Windows Autopilot Deployment と Intune を使用すると、デバイスの登録後に Unified Extensible Firmware Interface (UEFI) 設定を管理できます。 UEFI 設定は、デバイス ファームウェア構成インターフェイス (DFCI) を使用して管理できます。 DFCI を使用すると、Windows は、Windows Autopilot が展開されたデバイスの管理コマンドを Intune から UEFI に渡すことができます。 この機能により、BIOS 設定に対するエンド ユーザーの制御を制限できます。 たとえば、ブート オプションをロック ダウンして、同じセキュリティ機能を持たない OS など、別の OS をユーザーが起動できないようにすることができます。
ユーザーが以前のバージョンの Windows を再インストールする場合、別の OS をインストールした場合、またはハード ドライブをフォーマットした場合、DFCI 管理を上書きすることはできません。 この機能により、マルウェアが昇格された OS プロセスを含む OS プロセスと通信するのを防ぐこともできます。 DFCI のトラスト チェーンは公開キー暗号化を使用し、ローカルの UEFI パスワード セキュリティに依存しません。 このセキュリティ層は、ローカル ユーザーがデバイスの UEFI メニューから管理された設定にアクセスできないようにブロックします。
DFCI の利点、シナリオ、要件の概要については、「 デバイス ファームウェア構成インターフェイス (DFCI) の概要」を参照してください。
重要
次のアクションが発生すると、Windows Autopilot プロビジョニング中にデバイスが DFCI 管理に自動的に登録されます。
- OEM は、デバイスを DFCI 用に有効にします。
- デバイスは、パートナー センターの OEM またはクラウド ソリューション パートナー (CSP) を介して Windows Autopilot に登録されています。
DFCI 管理に登録すると、Out-of-Box Experience (OOBE) 中に追加の再起動がトリガーされます。
DFCI 管理ライフサイクル
DFCI 管理ライフサイクルには、次のプロセスが含まれます。
- UEFI 統合。
- デバイスの登録。
- プロファイルの作成。
- 登録。
- 管理。
- 退職。
- リカバリ。
次の図を参照してください。
要件
- 現在サポートされているバージョンの Windows とサポートされている UEFI が必要です。
- デバイスの製造元は、製造プロセスで、またはインストール可能なファームウェア更新プログラムとして DFCI を UEFI ファームウェアに追加する必要があります。 デバイス ベンダーと協力して、 DFCI をサポートする製造元、または DFCI を使用するために必要なファームウェア バージョンを確認します。
- デバイスは Microsoft Intune で管理する必要があります。 詳細については、「Windows Autopilot を使用して Windows デバイスを Intune に登録する」を参照してください。
- デバイスは、Microsoft クラウド ソリューション プロバイダー (CSP) パートナーによって Windows Autopilot 用に登録されているか、OEM によって直接登録されている必要があります。 Surface デバイスの場合、Microsoft 登録のサポートは、 Microsoft デバイスの Windows Autopilot サポートでご利用いただけます。
重要
Windows Autopilot に手動で登録したデバイス ( CSV ファイルからのインポートなど) は、DFCI の使用を許可されていません。 仕様により、DFCI の管理には、OEM または Microsoft CSP パートナーによる Windows Autopilot への登録により、デバイスの商用購入の外部構成証明が必要です。 デバイスが登録されると、Windows Autopilot デバイスの一覧にシリアル番号が表示されます。
Windows Autopilot を使用した DFCI プロファイルの管理
Windows Autopilot を使用して DFCI プロファイルを管理するには、次の 4 つの基本的な手順があります。
- Windows Autopilot プロファイルの作成
- 登録ステータス ページのプロファイルを作成する
- DFCI プロファイルの作成
- プロファイルの割り当て
詳しくは、 プロフィールの作成 と プロフィールの割り当て、再起動 をご覧ください。
既存の DFCI 設定 は、使用中のデバイスでも変更できます。 既存の DFCI プロファイルで、設定を変更し、変更を保存します。 プロファイルは既に割り当てられているため、次回デバイスを同期または再起動したときに、新しい DFCI 設定が有効になります。
デバイスが DFCI 対応であるかどうかを確認するには、次の Intune Graph API 呼び出しを使用できます。
managedDevice/deviceFirmwareConfigurationInterfaceManaged
詳細については、「Intune デバイスとアプリ API の概要」および「Microsoft Graph での Intune の操作」を参照してください。
DFCI をサポートする OEM
- Acer.
- Asus。
- Dynabook.
- Fujitsu.
- Microsoft Surface。
- Panasonic.
- VAIO.
- サムスン。
- NEC.
他の OEM は保留中です。
既知の問題
Windows 11 バージョン 24H2 の Professional エディションの DFCI 登録が失敗する
追加日: 2024 年 10 月 9 日 更新日: 2025 年 2 月 11 日
現在、Windows 11 バージョン 24H2 の Professional エディションを搭載したデバイスでは、Out-of-box Experience (OOBE) 中に DFCI を構成することはできません
既にプロビジョニングされており、Windows 11 バージョン 24H2 の Professional エディションを持っているデバイスの場合は、KB5046740以降をインストールして DFCI に登録します。 Windows 11 バージョン 24H2 の Professional エディションで KB5046740 以降がインストールされているデバイスは、再起動後に自動的に DFCI に登録されます。
24H2 デバイスでの OOBE プロビジョニング中に DFCI を構成する必要がある場合は、次の手順を実行します。
- OOBE オンボード中に、デバイスが Windows 11 バージョン 24H2 の Enterprise エディションにアップグレードされていることを確認します。
- Windows 11 バージョン 24H2 の Enterprise エディションにアップグレードした後、デバイスを同期します。
- デバイスが同期されたら、再起動して DFCI に登録します。