簡介
Surface UEFI 管理利用 Microsoft Intune 內建的裝置韌體設定介面 (DFCI) 設定檔，將新式管理堆疊向下延伸至整合可延伸韌體介面 (UEFI) 硬體層級。 DFCI 支援零觸控佈建、消除 BIOS 密碼、提供安全性設定控制，包括開機選項和內建周邊設備，並為未來的進階安全性案例奠定基礎。 此頁面列出合格的 Autopilot 部署的 Surface 裝置上 的所有 DFCI 原則設定 。
DFCI 設計用於搭配軟體層級行動裝置管理 (MDM) ，可讓 IT 系統管理員從遠端停用特定硬體元件，並防止使用者存取它們。 例如，如果您需要保護高度安全區域中的敏感性資訊，可以停用相機，如果您不希望使用者從 USB 磁碟機開機，也可以停用該功能。
提示
對某些 DFCI 原則設定的支援會依裝置而異。 請檢閱此頁面上的 DFCI 原則設定參考，並遵循 Intune 指示來設定並部署到您的裝置。
必要條件
- Windows 11 或 Windows 10 版本 1809 或更新版本
- 裝置必須向 Windows Autopilot 註冊。 若要深入了解，請參閱 Windows Autopilot 的 Surface 註冊支援。
注意
手動或自我註冊 Autopilot 的裝置，例如從 CSV 檔案匯入的裝置，不允許使用 DFCI。 設計上，DFCI 管理需要透過 Microsoft CSP 合作夥伴或 Surface 註冊，對裝置的商業購買進行外部證明。
適用於 Surface 裝置的 DFCI 原則設定參考
適用裝置
除非另有說明，否則所列裝置 僅限商業 SKU。
| 裝置類型 | 模型 |
|---|---|
| Surface Pro | 商務用專業版 12 吋 第 2 版 |
| Pro 第 12 版 (Snapdragon) | |
| 第 12 版商務專業版 (Intel) | |
| 商務專業版 12 吋 第 1 版 | |
| 第 11 版商務專業版 (Intel) | |
| Pro with 5G 第 11 版 (Snapdragon) | |
| Pro 第 11 版 (Snapdragon) | |
| Pro 10 搭配商務用 5G | |
| Pro 10 | |
| Pro 9 具有 5G (SQ3) | |
| Pro 9 (Intel) | |
| Pro 8 | |
| 專業版 7+ | |
| Pro 7 (所有 SKU) | |
| Pro X (所有 SKU) | |
| Surface 膝上型電腦 | 商務用膝上型電腦 13 吋第 2 版 (Snapdragon) |
| 膝上型電腦第 8 版 (Snapdragon) | |
| 商務用膝上型電腦 第 8 版 (Intel) | |
| 商務用膝上型電腦 13 吋第 1 版 (Intel) | |
| 商務用膝上型電腦 13 吋第 1 版 (Snapdragon) | |
| 商務用膝上型電腦 5G 第 7 版 (Intel) | |
| 商務用膝上型電腦 第 7 版 (Intel) | |
| 膝上型電腦第 7 版 (Snapdragon) | |
| 膝上型電腦 6 | |
| 膝上型電腦 5 | |
| 膝上型電腦 4 | |
| (Intel) 的膝上型電腦 3 | |
| Laptop Studio (所有世代) | |
| Laptop Go | |
| Laptop Go 2 | |
| Laptop Go 3 | |
| Laptop SE | |
| Surface Hub | 中樞 3 |
| Other | 第 3 冊 |
| Go 3 | |
| Go 4 | |
| Studio 2+ |
注意
Surface Pro X 不支援內建相機、音訊和 Wi-Fi/藍牙的 DFCI 設定管理。 只有最新裝置才支援某些較新的設定。
表 1. DFCI 原則設定參考： Autopilot 部署的 Surface 裝置
