Intune を使用して Windows Autopilot デバイスを管理する場合、デバイス ファームウェア構成インターフェイス (DFCI) を使用して登録後に UEFI (BIOS) 設定を管理できます。 利点、シナリオ、前提条件の概要については、「DFCI の概要」を参照してください。
管理コマンドを Intune から UEFI (Unified Extensible Firmware Interface) に渡すことが、DFCI によって Windows で可能になります。
Intune では、この機能を使用して BIOS の設定を制御します。 通常、ファームウェアは悪意のある攻撃に対して高い回復性があります。 BIOS に対するエンド ユーザーの制御が制限され、侵害された状況では効果的です。
この機能は、以下に適用されます。
- サポートされている UEFI 上の Windows
たとえば、セキュリティを確保した環境で Windows クライアント デバイスを使用して、カメラを無効にします。 ファームウェア レイヤーでカメラを無効にできるため、エンド ユーザーが何をしても問題ありません。 OS を再インストールしたり、コンピューターをワイプしても、カメラが有効に戻ることはありません。 別の例としては、ユーザーが別の OS を起動したり、同じセキュリティ機能を持たない古いバージョンの Windows を起動したりできないように、ブート オプションをロックダウンします。
古いバージョンの Windows を再インストールしたり、別の OS をインストールしたり、ハード ドライブをフォーマットしたりしても、DFCI の管理をオーバーライドすることはできません。 この機能を使用すると、管理者特権の OS プロセスも含めて、マルウェアが OS プロセスと通信するのを防ぐことができます。 DFCI の信頼チェーンでは、公開キー暗号化が使用され、ローカルの UEFI (BIOS) パスワード セキュリティには依存しません。 このセキュリティ レイヤーでは、ローカル ユーザーがデバイスの UEFI (BIOS) メニューから管理された設定にアクセスするのがブロックされます。
ヒント
Dell デバイスの場合、 BIOS 構成 ポリシーを作成できます。 詳細については、「Microsoft Intune の Windows デバイスで BIOS 構成プロファイルを使用する」を参照してください。
前提条件
デバイスの製造元は、製造プロセス中に DFCI を UEFI ファームウェアに追加するか、インストールするファームウェア更新プログラムとして提供する必要があります。 デバイス ベンダーと協力して、 DFCI をサポートする製造元 や、DFCI を使用するために必要なファームウェア バージョンを確認します。
Microsoft クラウド ソリューション プロバイダー (CSP) パートナーは、デバイスを Windows Autopilot に登録する必要があります。または、OEM はデバイスを直接登録できます。
csv ファイルからインポートしたデバイスなど、Windows Autopilot に手動で登録されたデバイスでは DFCI を使用できません。 仕様により、DFCI の管理には、OEM または Microsoft CSP パートナーによる Windows Autopilot への登録により、デバイスの商用購入の外部構成証明が必要です。
デバイスを登録すると、そのシリアル番号が Windows Autopilot デバイスの一覧に表示されます。
要件など、Windows Autopilot の詳細については、「 Windows Autopilot の登録の概要」を参照してください。
Microsoft Entra セキュリティ グループを作成する
Windows Autopilot 展開プロファイルを Microsoft Entra セキュリティ グループに割り当てます。 必ず、DFCI でサポートされているデバイスが含まれるグループを作成してください。 DFCI デバイスの場合、ほとんどの組織ではユーザー グループの代わりにデバイス グループを作成する可能性があります。 次のようなシナリオを考えてみましょう。
人事 (HR) には、さまざまな Windows デバイスがあります。 セキュリティ上の理由から、このグループ内のすべてのユーザーがデバイスのカメラを使用できないようにします。 このシナリオでは、HR セキュリティ ユーザー グループを作成し、デバイスの種類に関係なく、HR グループのユーザーにポリシーが適用されるようにすることができます。
製造現場には、10 台のデバイスがあります。 すべてのデバイスで、USB デバイスからデバイスを起動できないようにします。 このシナリオでは、セキュリティ デバイス グループを作成し、10 台のデバイスをグループに追加することができます。
