裝置韌體設定介面 (DFCI) 管理

有了 Windows Autopilot Deployment 和 Intune，可以在註冊裝置後管理統一可延伸韌體介面 (UEFI) 設定。 您可以使用裝置韌體設定介面 (DFCI) 來管理 UEFI 設定。 DFCI 可讓 Windows 針對已部署 Windows Autopilot 的裝置，將管理命令從 Intune 傳遞至 UEFI。 這項功能可限制使用者對 BIOS 設定的控制。 例如，可以鎖定開機選項，以防止使用者開機另一個作業系統，例如沒有相同安全性功能的作業系統。

如果使用者重新安裝舊版 Windows 版本、安裝個別作業系統或格式化硬碟，他們無法覆寫 DFCI 管理。 此功能也可以防止惡意程式碼與作業系統進程通訊，包括提升權限的作業系統進程。 DFCI 的信任鏈結會使用公開金鑰密碼編譯，而且不依賴本機 UEFI 密碼安全性。 此安全性層級會封鎖本地使用者，使其無法從裝置的 UEFI 功能表存取受管理設定。

如需 DFCI 優點、案例和需求的概觀，請參閱 裝置韌體設定介面 (DFCI) 簡介。

DFCI 管理週期

DFCI 管理生命週期包含下列程序：

• UEFI 整合。
• 裝置註冊。
• 建立個人檔案。
• 註冊。
• 管理。
• 退休。
• [復原]。

請參閱下圖：

需求

• 需要目前支援的 Windows 版本和支援的 UEFI。
• 裝置製造商必須在製造程序中將 DFCI 新增至其 UEFI 韌體，或作為可安裝的韌體更新。 與裝置廠商合作，判斷 支援 DFCI 的製造商或使用 DFCI 所需的韌體版本。
• 裝置必須使用 Microsoft Intune 進行管理。 如需詳細資訊，請參閱使用 Windows Autopilot 在 Intune 中註冊 Windows 裝置。
• 裝置必須由 Microsoft 雲端解決方案提供者 (CSP) 合作夥伴註冊 Windows Autopilot，或由 OEM 直接註冊。 對於 Surface 裝置，可在 Microsoft 裝置 Windows Autopilot 支援取得 Microsoft 註冊支援。

使用 Windows Autopilot 管理 DFCI 設定檔

使用 Windows Autopilot 管理 DFCI 設定檔有四個基本步驟：

1. 建立 Windows Autopilot 設定檔
2. 建立註冊狀態頁面設定檔
3. 建立 DFCI 設定檔
4. 指派設定檔

請參閱 建立設定檔 和 指派設定檔，然後重新啟動 以取得詳細資料。

現有的 DFCI 設定 也可以在使用中的裝置上變更。 在現有的 DFCI 設定檔中，變更設定並儲存變更。 由於已指派設定檔，因此下次裝置同步處理或裝置重新開機時，新的 DFCI 設定才會生效。

若要識別裝置是否已 DFCI 就緒，可以使用下列Intune 圖形 API呼叫：

managedDevice/deviceFirmwareConfigurationInterfaceManaged

如需詳細資訊，請參閱 Intune 裝置和應用程式 API 概觀 和 在 Microsoft Graph 中使用 Intune。

支援 DFCI 的 OEM

• 宏碁。
• 華碩。
• Dynabook。
• 富士通。
• Microsoft Surface。
• 松下。
• VAIO。
• Samsung。
• NEC。

其他 OEM 製造商正在等待中。

已知問題

Windows 11 版本 24H2 專業版的 DFCI 註冊失敗

新增日期： 2024 年 10 月 9 日 更新日期： 2025 年 2 月 11 日

目前無法在具有 Windows 11 版本 24H2 專業版的裝置上，於開箱即用體驗期間設定 DFCI (OOBE)

對於已佈建且具有 Windows 11 版本 24H2 專業版的裝置，請安裝 KB5046740 或更新版本以註冊 DFCI。 裝有已安裝 KB5046740 或更新版本的 Windows 11 版本 24H2 專業版的裝置，在重新開機後會自動在 DFCI 中註冊。

如果需要在 24H2 裝置上進行 OOBE 佈建期間設定 DFCI，請遵循下列步驟：

1. 在 OOBE 上線期間，請確保裝置已升級至 Windows 11 版本 24H2 的企業版。
2. 升級至 Windows 11 企業版版本 24H2 之後，同步裝置。
3. 裝置同步處理完成後，請重新開機以在 DFCI 中註冊。

相關內容

• Microsoft DFCI 案例。
• Windows Autopilot 與 Surface 裝置。