрированы в Windows Autopilot. Дополнительные сведения см. в разделе Поддержка регистрации Surface для Windows Autopilot.
Примечание.
Устройства, зарегистрированные вручную или самостоятельно для Autopilot, например импортированные из CSV-файла, не могут использовать DFCI. По умолчанию для управления DFCI требуется внешняя аттестация коммерческого приобретения устройства через партнера Microsoft CSP или регистрацию Surface.
Справочник по параметрам политики DFCI для устройств Surface
Подходящие устройства
Если не указано иное, перечисленные устройства являются только коммерческими SKU.
| Тип устройства | Модели |
|---|---|
| Surface Pro | Pro для бизнеса, 12 дюймов, 2-е издание |
| Pro 12th Edition (на базе Snapdragon) | |
| Pro для бизнеса, 12-й выпуск (Intel) | |
| Pro для бизнеса, 12 дюймов, 1-е издание | |
| Pro для бизнеса 11-й выпуск (Intel) | |
| Pro с 5G 11-го выпуска (Snapdragon) | |
| Pro 11th Edition (на базе Snapdragon) | |
| Pro 10 с 5G для бизнеса | |
| Pro 10 | |
| Pro 9 с 5G (SQ3) | |
| Pro 9 (Intel) | |
| Pro 8 | |
| Pro 7+ | |
| Pro 7 (все номера SKU) | |
| Pro X (все SKU) | |
| Surface Laptop | Ноутбук для бизнеса, 13 дюймов, 2-й выпуск (на базе Snapdragon) |
| Ноутбук 8th Edition (на базе Snapdragon) | |
| Ноутбук для бизнеса 8-го выпуска (Intel) | |
| Ноутбук для бизнеса 13 дюймов, 1-е издание (Intel) | |
| Ноутбук для бизнеса, 13 дюймов, 1-й выпуск (на базе Snapdragon) | |
| Ноутбук 5G для бизнеса, 7-е издание (Intel) | |
| Ноутбук для бизнеса, 7-й выпуск (Intel) | |
| Ноутбук 7th Edition (на базе Snapdragon) | |
| Ноутбук 6 | |
| Ноутбук 5 | |
| Ноутбук 4 | |
| Ноутбук 3 (Intel) | |
| Laptop Studio (всех поколений) | |
| Laptop Go | |
| Laptop Go 2 | |
| Laptop Go 3 | |
| Ноутбук SE | |
| Surface Hub | Концентратор 3 |
| Другое | Книга 3 |
| Go 3 | |
| Go 4 | |
| Студия 2+ |
Примечание.
Surface Pro X не поддерживает управление настройками DFCI для встроенной камеры, звука и Wi-Fi/Bluetooth. Некоторые новые параметры поддерживаются только на последних версиях устройств.
Таблица 1: Справочник по параметрам политики DFCI: устройства Surface, развернутые с помощью Autopilot
| Параметр DFCI | Описание | Где поддерживается |
|---|---|---|
| Доступ к UEFI | ||
| Разрешить локальному пользователю изменять параметры UEFI (BIOS) | Этот параметр позволяет указать, могут ли конечные пользователи изменять параметры UEFI на подходящих устройствах. - Если выбрать "Только ненастроенные параметры", локальные пользователи (также называемые конечными пользователями) могут изменять любые параметры UEFI, за исключением тех, которые вы явно включили или отключили через Intune. - Если выбрать "Нет", локальные пользователи не смогут изменять параметры UEFI, в том числе параметры, не отображаемые в профиле DFCI. |
Все подходящие устройства |
| Параметры безопасности | ||
| Одновременная многопоточность | Этот параметр позволяет управлять тем, включена ли поддержка одновременной многопоточности (SMT) на подходящих устройствах. SMT поддерживает технологию Intel hyperthreading, которая предоставляет два логических процессора для каждого физического ядра. - Если вы включите этот параметр, SMT будет включен в слое UEFI. - Если вы отключите этот параметр, SMT будет отключен в слое UEFI. - Если вы не настроите эту настройку, SMT включен. |
Все подходящие устройства |
| Камеры | ||
| Камеры | Этот параметр позволяет указать, может ли встроенная камера работать на подходящих устройствах. - Если вы включите эту настройку, все встроенные камеры будут разрешены. Периферийные устройства, такие как USB-камеры, не затрагиваются. - Если вы отключите эту настройку, все встроенные камеры будут отключены. Периферийные устройства, такие как USB-камеры, не затрагиваются. - Если вы не настроите эту настройку, все встроенные камеры будут включены. |
- Не поддерживается на Surface Pro X. - Поддерживается на Surface Pro 9 с 5G и всех других подходящих устройствах. |