Intune でのグループの作成について詳しくは、「ユーザーとデバイスを整理するためのグループを追加する」をご覧ください。
プロファイルを作成する
DFCI を使用するには、次のプロファイルを作成し、グループにそれを割り当てます。
手順 1 - Windows Autopilot 展開プロファイルを作成する
このプロファイルは、新しいデバイスをセットアップして事前構成します。 次の記事に、プロファイルを作成する手順を示します。
手順 2 - 登録状態ページ プロファイルを作成する
このプロファイルにより、Windows セットアップ中にデバイスが検証され、DFCI が有効になります。 このプロファイルを使用して、すべてのアプリとプロファイルがインストールされるまでデバイスの使用をブロックします。
次の記事に、プロファイルを作成する手順を示します。
手順 3 - Intune で DFCI プロファイルを作成する
このプロファイルには、構成する DFCI の設定が含まれています。
ヒント
DFCI プロファイルを構成および割り当てると、修復できないほどデバイスがロックされる可能性があります。 そのため、構成する値に注意してください。
Microsoft Intune 管理センターにサインインします。
[デバイス]>[デバイスの管理]>[構成]>[作成]>[新しいポリシー] の順に選択します。
次のプロパティを入力します。
- [プラットフォーム]: [Windows 10 以降] を選択します。
- プロファイルの種類: [テンプレート>デバイス ファームウェア構成インターフェイス] を選択します。
[作成] を選択します。
[Basics]\(基本\) で次のプロパティを入力します。
- 名前: プロファイルのわかりやすい名前を入力します。 後で簡単に識別できるよう、ポリシーに名前を付けます。 たとえば、適切なプロファイル名は Windows - Windows デバイスの DFCI 設定です。
- 説明: プロファイルの説明を入力します この設定は省略可能ですが、推奨されます。
[次へ] を選択します。
[構成設定] で、UEFI ファームウェアレイヤーで制御する設定を構成します。 すべての設定のリストとその機能については、次の URL にアクセスしてください。
[次へ] を選択します。
スコープ タグ (オプション) で、
US-NC IT TeamやJohnGlenn_ITDepartmentなど、特定の IT グループにプロファイルをフィルター処理するためのタグを割り当てます。 スコープ タグの詳細については、「 分散型 IT に RBAC とスコープ タグを使用する」を参照してください。 [次へ] を選択します。[割り当て] で、プロファイルを受け取るユーザーまたはユーザー グループを選択します。 プロファイルの割り当ての詳細については、「 ユーザーとデバイス プロファイルの割り当て」を参照してください。 [次へ] を選択します。
[確認と作成] で設定を確認し、[作成] を選択します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 また、ポリシーがプロファイル リストに表示されます。
次に各デバイスがチェックインするときに、ポリシーが適用されます。
プロファイルを割り当てて再起動する
DFCI デバイスを含む Microsoft Entra セキュリティ グループにプロファイルを割り当てます。 プロファイルは、作成時または作成後に割り当てることができます。
デバイスが Windows Autopilot を実行すると、[登録状態] ページで、DFCI によって再起動が強制される場合があります。 この最初の再起動により、UEFI が Intune に登録されます。
デバイスが登録されていることを確認する場合は、デバイスをもう一度再起動することができますが、これは必須ではありません。 デバイスの製造元の指示に従って、UEFI メニューを開き、UFEI がマネージド状態になっていることを確認します。
次にデバイスが Intune と同期されたときに、Windows は DFCI 設定を受信します。 デバイスを再起動します。 この 3 回目の再起動は、UEFI が Windows から DFCI 設定を受信するために必要です。
既存の DFCI の設定を更新する
使用中のデバイスで既存の DFCI 設定を変更できます。 既存の DFCI プロファイルで、設定を変更し、変更を保存します。 プロファイルは既に割り当てられているため、新しい DFCI の設定は次の場合に有効になります。
- デバイスが Intune サービスでチェックインして、プロファイルの更新を確認します。 チェックインはさまざまなタイミングで行われます。 詳細については、デバイスがポリシー、プロファイル、またはアプリの更新を取得するタイミングに関する記事を参照してください。
