在 Microsoft Intune 的 Windows 设备上使用 BIOS 配置文件

  • 项目

在 Intune中，可以使用 BIOS 配置和其他设置设备配置策略启用或禁用 BIOS 功能和设置。

使用 OEM 工具，可以创建用于配置 BIOS 功能的 BIOS 配置文件。 在设备上，安装读取配置的 OEM Win32 应用。 然后，在 BIOS 策略Intune添加 BIOS 配置文件，并将策略分配给设备。

配置文件通常包括保护设备和内置硬件的设置。

例如，你希望防止最终用户重置设备映像并退出Intune管理。 对于此任务，请创建禁用从 USB 启动的 BIOS 配置文件。 然后，将此文件添加到Intune策略并启用 BIOS 密码。 这些步骤可确保不会覆盖配置。

此功能适用于：

  • Windows 10 及更高版本
  • Dell 设备

本文包含有关配置文件和 Win32 应用的详细信息，并演示如何在 Intune 中创建 BIOS 配置和其他设置策略。

警告

BIOS 配置更改可能会影响设备功能和可操作性，包括启动或访问 Bitlocker 加密驱动器的能力。 此功能允许Intune管理员轻松更新其设备上的 BIOS 配置。 进行更改时，分阶段进行测试和部署，以尽量减少任何意外配置的影响。

先决条件

  • 若要配置此策略，请至少使用策略和配置文件管理员角色登录到 Intune 管理中心。 有关 Intune 中内置角色的详细信息，请转到使用 Microsoft Intune 进行基于角色的访问控制。

  • 此功能支持在 Intune 中注册 MDM 的组织拥有的设备。 不支持未在 Intune 中注册的个人设备和设备。

  • 确保设备未配置现有的 BIOS 密码。 此功能要求Intune具有 BIOS 密码。 如果Intune没有设备的 BIOS 密码，则无法更新 BIOS 配置。

步骤 1 - 创建配置文件并部署应用

本部分重点介绍如何使用 OEM 工具创建配置文件，并将 OEM Win32 应用部署到设备。

  1. 使用 OEM 工具创建配置文件。 在 文件中，添加并配置要配置的功能。 可以添加 OEM 支持的任何配置设置。

    • 对于 Dell，可以使用 Dell 命令 (打开 Dell 网站) 工具创建 BIOS 配置文件。

  2. 创建配置文件时，OEM 提供了一个协调 Win32 应用。 将 OEM Win32 应用部署到设备。 此应用：

    • 充当读取创建的配置文件的代理，并读取设备的 BIOS 密码。
    • 分配Intune BIOS 配置策略之前，必须在所有设备上安装。

    对于 Dell，可以下载 Dell 命令 (打开 Dell 网站) 应用。

    若要在设备上安装此应用，可以使用 Intune。 将应用添加到Intune，并使其成为所需的应用。 然后，将应用分配到在 “步骤 2 - 创建组”中创建的组或分配筛选器，或使用 本文) 中的分配筛选器 (。

    有关 Intune 中的 Win32 应用的详细信息，请转到在 Microsoft Intune 中添加、分配和监视 Win32 应用。

步骤 2 - 创建组或使用分配筛选器

建议将此策略集中在一组特定的设备上。 选项包括：

  • 选项 1 - 创建包含设备的组。 创建应用策略和 BIOS 配置策略时，会将策略分配给此组。
  • 选项 2 - 使用基于设备制造商的分配筛选器。 创建筛选器时，面向 OEM 设备。 分配应用和 BIOS 配置策略时，请添加此筛选器。

有关此类功能的详细信息，请参阅：

步骤 3 - 在 Intune 中创建 BIOS 配置策略

可在此策略中添加创建的配置文件。

  1. 登录到Microsoft Intune管理中心。

  2. 选择“ 设备>配置>”“创建新>策略”。

  3. 输入以下属性：

    • 平台：选择“Windows 10 及更高版本”。
    • 配置文件类型：选择 “模板>BIOS 配置和其他设置”。

  4. 选择“创建”。

  5. 在“基本信息”中，输入以下属性：

    • 名称：输入配置文件的描述性名称。 为策略命名，以便稍后可以轻松地识别它们。 例如，一个好的配置文件名称是 BIOS 配置密码。
    • 说明：输入配置文件的说明。 此设置是可选的，但建议进行。

    选择 下一步。

  6. 在“配置设置”中，配置以下设置：

    • 硬件：从支持的 OEM 列表中选择硬件 OEM 供应商。 目前，仅支持 Dell。

    • 禁用每个设备的 BIOS 密码保护：此设置管理保护设备上的 BIOS 配置的密码。 选项包括：

      • 否：Intune为每个设备生成唯一的设备密码。 若要访问和更新设备上的 BIOS 配置，用户必须输入此密码。
      • 是：没有密码保护 BIOS。 删除任何以前的密码。 最终用户可以访问 BIOS 并更改设备上的 BIOS 设置。

