Surface DFCI対象機種に最新Surface Pro・Laptop追加｜Intune導入条件と注意点

Surface DFCI／Microsoft Intuneに関する今回の変更は、最新のSurface ProおよびSurface LaptopがDFCIの対象機種一覧に明記されたというものです。すべてのIntune管理者に一律の設定変更が必要になるわけではありません。

対応が必要なのは、主に2026年発売のSurfaceを新規導入し、IntuneからUEFI設定を管理したい組織です。導入前には、対象モデルであることだけでなく、商用SKU、対応OS、Windows Autopilotの登録経路、Intuneへの登録方法を確認しなければなりません。特に、CSVを使って手動でAutopilot登録した端末ではDFCIを利用できない点が重要です。(Microsoft Learn)

本稿では、2026年7月9日に確認された対象機種拡充を中心に解説します。なお、Microsoft Learnの英語版ページはその後も更新されており、現在は2026年7月14日が最終更新日として表示されています。(Microsoft Learn)

Surface DFCIの対象機種一覧に最新Surfaceが追加

Microsoftの現行DFCI対象機種表には、2026年に投入された最新のSurface ProおよびSurface Laptopが掲載されています。

対象機種表とSurfaceの対応OS情報を突き合わせると、最新世代で特に確認すべきモデルは次のとおりです。(Microsoft Learn)

製品ファミリー	DFCI対象表に記載されたモデル	プロセッサー	最小サポートOS
Surface Pro	Surface Pro 12th Edition	Snapdragon	Windows 11 Version 26H1、ビルド28000以降
Surface Pro	Surface Pro for Business 12th Edition	Intel	Windows 11 Version 24H2、ビルド26100以降
Surface Laptop	Surface Laptop 8th Edition	Snapdragon	Windows 11 Version 26H1、ビルド28000以降
Surface Laptop	Surface Laptop for Business 8th Edition	Intel	Windows 11 Version 24H2、ビルド26100以降
Surface Laptop	Surface Laptop for Business 13-inch 1st Edition	Intel	Windows 11 Version 24H2、ビルド26100以降

Surface Pro for Business 12th Edition、Surface Laptop for Business 8th Edition、Surface Laptop for Business 13-inch 1st Editionは2026年5月19日、Snapdragon搭載のSurface Pro 12th EditionとSurface Laptop 8th Editionは2026年6月16日にリリースされたモデルです。今回の対象機種表更新により、最新世代を含む導入計画でもDFCIの利用可否を公式情報から判断しやすくなりました。(Microsoft Learn)

「for Business」が付かないモデル名にも注意

DFCI対象表では「Surface Pro 12th Edition」や「Surface Laptop 8th Edition」と記載されており、モデル名だけを見ると個人向け製品も対象に見えます。

しかし、公式ページには、特に指定がない限り対象機種は商用SKUのみと明記されています。一般向け量販店や個人向けMicrosoft Storeで購入した製品が、同じモデル名だからという理由だけでDFCIを利用できるとは限りません。(Microsoft Learn)

調達時には、次の3点を販売店やCSPに確認する必要があります。

購入する製品が商用SKUであるか
DFCIをサポートするモデルおよびファームウェアであるか
OEMまたはCSPによるWindows Autopilot登録が含まれるか

今回の変更はIntuneの新機能追加ではない

今回の中心は、Microsoft Intune管理センターに新しいDFCI設定が追加されたことではなく、DFCIを利用できるSurfaceの対象機種一覧が最新世代に対応したことです。

そのため、既存のSurface Pro 10やSurface Laptop 6などでDFCIを運用している組織に、直ちに既存プロファイルの変更が求められるものではありません。新しいSurfaceを追加する場合は、既存のDFCIプロファイルの割り当て先や、機種ごとの設定サポート状況を再確認します。(Microsoft Learn)

また、対象機種に追加されたからといって、DFCIが自動的に有効になるわけではありません。Intune、Windows Autopilot、Microsoft Entra IDのグループ、DFCIプロファイルを適切に構成する必要があります。

Surface DFCIで管理できること

DFCIは「Device Firmware Configuration Interface」の略です。Microsoft IntuneからSurfaceのUEFIに管理コマンドを渡し、OSより下のファームウェア層で設定を制御します。