- 強制的に新しい設定を適用するには、リモートまたはローカルでデバイスを再起動します。
また、チェックインするようデバイスに指示することもできます。 同期が成功したら、再起動するように指示します。
注:
DFCI プロファイルを削除するか、プロファイルに割り当てられているグループからデバイスを削除しても、DFCI の設定は削除されず、UEFI (BIOS) メニューが再び有効になることもありません。 DFCI の使用を停止するには、既存の DFCI プロファイルの設定を更新します。 手順の詳細については、この記事のデバイスのインベントリからの削除に関する説明を参照してください。
競合
DFCI ポリシーを作成するときに、管理する [Windows DFCI 設定] を構成します。
一部の設定は、 [マイクやスピーカー] などの論理カテゴリにあります。 [マイク] などの細かい設定もあります。 これらの設定が競合する場合、次の処理が行われます。
最初の同期試行では、きめ細かな設定 (マイク) が適用され、カテゴリ設定が非対応 (マイクとスピーカー) になります。
最初の同期後に Intune サービスと同期するたびに、次の動作がループで発生します。
- Intune は準拠していないため、カテゴリ設定 (マイクとスピーカー) を適用します。 詳細な設定 (マイク) が準拠しなくなります。
- Intune は準拠していないため、細かな設定 (マイク) を適用します。 カテゴリ設定 (マイクとスピーカー) が非対応になります。
このループ動作を回避するには、カテゴリ設定または詳細設定を構成します。
たとえば、Wi-Fi 無線のみを許可する場合などです。 このシナリオでは、次のことを行います。
- カテゴリ [ラジオ (Bluetooth、Wi-Fi、NFC など)] の設定は [未構成] のままにします。
- Wi-Fi ラジオ設定の場合は、[有効] に設定します。
- その他のすべての詳細な無線設定を [無効] に設定します。
デバイスを再利用、インベントリから削除、または復旧する
再利用する
デバイスの用途を変更するために Windows をリセットする場合は、デバイスをワイプします。 Windows Autopilot デバイス レコードは削除 しないでください 。
デバイスをワイプした後、デバイスを新しい DFCI プロファイルと Windows Autopilot プロファイルが割り当てられたグループに移動します。 デバイスを再起動して、Windows セットアップを再実行します。
破棄
デバイスをインベントリから削除して管理から解放する準備ができたら、終了状態で使用する UEFI (BIOS) の設定に DFCI プロファイルを更新します。 通常は、すべての設定を有効にします。 例:
- Intune 管理センターで、DFCI プロファイル (デバイス>デバイスの管理>構成) を開きます。
- [ローカル ユーザーが UEFI 設定を変更できるようにする] を [構成されていない設定のみ] に変更します。
- その他の設定はすべて、[未構成] に設定します。
- 設定内容を保存します。
これらの手順により、デバイスの UEFI (BIOS) メニューのロックが解除されます。 値はプロファイルと同じままになり (有効または無効)、OS の既定値には戻されません。
これで、デバイスをワイプする準備ができました。 デバイスがワイプされたら、Windows Autopilot のレコードを削除します。 レコードを削除すると、再起動してもデバイスは自動的に再登録されません。
ヒント
DFCI 登録から Surface デバイスを削除するには、「 DFCI 管理の削除」を参照してください。
復旧する
UEFI (BIOS) メニューのロックを解除する前にデバイスをワイプし、Windows Autopilot レコードを削除すると、メニューはロックされたままになります。 Intune では、プロファイルの更新を送信してロックを解除することはできません。
デバイスのロックを解除するには、UEFI (BIOS) メニューを開き、ネットワークから管理を更新します。 復旧によってメニューのロックが解除されますが、UEFI (BIOS) 設定はすべて、前の Intune DFCI プロファイルの値に設定されたままになります。
エンド ユーザーへの影響
DFCI ポリシーが適用されると、ローカル ユーザーは、UEFI (BIOS) メニューがパスワードで保護されている場合でも、DFCI によって構成された設定を変更することはできません。 構成した設定によっては、ハードウェア コンポーネントが見つからない、または診断できないというエラーがエンド ユーザーに表示される場合があります。 無効にしたオプションを説明するドキュメントをエンド ユーザーに提供します。