Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Mit Windows Autopilot Deployment und Intune können UEFI-Einstellungen (Unified Extensible Firmware Interface) verwaltet werden, nachdem das Gerät registriert wurde. UEFI-Einstellungen können mithilfe der Gerätefirmware-Konfigurationsschnittstelle (DFCI) verwaltet werden. DFCI ermöglicht Windows die Übergabe von Verwaltungsbefehlen von Intune an UEFI für von Windows Autopilot bereitgestellte Geräte. Diese Funktion ermöglicht es, die Kontrolle des Endbenutzers über die BIOS-Einstellungen einzuschränken. Beispielsweise können die Startoptionen gesperrt werden, um zu verhindern, dass Benutzer ein anderes Betriebssystem starten, z. B. eines, das nicht über die gleichen Sicherheitsfeatures verfügt.
Wenn ein Benutzer eine frühere Windows-Version neu installiert, ein separates Betriebssystem installiert oder die Festplatte formatiert, kann er die DFCI-Verwaltung nicht außer Kraft setzen. Dieses Feature kann auch verhindern, dass Schadsoftware mit Betriebssystemprozessen kommuniziert, einschließlich Betriebssystemprozessen mit erhöhten Rechten. Die Vertrauenskette von DFCI verwendet Kryptografie mit öffentlichen Schlüsseln und ist nicht von der lokalen UEFI-Kennwortsicherheit abhängig. Diese Sicherheitsebene verhindert, dass lokale Benutzer über die UEFI-Menüs des Geräts auf verwaltete Einstellungen zugreifen.
Eine Übersicht über die Vorteile, Szenarien und Anforderungen von DFCI finden Sie unter Einführung in die Gerätefirmware-Konfigurationsschnittstelle (DFCI).
Wichtig
Ein Gerät wird während der Windows Autopilot-Bereitstellung automatisch bei der DFCI-Verwaltung registriert, wenn die folgenden Aktionen auftreten:
- Der OEM aktiviert das Gerät für DFCI.
- Das Gerät ist über den OEM oder einen Cloud Solution Partner (CSP) im Partner Center für Windows Autopilot registriert.
Die Registrierung bei der DFCI-Verwaltung löst einen zusätzlichen Neustart während der Out-of-Box-Experience (OOBE) aus.
DFCI-Verwaltungslebenszyklus
Der DFCI-Verwaltungslebenszyklus umfasst die folgenden Prozesse:
- UEFI-Integration.
- Geräteregistrierung
- Profilerstellung.
- Registrierung.
- Verwaltung.
- Ruhestand.
- Genesung.
Siehe folgende Abbildung:
Anforderungen
- Eine aktuell unterstützte Windows-Version und ein unterstütztes UEFI sind erforderlich.
- Der Gerätehersteller muss DFCI im Herstellungsprozess oder als installierbares Firmwareupdate zu seiner UEFI-Firmware hinzufügen. Ermitteln Sie gemeinsam mit den Geräteherstellern die Hersteller, die DFCI unterstützen, bzw. die für die Verwendung von DFCI erforderliche Firmwareversion.
- Das Gerät muss mit Microsoft Intune verwaltet werden. Weitere Informationen finden Sie unter Registrieren von Windows-Geräten in Intune mithilfe von Windows Autopilot.
- Das Gerät muss von einem Microsoft CSP-Partner (Cloud Solution Provider) oder direkt vom OEM für Windows Autopilot registriert werden. Für Surface-Geräte ist der Microsoft-Registrierungssupport unter Microsoft-Geräte verfügbar Windows Autopilot Support.
Wichtig
Geräte, die manuell für Windows Autopilot registriert sind (z. B. durch Importieren aus einer CSV-Datei), dürfen DFCI nicht verwenden. Die DFCI-Verwaltung erfordert standardmäßig den externen Nachweis der kommerziellen Beschaffung des Geräts über eine OEM- oder CSP-Partnerregistrierung bei Windows Autopilot. Wenn das Gerät registriert ist, wird seine Seriennummer in der Liste der Windows Autopilot-Geräte angezeigt.
Verwalten des DFCI-Profils mit Windows Autopilot
Es gibt vier grundlegende Schritte zur Verwaltung des DFCI-Profils mit Windows Autopilot:
- Erstellen eines Windows Autopilot-Profils
- Erstellen eines Profils für die Seite "Registrierungs-Status"
- Erstellen eines DFCI-Profils
- Profile zuweisen
Weitere Informationen finden Sie unter Erstellen der Profile und Zuweisen der Profile und Neustart .
Die vorhandenen DFCI-Einstellungen können auch auf Geräten geändert werden, die gerade verwendet werden. Ändern Sie im vorhandenen DFCI-Profil die Einstellungen, und speichern Sie die Änderungen. Da das Profil bereits zugewiesen ist, werden die neuen DFCI-Einstellungen bei der nächsten Synchronisierung oder dem nächsten Neustart des Geräts wirksam.
Um zu ermitteln, ob ein Gerät DFCI-fähig ist, kann der folgende Intune Graph-API Aufruf verwendet werden:
managedDevice/deviceFirmwareConfigurationInterfaceManaged
Weitere Informationen finden Sie unter API-Übersicht über Intune-Geräte und -Apps sowie Arbeiten mit Intune in Microsoft Graph.
OEMs, die DFCI unterstützen
- Acer.
- Asus.
- Dynabook.
- Fujitsu.
- Microsoft Surface.
- Panasonic.
- VAIO.
- Samsung.
- NEC.
Weitere OEMs stehen noch aus.
Bekannte Probleme
Fehler bei der DFCI-Registrierung für Professional-Editionen von Windows 11, Version 24H2
Hinzugefügt am : 9. Oktober 2024 Aktualisiert am: 11. Februar 2025
DFCI kann derzeit nicht während der Out-of-Box Experience (OOBE) auf Geräten mit Professional-Editionen von Windows 11, Version 24H2, konfiguriert werden
Installieren Sie für Geräte, die bereits bereitgestellt wurden und über Professional-Editionen von Windows 11, Version 24H2, verfügen, KB5046740 oder höher, um sich bei DFCI zu registrieren. Geräte mit Professional-Editionen von Windows 11, Version 24H2, die KB5046740 oder höher installiert haben, werden nach einem Neustart automatisch in DFCI registriert.
Wenn DFCI während der OOBE-Bereitstellung auf 24H2-Geräten konfiguriert werden muss, führen Sie die folgenden Schritte aus:
- Stellen Sie während des OOBE-Onboardings sicher, dass das Gerät auf die Enterprise-Edition von Windows 11, Version 24H2, aktualisiert wird.
- Nach dem Upgrade auf die Enterprise-Edition von Windows 11, Version 24H2, synchronisieren Sie das Gerät.
- Nachdem das Gerät synchronisiert wurde, starten Sie es neu, um es bei DFCI zu registrieren.