简介
借助内置于 Microsoft Intune 中的设备固件配置接口 (DFCI) 配置文件，Surface UEFI 管理将现代管理堆栈向下扩展到统一可扩展固件接口 (UEFI) 硬件级别。 DFCI 支持零接触预配，消除 BIOS 密码，提供对安全设置（包括启动选项和内置外围设备）的控制，并为未来的高级安全方案奠定基础。 此页列出了符合条件的 Autopilot 部署的 Surface 设备上 的所有 DFCI 策略设置 。
DFCI 旨在与软件级移动设备管理 (MDM) 一起使用，使 IT 管理员能够远程禁用特定的硬件组件并阻止最终用户访问它们。 例如，如果你需要保护高度安全区域中的敏感信息，可以禁用摄像头，如果你不希望用户从 U 盘启动，也可以禁用它。
提示
对某些 DFCI 策略设置的支持因设备而异。 查看此页上的 DFCI 策略设置参考，并按照 Intune 说明配置设置并将其部署到设备。
必备条件
- Windows 11 或 Windows 10 版本 1809 或更高版本
- 设备必须注册 Windows Autopilot。 若要了解详细信息，请参阅 Windows Autopilot 的 Surface 注册支持。
注意
不允许手动或自行注册 Autopilot 的设备（例如从 CSV 文件导入的设备）使用 DFCI。 根据设计，DFCI 管理需要通过 Microsoft CSP 合作伙伴或 Surface 注册对设备的商业收购进行外部证明。
适用于 Surface 设备的 DFCI 策略设置参考
符合条件的设备
除非另有说明，否则列出的设备仅为 商业 SKU。
| 设备类型 | 楷模 |
|---|---|
| Surface Pro | 专业商业版 12 英寸 第 2 版 |
| 专业版第 12 版 (Snapdragon) | |
| Intel) (专业商业版第 12 版 | |
| 专业商业版 12 英寸，第 1 版 | |
| 专业商业版第 11 版 (Intel) | |
| 搭载 5G 的 Pro 第 11 版 (Snapdragon) | |
| 专业版第 11 版 (Snapdragon) | |
| Pro 10 with 5G for Business | |
| Pro 10 | |
| Pro 9（5G (SQ3) ） | |
| Pro 9 (Intel) | |
| Pro 8 | |
| Pro 7+ | |
| Pro 7 (所有 SKU) | |
| Pro X (所有 SKU) | |
| Surface Laptop | 商务笔记本电脑 13 英寸第 2 版 (Snapdragon) |
| 笔记本电脑第 8 版 (Snapdragon) | |
| Laptop for Business 第 8 版 (Intel) | |
| 商务笔记本电脑 13 英寸第 1 版 (Intel) | |
| 商务笔记本电脑 13 英寸第 1 版 (Snapdragon) | |
| 适用于企业的笔记本电脑 5G 第 7 版 (Intel) | |
| Laptop for Business 第 7 版 (Intel) | |
| 笔记本电脑第 7 版 (Snapdragon) | |
| 笔记本电脑 6 | |
| 笔记本电脑 5 | |
| 笔记本电脑 4 | |
| Laptop 3 (Intel) | |
| 笔记本电脑工作室 (所有世代) | |
| Laptop Go | |
| Laptop Go 2 | |
| Laptop Go 3 | |
| Laptop SE | |
| Surface Hub | 中心 3 |
| 其他 | Book 3 |
| Go 3 | |
| Go 4 | |
| Studio 2+ |
注意
Surface Pro X 不支持内置摄像头、音频和 Wi-Fi/蓝牙的 DFCI 设置管理。 某些较新的设置仅在最新设备上受支持。
表 1. DFCI 策略设置参考：Autopilot 部署的 Surface 设备
