Gerenciar DFCI em dispositivos Surface

  • Aplica-se a: Windows 10, Windows 11

Introdução

Com os perfis da Interface de Configuração de Firmware do Dispositivo (DFCI) integrados ao Microsoft Intune, o gerenciamento UEFI do Surface estende a pilha de gerenciamento moderna até o nível de hardware da Interface Unificada de Firmware Extensível (UEFI). A DFCI dá suporte ao provisionamento sem toque, elimina as senhas do BIOS, fornece controle das configurações de segurança, incluindo opções de inicialização e periféricos internos, e estabelece as bases para cenários de segurança avançados no futuro. Esta página lista todas as configurações de política DFCI em dispositivos Surface implantados pelo Autopilot qualificados.

Projetada para ser usada com o MDM (gerenciamento de dispositivo móvel) no nível de software, a DFCI permite que os administradores de TI desabilitem remotamente componentes de hardware específicos e impeçam que os usuários finais os acessem. Por exemplo, se você precisar proteger informações confidenciais em áreas altamente seguras, poderá desabilitar a câmera e, se não quiser que os usuários inicializem a partir de unidades USB, você também poderá desabilitar isso.

Dica

O suporte para algumas configurações de política DFCI varia de acordo com o dispositivo. Examine a referência de configurações de política DFCI nesta página e siga as instruções do Intune para definir e implantar configurações em seus dispositivos.

Pré-requisitos

Observação

Dispositivos registrados manualmente ou automaticamente para o Autopilot, como importados de um arquivo CSV, não têm permissão para usar DFCI. Por padrão, o gerenciamento da DFCI requer um atestado externo da aquisição comercial do dispositivo por meio de um parceiro Microsoft CSP ou registro do Surface.

Referência de configurações de política DFCI para dispositivos Surface

Dispositivos qualificados

A menos que especificado de outra forma, os dispositivos listados são apenas SKUs comerciais.

Tipo de dispositivo Modelos
Surface Pro Pro 12ª Edição (Snapdragon)
12ª Edição do Pro for Business (Intel)
Pro for Business 1ª Edição de 12 polegadas
Pro for Business 11ª Edição (Intel)
Pro com 5G 11ª Edição (Snapdragon)
Pro 11ª Edição (Snapdragon)
Pro 10 com 5G para Empresas
Pro 10
Pro 9 com 5G (SQ3)
Pro 9 (Intel)
Pro 8
Pro 7+
Pro 7 (todas as SKUs)
Pro X (todas as SKUs)
Surface Laptop Laptop 8ª Edição (Snapdragon)
Laptop for Business 8ª Edição (Intel)
Laptop for Business 1ª Edição de 13 polegadas (Intel)
Laptop para Empresas 13 polegadas 1ª Edição (Snapdragon)
Laptop 5G for Business 7ª Edição (Intel)
Laptop para Empresas 7ª Edição (Intel)
Laptop 7ª Edição (Snapdragon)
Laptop 6
Laptop 5
Laptop 4
Laptop 3 (somente processadores Intel)
Laptop Studio (todas as gerações)
Laptop Go
Laptop Go 2
Laptop Go 3
Laptop SE
Surface Hub Hub 3
Other Livro 3
Vai 3
Vai 4
Estúdio 2+

Observação

O Surface Pro X não dá suporte ao gerenciamento de configurações DFCI para câmera interna, áudio e Wi-Fi/Bluetooth. Algumas configurações mais recentes só têm suporte nos dispositivos mais recentes.

Tabela 1. Referência de configurações de política DFCI: Dispositivos Surface implantados no piloto automático

Configuração DFCI Descrição Compatível em
Acesso UEFI
Permitir que o usuário local altere as configurações de UEFI (BIOS) Essa configuração permite gerenciar se os usuários finais podem modificar as configurações de UEFI em dispositivos qualificados.

- Se você selecionar Somente configurações não definidas, os usuários locais (também conhecidos como usuários finais) poderão alterar qualquer configuração de UEFI, exceto as configurações que você habilitou ou desabilitou explicitamente por meio do Intune.
- Se você selecionar Nenhum, os usuários locais não poderão alterar as configurações da UEFI, incluindo as configurações não mostradas no perfil DFCI.		 Todos os dispositivos qualificados
Configurações de segurança
Multithreading simultâneo Essa configuração permite gerenciar se o suporte a multithreading simultâneo (SMT) está habilitado em dispositivos qualificados. O SMT é compatível com a tecnologia Intel hyperthreading, que fornece dois processadores lógicos para cada núcleo físico.

