Microsoft Intune のデバイス ファームウェア構成インターフェイス (DFCI) プロファイル設定

この記事では、Windows クライアント デバイスで制御できる DFCI プロファイル設定を一覧表示し、説明します。 モバイル デバイス管理 (MDM) ソリューションの一部として、これらの設定を使用して、Windows の UEFI レイヤーのセキュリティ機能、組み込みハードウェア、ブート オプションを制御します。

これらの設定は以下に適用されます:

  • サポートされている UEFI 上の Windows

これらの設定を Intune のデバイス構成プロファイルに追加し、プロファイルを Windows クライアント デバイスに割り当てまたは展開します。

開始する前に

警告

注意が必要です。 DFCI プロファイルを構成および割り当てると、修復できないほどデバイスがロックされる可能性があります。 DFCI プロファイル設定はデバイスのハードウェアを変更するものであり、OS を再イメージングしても修正することはできません。

UEFI アクセス

  • ローカル ユーザーに UEFI 設定の変更を許可: オプション:
    • 未構成の設定のみ: ローカル ユーザーは、Intune が明示的に有効または無効に設定した設定以外の任意の設定を変更できます。
    • なし: ローカル ユーザーは、DFCI プロファイルに表示されない設定を含め、UEFI (BIOS) 設定を変更できません。

セキュリティ機能

  • [CPU と IO の仮想化]: 次のようなオプションがあります。

    • [未構成]: Intune では、この設定は変更または更新されません。
    • [有効]: BIOS によって、プラットフォームの CPU と IO の仮想化機能が有効にされ、OS で使用できるようになります。 Windows の仮想化ベースのセキュリティと Device Guard のテクノロジが有効になります。

  • Windows プラットフォーム バイナリ テーブル (WPBT): WPBT を使用すると、ベンダーや OEM は UEFI レイヤーで .exe プログラムを実行できます。 Windows が起動するたびに、UEFI が確認され、 .exeが実行されます。 この機能を使用して、Windows メディアに含まれていないプログラムを実行します。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 OS では、既定で、ベンダーや OEM が WPBT を使用してプログラムを実行することが許可されていることがあります。
    • 有効: WPBT を有効にし、UEFI レイヤー内の .exe プログラムの実行を許可します。
    • 無効: WPBT を無効にし、UEFI レイヤー内の .exe プログラムが実行されないようにします。

  • 同時マルチスレッディング (SMT): ハイパースレッディングとも呼ばれます。 次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。
    • 有効: UEFI レイヤーで SMT を有効にします。
    • 無効: UEFI レイヤーで SMT を無効にします。

カメラ

  • カメラ: この設定は、デバイスに組み込まれているすべてのハードウェア カメラを管理します。 USB Web カメラなどの接続された周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は組み込みカメラを有効にする可能性があります。
    • [有効]: UEFI (BIOS) によって直接管理されているすべての組み込みカメラが有効になります。 USB カメラのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) によって直接管理されるすべての組み込みカメラが無効になります。 USB カメラのような周辺機器は影響を受けません。

  • フロント カメラ: この設定は、UEFI (BIOS) によって管理される組み込みの前面可視光カメラを管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は組み込みの前面可視光カメラを有効にする場合があります。
    • 有効: UEFI (BIOS) によって直接管理されるすべての組み込みの前面可視光カメラが有効になります。 USB カメラのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) によって直接管理されるすべての組み込みの前面可視光カメラが無効になります。 USB カメラのような周辺機器は影響を受けません。

  • リア カメラ: この設定は、UEFI (BIOS) によって管理される組み込みのリア可視光カメラを管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS によって組み込みのリア カメラが有効になる場合があります。
    • 有効: UEFI (BIOS) によって直接管理されるすべての組み込みのリア可視光カメラが有効になります。 USB カメラのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) によって直接管理されるすべての組み込みのリア可視光カメラが無効になります。 USB カメラのような周辺機器は影響を受けません。