| DFCI 设置 | 描述 | 支持的版本 |
|---|---|---|
| UEFI 访问 | ||
| 允许本地用户更改 UEFI (BIOS) 设置 | 通过此设置，你可以管理最终用户是否可以修改符合条件的设备上的 UEFI 设置。 - 如果选择“仅未配置设置”，则本地用户 (也称为最终用户) 可以更改任何 UEFI 设置，但通过 Intune 显式启用或禁用的任何设置除外。 - 如果选择“ 无”，本地用户不得更改 UEFI 设置，包括未显示在 DFCI 配置文件中的设置。 |
所有符合条件的设备 |
| 安全设置 | ||
| 并发多线程 | 通过此设置，你管理是否在符合条件的设备上启用并发多线程 (SMT) 支持。 SMT 支持 Intel 超线程技术，该技术为每个物理核心提供两个逻辑处理器。 - 如果启用此设置，将在 UEFI 层中启用 SMT。 - 如果禁用此设置，则 UEFI 层中的 SMT 将关闭。 - 如果未配置此设置，则启用 SMT。 |
所有符合条件的设备 |
| 相机 | ||
| 相机 | 通过此设置，你可以管理内置摄像头是否可以在符合条件的设备上正常工作。 - 如果启用此设置，则允许所有内置摄像头。 外围设备（如 USB 摄像头）不受影响。 - 如果禁用此设置，则所有内置摄像头都将被禁用。 外围设备（如 USB 摄像头）不受影响。 - 如果未配置此设置，则将启用所有内置摄像头。 |
- Surface Pro X 上不支持。 - 在支持 5G 的 Surface Pro 9 和所有其他符合条件的设备上受支持。 |
| 前置摄像头 | 通过此设置，你可以管理前置摄像头是否可以在符合条件的设备上正常工作。 - 如果启用此设置，则允许前置摄像头。 外围设备（如 USB 摄像头）不受影响。 - 如果禁用此设置，则前置摄像头将被禁用。 外围设备（如 USB 摄像头）不受影响。 - 如果未配置此设置，则前置摄像头将被启用。 |
- Surface Pro X 上不支持。 - 在支持 5G 的 Surface Pro 9 和所有其他符合条件的设备上受支持。 |
| 后置摄像头 | 此设置允许你管理后置摄像头是否可以在符合条件的设备上正常工作。 - 如果启用此设置，则允许后置摄像头。 外围设备（如 USB 摄像头）不受影响。 - 如果禁用此设置，后置摄像头将被禁用。 外围设备（如 USB 摄像头）不受影响。 - 如果未配置此设置，则允许后置摄像头。 |
- Surface Pro X 上不支持。 - 在支持 5G 的 Surface Pro 9 和所有其他符合条件的设备上受支持。 |
| 红外 (IR) 相机 | 通过此设置，你可以管理红外相机是否可以在符合条件的设备上正常工作。 - 如果启用此设置，则允许使用红外相机。 外围设备（如 USB 摄像头）不受影响。 - 如果禁用此设置，则红外相机将被禁用。 外围设备（如 USB 摄像头）不受影响。 - 如果未配置此设置，则允许使用红外相机。 |
- Surface Pro X 上不支持。 - 在支持 5G 的 Surface Pro 9 和所有其他符合条件的设备上受支持。 |
| 麦克风和扬声器 | ||
| 麦克风和扬声器 | 此设置可以让你管理板载音频是否可以在符合条件的设备上运行。 - 如果启用此设置，则允许所有内置麦克风和扬声器。 USB 设备等外围设备不受影响。 - 如果禁用此设置，则所有内置麦克风和扬声器都将被禁用。 USB 设备等外围设备不受影响。 - 如果未配置此设置，则启用麦克风和扬声器。 |
- Surface Pro X 上不支持。 - 在支持 5G 的 Surface Pro 9 和所有其他符合条件的设备上受支持。 |
| 麦克风 | 通过此设置，你可以管理内置麦克风是否可以在符合条件的设备上正常工作。 - 如果启用此设置，则启用所有内置麦克风。 USB 设备等外围设备不受影响。 - 如果禁用此设置，则所有内置麦克风都将被禁用。 USB 设备等外围设备不受影响。 - 如果未配置此设置，则启用麦克风。 |