| Передняя камера | Этот параметр позволяет управлять возможностью работы передней камеры на подходящих устройствах. — Если вы включите эту настройку, фронтальная камера будет разрешена. Периферийные устройства, такие как USB-камеры, не затрагиваются. - Если вы отключите эту настройку, фронтальная камера отключится. Периферийные устройства, такие как USB-камеры, не затрагиваются. - Если вы не настроите эту настройку, фронтальная камера включена. |
- Не поддерживается на Surface Pro X. - Поддерживается на Surface Pro 9 с 5G и всех других подходящих устройствах. |
| Задняя камера | Этот параметр позволяет указать, может ли задняя камера работать на соответствующих устройствах. — Если вы включите эту настройку, задняя камера будет разрешена. Периферийные устройства, такие как USB-камеры, не затрагиваются. — Если вы отключите эту настройку, задняя камера отключится. Периферийные устройства, такие как USB-камеры, не затрагиваются. — Если вы не настроите этот параметр, задняя камера будет разрешена. |
- Не поддерживается на Surface Pro X. - Поддерживается на Surface Pro 9 с 5G и всех других подходящих устройствах. |
| инфракрасная камера; | Этот параметр позволяет указать, может ли инфракрасная камера работать на соответствующих устройствах. - Если вы включите этот параметр, инфракрасная камера будет разрешена. Периферийные устройства, такие как USB-камеры, не затрагиваются. - Если вы отключите этот параметр, инфракрасная камера отключится. Периферийные устройства, такие как USB-камеры, не затрагиваются. - Если вы не настроите этот параметр, инфракрасная камера будет разрешена. |
- Не поддерживается на Surface Pro X. - Поддерживается на Surface Pro 9 с 5G и всех других подходящих устройствах. |
| Микрофоны и динамики | ||
| Микрофоны и динамики | Этот параметр позволяет управлять тем, может ли встроенный аудиозвук работать на соответствующих устройствах. — Если вы включите этот параметр, все встроенные микрофоны и динамики будут разрешены. Периферийные устройства, например USB-устройства, не затрагиваются. — Если вы отключите этот параметр, все встроенные микрофоны и динамики будут отключены. Периферийные устройства, например USB-устройства, не затрагиваются. - Если вы не настроите этот параметр, микрофоны и динамики будут включены. |
- Не поддерживается на Surface Pro X. - Поддерживается на Surface Pro 9 с 5G и всех других подходящих устройствах. |
| Микрофоны | Этот параметр позволяет управлять возможностью работы встроенного микрофона на соответствующих устройствах. — Если вы включите эту настройку, все встроенные микрофоны будут включены. Периферийные устройства, например USB-устройства, не затрагиваются. — Если вы отключите этот параметр, все встроенные микрофоны будут отключены. Периферийные устройства, например USB-устройства, не затрагиваются. — Если вы не настроите этот параметр, микрофоны будут включены. |
- Не поддерживается на Surface Pro X. - Поддерживается на Surface Pro 9 с 5G и всех других подходящих устройствах. |
| Радиомодули | ||
| Радиомодули (Bluetooth, Wi-Fi, NFC и т. д.) | Этот параметр позволяет управлять возможностью работы встроенных устройств Bluetooth, Wi-Fi или беспроводной сети 5G на соответствующих устройствах. — Если вы включите этот параметр, все встроенные радиомодули будут разрешены. Периферийные устройства, например USB-устройства, не затрагиваются. - Если вы отключите этот параметр, все встроенные радиомодули будут отключены. Периферийные устройства, например USB-устройства, не затрагиваются. - Если вы не настроите этот параметр, все встроенные радиомодули будут включены. СОВЕТ: Настройте параметр категории Радиомодули (Bluetooth, Wi-Fi, NFC и т. д.) или детализированные параметры Bluetooth, Wi-Fi. Если настроить все параметры, эти параметры могут привести к конфликту. Дополнительные сведения см . в обзоре профиля DFCI: Конфликты. ВНИМАНИЕ!Параметр "Отключить " должен использоваться только на устройствах с проводным подключением Ethernet. |
- Не поддерживается на Surface Pro X. — Поддерживается на всех других подходящих устройствах. |
| Bluetooth | Этот параметр позволяет управлять возможностью работы встроенного Bluetooth на подходящих устройствах. — Если вы включите эту настройку, Bluetooth будет включен. — Если вы отключите этот параметр, Bluetooth будет отключен. - Если вы не настроите этот параметр, Bluetooth будет включен. |
