簡介
透過內建裝置韌體設定介面 (DFCI) 設定檔Microsoft Intune，Surface UEFI 管理將現代管理堆疊擴展至統一擴充韌體介面 (UEFI) 硬體層級。 DFCI 支援零觸控配置，取消 BIOS 密碼，控制安全設定，包括開機選項與內建周邊設備，並為未來進階安全場景奠定基礎。 本頁列出所有符合資格的 Autopilot 部署 Surface 裝置的 DFCI 政策設定 。
DFCI 設計用於軟體層級行動裝置管理 (MDM) ，讓 IT 管理員能遠端停用特定硬體元件，並阻止終端使用者存取。 例如，如果你需要在高度安全區域保護敏感資訊，可以關閉攝影機;如果你不希望使用者從 USB 隨身碟開機，也可以關閉攝影機。
提示
部分 DFCI 政策設定的支援因裝置而異。 請參考本頁的 DFCI 政策設定參考，並依照 Intune 指示設定並部署至您的裝置。
必要條件
- Windows 11 或 Windows 10 版本 1809 或更新版本
- 裝置必須註冊於 Windows Autopilot。 欲了解更多，請參閱 Windows Autopilot 的 Surface 註冊支援。
注意
手動或自行註冊的 Autopilot 裝置，例如從 CSV 檔案匯入的裝置，不允許使用 DFCI。 DFCI 管理設計上要求透過 Microsoft CSP 合作夥伴或 Surface 註冊，外部證明該裝置的商業採購。
DFCI Surface裝置政策設定參考
符合資格的裝置
除非另有說明，列出的裝置僅為商業SKU。
| 裝置類型 | 型號 |
|---|---|
| Surface Pro | Pro 12th Edition (Snapdragon) |
| Intel) Pro for Business 第12版 ( | |
| Pro for Business 12 吋第一版 | |
| Pro for Business 第十一版 (Intel) | |
| 搭載 5G 11 版 (Snapdragon) | |
| Pro 11 版 (Snapdragon) | |
| Pro 10 搭配 5G 商務版 | |
| Pro 10 | |
| Pro 9 搭配 5G (SQ3) | |
| Pro 9 (Intel) | |
| Pro 8 | |
| Pro 7+ | |
| Pro 7 (所有 SKU) | |
| Pro X (所有 SKU) | |
| Surface 膝上型電腦 | 筆記型電腦第八版 (Snapdragon) |
| Intel) 商務筆電第八版 ( | |
| Intel) 13 吋第一版 Laptop for Business ( | |
| 商務筆電 13 吋第一版 (Snapdragon) | |
| Intel) 商業用筆電 7 版 ( | |
| Intel) 商務筆電第七版 ( | |
| 筆記型電腦第七版 (Snapdragon) | |
| 筆記型電腦6 | |
| 筆電5 | |
| 筆電4 | |
| 筆電 3 (Intel 處理器) | |
| Laptop Studio (所有世代) | |
| 筆電 Go | |
| 筆電Go 2 | |
| 筆電 Go 3 | |
| 筆電 SE | |
| Surface Hub | 第三集 |
| Other | 第三卷 |
| Go 3 | |
| Go 4 | |
| Studio 2+ |
注意
Surface Pro X 不支援內建相機、音訊和 Wi-Fi/藍牙的 DFCI 設定管理。 有些較新的設定只支援最新裝置。
表 1. DFCI 政策設定參考：Autopilot 部署的 Surface 裝置
| DFCI 設定 | 描述 | 支援的版本 |
|---|---|---|
| UEFI 存取 | ||