  • 赤外線 (IR) カメラ: この設定は、UEFI (BIOS) によって管理される組み込みの赤外線カメラを管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は組み込みの赤外線カメラを有効にする可能性があります。
    • 有効: UEFI (BIOS) によって直接管理されるすべての組み込み赤外線カメラが有効になります。 USB カメラのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) によって直接管理されるすべての組み込み赤外線カメラが無効になります。 USB カメラのような周辺機器は影響を受けません。

マイクとスピーカー

[ マイクとスピーカー ] カテゴリ設定 または [ マイク] の粒度設定を構成します。 競合する可能性があるため、両方のカテゴリを設定しないでください。 詳細については、「 DFCI プロファイルの概要: 競合」を参照してください。

  • マイクとスピーカー: この設定は、デバイスに組み込まれているすべてのマイクとスピーカーを管理します。 USB デバイスなどの接続された周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS によって組み込みのマイクとスピーカーが有効になる場合があります。
    • 有効: UEFI (BIOS) が直接管理するすべての組み込みのマイクとスピーカーが有効になります。 USB デバイスのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) が直接管理するすべての組み込みのマイクとスピーカーが無効になります。 USB デバイスのような周辺機器は影響を受けません。

  • マイク: この設定は、UEFI (BIOS) が直接管理する組み込みマイクを管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は組み込みのマイクを有効にする可能性があります。
    • 有効: UEFI (BIOS) が直接管理するすべての組み込みマイクが有効になります。 USB デバイスのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) が直接管理するすべての組み込みマイクが無効になります。 USB デバイスのような周辺機器は影響を受けません。

無線

無線(Bluetooth、Wi-Fi、NFCなど)カテゴリ設定またはBluetooth、Wi-Fi、およびその他の詳細な設定を構成します。 競合する可能性があるため、両方の設定セットを構成しないでください。 詳細については、「 DFCI プロファイルの概要: 競合」を参照してください。

  • 無線 (Bluetooth、Wi-Fi、NFC など): この設定は、UEFI (BIOS) が管理するすべての組み込み無線を管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS はすべての組み込み無線を有効にする可能性があります。

    • 有効: UEFI (BIOS) が直接管理するすべての組み込み無線が有効になります。 USB デバイスのような周辺機器は影響を受けません。

    • 無効: UEFI (BIOS) が直接管理するすべての組み込み無線が無効になります。 USB デバイスのような周辺機器は影響を受けません。

      このオプションを [無効] に設定する場合、デバイスには有線ネットワーク接続が必要です。 そうしないと、デバイスを管理できなくなる可能性があります。

  • Bluetooth: この設定は、UEFI (BIOS) が管理する組み込みの Bluetooth 無線を管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は組み込みの Bluetooth 無線を有効にする場合があります。
    • 有効: UEFI (BIOS) が直接管理するすべての組み込みの Bluetooth 無線が有効になります。 USB デバイスのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) が直接管理するすべての組み込みの Bluetooth 無線が無効になります。 USB デバイスのような周辺機器は影響を受けません。

  • WWAN: この設定は、UEFI (BIOS) が管理する組み込みの WWAN 無線を管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は組み込みの WWAN 無線を有効にする可能性があります。
    • 有効: UEFI (BIOS) が直接管理するすべての組み込み WWAN 無線が有効になります。 USB デバイスのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) が直接管理するすべての組み込み WWAN 無線が無効になります。 USB デバイスのような周辺機器は影響を受けません。

  • NFC: この設定は、UEFI (BIOS) が管理する組み込みの NFC 無線を管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は組み込みの NFC 無線を有効にする可能性があります。
    • 有効: UEFI (BIOS) が直接管理するすべての組み込みの NFC 無線が有効になります。 USB デバイスのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) が直接管理するすべての組み込みの NFC 無線が無効になります。 USB デバイスのような周辺機器は影響を受けません。

