Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Introduzione
Con i profili DFCI (Device Firmware Configuration Interface) incorporati in Microsoft Intune, la gestione UEFI di Surface estende lo stack di gestione moderno fino al livello hardware UEFI (Unified Extensible Firmware Interface). DFCI supporta il provisioning zero-touch, elimina le password del BIOS, fornisce il controllo delle impostazioni di sicurezza, comprese le opzioni di avvio e le periferiche integrate, e getta le basi per scenari di sicurezza avanzati in futuro. Questa pagina elenca tutte le impostazioni dei criteri DFCI nei dispositivi Surface idonei distribuiti da Autopilot.
Progettato per essere usato con la gestione di dispositivi mobili (MDM) a livello di software, DFCI consente agli amministratori IT di disabilitare in remoto componenti hardware specifici e impedire agli utenti finali di accedervi. Ad esempio, se è necessario proteggere le informazioni sensibili in aree altamente protette, è possibile disabilitare la fotocamera e se non si vuole che gli utenti eseguano l'avvio dalle unità USB, è possibile disabilitare anche questa opzione.
Suggerimento
Il supporto per alcune impostazioni dei criteri DFCI varia in base al dispositivo. Rivedere le informazioni di riferimento sulle impostazioni dei criteri DFCI in questa pagina e seguire le istruzioni di Intune per configurare e distribuire le impostazioni nei dispositivi.
Prerequisiti
- Windows 11 o Windows 10 versione 1809 o successiva
- I dispositivi devono essere registrati con Windows Autopilot. Per altre informazioni, vedi Supporto alla registrazione di Surface per Windows Autopilot.
Nota
I dispositivi registrati manualmente o registrati automaticamente per Autopilot, ad esempio importati da un file CSV, non possono usare DFCI. Per impostazione predefinita, la gestione di DFCI richiede un'attestazione esterna dell'acquisizione commerciale del dispositivo tramite un partner CSP Microsoft o la registrazione di Surface.
Informazioni di riferimento sulle impostazioni dei criteri DFCI per i dispositivi Surface
Dispositivi idonei
Se non diversamente specificato, i dispositivi elencati sono solo SKU commerciali.
| Tipo di dispositivo | Modelli |
|---|---|
| Surface Pro | Pro for Business 12" 2a edizione |
| Pro 12a edizione (Snapdragon) | |
| Pro per le aziende 12a edizione (Intel) | |
| Pro for Business 12" 1a edizione | |
| Pro per le aziende 11a edizione (Intel) | |
| Pro con 5G 11a edizione (Snapdragon) | |
| Pro 11a edizione (Snapdragon) | |
| Pro 10 con 5G per le aziende | |
| Pro 10 | |
| Pro 9 con 5G (SQ3) | |
| Pro 9 (Intel) | |
| Pro 8 | |
| Pro 7+ | |
| Pro 7 (tutte le SKU) | |
| Pro X (tutte le SKU) | |
| Surface Laptop | Computer portatile aziendale da 13 pollici 2a edizione (Snapdragon) |
| Computer portatile 8a edizione (Snapdragon) | |
| Laptop for Business 8a edizione (Intel) | |
| Computer portatile aziendale 13" 1ª edizione (Intel) | |
| Computer portatile aziendale 13 pollici 1st Edition (Snapdragon) | |
| Portatile 5G per le aziende 7a edizione (Intel) | |
| Laptop per le aziende 7a edizione (Intel) | |
| Computer portatile 7a edizione (Snapdragon) | |
| Computer portatile 6 | |
| Computer portatile 5 | |
| Computer portatile 4 | |
| Laptop 3 (Intel) | |
| Laptop Studio (tutte le generazioni) | |
| Laptop Go | |
| Laptop Go 2 | |
| Laptop Go 3 | |
| Laptop SE | |
| Surface Hub | Hub 3 |
| Other | Libro 3 |
| Vai 3 | |
| Andare 4 | |
| Studio 2+ |
Nota
Surface Pro X non supporta la gestione delle impostazioni DFCI per fotocamera, audio e Wi-Fi/Bluetooth integrati. Alcune impostazioni più recenti sono supportate solo nei dispositivi più recenti.
