Configuración de perfil de Device Firmware Configuration Interface (DFCI) en Microsoft Intune

En este artículo se enumera y describe la configuración del perfil DFCI que puede controlar en dispositivos cliente Windows. Como parte de tu solución de administración de dispositivos móviles (MDM), usa esta configuración para controlar las características de seguridad, el hardware integrado y las opciones de arranque en la capa UEFI en Windows.

Estas opciones de configuración se aplican a:

• Windows en UEFI compatible

Agregue esta configuración a un perfil de configuración de dispositivos en Intune y, a continuación, asigne o implemente el perfil en los dispositivos de cliente de Windows.

Antes de empezar

• Cree el perfil DFCI de Windows. Hay más requisitos para crear perfiles DFCI. Para obtener información más específica, consulte Utilización de perfiles DFCI en dispositivos Windows en Microsoft Intune.
• Algunas opciones de configuración no están disponibles para todos los dispositivos. Para confirmar si una opción de configuración está disponible en el dispositivo, ponte en contacto con el fabricante del dispositivo.
• Esta configuración usa el CSP de UEFI.

Acceso a UEFI

• Permitir que el usuario local cambie la configuración de UEFI: Sus opciones:
  • Solo opciones no configuradas: el usuario local puede cambiar cualquier configuración, excepto aquellas configuraciones que Intune establece explícitamente en Habilitar o Deshabilitar.
  • Ninguno: el usuario local no puede cambiar ninguna configuración de UEFI (BIOS), incluida la configuración que no muestra el perfil DFCI.

Características de seguridad

• Virtualización de CPU y E/S: Sus opciones:

  • Sin configurar: Intune no cambia ni actualiza esta configuración.
  • Habilitado: el BIOS habilita las funciones de virtualización de E/S y CPU de la plataforma para su uso por parte del sistema operativo. Activa la seguridad basada en la virtualización de Windows y las tecnologías de Device Guard.

• Tabla binaria de plataforma de Windows (WPBT): WPBT permite a los proveedores y OEM ejecutar un .exe programa en la capa UEFI. Cada vez que se inicia Windows, mira la UEFI y ejecuta el .exearchivo . Use esta característica para ejecutar programas que no se incluyen con Windows Media.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo puede permitir que los proveedores y OEM ejecuten programas mediante WPBT.
  • Habilitado: habilita WPBT y permite que .exe se ejecuten los programas de la capa UEFI.
  • Deshabilitado: deshabilita WPBT e impide que .exe se ejecuten los programas de la capa UEFI.

• Multithreading simultáneo (SMT): también conocido como hyper-threading. Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración.
  • Habilitado: habilita SMT en la capa UEFI.
  • Deshabilitado: deshabilita SMT en la capa UEFI.

Cámaras

• Cámaras: esta configuración administra todas las cámaras de hardware integradas en el dispositivo. No administra periféricos conectados, como cámaras web USB.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar las cámaras integradas.
  • Habilitado: se habilitan todas las cámaras integradas administradas directamente mediante UEFI (BIOS). Los periféricos, como las cámaras USB, no se ven afectados.
  • Deshabilitado: todas las cámaras integradas administradas directamente por UEFI (BIOS) están deshabilitadas. Los periféricos, como las cámaras USB, no se ven afectados.

• Cámaras frontales: esta configuración administra las cámaras frontales de luz visible integradas administradas por UEFI (BIOS). No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar las cámaras de luz visible delanteras integradas.
  • Habilitado: todas las cámaras de luz visible frontal integradas administradas directamente por UEFI (BIOS) están habilitadas. Los periféricos, como las cámaras USB, no se ven afectados.
  • Deshabilitado: todas las cámaras de luz visible frontal integradas administradas directamente por UEFI (BIOS) están deshabilitadas. Los periféricos, como las cámaras USB, no se ven afectados.