  • Wi-Fi: この設定は、UEFI (BIOS) が管理する組み込みの Wi-Fi 無線を管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は組み込みの Wi-Fi 無線を有効にする可能性があります。
    • 有効: UEFI (BIOS) が直接管理するすべての組み込みの Wi-Fi 無線が有効になります。 USB デバイスのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) が直接管理するすべての組み込みの Wi-Fi 無線が無効になります。 USB デバイスのような周辺機器は影響を受けません。

ブート オプション

警告

すべての外部ブート オプションまたはすべての外部ポートを無効にすると、OS の回復が大幅に複雑になります。 Windows を起動できなくなったデバイスを回復するには、デバイスを物理的に開き、ハードウェア ストレージを交換する必要がある場合があります。

  • [外部メディア (USB、SD) からのブート]: 次のようなオプションがあります。

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS によって外部メディアからの起動が許可される場合があります。

    • [有効]: UEFI (BIOS) で、ハード ドライブ以外のストレージから起動できます。

    • 無効: UEFI (BIOS) は、ハード ドライブ以外のストレージからの起動を妨げます。これにより、ネットワーク アダプターからの起動も無効になります。

      [無効] に設定する場合には、[ネットワーク アダプターからのブート] 設定を [有効] に設定しないでください。 これにより、[ 外部メディアから起動 (USB、SD)] 設定または [ ネットワーク アダプターから起動 ] 設定が準拠しなくなります。

  • [ネットワーク アダプターからのブート]: 次のようなオプションがあります。

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS では組み込みのネットワーク アダプターからの起動が許可される場合があります。
    • [有効]: UEFI (BIOS) で、組み込みネットワーク インターフェイスから起動できます。
    • 無効: UEFI (BIOS) により、組み込みのネットワーク インターフェイスから起動できません。

ポート

警告

すべての外部ブート オプションまたはすべての外部ポートを無効にすると、OS の回復が大幅に複雑になります。 Windows を起動できなくなったデバイスを回復するには、デバイスを物理的に開き、ハードウェア ストレージを交換する必要がある場合があります。

  • USB タイプ A: この設定は、UEFI (BIOS) が管理する組み込みの USB タイプ A ポートを管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は組み込みの USB タイプ A ポートを有効にする可能性があります。
    • 有効: UEFI (BIOS) が直接管理するすべての組み込みの USB タイプ A ポートが有効になります。 USB デバイスのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) が直接管理するすべての組み込みの USB タイプ A ポートは無効になります。 USB デバイスのような周辺機器は影響を受けません。

  • SD カード: この設定は、UEFI (BIOS) が管理する組み込みの SD カード ポートを管理します。 接続されている周辺機器は管理されません。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS によって組み込みの SD カード ポートが有効になる場合があります。
    • 有効: UEFI (BIOS) が直接管理するすべての組み込み SD カード ポートが有効になります。 USB デバイスのような周辺機器は影響を受けません。
    • 無効: UEFI (BIOS) が直接管理するすべての組み込み SD カード ポートが無効になります。 USB デバイスのような周辺機器は影響を受けません。

ウェイク解除の設定

  • Wake on LAN: Wake on LAN を使用すると、ネットワーク管理者は LAN を使用してスリープ モードでデバイスをリモートでスリープ解除できます。

    次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、OS は LAN を使用してデバイスをスリープ解除できないようにする可能性があります。
    • 有効: UEFI (BIOS) により、LAN を使用してデバイスをスリープ解除できます。
    • 無効: UEFI (BIOS) により、LAN を使用してデバイスがスリープ解除されることを防ぎます。

  • 電源でスリープ解除: デバイスを電源に接続するときに、この設定は、対象デバイスを休止状態または電源オフ状態から自動的に起動できるかどうかを管理します。 次のようなオプションがあります:

    • [未構成]: Intune では、この設定は変更または更新されません。 既定では、デバイスが電源に接続されているときに、OS によってデバイスのスリープ解除が妨げられる場合があります。
    • 有効: UEFI (BIOS) を使用すると、電源に接続されているデバイスをスリープ解除できます。
    • 無効: UEFI (BIOS) により、電源に接続されているデバイスがスリープ解除されることを防ぎます。
  • Last updated on