Tabella 1. Informazioni di riferimento sulle impostazioni dei criteri DFCI: Dispositivi Surface distribuiti con Autopilot
| Impostazione DFCI | Descrizione | Supportato in |
|---|---|---|
| Accesso UEFI | ||
| Consente all'utente locale di modificare le impostazioni UEFI (BIOS) | Questa impostazione consente di gestire se gli utenti finali possono modificare le impostazioni UEFI nei dispositivi idonei. - Se si selezionano solo impostazioni non configurate, gli utenti locali (noti anche come utenti finali) possono modificare qualsiasi impostazione UEFI ad eccezione delle impostazioni esplicitamente abilitate o disabilitate tramite Intune. - Se si seleziona Nessuno, gli utenti locali non possono modificare le impostazioni UEFI, incluse le impostazioni non visualizzate nel profilo DFCI. |
Tutti i dispositivi idonei |
| Impostazioni relative alla sicurezza | ||
| Multithreading simultaneo | Questa impostazione consente di gestire se il supporto SMT (Simultaneous Multithreading) è abilitato nei dispositivi idonei. SMT supporta la tecnologia Intel hyperthreading, che fornisce due processori logici per ogni core fisico. - Se si abilita questa impostazione, SMT è attivato nel livello UEFI. - Se si disabilita questa impostazione, SMT è disattivato nel livello UEFI. - Se non si configura questa impostazione, SMT è abilitato. |
Tutti i dispositivi idonei |
| Fotocamere | ||
| Fotocamere | Questa impostazione consente di gestire se la fotocamera predefinita può funzionare sui dispositivi idonei. - Se si abilita questa impostazione, tutte le fotocamere integrate sono consentite. Le periferiche, come le fotocamere USB, non sono interessate. - Se si disattiva questa impostazione, tutte le fotocamere integrate sono disabilitate. Le periferiche, come le fotocamere USB, non sono interessate. - Se non si configura questa impostazione, tutte le fotocamere integrate sono abilitate. |
- Non supportato su Surface Pro X. - Supportato su Surface Pro 9 con 5G e tutti gli altri dispositivi idonei. |
| Front Camera | Questa impostazione consente di gestire se la fotocamera anteriore può funzionare su dispositivi idonei. - Se si abilita questa impostazione, la fotocamera anteriore è consentita. Le periferiche, come le fotocamere USB, non sono interessate. - Se si disattiva questa impostazione, la fotocamera anteriore è disabilitata. Le periferiche, come le fotocamere USB, non sono interessate. - Se non si configura questa impostazione, la fotocamera anteriore è abilitata. |
- Non supportato su Surface Pro X. - Supportato su Surface Pro 9 con 5G e tutti gli altri dispositivi idonei. |
| Rear Camera | Questa impostazione ti consente di gestire se la fotocamera posteriore può funzionare su dispositivi idonei. - Se si abilita questa impostazione, la fotocamera posteriore è consentita. Le periferiche, come le fotocamere USB, non sono interessate. - Se si disattiva questa impostazione, la fotocamera posteriore è disabilitata. Le periferiche, come le fotocamere USB, non sono interessate. - Se non si configura questa impostazione, la fotocamera posteriore è consentita. |
- Non supportato su Surface Pro X. - Supportato su Surface Pro 9 con 5G e tutti gli altri dispositivi idonei. |
| Fotocamera a infrarossi | Questa impostazione consente di gestire se la fotocamera a infrarossi può funzionare su dispositivi idonei. - Se si abilita questa impostazione, la fotocamera a infrarossi è consentita. Le periferiche, come le fotocamere USB, non sono interessate. - Se si disattiva questa impostazione, la fotocamera a infrarossi è disabilitata. Le periferiche, come le fotocamere USB, non sono interessate. - Se non si configura questa impostazione, la fotocamera a infrarossi è consentita. |