• Cámaras traseras: esta configuración administra las cámaras de luz visible traseras integradas administradas por UEFI (BIOS). No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar las cámaras traseras integradas.
  • Habilitado: todas las cámaras de luz visible trasera integradas administradas directamente por UEFI (BIOS) están habilitadas. Los periféricos, como las cámaras USB, no se ven afectados.
  • Deshabilitado: todas las cámaras de luz visible trasera integradas administradas directamente por UEFI (BIOS) están deshabilitadas. Los periféricos, como las cámaras USB, no se ven afectados.

• Cámaras de infrarrojos (IR): esta configuración administra las cámaras de infrarrojos integradas administradas por UEFI (BIOS). No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar las cámaras de infrarrojos integradas.
  • Habilitado: todas las cámaras de infrarrojos integradas administradas directamente por UEFI (BIOS) están habilitadas. Los periféricos, como las cámaras USB, no se ven afectados.
  • Deshabilitado: todas las cámaras de infrarrojos integradas administradas directamente por UEFI (BIOS) están deshabilitadas. Los periféricos, como las cámaras USB, no se ven afectados.

Micrófonos y altavoces

Configure los ajustes de categoría Micrófonos y altavoceso los ajustes granulares de Micrófonos . No configure ambas categorías, ya que puede provocar un conflicto. Para obtener más información, consulte Información general del perfil DFCI: Conflictos.

• Micrófonos y altavoces: esta configuración administra todos los micrófonos y altavoces integrados en el dispositivo. No administra periféricos conectados, como dispositivos USB.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar los micrófonos y altavoces integrados.
  • Habilitado: todos los micrófonos y altavoces integrados que UEFI (BIOS) administra directamente están habilitados. Los periféricos, como los dispositivos USB, no se ven afectados.
  • Deshabilitado: todos los micrófonos y altavoces integrados que UEFI (BIOS) administra directamente están deshabilitados. Los periféricos, como los dispositivos USB, no se ven afectados.

• Micrófonos: esta configuración administra los micrófonos integrados que UEFI (BIOS) administra directamente. No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar los micrófonos integrados.
  • Habilitado: todos los micrófonos integrados que UEFI (BIOS) administra directamente están habilitados. Los periféricos, como los dispositivos USB, no se ven afectados.
  • Deshabilitado: todos los micrófonos integrados que UEFI (BIOS) administra directamente están deshabilitados. Los periféricos, como los dispositivos USB, no se ven afectados.

Señales de radio

Configura los ajustes de categoría de Radios (Bluetooth, Wi-Fi, NFC, etc.)o los ajustes de Bluetooth, Wi-Fi y otros ajustes granulares. No configure ambos conjuntos de opciones porque pueden provocar un conflicto. Para obtener más información, consulte Información general del perfil DFCI: Conflictos.

• Radios (Bluetooth, Wi-Fi, NFC, etc.): esta configuración administra todas las radios integradas que administra UEFI (BIOS). No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar todas las radios integradas.

  • Habilitado: todas las radios integradas que UEFI (BIOS) administra directamente están habilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.

  • Deshabilitado: todas las radios integradas que UEFI (BIOS) administra directamente están deshabilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.

    Al establecer esta opción en Deshabilitado, el dispositivo requiere una conexión de red con cable. De lo contrario, el dispositivo puede ser inmanejable.

• Bluetooth: esta configuración administra las radios Bluetooth integradas que administra UEFI (BIOS). No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar las radios Bluetooth integradas.
  • Habilitado: todas las radios Bluetooth integradas que UEFI (BIOS) administra directamente están habilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.
  • Deshabilitado: todas las radios Bluetooth integradas que UEFI (BIOS) administra directamente están deshabilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.

• WWAN: esta configuración administra las radios WWAN integradas que UEFI (BIOS) administra. No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar las radios WWAN integradas.
  • Habilitado: todas las radios WWAN integradas que UEFI (BIOS) administra directamente están habilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.
  • Deshabilitado: todas las radios WWAN integradas que UEFI (BIOS) administra directamente están deshabilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.

• NFC: esta configuración administra las radios NFC integradas que administra UEFI (BIOS). No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar las radios NFC integradas.
  • Habilitado: todas las radios NFC integradas que UEFI (BIOS) administra directamente están habilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.
  • Deshabilitado: todas las radios NFC integradas que UEFI (BIOS) administra directamente están deshabilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.