- Surface Pro X 上不支持。 - 在支持 5G 的 Surface Pro 9 和所有其他符合条件的设备上受支持。 |
| 无线电收发器 | ||
| 无线电 (蓝牙、Wi-Fi、NFC 等 ) | 通过此设置，你可以管理内置蓝牙、Wi-Fi 或 5G 无线是否可以在符合条件的设备上运行。 - 如果启用此设置，则允许所有内置无线电。 USB 设备等外围设备不受影响。 - 如果禁用此设置，则所有内置无线电都将被禁用。 USB 设备等外围设备不受影响。 - 如果未配置此设置，则将启用所有内置无线电。 提示： 配置类别设置 无线电 (蓝牙、Wi-Fi、NFC 等 ) 或精细设置蓝牙 、Wi-Fi。 如果配置所有设置，这些设置可能会导致冲突。 有关详细信息，请转到 DFCI 配置文件概述：冲突。 警告： 禁用 设置只能 在具有有线以太网连接的设备上使用。 |
- Surface Pro X 上不支持。 - 在所有其他符合条件的设备上受支持。 |
| 蓝牙 | 通过此设置，你可以管理内置蓝牙是否可以在符合条件的设备上正常工作。 - 如果启用此设置，则启用蓝牙。 - 如果禁用此设置，则禁用蓝牙。 - 如果未配置此设置，则蓝牙将处于启用状态。 |
- Surface Pro X 上不支持。 - 在支持 5G 的 Surface Pro 9 和所有其他符合条件的设备上受支持。 |
| WWAN | 通过此设置，你可以管理内置 WWAN (5G 无线) 是否可以在符合条件的设备上正常工作 - 如果启用此设置，则将启用 WWAN。 - 如果禁用此设置，则将禁用 WWAN。 - 如果未配置此设置，则将启用 WWAN。 |
- Surface Pro X 上不支持。 - 在支持 5G 的 Surface Pro 9 和所有其他符合条件的设备上受支持。 |
| Wi-Fi | 通过此设置，你可以管理内置 Wi-Fi 是否可以在符合条件的设备上运行 - 如果启用此设置，则启用 Wi-Fi。 - 如果禁用此设置，Wi-Fi 将被禁用。 - 如果未配置此设置，则启用 Wi-Fi。 |
- Surface Pro X 上不支持。 - 在支持 5G 的 Surface Pro 9 和所有其他符合条件的设备上受支持。 |
| “启动选项” | ||
| 从外部媒体启动 (USB、SD) | 通过此设置，你可以管理是否可以从外部媒体启动符合条件的设备。 - 如果启用此设置，最终用户可以从 U 盘或其他非硬盘驱动器存储技术启动设备。 - 如果禁用此设置，最终用户将无法从 U 盘或其他非硬盘驱动器存储技术启动设备。 - 如果未配置此设置，最终用户可以从 U 盘或其他非硬盘驱动器存储技术启动设备。 |
所有符合条件的设备 |
| 端口 | ||
| USB 类型 A | 此设置允许你管理设备如何利用 USB-A 连接。 - 如果启用此设置，USB-A 数据连接可以在符合条件的设备上正常工作。 - 如果禁用此设置，USB-A 数据连接将无法在符合条件的设备上正常工作。 - 如果未配置此设置，USB-A 数据连接可以在所有设备上正常运行。 警告： 如果同时禁用了 “从外部媒体启动” 和 USB 类型 A，并且设备由于任何原因变得无法启动，则在不更换 SSD 的情况下，将无法恢复设备。 你将无法从外部媒体启动，也无法从网络执行 PXE 启动或 DFCI 刷新。 |
仅在 2022 年 6 月 1 日之后发布的 Surface Laptop Go 2 及更高版本 (设备上受支持) 。 |
| 唤醒设置 | ||
| LAN 唤醒 | 通过此设置，你可以管理符合条件的设备是否可以从新式待机或休眠状态远程启动。 - 如果启用此设置，则可以将符合条件的设备配置为远程 LAN 唤醒。 - 如果禁用此设置，则无法将符合条件的设备配置为在 LAN 上远程唤醒。 - 如果未配置此设置，则可以将符合条件的设备配置为在 LAN 上远程唤醒。 |