    • 配置文件：上传使用 OEM 工具生成的配置文件。

      对于 Dell，请 () .cctk 上传 Dell 客户端配置工具包文件。 文件大小限制为 2 MB。

    选择“下一步”。

  7. 在 “分配”中，选择你创建的新设备组。 此组接收你的个人资料。 有关分配配置文件的详细信息，请转到 分配用户和设备配置文件。

    选择“下一步”。

  8. 在 “查看 + 创建”中，查看设置，然后选择“ 创建”。 选择“创建”时，将保存所做的更改并分配配置文件。 该策略也会显示在配置文件列表中。

下次每个设备签入时，将应用策略。

使用内置报表监视策略

在Intune管理中心，创建策略后，可以监视其状态并查看任何错误。

  1. 在Intune管理中心，转到“设备>配置>策略”。
  2. 选择要监视的策略。 设备状态报告显示策略的状态，并显示用于故障排除的任何错误详细信息。

有关详细信息，请转到：

检索 BIOS 密码

Intune存储每个设备的 BIOS 密码。 可以使用 Microsoft Graph 获取 BIOS 密码。 若要测试 Graph API，可以使用 Microsoft Graph 资源管理器。

重要

请确保备份Intune之外的所有密码。

  • 如果设备从Intune管理中删除，则管理员仍可以使用 Microsoft Graph hardwarePasswordInfo API 读取 BIOS 密码。
  • 如果租户的Intune订阅结束，则无法读取或检索 BIOS 密码。 在这种情况下，唯一的选择是联系 OEM。

选项 1 - 一次读取一台设备的 BIOS 密码

此选项一次获取一台设备的 BIOS 密码。

  1. 创建具有“读取 Bios 密码”权限的自定义Intune RBAC 角色：

    1. 在Intune管理中心，选择“租户管理>角色”>“创建新角色”。
    2. 命名 角色，然后选择“ 下一步”。
    3. 在 “权限”中，展开“ 托管设备> ”“将 ”读取 Bios 密码 “设置为 ”是”。
    4. 选择“ 下一步>”“下一步>创建”。

  2. 使用此自定义 RBAC 角色登录到 Graph 工具，并使用 Microsoft Graph hardwarePasswordInfo API：

    • https://graph.microsoft.com/beta/deviceManagement/hardwarePasswordInfo('<deviceID>')

选项 2 - 读取所有设备的 BIOS 密码

此选项获取所有设备的所有 BIOS 密码的列表。

  1. 需要Microsoft Entra ID中的Intune服务管理员角色或全局管理员角色。

  2. 使用以下角色之一登录到 Graph 工具，并使用 Microsoft Graph hardwarePasswordInfo API：

    • https://graph.microsoft.com/beta/deviceManagement/hardwarePasswordInfo

有关 RBAC 角色的详细信息，请转到基于角色的访问控制 (包含Microsoft Intune的 RBAC) 。

删除 BIOS 配置密码

如果计划停止管理设备的 BIOS 或从租户中永久删除设备，则必须删除 BIOS 密码。

若要删除 BIOS 密码，请在Intune BIOS 配置策略中，将“禁用每个设备的 BIOS 密码保护”设置为“是”。 然后，分配策略。 当设备使用 Intune 签入时，策略会应用。 在设备上，还可以手动将设备与Intune同步以应用策略。

应用策略后，重启设备。

从Intune取消注册设备不会删除 BIOS 密码。 如果在禁用密码之前取消注册设备，则需要在设备上手动更新密码。

BIOS 配置与 DFCI

Intune有两个功能可以管理 Windows 设备上的 BIOS 设置：BIOS 配置和其他设置，以及设备固件配置接口 (DFCI) 。

下表对这些选项进行比较。

功能 BIOS 配置和其他设置 DFCI
支持的 OEM Dell

将来可能会更多		 Surface、宏基、华硕、Dynabook、Fujitsu、Panasonic

有关详细信息，请转到 Microsoft DFCI 方案。
支持的配置 OEM 工具中提供的任何配置 一组用于控制安全功能、某些硬件功能、启动选项、端口等的设置
如何应用设置 分配策略时，Intune传递配置文件。 设备上的 OEM 代理应用配置。 使用与 OS 隔离的 DFCI 层通过 UEFI CSP
阻止对 BIOS 菜单的访问 是，通过 BIOS 密码 是，通过证书
Windows Autopilot 期间的配置 在“注册状态”页 (ESP) 设置中，选择 OEM Win32 应用。 Intune在 DFCI mgmt 中自动注册设备。
报告 报告是否应用了配置文件。 配置的每个设置的精细报表。
Intune 策略类型 设备>配置>模板>BIOS 配置和其他设置 设备>配置>模板>设备固件配置接口

有关 DFCI 的详细信息，请转到：