• Wi-Fi: esta configuración administra las radios de Wi-Fi integradas que administra UEFI (BIOS). No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar las radios de Wi-Fi integradas.
  • Habilitado: todas las radios de Wi-Fi integradas que UEFI (BIOS) administra directamente están habilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.
  • Deshabilitado: todas las radios de Wi-Fi integradas que UEFI (BIOS) administra directamente están deshabilitadas. Los periféricos, como los dispositivos USB, no se ven afectados.

Opciones de arranque

• Arranque desde medios externos (USB, SD): Tus opciones:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo puede permitir el arranque desde medios externos.

  • Habilitado: UEFI (BIOS) permite el arranque desde almacenamiento que no sea un disco duro.

  • Deshabilitado: UEFI (BIOS) impide el arranque desde un dispositivo de almacenamiento que no sea de disco duro, lo que también deshabilita el arranque desde adaptadores de red.

    Cuando se establece en Deshabilitado, no establezca el valor Arranque desde adaptadores de red en Habilitado. Esto hace que la configuración de Arranque desde medios externos (USB, SD) o Arranque desde adaptadores de red deje de ser compatible.

• Arranque desde adaptadores de red: Sus opciones:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo puede permitir el arranque desde adaptadores de red integrados.
  • Habilitado: UEFI (BIOS) permite el arranque desde interfaces de red integradas.
  • Deshabilitado: UEFI (BIOS) impide el arranque desde interfaces de red integradas.

Puertos

• USB tipo A: esta configuración administra los puertos USB tipo A integrados que administra UEFI (BIOS). No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar los puertos USB tipo A integrados.
  • Habilitado: todos los puertos USB tipo A integrados que UEFI (BIOS) administra directamente están habilitados. Los periféricos, como los dispositivos USB, no se ven afectados.
  • Deshabilitado: todos los puertos USB tipo A integrados que UEFI (BIOS) administra directamente están deshabilitados. Los periféricos, como los dispositivos USB, no se ven afectados.

• Tarjeta SD: esta configuración administra los puertos de tarjeta SD integrados que administra UEFI (BIOS). No administra periféricos conectados.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría habilitar los puertos de tarjeta SD integrados.
  • Habilitado: todos los puertos de tarjeta SD integrados que UEFI (BIOS) administra directamente están habilitados. Los periféricos, como los dispositivos USB, no se ven afectados.
  • Deshabilitado: todos los puertos de tarjeta SD integrados que UEFI (BIOS) administra directamente están deshabilitados. Los periféricos, como los dispositivos USB, no se ven afectados.

Configuración de reactivación

• Wake on LAN: Wake on LAN permite a un administrador de red activar de forma remota un dispositivo en modo de suspensión utilizando la LAN.

  Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, el sistema operativo podría impedir la reactivación de un dispositivo mediante la LAN.
  • Habilitado: UEFI (BIOS) permite reactivar un dispositivo mediante la LAN.
  • Deshabilitado: UEFI (BIOS) impide la reactivación de un dispositivo mediante la LAN.

• Wake on power: when connect the device to a power source, this settings administra si los dispositivos aptos pueden iniciarse automáticamente desde estados de hibernación o apagado. Sus opciones son:

  • Sin configurar: Intune no cambia ni actualiza esta configuración. De forma predeterminada, es posible que el sistema operativo impida la activación de un dispositivo cuando está conectado a una fuente de alimentación.
  • Habilitado: UEFI (BIOS) permite reactivar un dispositivo cuando está conectado a una fuente de alimentación.
  • Deshabilitado: UEFI (BIOS) impide la reactivación de un dispositivo cuando está conectado a una fuente de alimentación.

Artículos relacionados

• Para obtener otros detalles técnicos sobre cada configuración y qué ediciones de Windows son compatibles, consulta Referencia de CSP de directiva de Windows.

• Use perfiles DFCI en dispositivos Windows en Microsoft Intune.

• Asigne el perfil y supervise el estado.