- Не поддерживается на Surface Pro X. - Поддерживается на Surface Pro 9 с 5G и всех других подходящих устройствах. |
| Глобальная сеть | Этот параметр позволяет указать, может ли встроенная глобальная сеть WWAN (беспроводная сеть 5G) работать на соответствующих устройствах - Если вы включите этот параметр, WWAN включена. — Если вы отключите этот параметр, WWAN будет отключена. - Если вы не настроите этот параметр, WWAN включена. |
- Не поддерживается на Surface Pro X. - Поддерживается на Surface Pro 9 с 5G и всех других подходящих устройствах. |
| Wi-Fi | Этот параметр позволяет управлять возможностью работы встроенных Wi-Fi на соответствующих устройствах – Если вы включите этот параметр, Wi-Fi будет включен. — Если вы отключите этот параметр, Wi-Fi отключится. - Если вы не настроите этот параметр, Wi-Fi включен. |
- Не поддерживается на Surface Pro X. - Поддерживается на Surface Pro 9 с 5G и всех других подходящих устройствах. |
| «Параметры загрузки» | ||
| Загрузка с внешнего носителя (USB, SD) | Этот параметр позволяет указать, могут ли подходящие устройства загружаться с внешнего носителя. - Если вы включите этот параметр, конечные пользователи смогут загружать устройство с USB-носителей флэш-памяти или других технологий, не являющихся жесткими дисками. – Если отключить этот параметр, конечные пользователи не смогут загрузить устройство с USB-накопителей или других технологий, не являющихся жесткими дисками. - Если вы не настроите этот параметр, конечные пользователи смогут загружать устройство с USB-накопителей или других технологий, не связанных с жесткими дисками. |
Все подходящие устройства |
| Порты | ||
| USB тип A | Этот параметр позволяет управлять тем, как устройства могут использовать подключения USB-A. - Если вы включите этот параметр, соединения для передачи данных USB-A смогут работать на подходящих устройствах. - Если отключить этот параметр, подключения к данным USB-A не смогут работать на соответствующих устройствах. – Если не настроить этот параметр, подключения к данным USB-A смогут работать на всех устройствах. ВНИМАНИЕ! Если вы отключите загрузку с внешнего носителя и USB типа A (и устройство по какой-либо причине станет незагружаемым), вы не сможете восстановить устройство без замены SSD. Вы не сможете выполнить загрузку с внешнего носителя и выполнить загрузку PXE или обновление DFCI из сети. |
Поддерживается только на Surface Laptop Go 2 и более поздних версиях (устройства, выпущенные после 1 июня 2022 г.). |
| Параметры пробуждения | ||
| Пробуждение по локальной сети | Этот параметр позволяет управлять возможностью удаленного запуска подходящих устройств из Modern Standby или Hibernate. - Если вы включите этот параметр, соответствующие устройства могут быть настроены на удаленное пробуждение по локальной сети. - Если отключить этот параметр, соответствующие устройства нельзя будет настроить для удаленного пробуждения по локальной сети. - Если вы не настроите эту настройку, подходящие устройства могут быть настроены на удаленное пробуждение по локальной сети. |
Поддерживается только на Surface Laptop Go 2 и более поздних версиях (устройства, выпущенные после 1 июня 2022 г.). |
| Пробуждение при включении питания | Этот параметр позволяет указать, могут ли соответствующие устройства автоматически запускаться из режима гибернации или выключения при подключении к питанию. - Если включить этот параметр, соответствующие требованиям устройства Surface можно настроить на автоматический запуск при подключении к питанию. — Если отключить этот параметр, соответствующий требованиям планшет Surface нельзя будет настроить на автоматический запуск при подключении к питанию. — Если не настроить этот параметр, соответствующий требованиям планшет Surface нельзя будет настроить на автоматический запуск при повторном подключении к питанию. |
Поддерживается только на Surface Laptop Go 2 и более поздних версиях (устройства, выпущенные после 1 июня 2022 г.). |
Примечание.