| DFCI 設定 | 描述 | 支援的版本 |
|---|---|---|
| UEFI 存取 | ||
| 允許本機使用者變更 UEFI (BIOS) 設定 | 此設定可讓您管理使用者是否可以在合格裝置上修改 UEFI 設定。 - 如果您選取 [僅未設定的設定]，本機使用者 (也稱為終端使用者，) 可能會變更任何 UEFI 設定，但您透過 Intune 明確啟用或停用的任何設定除外。 - 如果您選取 [無]，本機使用者可能無法變更 UEFI 設定，包括 DFCI 設定檔中未顯示的設定。 |
所有符合資格的裝置 |
| 安全性設定 | ||
| 同時多執行緒 | 此設定可讓您管理是否在合格的裝置上啟用同步多執行緒 (SMT) 支援。 SMT 支援 Intel 超執行緒技術，可為每個實體核心提供兩個邏輯處理器。 - 如果您啟用此設定，則會在 UEFI 層中開啟 SMT。 - 如果您停用此設定，則會關閉 UEFI 層中的 SMT。 - 如果未設定此設定，則會啟用 SMT。 |
所有符合資格的裝置 |
| 相機 | ||
| 相機 | 此設定可讓您管理內建相機是否可以在合格裝置上運作。 - 如果啟用此設定，則會允許所有內建相機。 周邊設備，例如 USB 相機則不受影響。 - 若停用此設定，則會停用所有內建相機。 周邊設備，例如 USB 相機則不受影響。 - 如果未設定此設定，則會啟用所有內建相機。 |
- 在 Surface Pro X 上不支援。 - 支援具有 5G 的 Surface Pro 9 和所有其他符合條件的裝置。 |
| 前方攝影機 | 此設定可讓您管理前置攝影機是否可以在合格裝置上運作。 - 如果啟用此設定，則允許前置攝影機。 周邊設備，例如 USB 相機則不受影響。 - 如果停用此設定，則會停用前置相機。 周邊設備，例如 USB 相機則不受影響。 - 如果您未設定此設定，則會啟用前置攝影機。 |
- 在 Surface Pro X 上不支援。 - 支援具有 5G 的 Surface Pro 9 和所有其他符合條件的裝置。 |
| 後方攝影機 | 此設定可讓您管理後置相機是否可以在合格裝置上運作。 - 若啟用此設定，則允許後置相機。 周邊設備，例如 USB 相機則不受影響。 - 若停用此設定，後方相機會停用。 周邊設備，例如 USB 相機則不受影響。 - 如果您未設定此設定，則允許後置相機。 |
- 在 Surface Pro X 上不支援。 - 支援具有 5G 的 Surface Pro 9 和所有其他符合條件的裝置。 |
| 紅外線 (IR) 相機 | 此設定可讓您管理紅外線相機是否可以在合格裝置上運作。 - 如果您啟用此設定，則會允許紅外線相機。 周邊設備，例如 USB 相機則不受影響。 - 如果您停用此設定，則會停用紅外線相機。 周邊設備，例如 USB 相機則不受影響。 - 如果您未設定此設定，則會允許紅外線相機。 |
- 在 Surface Pro X 上不支援。 - 支援具有 5G 的 Surface Pro 9 和所有其他符合條件的裝置。 |
| 麥克風和喇叭 | ||
| 麥克風和喇叭 | 此設定可讓您管理內建音訊是否可以在合格裝置上運作。 - 如果啟用此設定，則會允許所有內建麥克風和喇叭。 周邊設備，例如 USB 裝置則不受影響。 - 如果您停用此設定，則會停用所有內建麥克風和喇叭。 周邊設備，例如 USB 裝置則不受影響。 - 如果您未設定此設定，則會啟用麥克風和喇叭。 |
- 在 Surface Pro X 上不支援。 - 支援具有 5G 的 Surface Pro 9 和所有其他符合條件的裝置。 |
| 麥克風 | 此設定可讓您管理內建麥克風是否可以在合格裝置上運作。 - 如果啟用此設定，則會啟用所有內建麥克風。 周邊設備，例如 USB 裝置則不受影響。 - 如果您停用此設定，則會停用所有內建麥克風。 周邊設備，例如 USB 裝置則不受影響。 - 如果您未設定此設定，則會啟用麥克風。 |