- Non supportato su Surface Pro X. - Supportato su Surface Pro 9 con 5G e tutti gli altri dispositivi idonei. |
| Microfoni e altoparlanti | ||
| Microfoni e altoparlanti | Questa impostazione consente di gestire se l'audio integrato può funzionare sui dispositivi idonei. - Se si abilita questa impostazione, sono consentiti tutti i microfoni e gli altoparlanti integrati. Le periferiche, come i dispositivi USB, non sono interessate. - Se si disabilita questa impostazione, tutti i microfoni e gli altoparlanti incorporati sono disabilitati. Le periferiche, come i dispositivi USB, non sono interessate. - Se non si configura questa impostazione, i microfoni e gli altoparlanti sono abilitati. |
- Non supportato su Surface Pro X. - Supportato su Surface Pro 9 con 5G e tutti gli altri dispositivi idonei. |
| Microfoni | Questa impostazione consente di gestire se il microfono incorporato può funzionare su dispositivi idonei. - Se si abilita questa impostazione, tutti i microfoni incorporati sono abilitati. Le periferiche, come i dispositivi USB, non sono interessate. - Se si disattiva questa impostazione, tutti i microfoni incorporati sono disabilitati. Le periferiche, come i dispositivi USB, non sono interessate. - Se non si configura questa impostazione, i microfoni sono abilitati. |
- Non supportato su Surface Pro X. - Supportato su Surface Pro 9 con 5G e tutti gli altri dispositivi idonei. |
| Radio | ||
| Radio (Bluetooth, Wi-Fi, NFC, ecc.) | Questa impostazione ti consente di gestire se la connessione wireless Bluetooth, Wi-Fi o 5G integrata può funzionare nei dispositivi idonei. - Se si abilita questa impostazione, tutte le radio integrate sono consentite. Le periferiche, come i dispositivi USB, non sono interessate. - Se si disabilita questa impostazione, tutte le radio integrate sono disabilitate. Le periferiche, come i dispositivi USB, non sono interessate. - Se non si configura questa impostazione, tutte le radio integrate sono abilitate. SUGGERIMENTO: Configurare l'impostazione della categoria Radio (Bluetooth, Wi-Fi, NFC, ecc.) o le impostazioni granulari Bluetooth, Wi-Fi. Se si configurano tutte le impostazioni, queste impostazioni possono causare un conflitto. Per altre informazioni, vedere Panoramica del profilo DFCI: Conflitti. ATTENZIONE: L'impostazione Disabilita deve essere usata solo su dispositivi con una connessione Ethernet cablata. |
- Non supportato su Surface Pro X. - Supportato su tutti gli altri dispositivi idonei. |
| Bluetooth | Questa impostazione ti consente di gestire se il Bluetooth integrato può funzionare nei dispositivi idonei. - Se si abilita questa impostazione, il Bluetooth è abilitato. - Se si disattiva questa impostazione, il Bluetooth è disabilitato. - Se non si configura questa impostazione, il Bluetooth è abilitato. |
- Non supportato su Surface Pro X. - Supportato su Surface Pro 9 con 5G e tutti gli altri dispositivi idonei. |
| WWAN | Questa impostazione consente di gestire se la funzione WWAN integrata (wireless 5G) può funzionare su dispositivi idonei - Se si abilita questa impostazione, WWAN è abilitato. - Se si disattiva questa impostazione, WWAN è disabilitato. - Se non si configura questa impostazione, WWAN è abilitato. |
- Non supportato su Surface Pro X. - Supportato su Surface Pro 9 con 5G e tutti gli altri dispositivi idonei. |
| Wi-Fi | Questa impostazione consente di gestire se il Wi-Fi predefinito può funzionare nei dispositivi idonei - Se si abilita questa impostazione, Wi-Fi è abilitata. - Se si disabilita questa impostazione, Wi-Fi è disabilitato. - Se non si configura questa impostazione, Wi-Fi è abilitata. |