DFCI в Intune содержит параметры, которые в настоящее время не применяются к устройствам Surface: виртуализация ЦП и ввода-вывода, отключение загрузки с сетевых адаптеров, двоичная таблица платформы Windows (WPBT), NFC и SD-карта.
Get started
Войдите в свой клиент на странице intune.microsoft.com.
В Центре администрирования Microsoft Intune выберите Профили > конфигурации устройств > Создать профиль.
В разделе "Платформа" выберите Windows 10 и более поздние версии.
В разделе "Тип профиля" выберите "Шаблоны>"Интерфейс конфигурации встроенного ПО устройства, а затем выберите Создать.
Полные инструкции см. в разделе "Использование профилей DFCI на устройствах с Windows в Microsoft Intune", включая:
- Создание групп безопасности Microsoft Entra
- Создание профилей
- Назначение профилей и перезагрузка
- Обновление существующих параметров DFCI
- Повторное использование, утилизация и восстановление устройства
Запрет изменения параметров UEFI пользователями
Для многих пользователей возможность блокировать изменение параметров UEFI пользователями является критически важной и основной причиной использования DFCI. Как указано выше в таблице 1, управление этой функцией осуществляется с помощью параметра "Разрешить локальному пользователю изменять параметры UEFI". Если вы не измените или не настроите этот параметр, локальный пользователь может изменить любой параметр UEFI, не управляемый Intune. Поэтому настоятельно рекомендуется установить для параметра "Разрешить локальному пользователю изменять параметры UEFI " значение "Нет".
Проверка параметров UEFI на устройствах, управляемых DFCI
В тестовой среде параметры можно проверить в интерфейсе UEFI Surface.
Открытие UEFI Surface:
- Нажмите и удерживайте кнопку увеличения громкости на устройстве Surface и одновременно нажмите и отпустите кнопку питания .
- Когда появится логотип Surface, отпустите кнопку увеличения громкости. Меню UEFI будет отображаться в течение нескольких секунд.
Выберите устройства. Меню UEFI будет отражать настроенные параметры, как показано на следующем рисунке.
Примечание.
- Параметры неактивны (неактивны), так как параметр "Разрешить локальному пользователю изменять параметр UEFI " имеет значение "Нет".
- Встроенный аудио отключен, так как политика микрофонов и динамиковотключена.
Удаление параметров политики DFCI
При создании профиля DFCI все настроенные параметры останутся активными на всех устройствах в областях управления профиля. Параметры политики DFCI можно удалить, только изменив профиль DFCI напрямую. Если исходный профиль DFCI был удален, создайте новый профиль и измените соответствующие параметры.
Удаление управления DFCI
Чтобы удалить управление DFCI и вернуть устройство в новое состояние:
- Удаление устройства из Intune:
- В Microsoft Intune на intune.microsoft.com выберите "Устройства>","Все устройства".
- Выберите устройство, которое требуется снять, а затем выберите "Снятие с учета/очистка". Дополнительные сведения см. в разделе "Удаление устройств путем очистки, снятия с учета или отмены регистрации устройства вручную".
- Удалите регистрацию автопилота из Intune:
- Выберите "Регистрация > устройств" > Устройства Windows Autopilot>.
- В разделе "Устройства Windows Autopilot" выберите устройства, которые требуется удалить, и нажмите кнопку "Удалить".
- Подключите устройство к проводному Интернету с помощью адаптера Ethernet производства Surface. Перезагрузите устройство и откройте меню UEFI (нажмите и удерживайте кнопку увеличения громкости, одновременно нажав и отпустив кнопку питания).
- Выберите "Управление" > "Настройка > обновления из сети".
Чтобы управлять устройством с помощью Intune, но без управления DFCI, самостоятельно зарегистрируйте его в Autopilot и зарегистрируйте в Intune. DFCI не будет применяться к самостоятельно регистрируемым устройствам.
Подробнее
- Управление DFCI | Документация Майкрософт
- Использование профилей DFCI на устройствах с Windows в Microsoft Intune
- Параметры DFCI для Windows 10/11 в Microsoft Intune
- Windows Autopilot
- Windows Autopilot и устройства Surface
- Ignite 2019: объявление об удаленном управлении параметрами UEFI Surface из Intune