- Se você habilitar essa configuração, o SMT será ativado na camada UEFI.
- Se você desabilitar essa configuração, o SMT será desativado na camada UEFI.
- Se você não definir essa configuração, o SMT será habilitado.		 Todos os dispositivos qualificados
Câmeras
Câmeras Essa configuração permite gerenciar se a câmera embutida pode funcionar em dispositivos qualificados.

- Se você habilitar essa configuração, todas as câmeras integradas serão permitidas. Periféricos, como câmeras USB, não são afetados.
- Se você desabilitar essa configuração, todas as câmeras embutidas serão desabilitadas. Periféricos, como câmeras USB, não são afetados.
- Se você não definir essa configuração, todas as câmeras integradas serão habilitadas.		 - Sem suporte no Surface Pro X.
- Compatível com o Surface Pro 9 com 5G e todos os outros dispositivos qualificados.
Câmera Frontal Essa configuração permite gerenciar se a câmera frontal pode funcionar em dispositivos qualificados.

- Se você habilitar essa configuração, a câmera frontal será permitida. Periféricos, como câmeras USB, não são afetados.
- Se você desabilitar essa configuração, a câmera frontal será desabilitada. Periféricos, como câmeras USB, não são afetados.
- Se você não definir essa configuração, a câmera frontal será ativada.		 - Sem suporte no Surface Pro X.
- Compatível com o Surface Pro 9 com 5G e todos os outros dispositivos qualificados.
Câmera Traseira Essa configuração permite gerenciar se a câmera traseira pode funcionar em dispositivos qualificados.

- Se você ativar essa configuração, a câmera traseira será permitida. Periféricos, como câmeras USB, não são afetados.
- Se você desabilitar essa configuração, a câmera traseira será desativada. Periféricos, como câmeras USB, não são afetados.
- Se você não definir essa configuração, a câmera traseira será permitida.		 - Sem suporte no Surface Pro X.
- Compatível com o Surface Pro 9 com 5G e todos os outros dispositivos qualificados.
Câmera de infravermelho (IV) Essa configuração permite gerenciar se a câmera de infravermelho pode funcionar em dispositivos qualificados.

- Se você ativar essa configuração, a câmera infravermelha será permitida. Periféricos, como câmeras USB, não são afetados.
- Se você desabilitar essa configuração, a câmera infravermelha será desabilitada. Periféricos, como câmeras USB, não são afetados.
- Se você não definir essa configuração, a câmera infravermelha será permitida.		 - Sem suporte no Surface Pro X.
- Compatível com o Surface Pro 9 com 5G e todos os outros dispositivos qualificados.
Microfones e alto-falantes
Microfones e alto-falantes Essa configuração permite gerenciar se o áudio integrado pode funcionar em dispositivos qualificados.

- Se você habilitar essa configuração, todos os microfones e alto-falantes integrados serão permitidos. Periféricos, como dispositivos USB, não são afetados.
- Se você desabilitar essa configuração, todos os microfones e alto-falantes internos serão desabilitados. Periféricos, como dispositivos USB, não são afetados.
- Se você não definir essa configuração, os microfones e os alto-falantes serão habilitados.		 - Sem suporte no Surface Pro X.
- Compatível com o Surface Pro 9 com 5G e todos os outros dispositivos qualificados.
Microfones Essa configuração permite gerenciar se o microfone embutido pode funcionar em dispositivos qualificados. - Se você habilitar essa configuração, todos os microfones integrados serão habilitados. Periféricos, como dispositivos USB, não são afetados.
- Se você desabilitar essa configuração, todos os microfones embutidos serão desabilitados. Periféricos, como dispositivos USB, não são afetados.
- Se você não definir essa configuração, os microfones serão habilitados.		 - Sem suporte no Surface Pro X.
- Compatível com o Surface Pro 9 com 5G e todos os outros dispositivos qualificados.
Rádios
Rádios (Bluetooth, Wi-Fi, NFC, etc.) Essa configuração permite gerenciar se o Bluetooth, Wi-Fi ou 5G sem fio interno pode funcionar em dispositivos qualificados.

- Se você habilitar essa configuração, todos os rádios integrados serão permitidos. Periféricos, como dispositivos USB, não são afetados.
- Se você desabilitar essa configuração, todos os rádios integrados serão desabilitados. Periféricos, como dispositivos USB, não são afetados.
- Se você não definir essa configuração, todos os rádios integrados serão habilitados.

DICA: Defina a configuração de categoria Rádios (Bluetooth, Wi-Fi, NFC, etc.) ou as configurações granulares Bluetooth, Wi-Fi. Se você definir todas as configurações, elas poderão causar um conflito. Para obter mais informações, acesse Visão geral do perfil DFCI: Conflitos.