| 允許本地使用者更改 UEFI (BIOS) 設定 | 這個設定讓你能管理終端使用者是否能修改符合資格的裝置上的 UEFI 設定。 - 如果你選擇「僅未設定設定」，本地使用者 (也稱為終端使用者) 可以更改任何 UEFI 設定，除了你透過 Intune 明確啟用或停用的設定外。 - 若選擇 「無」，本地使用者不得更改 UEFI 設定，包括 DFCI 設定檔未顯示的設定。 |
所有符合資格的裝置 |
| 安全性設定 | ||
| 同時多執行緒 | 此設定讓您能管理符合資格的裝置是否啟用同時多線程 (SMT) 支援。 SMT 支援 Intel 超執行緒技術，為每個實體核心提供兩個邏輯處理器。 - 如果你啟用此設定，則 UEFI 層的 SMT 會被開啟。 - 如果你停用此設定，UEFI 層中的 SMT 會被關閉。 - 如果你沒有設定這個設定，SMT 會被啟用。 |
所有符合資格的裝置 |
| 相機 | ||
| 相機 | 此設定讓你能管理內建攝影機是否能在符合資格的裝置上運作。 - 啟用此設定後，所有內建攝影機皆可啟用。 像USB攝影機這類周邊設備則不受影響。 - 如果你關閉此設定，所有內建攝影機都會被關閉。 像USB攝影機這類周邊設備則不受影響。 - 如果你沒有設定這個設定，所有內建攝影機都會被啟用。 |
- 不支援 Surface Pro X。 - 支援 Surface Pro 9 搭配 5G 及所有其他符合資格的裝置。 |
| 前方攝影機 | 此設定可讓你管理前置攝影機是否能在符合資格的裝置上運作。 - 啟用此設定後，前置攝影機即可開啟。 像USB攝影機這類周邊設備則不受影響。 - 如果你關閉這個設定，前置攝影機就會被關閉。 像USB攝影機這類周邊設備則不受影響。 - 如果你沒設定這個設定，前置攝影機會被啟用。 |
- 不支援 Surface Pro X。 - 支援 Surface Pro 9 搭配 5G 及所有其他符合資格的裝置。 |
| 後方攝影機 | 此設定可讓你管理後置攝影機是否能在符合資格的裝置上運作。 - 啟用此設定後方攝影機即可。 像USB攝影機這類周邊設備則不受影響。 - 如果你關閉這個設定，後方攝影機就會被關閉。 像USB攝影機這類周邊設備則不受影響。 - 如果你沒設定這個設定，後方攝影機是被允許的。 |
- 不支援 Surface Pro X。 - 支援 Surface Pro 9 搭配 5G 及所有其他符合資格的裝置。 |
| 紅外線 (IR) 相機 | 此設定可讓你管理紅外線攝影機是否能在符合資格的裝置上運作。 - 啟用此設定後，紅外線攝影機即可啟用。 像USB攝影機這類周邊設備則不受影響。 - 如果你關閉這個設定，紅外線攝影機就會被關閉。 像USB攝影機這類周邊設備則不受影響。 - 如果你不設定這個設定，紅外線攝影機是被允許的。 |
- 不支援 Surface Pro X。 - 支援 Surface Pro 9 搭配 5G 及所有其他符合資格的裝置。 |
| 麥克風與喇叭 | ||
| 麥克風與喇叭 | 此設定可讓你管理車載音訊是否能在符合資格的裝置上正常運作。 - 啟用此設定後，所有內建麥克風與喇叭皆被允許使用。 周邊設備，比如 USB 裝置，則不會受到影響。 - 若關閉此設定，所有內建麥克風與喇叭皆將被禁用。 周邊設備，比如 USB 裝置，則不會受到影響。 - 如果你沒有設定這個設定，麥克風和喇叭會被啟用。 |
- 不支援 Surface Pro X。 - 支援 Surface Pro 9 搭配 5G 及所有其他符合資格的裝置。 |
| 麥克風 | 此設定可讓你管理內建麥克風是否能在符合條件的裝置上運作。 - 啟用此設定後，所有內建麥克風皆啟用。 周邊設備，比如 USB 裝置，則不會受到影響。 - 如果你關閉此設定，所有內建麥克風都會被停用。 周邊設備，比如 USB 裝置，則不會受到影響。 - 如果你沒設定這個設定，麥克風會被啟用。 |