仅在 2022 年 6 月 1 日之后发布的 Surface Laptop Go 2 及更高版本 (设备上受支持) 。 |
| 电源唤醒 | 通过此设置，可以管理符合条件的设备在接通电源时是否可以从休眠或关机状态自动启动。 - 如果启用此设置，符合条件的 Surface 设备可以配置为在接通电源时自动启动。 - 如果禁用此设置，则无法将符合条件的 Surface 设备配置为在接通电源时自动启动。 - 如果未配置此设置，则无法将符合条件的 Surface 设备配置为在重新接通电源时自动启动。 |
仅在 2022 年 6 月 1 日之后发布的 Surface Laptop Go 2 及更高版本 (设备上受支持) 。 |
注意
Intune 中的 DFCI 包括当前不适用于 Surface 设备的设置：CPU 和 IO 虚拟化、禁用从网络适配器启动、Windows 平台二进制表 (WPBT) 、NFC 和 SD 卡。
入门
在 intune.microsoft.com 登录到租户。
在 Microsoft Intune 管理中心中，选择设备>配置文件 > 创建配置文件。
在“平台”下，选择“Windows 10 及更高版本]。
在“配置文件类型”下，选择“ 模板”、“>设备固件配置接口 ”，然后选择 “创建”。
有关完整说明，请参阅在 Microsoft Intune 中的 Windows 设备上使用 DFCI 配置文件，包括：
- 创建 Microsoft Entra 安全组
- 创建配置文件
- 分配配置文件并重启
- 更新现有 DFCI 设置
- 重用、停用或恢复设备
阻止用户更改 UEFI 设置
对于许多客户来说，阻止用户更改 UEFI 设置的能力至关重要，也是使用 DFCI 的主要原因。 如上表 1 所示，此功能通过设置 允许本地用户更改 UEFI 设置进行管理。 如果未编辑或配置此设置，本地用户可以更改任何不受 Intune 管理的 UEFI 设置。 因此，强烈建议将 “允许本地用户更改 UEFI 设置” 设置为“ 无”。
验证 DFCI 托管设备上的 UEFI 设置
在测试环境中，可以验证 Surface UEFI 界面中的设置。
打开 Surface UEFI：
- 长按 Surface 上的 调高音量按钮 ，同时按下再松开 电源 按钮。
- 当看到 Surface 徽标时，松开调高音量按钮。 UEFI 菜单将在几秒钟内显示。
选择 设备。 UEFI 菜单将反映配置的设置，如下图所示。
注意
- 这些设置在非活动 () 灰显，因为“ 允许本地用户更改 UEFI”设置 设置为“ 无”。
- 由于麦克风和扬声器策略设置为禁用，因此板载音频设置为关闭。
删除 DFCI 策略设置
创建 DFCI 配置文件时，所有配置的设置都将在配置文件管理范围内的所有设备上保持有效。 只能通过直接编辑 DFCI 配置文件来删除 DFCI 策略设置。 如果已删除原始 DFCI 配置文件，请创建新配置文件并编辑相应的设置。
删除 DFCI 管理
若要删除 DFCI 管理并将设备恢复为出厂状态：
- 从 Intune 停用设备：
- 在“Microsoft Intune at intune.microsoft.com”中，选择“设备”>“所有设备”。
- 选择要停用的设备，然后选择停用 /擦除。 若要了解详细信息，请参阅 通过使用擦除、停用或手动取消注册设备来删除设备。
- 从 Intune 中删除 Autopilot 注册：
- 选择 设备 > 注册 > Windows Autopilot > 设备。
- 在“Windows Autopilot 设备”下，选择要删除的设备，然后选择 “删除”。
- 使用 Surface 品牌的以太网适配器将设备连接到有线 Internet。 重启设备并打开 UEFI 菜单， (按住音量增大按钮，同时按下并松开电源按钮) 。
- 选择“管理”“配置>>”从网络刷新“。
若要使用 Intune 管理设备，但不使用 DFCI 管理，请自行将其注册到 Autopilot 并在 Intune 中注册。 DFCI 不会应用于自注册设备。