ATENÇÃO: A configuração Desabilitar só deve ser usada em dispositivos com uma conexão Ethernet com fio.		 - Sem suporte no Surface Pro X.
- Compatível com todos os outros dispositivos qualificados.
Bluetooth Essa configuração permite gerenciar se o Bluetooth interno pode funcionar em dispositivos qualificados.

- Se você habilitar essa configuração, o Bluetooth será ativado.
- Se você desabilitar essa configuração, o Bluetooth será desabilitado.
- Se você não definir essa configuração, o Bluetooth estará ativado.		 - Sem suporte no Surface Pro X.
- Compatível com o Surface Pro 9 com 5G e todos os outros dispositivos qualificados.
WWAN Essa configuração permite que você gerencie se o WWAN interno (5G sem fio) pode funcionar em dispositivos qualificados

- Se você habilitar essa configuração, o WWAN será habilitado.
- Se você desabilitar essa configuração, o WWAN será desabilitado.
- Se você não definir essa configuração, o WWAN estará habilitado.		 - Sem suporte no Surface Pro X.
- Compatível com o Surface Pro 9 com 5G e todos os outros dispositivos qualificados.
Wi-Fi Essa configuração permite gerenciar se os Wi-Fi internos podem funcionar em dispositivos qualificados

- Se você habilitar essa configuração, Wi-Fi será habilitado.
- Se você desabilitar essa configuração, Wi-Fi será desabilitada.
- Se você não definir essa configuração, Wi-Fi será habilitado.		 - Sem suporte no Surface Pro X.
- Compatível com o Surface Pro 9 com 5G e todos os outros dispositivos qualificados.
Opções de inicialização
Inicialização a partir de mídia externa (USB, SD) Essa configuração permite gerenciar se os dispositivos qualificados podem ser inicializados a partir de mídia externa.

- Se você habilitar essa configuração, os usuários finais poderão inicializar o dispositivo a partir de unidades flash USB ou outras tecnologias de armazenamento que não sejam de disco rígido.
- Se você desabilitar essa configuração, os usuários finais não poderão inicializar o dispositivo por meio de unidades flash USB ou outras tecnologias de armazenamento que não sejam de disco rígido.
- Se você não definir essa configuração, os usuários finais poderão inicializar o dispositivo por meio de unidades flash USB ou outras tecnologias de armazenamento que não sejam de disco rígido.		 Todos os dispositivos qualificados
Portas
USB tipo A Essa configuração permite gerenciar como os dispositivos podem utilizar as conexões USB-A.

- Se você habilitar essa configuração, as conexões de dados USB-A poderão funcionar em dispositivos qualificados.
- Se você desabilitar essa configuração, as conexões de dados USB-A não poderão funcionar em dispositivos qualificados.

- Se você não definir essa configuração, as conexões de dados USB-A poderão funcionar em todos os dispositivos.

ATENÇÃO: Se você desabilitar a inicialização a partir de mídia externa e USB tipo A, e o dispositivo se tornar inbootável por qualquer motivo, você não poderá recuperar o dispositivo sem substituir o SSD. Você não poderá inicializar a partir de uma mídia externa e executar uma inicialização PXE ou atualização DFCI da rede.		 Com suporte apenas no Surface Laptop Go 2 e posterior (dispositivos lançados após 1º de junho de 2022).
Configurações de ativação
Wake-on-LAN Essa configuração permite gerenciar se os dispositivos qualificados podem ser iniciados remotamente a partir do Modo de Espera Moderno ou da Hibernação.

- Se você habilitar essa configuração, os dispositivos qualificados poderão ser configurados para Wake-on-LAN remotamente.
- Se você desabilitar essa configuração, os dispositivos qualificados não poderão ser configurados para ativar remotamente na LAN.
- Se você não definir essa configuração, os dispositivos qualificados poderão ser configurados para ativar remotamente na LAN.		 Com suporte apenas no Surface Laptop Go 2 e posterior (dispositivos lançados após 1º de junho de 2022).
Despertar na energia Essa configuração permite que você gerencie se os dispositivos qualificados podem ser iniciados automaticamente a partir dos estados de hibernação ou desligados quando conectados à energia.

- Se você habilitar essa configuração, os dispositivos Surface qualificados poderão ser configurados para iniciar automaticamente quando conectados à energia.
- Se você desabilitar essa configuração, os dispositivos Surface qualificados não poderão ser configurados para iniciar automaticamente quando conectados à energia.
- Se você não definir essa configuração, os dispositivos Surface qualificados não poderão ser configurados para iniciar automaticamente quando reconectados à energia.		 Com suporte apenas no Surface Laptop Go 2 e posterior (dispositivos lançados após 1º de junho de 2022).

