Использование профилей интерфейса конфигурации встроенного ПО устройства (DFCI) на устройствах с Windows в Microsoft Intune

При использовании Intune для управления устройствами Windows Autopilot вы можете управлять параметрами UEFI (BIOS) после регистрации с помощью интерфейса конфигурации встроенного ПО устройства (DFCI). Общие сведения о преимуществах, сценариях и предварительных требованиях см. в статье Обзор DFCI.

DFCI позволяет Windows передавать команды управления из Intune в UEFI (Единый расширяемый интерфейс EFI).

В Intune эту функцию можно использовать для управления параметрами BIOS. Как правило, встроенное ПО является более устойчивым к атакам злоумышленников. Это ограничивает контроль конечных пользователей над BIOS, что хорошо в скомпрометированной ситуации.

Данная функция применяется к:

• Windows в поддерживаемом UEFI

Например, вы используете клиентские устройства c Windows в безопасной среде и хотите отключить камеру. Вы можете отключить камеру на уровне прошивки, поэтому не имеет значения, чем занимается конечный пользователь. Переустановка операционной системы или очистка компьютера не приводит к включению камеры. В другом примере можно блокировать параметры загрузки, чтобы предотвратить загрузку пользователями другой ОС или более старой версии Windows, которая не имеет аналогичных функций безопасности.

При переустановке старой версии Windows, установке отдельной операционной системы или форматировании жесткого диска настройки DFCI переопределить невозможно. Эта функция может препятствовать взаимодействию вредоносных программ с процессами ОС, в том числе обладающими повышенными правами. Цепочка доверия DFCI использует шифрование с открытым ключом и не зависит от безопасности локального пароля UEFI (BIOS). Этот уровень безопасности блокирует доступ локальных пользователей к управляемым параметрам в меню UEFI устройства (BIOS).

Предварительные условия

• Производитель устройства должен добавить DFCI во встроенное ПО UEFI во время производственного процесса или предоставить его в качестве обновления встроенного ПО, которое вы устанавливаете. Обратитесь к поставщикам устройств, чтобы определить изготовителей, поддерживающих DFCI , или версию встроенного ПО, необходимую для использования DFCI.

• Партнер поставщика облачных решений (CSP) должен зарегистрировать устройство для Windows Autopilot, или OEM может зарегистрировать устройство напрямую.

  DFCI нельзя использовать с устройствами, вручную зарегистрированными для Windows Autopilot, например импортированными из CSV-файла. DFCI устроен так, что требует внешней аттестации коммерческого приобретения устройства через OEM или путем регистрации партнера Microsoft CSP в Windows Autopilot.

  После регистрации устройства его серийный номер появится в списке устройств Windows Autopilot.

  Дополнительные сведения о Windows Autopilot, в том числе требования, см. в разделе Обзор регистрации Windows Autopilot.

Создание групп безопасности Microsoft Entra

Назначьте профили развертывания Windows Autopilot группам безопасности Microsoft Entra. Следует создать группы, включающие поддерживаемые DFCI устройства. Для устройств DFCI большинство организаций могут создавать группы устройств вместо групп пользователей. Рассмотрим следующие сценарии.

• У отдела кадров есть другие устройства с Windows. По соображениям безопасности вы не хотите, чтобы произвольный пользователь в этой группе мог использовать камеру на устройствах. В этом сценарии можно создать группу "Пользователи безопасности отдела кадров", чтобы политика применялась к пользователям в группе "Отдел кадров" независимо от типа устройства.

• В производственном цехе у вас есть 10 устройств. На всех устройствах необходимо запретить загрузку с USB-устройства. В этом сценарии можно создать группу устройств безопасности и добавить в нее эти 10 устройств.

Дополнительные сведения о создании групп в Intune см. в разделе Добавление групп для организации пользователей и устройств.

Создание профилей

Чтобы использовать DFCI, создайте следующие профили и назначьте их группе.

Шаг 1. Создание профиля развертывания Windows Autopilot

Этот профиль выполняет настройку и предварительную настройку новых устройств. В следующей статье перечислены действия по созданию профиля.

• Профиль развертывания Windows Autopilot

Шаг 2. Создание профиля страницы состояния регистрации

Этот профиль гарантирует, что устройства проверены и включены для DFCI во время настройки Windows. Используйте этот профиль, чтобы заблокировать использование устройства, пока не будут установлены все приложения и профили.

В следующей статье перечислены действия по созданию профиля.

• Профиль страницы состояния регистрации

Шаг 3. Создание профиля DFCI в Intune

Этот профиль включает настраиваемые вами параметры DFCI.

1. Войдите в Центр администрирования Microsoft Intune.

2. Выберите Устройства>Управление устройствами>Конфигурация>Создать>Новая политика.

3. Укажите следующие свойства:

   • Платформа: выберите Windows 10 и более поздних версий.
   • Тип профиля: Выберите шаблоны>Интерфейс настройки встроенного ПО устройства.

4. Нажмите Создать.

5. В разделе Основные укажите следующие свойства.

   • Имя: введите описательное имя для профиля. Назначьте имена политикам, чтобы их можно было легко найти в последствии. Например, хорошее имя профиля — Windows — параметры DFCI на устройствах с Windows.
   • Описание: введите описание профиля. Этот необязательный параметр, но мы рекомендуем его использовать.

   Нажмите кнопку Далее.

6. В параметрах конфигурации настройте параметры, которыми вы хотите управлять на уровне встроенного ПО UEFI. Полный список параметров и сведения об их назначении см. в статье:

   • Параметры DFCI Windows

   Нажмите кнопку Далее.