- 在 Surface Pro X 上不支援。 - 支援具有 5G 的 Surface Pro 9 和所有其他符合條件的裝置。 |
| 無線通訊 | ||
| 無線電 (藍牙、Wi-Fi、NFC 等 ) | 此設定可讓您管理內建藍牙、Wi-Fi 或 5G 無線是否可以在合格裝置上運作。 - 如果啟用此設定，則會允許所有內建無線電。 周邊設備，例如 USB 裝置則不受影響。 - 如果您停用此設定，則會停用所有內建無線電。 周邊設備，例如 USB 裝置則不受影響。 - 如果未設定此設定，則會啟用所有內建無線電。 提示： 設定類別設定無線 通訊 (藍牙、Wi-Fi、NFC 等 ) 或精細設定藍牙 、Wi-Fi。 如果您設定所有設定，這些設定可能會導致衝突。 如需詳細資訊，請移至 DFCI 設定檔概觀：衝突。 警告： [ 停用 ] 設定僅適用于具有有線乙太網路連線的裝置。 |
- 在 Surface Pro X 上不支援。 - 支援所有其他符合條件的裝置。 |
| 藍牙 | 此設定可讓您管理內建藍牙是否可以在合格裝置上運作。 - 如果啟用此設定，則會啟用藍牙。 - 如果您停用此設定，藍牙就會停用。 - 如果您未設定此設定，藍牙會啟用。 |
- 在 Surface Pro X 上不支援。 - 支援具有 5G 的 Surface Pro 9 和所有其他符合條件的裝置。 |
| WWAN | 此設定可讓您管理內建的 WWAN (5G 無線) 是否可以在合格裝置上運作 - 如果您啟用此設定，則會啟用 WWAN。 - 如果您停用此設定，則會停用 WWAN。 - 如果您未設定此設定，則會啟用 WWAN。 |
- 在 Surface Pro X 上不支援。 - 支援具有 5G 的 Surface Pro 9 和所有其他符合條件的裝置。 |
| Wi-Fi | 此設定可讓您管理內建 Wi-Fi 是否可以在合格裝置上運作 - 如果您啟用此設定，則會啟用 Wi-Fi。 - 如果停用此設定，則會停用 Wi-Fi。 - 如果未設定此設定，則會啟用 Wi-Fi。 |
- 在 Surface Pro X 上不支援。 - 支援具有 5G 的 Surface Pro 9 和所有其他符合條件的裝置。 |
| [開機選項] | ||
| 從外部媒體開機 (USB、SD) | 此設定可讓您管理合格裝置是否可以從外部媒體開機。 - 如果您啟用此設定，使用者可以從 USB 快閃磁碟機或其他非硬碟儲存技術開機裝置。 - 如果您停用此設定，使用者無法從 USB 快閃磁碟機或其他非硬碟儲存技術啟動裝置。 - 如果未設定此設定，使用者可以從 USB 快閃磁碟機或其他非硬碟儲存技術開機裝置。 |
所有符合資格的裝置 |
| 連接埠 | ||
| USB 類型 A | 此設定可讓您管理裝置如何使用 USB-A 連線。 - 如果您啟用此設定，USB-A 資料連線可以在合格裝置上運作。 - 如果您停用這項設定，USB-A 資料連線無法在符合資格的裝置上運作。 - 如果您未設定此設定，USB-A 資料連線可以在所有裝置上運作。 警告： 如果您同時停用 從外部媒體 和 USB 類型 A 開機，且裝置因任何原因而變得無法開機，則除非更換 SSD，否則將無法復原裝置。 您將無法從外部媒體開機，也無法從網路執行 PXE 開機或 DFCI 重新整理。 |
僅支援 Surface Laptop Go 2 和更新版本 (2022 年 6 月 1 日之後發佈的裝置) 。 |
| 喚醒設定 | ||
| 網路喚醒 | 此設定可讓您管理合格的裝置是否可以從新式待命或休眠狀態遠端啟動。 - 如果您啟用此設定，合格的裝置可以設定為遠端網路喚醒。 - 如果您停用此設定，合格的裝置就無法設定為遠端在 LAN 上喚醒。 - 如果您未設定此設定，合格的裝置可以設定為遠端在 LAN 上喚醒。 |
僅支援 Surface Laptop Go 2 和更新版本 (2022 年 6 月 1 日之後發佈的裝置) 。 |