Observação

A DFCI no Intune inclui configurações que atualmente não se aplicam aos dispositivos Surface: virtualização de CPU e E/S, desabilitar inicialização de adaptadores de rede, WPBT (Tabela Binária da Plataforma Windows), NFC e card SD.

Introdução

  1. Entre no seu locatário em intune.microsoft.com.

  2. No Centro de administração do Microsoft Intune, selecione Perfis > de configuração de dispositivos > Criar perfil.

  3. Em Plataforma, selecione Windows 10 e posterior.

  4. Em Tipo de perfil, selecione Modelos>de Interface de Configuração de Firmware do Dispositivo e, em seguida, selecione Criar.

    Iniciar a criação de perfil DFCI

  5. Consulte Usar perfis DFCI em dispositivos Windows no Microsoft Intune para obter instruções completas, incluindo:

    • Criar seus grupos de segurança do Microsoft Entra
    • Criar os perfis
    • Atribuir os perfis e reiniciar
    • Atualizar configurações DFCI existentes
    • Reutilizar, desativar ou recuperar o dispositivo

Impedir que os usuários alterem as configurações de UEFI

Para muitos clientes, a capacidade de impedir que os usuários alterem as configurações de UEFI é extremamente importante e um dos principais motivos para usar a DFCI. Conforme listado acima na Tabela 1, essa funcionalidade é gerenciada por meio da configuração Permitir que o usuário local altere as configurações de UEFI. Se você não editar ou definir essa configuração, o usuário local poderá alterar qualquer configuração de UEFI não gerenciada pelo Intune. Portanto, é altamente recomendável definir Permitir que o usuário local altere as configurações de UEFI como Nenhum.

Bloquear o acesso do usuário para alterar as configurações de UEFI

Verificar as configurações de UEFI em dispositivos gerenciados por DFCI

Em um ambiente de teste, você pode verificar as configurações na interface UEFI do Surface.

  1. UEFI de Superfície Aberta:

    • Pressione e segure o botão de aumentar o volume no Surface e, ao mesmo tempo, pressione e solte o botão liga/desliga.
    • Quando você vir o logotipo do Surface, libere o botão de aumentar o volume. O menu UEFI será exibido em alguns segundos.

  2. Selecione dispositivos. O menu UEFI refletirá as configurações definidas, conforme mostrado na figura a seguir.

    UEFI do Surface.

    Observação

    • As configurações estão esmaecidas (inativas) porque Permitir que o usuário local altere a configuração UEFI está definido como Nenhum.
    • O áudio integrado está desativado porque a política de microfones e alto-falantes está definida como Desabilitada.

Remover configurações de política DFCI

Quando você cria um perfil DFCI, todas as configurações definidas permanecerão em vigor em todos os dispositivos dentro do escopo de gerenciamento do perfil. Você só pode remover as configurações de política DFCI editando o perfil DFCI diretamente. Se o perfil DFCI original tiver sido excluído, crie um novo perfil e edite as configurações apropriadas.

Remoção do gerenciamento DFCI

Para remover o gerenciamento DFCI e retornar o dispositivo ao novo estado de fábrica:

  1. Remova o dispositivo do Intune:
    1. Em Microsoft Intune no intune.microsoft.com, escolha Devices>All Devices.
    2. Selecione o dispositivo que você deseja desativar e escolha Desativar/Apagar. Para saber mais, consulte Remover dispositivos usando o apagamento, desativar ou cancelar manualmente o registro do dispositivo.
  2. Exclua o registro do Autopilot do Intune:
    1. Escolha Dispositivos > Registro Dispositivos > do Windows Autopilot>.
    2. Em Dispositivos do Windows Autopilot, escolha os dispositivos que você deseja excluir e, em seguida, escolha Excluir.
  3. Conecte o dispositivo à Internet com fio com um adaptador ethernet da marca Surface. Reinicie o dispositivo e abra o menu UEFI (pressione e segure o botão de aumentar o volume enquanto também pressiona e solta o botão liga/desliga).
  4. Selecione Gerenciamento > Configurar > Atualizar da Rede.

Para gerenciar o dispositivo com o Intune, mas sem o gerenciamento DFCI, registre-o no Autopilot e registre-o no Intune. DFCI não será aplicado a dispositivos auto-registrados.

Saiba mais

  • Last updated on