- Non supportato su Surface Pro X. - Supportato su Surface Pro 9 con 5G e tutti gli altri dispositivi idonei. |
| Opzioni di avvio | ||
| Avvio da supporti esterni (USB, SD) | Questa impostazione consente di gestire se i dispositivi idonei possono essere avviati da supporti esterni. - Se si abilita questa impostazione, gli utenti finali possono avviare il dispositivo da unità flash USB o altre tecnologie di archiviazione non disco rigido. - Se si disabilita questa impostazione, gli utenti finali non possono avviare il dispositivo da unità flash USB o altre tecnologie di archiviazione non disco rigido. - Se non si configura questa impostazione, gli utenti finali possono avviare il dispositivo da unità flash USB o altre tecnologie di archiviazione non disco rigido. |
Tutti i dispositivi idonei |
| Porte | ||
| USB tipo A | Questa impostazione consente di gestire il modo in cui i dispositivi possono utilizzare le connessioni USB-A. - Se si abilita questa impostazione, le connessioni dati USB-A possono funzionare su dispositivi idonei. - Se si disabilita questa impostazione, le connessioni dati USB-A non possono funzionare sui dispositivi idonei. - Se non si configura questa impostazione, le connessioni dati USB-A possono funzionare su tutti i dispositivi. ATTENZIONE: Se disabiliti sia l'avvio da supporti esterni che USBdi tipo A e il dispositivo diventa non avviabile per qualsiasi motivo, non sarai in grado di ripristinare il dispositivo senza sostituire l'SSD. Non sarà possibile eseguire l'avvio da supporti esterni ed eseguire un avvio PXE o un aggiornamento DFCI dalla rete. |
Supportato solo in Surface Laptop Go 2 e versioni successive (dispositivi rilasciati dopo il 1° giugno 2022). |
| Impostazioni di riattivazione | ||
| Wake-on-LAN | Questa impostazione consente di gestire se i dispositivi idonei possono essere avviati in remoto da Modern Standby o Hibernate. - Se si abilita questa impostazione, i dispositivi idonei possono essere configurati per la riattivazione remota della LAN. - Se si disabilita questa impostazione, i dispositivi idonei non possono essere configurati per la riattivazione remota su LAN. - Se non si configura questa impostazione, i dispositivi idonei possono essere configurati per la riattivazione remota su LAN. |
Supportato solo in Surface Laptop Go 2 e versioni successive (dispositivi rilasciati dopo il 1° giugno 2022). |
| Riattivazione dell'alimentazione | Questa impostazione consente di gestire se i dispositivi idonei possono essere avviati automaticamente dallo stato di ibernazione o spento quando sono connessi all'alimentazione. - Se si abilita questa impostazione, i dispositivi Surface idonei possono essere configurati per l'avvio automatico quando connessi all'alimentazione. - Se si disabilita questa impostazione, i dispositivi Surface idonei non possono essere configurati per l'avvio automatico quando sono connessi all'alimentazione. - Se non si configura questa impostazione, i dispositivi Surface idonei non possono essere configurati per l'avvio automatico quando vengono riconnessi all'alimentazione. |
Supportato solo in Surface Laptop Go 2 e versioni successive (dispositivi rilasciati dopo il 1° giugno 2022). |
Nota
DFCI in Intune include impostazioni che attualmente non si applicano ai dispositivi Surface: virtualizzazione CPU e IO, Disabilita avvio dalle schede di rete, Windows Platform Binary Table (WPBT), NFC e scheda SD.
Informazioni di base
Accedere al tenant in intune.microsoft.com.
Nell'interfaccia di amministrazione di Microsoft Intune selezionare Profili di configurazione > dei dispositivi > Crea profilo.