| 電源喚醒 | 此設定可讓您管理合格的裝置在連接到電源時是否可以從休眠或關閉電源狀態自動啟動。 - 如果您啟用此設定，合格的 Surface 裝置可以設定為在連接到電源時自動啟動。 - 如果您停用此設定，合格的 Surface 裝置無法設定為在連接到電源時自動啟動。 - 如果未設定此設定，則無法將合格的 Surface 裝置設定為在重新連接電源時自動啟動。 |
僅支援 Surface Laptop Go 2 和更新版本 (2022 年 6 月 1 日之後發佈的裝置) 。 |
注意
Intune 中的 DFCI 包含目前不適用於 Surface 裝置的設定： CPU 和 IO 虛擬化、停用從網路介面卡開機、Windows 平台二進位資料表 (WPBT) 、NFC 和 SD 記憶卡。
入門
在 intune.microsoft.com 登入您的租用戶。
在 Microsoft Intune 系統管理中心，選取 [裝置組態設定檔] > [>建立設定檔]。
在 [平台] 底下，選取 [Windows 10 及更新版本]。
在 [設定檔類型] 底下，選取 [範本裝置>韌體設定介面 ]，然後選取 [建立]。
如需完整指示，請參閱在 Microsoft Intune 的 Windows 裝置上使用 DFCI 設定檔，包括：
- 建立您的 Microsoft Entra 安全性群組
- 建立設定檔
- 指派設定檔並重新啟動
- 更新現有的 DFCI 設定
- 重複使用、淘汰或復原裝置
防止使用者變更 UEFI 設定
對許多客戶來說，封鎖使用者變更 UEFI 設定的功能非常重要，也是使用 DFCI 的主要原因。 如上表 1 所列，此功能是透過 設定 [允許本機使用者變更 UEFI 設定] 來管理。 如果未編輯或設定此設定，則本機使用者可以變更任何未由 Intune 管理的 UEFI 設定。 因此，強烈建議您將 [允許本機使用者變更 UEFI 設定] 設定為 [無]。
在 DFCI 受管理的裝置上驗證 UEFI 設定
在測試環境中，您可以驗證 Surface UEFI 介面中的設定。
開啟 Surface UEFI：
- 按住 Surface 的提高音量按鈕 不放，然後同時按下再放開 電源 按鈕。
- 當您看到 Surface 標誌時，放開提高音量按鈕。 UEFI 功能表將在幾秒鐘內顯示。
選取 裝置。 UEFI 功能表會反映已設定的設定，如下圖所示。
注意
- 這些設定會在非使用中) 呈現灰色 (因為 [允許本機使用者變更 UEFI] 設定 為 [無]。
- 內建音訊設為關閉，因為 [麥克風和喇叭] 原則已設為 [停用]。
移除 DFCI 原則設定
當您建立 DFCI 設定檔時，所有已設定的設定都會在設定檔管理範圍內的所有裝置上保持有效。 您只能直接編輯 DFCI 設定檔來移除 DFCI 原則設定。 如果原始的 DFCI 設定檔已刪除，請建立新的設定檔並編輯適當的設定。
移除 DFCI 管理
若要移除 DFCI 管理並將裝置還原為出廠新狀態：
- 從 Intune 淘汰裝置：
- 在 [intune.microsoft.com 的 Microsoft Intune] 中，選擇 [裝置>] [所有裝置]。
- 選取您要淘汰的裝置，然後選擇 [淘汰/抹除]。 若要深入了解，請參閱 使用抹除、淘汰或手動取消註冊裝置來移除裝置。
- 從 Intune 刪除 Autopilot 註冊：
- 依序選擇 [裝置 > 註冊] [ > Windows Autopilot > 裝置]。
- 在 [Windows Autopilot 裝置] 底下，選擇您要刪除的裝置，然後選擇 [刪除]。
- 使用 Surface 品牌乙太網路介面卡將裝置連線至有線網際網路。 重新啟動裝置並開啟 UEFI 功能表， (按住提高音量按鈕，同時按下再放開電源按鈕) 。
- 選取 [管理 > ] [設定 > 從網路重新整理]。
若要使用 Intune 管理裝置，但不使用 DFCI 管理，請將它自行註冊到 Autopilot，然後在 Intune 中註冊。 DFCI 不會套用至自我登錄的裝置。