7. В поле Теги области (необязательно) назначьте тег для фильтрации профиля по конкретным ИТ-группам, например US-NC IT Team или JohnGlenn_ITDepartment. Дополнительные сведения о тегах областей см. в статье Использование RBAC и тегов областей для распределенных ИТ-служб. Нажмите кнопку Далее.

8. В поле Назначения выберите пользователей или группу пользователей, которые будут принимать ваш профиль. Дополнительные сведения о назначении профилей см. в статье Назначение профилей пользователей и устройств. Нажмите кнопку Далее.

9. В разделе Проверка и создание проверьте параметры и выберите Создать. При выборе Создать внесенные изменения сохраняются и назначается профиль. Политика также отображается в списке профилей.

Политика будет применена при следующей синхронизации устройства.

Назначение профилей и перезагрузка

Назначьте профили группам безопасности Microsoft Entra, к которым относятся ваши устройства DFCI. Профиль можно назначить при его создании или позже.

Если на устройстве запущена программа Windows Autopilot, на странице состояния регистрации DFCI может принудительно выполнить перезагрузку. При этом первом перезапуске UEFI регистрируется в Intune.

Если вы хотите убедиться, что устройство зарегистрировано, перезапустите его еще раз. Но это не обязательно. Следуйте инструкциям изготовителя устройства, чтобы открыть меню UEFI и подтвердить, что UEFI теперь управляется.

В следующий раз, когда устройство синхронизируется с Intune, Windows получит параметры DFCI. Перезапустите устройство. При этом третьем перезапуске UEFI сможет получить параметры DFCI из Windows.

Обновление существующих параметров DFCI

Вы можете изменить существующие параметры DFCI на используемых устройствах. В существующем профиле DFCI измените параметры и сохраните изменения. Так как профиль уже назначен, новые параметры DFCI вступают в силу в следующих случаях.

1. Устройство обращается к службе Intune для проверки обновлений профилей. Обращения происходят в разное время. Дополнительные сведения см. в разделе Когда устройства получают обновления политик, профилей или приложений.
2. Чтобы применить новые параметры, перезагрузите устройство удаленно или локально.

Вы также можете приказать устройству обратиться к службе. После успешной синхронизации отправьте сигнал для перезагрузки.

Conflicts

При создании политики DFCI вы настраиваете параметры DFCI Windows, которыми нужно управлять.

Некоторые параметры находятся в логической категории, например Микрофоны и динамики. Существуют также детализированные параметры, например Микрофоны. Если эти параметры конфликтуют, происходит следующее:

• При первой попытке синхронизации применяется детализированный параметр (микрофоны), а параметр категории не соответствует требованиям (микрофоны и динамики).

• При каждой синхронизации со службой Intune после первой синхронизации выполняются следующие циклические действия.

  • Intune применяет параметр категории (микрофоны и динамики), так как он не соответствует требованиям. Детализированная настройка (микрофоны) становится несовместимой.
  • Intune применяет детализированный параметр (микрофоны), так как он не соответствует требованиям. Параметр категории ("Микрофоны и динамики") становится несовместимым.

Чтобы избежать этого циклического поведения, настройте параметр категории или детализированные параметры.

Например, вы хотите разрешить только радиосигнал Wi-Fi. В этом сценарии вы:

• Оставите для параметра Радио (Bluetooth, Wi-Fi, NFC и т. д.) значение Не настроено.
• Для параметра радиосигнала Wi-Fi установите значение Включить.
• Для всех остальных детализированных параметров радиосигналов установите значение Отключено.

Повторное использование, снятие с учета или восстановление устройства

Повторное использование

Если вы планируете сбросить настройки Windows для изменения назначения устройства, используйте очистку устройства. Не удаляйте запись устройства Windows Autopilot.

После очистки устройства переместите его в группу, которой назначены новые профили DFCI и Windows Autopilot. Перезагрузите устройство, чтобы повторно запустить программу установки Windows.

Прекращение использования

Когда вы будете готовы прекратить использование устройства и освободить его от управления, обновите профиль DFCI, задав параметры UEFI (BIOS), которые нужны вам после выхода. Обычно требуется, чтобы все параметры были включены. Например:

1. В Центре администрирования Intune откройте профиль DFCI (Устройства>, управлениеконфигурациейустройств>).
2. Измените параметр Разрешить локальному пользователю изменять параметры UEFI (BIOS), задав значение Только ненастроенные параметры.
3. Задайте для всех остальных параметров значение Не настроено.
4. Сохраните заданные параметры.

Эти действия разблокируют меню UEFI устройства (BIOS). Значения остаются теми же, что и для профиля (Включено или Отключено) и не возвращаются к значениям ОС по умолчанию.

Теперь все готово для очистки устройства. После очистки устройства удалите запись Windows Autopilot. Удаление записи предотвращает автоматическую повторную регистрацию устройства при перезагрузке.

Восстановление

При очистке устройства и удалении записи Windows Autopilot до разблокировки меню UEFI (BIOS) меню остаются заблокированными. Intune не может отправить обновления профиля, чтобы разблокировать его.

Чтобы разблокировать устройство, откройте меню UEFI (BIOS) и обновите функцию управления по сети. При восстановлении меню будет разблокировано, но при этом у всех параметров UEFI (BIOS) останутся значения, указанные для предыдущего профиля DFCI в Intune.

Воздействие на пользователей

При применении политики DFCI локальные пользователи не могут изменять параметры, настроенные DFCI, даже если меню UEFI (BIOS) защищено паролем. В зависимости от настроенных параметров конечные пользователи могут получать сообщения об ошибках, связанных с тем, что аппаратные компоненты не найдены или не могут быть диагностированы. Предоставьте конечным пользователям документацию с объяснением отключенных параметров.

Статьи по теме

• Назначение профиля
• Отслеживание состояния профиля