In Piattaforma selezionare Windows 10 e versioni successive.
In Tipo di profilo, seleziona Modelli>Interfaccia di configurazione del firmware del dispositivo e quindi seleziona Crea.
Vedi Usare i profili DFCI nei dispositivi Windows in Microsoft Intune per istruzioni complete, tra cui:
- Creare i gruppi di sicurezza di Microsoft Entra
- Creare i profili
- Assegnare i profili e riavviare
- Aggiornare le impostazioni DFCI esistenti
- Riutilizzare, ritirare o recuperare il dispositivo
Impedisci agli utenti di modificare le impostazioni UEFI
Per molti clienti, la possibilità di impedire agli utenti di modificare le impostazioni UEFI è di fondamentale importanza e rappresenta il motivo principale per cui si utilizza DFCI. Come elencato in precedenza nella tabella 1, questa funzionalità viene gestita tramite l'impostazione Consenti all'utente locale di modificare le impostazioni UEFI. Se non modifichi o configuri questa impostazione, l'utente locale può modificare qualsiasi impostazione UEFI non gestita da Intune. Pertanto, è consigliabile impostare Consenti all'utente locale di modificare le impostazioni UEFI su Nessuno.
Verificare le impostazioni UEFI nei dispositivi gestiti da DFCI
In un ambiente di test è possibile verificare le impostazioni dell'interfaccia UEFI di Surface.
Aprire la UEFI di Surface:
- Esercita una pressione prolungata sul tasto di aumento del volume del sistema Surface e, contemporaneamente, premi e rilascia il pulsante di alimentazione .
- Quando viene visualizzato il logo di Surface, rilascia il pulsante di aumento del volume. Il menu UEFI verrà visualizzato entro pochi secondi.
Selezionare Dispositivi. Il menu UEFI rifletterà le impostazioni configurate, come illustrato nella figura seguente.
Nota
- Le impostazioni sono disattivate (inattive) perché Consenti all'utente locale di modificare l'impostazione UEFI è impostata su Nessuno.
- L'audio integrato è disattivato perché il criterio Microfoni e altoparlanti è impostato su Disabilitato.
Rimuovere le impostazioni dei criteri DFCI
Quando si crea un profilo DFCI, tutte le impostazioni configurate rimangono attive in tutti i dispositivi nell'ambito di gestione del profilo. È possibile rimuovere le impostazioni dei criteri DFCI solo modificando direttamente il profilo DFCI. Se il profilo DFCI originale è stato eliminato, creare un nuovo profilo e modificare le impostazioni appropriate.
Rimozione della gestione DFCI
Per rimuovere la gestione DFCI e riportare il dispositivo al nuovo stato di fabbrica:
- Ritirare il dispositivo da Intune:
- In Microsoft Intune a intune.microsoft.com scegliere Dispositivi>tutti i dispositivi.
- Selezionare il dispositivo che si vuole ritirare e quindi scegliere Ritiro/Cancella. Per altre informazioni, vedi Rimuovere i dispositivi usando la cancellazione, il ritiro o l'annullamento manuale della registrazione del dispositivo.
- Eliminare la registrazione di Autopilot da Intune:
- Scegliere i dispositivi>, la registrazione dei > dispositivi di Windows Autopilot>.
- In Dispositivi di Windows Autopilot scegliere i dispositivi da eliminare, quindi scegliere Elimina.
- Connettere il dispositivo a una rete Internet cablata con una scheda Ethernet con marchio Surface. Riavvia il dispositivo e apri il menu UEFI (tieni premuto il pulsante di aumento del volume mentre premi e rilascia il pulsante di alimentazione).
- Selezionare Gestione > Configura > Aggiorna dalla rete.
Per gestire il dispositivo con Intune ma senza gestione DFCI, eseguire la registrazione automatica in Autopilot ed eseguire la registrazione in Intune. DFCI non verrà applicato ai dispositivi registrati automaticamente.