- 不支援 Surface Pro X。 - 支援 Surface Pro 9 搭配 5G 及所有其他符合資格的裝置。 |
| 無線通訊 | ||
| 無線電 (藍牙、Wi-Fi、NFC 等支援 ) | 此設定讓您能管理內建藍牙、Wi-Fi 或 5G 無線功能是否能在符合資格的裝置上運作。 - 啟用此設定後，所有內建無線電皆可使用。 周邊設備，比如 USB 裝置，則不會受到影響。 - 如果你關閉此設定，所有內建無線電都會被停用。 周邊設備，比如 USB 裝置，則不會受到影響。 - 如果你沒有設定這個設定，所有內建無線電都會被啟用。 小提示： 請設定類別設定 ：無線電 (藍牙、Wi-Fi、NFC 等 ) 或細緻的藍牙 、Wi-Fi。 如果你設定了所有設定，這些設定可能會造成衝突。 欲了解更多資訊，請參閱 DFCI個人檔案概覽：衝突。 注意：停用設定應該只用於有線乙太網路連接的裝置。 |
- 不支援 Surface Pro X。 - 支援所有其他符合資格的裝置。 |
| 藍牙 | 此設定可讓你管理內建藍牙是否能在符合條件的裝置上正常運作。 - 如果你啟用這個設定，藍牙就會被啟用。 - 如果你關閉這個設定，藍牙就會被關閉。 - 如果你沒設定這個設定，藍牙會被啟用。 |
- 不支援 Surface Pro X。 - 支援 Surface Pro 9 搭配 5G 及所有其他符合資格的裝置。 |
| WWAN | 此設定可讓你管理內建的 WWAN (5G 無線) 是否能在符合資格的裝置上運作 - 如果你啟用此設定，WWAN 就會啟用。 - 如果你停用此設定，WWAN 也會被停用。 - 如果你沒設定這個設定，WWAN 會被啟用。 |
- 不支援 Surface Pro X。 - 支援 Surface Pro 9 搭配 5G 及所有其他符合資格的裝置。 |
| Wi-Fi | 這個設定讓你能管理內建 Wi-Fi 是否能在符合資格的裝置上運作 - 如果你啟用這個設定，Wi-Fi 就是啟用的。 - 如果你關閉這個設定，Wi-Fi 就會被停用。 - 如果你沒有設定這個設定，Wi-Fi 已經啟用了。 |
- 不支援 Surface Pro X。 - 支援 Surface Pro 9 搭配 5G 及所有其他符合資格的裝置。 |
| [開機選項] | ||
| 從 USB、SD 卡、) (外接媒體開機 | 此設定可讓你管理符合資格的裝置是否能從外部媒體開機。 - 若啟用此設定，終端使用者可從 USB 隨身碟或其他非硬碟儲存技術啟動裝置。 - 若關閉此設定，終端使用者無法從 USB 隨身碟或其他非硬碟儲存技術啟動裝置。 - 若未設定此設定，終端使用者可從 USB 隨身碟或其他非硬碟儲存技術開機。 |
所有符合資格的裝置 |
| 連接埠 | ||
| USB type A | 這個設定可以讓你管理裝置如何使用 USB-A 連接。 - 啟用此設定後，符合資格的裝置即可使用USB-A資料連接。 - 若關閉此設定，USB-A 資料連線將無法在符合資格的裝置上正常運作。 - 如果你不設定此設定，USB-A 資料連線可在所有裝置上正常運作。 注意： 如果你同時停用 外接媒體開機 和 USB 類型 A，且裝置因任何原因無法開機，那麼除非更換 SSD，否則無法恢復裝置。 你無法從外部媒體開機，也無法從網路執行 PXE 開機或 DFCI 刷新。 |
僅支援於 2022 年 6 月 1 日之後發行的 Surface Laptop Go 2 及以後的 (裝置) 。 |
| 喚醒設定 | ||
| 區域網路喚醒 | 此設定允許你管理符合資格的裝置是否能從現代待機或休眠模式遠端啟動。 - 啟用此設定後，合格裝置可遠端喚醒區域網路。 - 如果你停用此設定，符合資格的裝置將無法設定遠端喚醒局域網。 - 如果你沒有設定這個設定，符合資格的裝置可以設定為遠端喚醒 LAN。 |
僅支援於 2022 年 6 月 1 日之後發行的 Surface Laptop Go 2 及 () 之後的裝置。 |
| 喚醒電力 | 這個設定讓你能管理符合資格的裝置在連接電源時，是否能自動從休眠或關機狀態啟動。 - 若啟用此設定，合格的 Surface 裝置可設定在接電時自動啟動。 - 若關閉此設定，符合資格的 Surface 裝置無法設定在連接電源時自動啟動。 - 如果你沒有設定這個設定，符合資格的 Surface 裝置無法在重新接電時自動啟動。 |
僅支援於 2022 年 6 月 1 日之後發行的 Surface Laptop Go 2 及 () 之後的裝置。 |
注意
Intune 中的 DFCI 包含目前不適用於 Surface 裝置的設定：CPU 與 IO 虛擬化、從網路介面卡停用開機、Windows 平台二進位表 (WPBT) 、NFC 和 SD 卡。
入門
請在 intune.microsoft.com 時登入您的租戶。
在 Microsoft Intune 管理中心，選擇裝置>設定檔 建立>設定檔。
在平台選項中，選擇 Windows 10 及以後版本。
在設定檔類型中，選擇 範本裝置>韌體設定介面 ，然後選擇 建立。
完整說明請參閱 Microsoft Intune 中 Windows 裝置的 DFCI 設定檔，包括：
- 建立你的 Microsoft Entra 安全群組
- 建立個人檔案
- 指派設定檔並重開機
- 更新現有的DFCI設定
- 可重複使用、退休或回收裝置
防止使用者更改 UEFI 設定
對許多客戶來說，阻擋用戶更改 UEFI 設定的能力至關重要，也是使用 DFCI 的主要原因之一。 如上表 1 所示，此功能透過 「允許本地使用者更改 UEFI 設定」來管理。 如果你沒有編輯或設定這個設定，本地使用者可以更改任何 Intune 未管理的 UEFI 設定。 因此，強烈建議將 「允許本地使用者更改 UEFI 設定 」設為 「無」。
驗證 DFCI 管理裝置上的 UEFI 設定
在測試環境中，你可以在 Surface UEFI 介面中驗證設定。
Open Surface UEFI：
- 按住 Surface 上的 音量提升鍵 ，同時按下並放開 電源 鍵。
- 看到 Surface 標誌時，放開音量提升按鈕。 UEFI 選單會在幾秒內顯示。
選擇 裝置。 UEFI 選單會反映已設定的設定，如下圖所示。
注意
- 設定顯示為灰色 (非啟用) 因為 「允許本地使用者更改 UEFI 設定 」設為 「無」。
- 機載音訊被設定為關閉，因為 麥克風與喇叭 政策被設定為 停用。
移除 DFCI 政策設定
當你建立 DFCI 設定檔時，所有已設定的設定都會在該設定檔管理範圍內的所有裝置上持續生效。 你只能透過直接編輯 DFCI 設定檔來移除 DFCI 政策設定。 如果原本的 DFCI 設定檔已被刪除，請建立新的設定檔並編輯相應的設定。
移除DFCI管理
要移除 DFCI 管理並將裝置恢復到出廠新狀態：
- 從 Intune 退休裝置：
- 在 intune.microsoft.com Microsoft Intune中，選擇「裝置>」「全部裝置」。
- 選擇你想退休的裝置，然後選擇 退休/清除。 欲了解更多，請參閱 「透過清除、退休或手動取消註冊移除裝置」。
- 刪除 Intune 上的自動駕駛註冊：
- 選擇 裝置 > 註冊 > Windows 自動駕駛 > 裝置。
- 在 Windows 自動駕駛裝置中，選擇你想刪除的裝置，然後選擇 刪除。
- 用 Surface 品牌的乙太網路轉接器將裝置連接到有線網路。 重新啟動裝置，打開 UEFI 選單 (長按音量提升鍵，同時按下再放開電源鍵) 。
- 選擇 管理 > 設定 > 從網路重新整理。
若要用 Intune 管理裝置但不管理 DFCI，請自行註冊到 Autopilot 並註冊 Intune。 DFCI 不會適用於自註冊的裝置。