一般的なWindows構成プロファイルとは異なり、Windowsを再インストールしたり、ディスクを初期化したりしても、DFCIで管理された設定は簡単には解除されません。公開鍵暗号を利用した信頼チェーンで管理され、従来のローカルBIOSパスワードに依存しない仕組みになっています。(GitHub)

Surfaceでは、主に次のような制御が可能です。

エンドユーザーによるUEFI設定変更の禁止
内蔵カメラの有効化・無効化
内蔵マイクやスピーカーの制御
Wi-Fi、Bluetooth、WWANなどの無線機能の制御
USBやSDカードなど外部メディアからの起動制限
対応機種でのUSB-Aデータ通信の制御
Wake-on-LANやWake-on-Powerの制御
SMT、いわゆるハイパースレッディングの制御

たとえば、機密情報を扱う執務室では内蔵カメラやマイクをファームウェアレベルで無効化できます。製造現場や窓口端末では、USBメモリから別のOSを起動できないようにする運用が考えられます。(Microsoft Learn)

ただし、IntuneのDFCIプロファイルに表示されるすべての設定がSurfaceで使えるわけではありません。Microsoftは、CPU／I/O仮想化、ネットワークアダプターからの起動禁止、WPBT、NFC、SDカードに関する一部設定について、現在のSurfaceには適用されないと案内しています。(Microsoft Learn)

対象ユーザーと対応要否

今回の情報を受けて対応すべきかどうかは、Surfaceの導入状況とDFCIの利用目的で判断できます。

利用状況	対応要否	実施すること
最新のSurface Pro／Laptopを新規導入し、DFCIを使う	対応が必要	SKU、OS、Autopilot登録経路、Intuneプロファイルを確認
既存のDFCI対応Surfaceだけを継続利用する	原則として緊急対応不要	既存プロファイルと運用手順を継続
最新Surfaceを導入するが、DFCIを使わない	緊急対応不要	通常のIntune登録とセキュリティ設計を確認
CSVでAutopilot端末を手動登録している	登録方法の見直しが必要	OEMまたはCSP経由の登録に変更
個人向け・量販店モデルを購入予定	事前確認が必要	商用SKUとDFCI対応可否を販売元へ確認
カメラや外部起動をファームウェア層で制限したい	導入検討の価値が高い	小規模な検証グループでDFCIを試行

DFCIを使わず、Windows上の構成プロファイルだけで管理している組織には、今回の対象機種表更新による直接的な影響はありません。ただし、端末の持ち出し、別OSからの起動、内蔵機器の利用制限が課題になっている場合は、DFCIの導入を検討する機会になります。

DFCIを利用するための提供条件

対応Surfaceと商用SKUが必要

最初に確認するのは、対象モデル名とSKUです。Surfaceの製品名が対象表にあっても、個人向けSKUと商用SKUでは調達経路や登録条件が異なります。

資産台帳には「Surface Laptop」だけでなく、次の項目まで記録しておくと確認しやすくなります。

正式なモデル名
プロセッサーがIntelかSnapdragonか
画面サイズ
商用SKUか個人向けSKUか
Windowsのエディションとバージョン
Windows Autopilotの登録元
シリアル番号

特にSurface ProとSurface Laptopは、同じ世代名でもIntel版とSnapdragon版で最小サポートOSが異なります。

Windows AutopilotはOEMまたはCSP登録が必須

DFCIでは、端末が正規の商用調達品であることを外部から証明するため、Windows Autopilotへの登録方法が制限されています。

次の登録方法が必要です。

デバイスメーカーによるAutopilotへの直接登録
Microsoft Cloud Solution ProviderによるPartner Center経由の登録
Surface向けのMicrosoft登録サポートを利用した登録

一方、管理者がハードウェアハッシュを取得し、CSVファイルをIntuneへインポートした端末ではDFCIを利用できません。通常のAutopilot展開が成功していても、DFCIの要件は満たさないため注意が必要です。(GitHub)

調達仕様書や販売店への発注条件には、次のような記載を入れておくと行き違いを防げます。

納入する端末は、OEMまたはMicrosoft CSPによるWindows Autopilotへの事前登録を行うこと。管理者によるCSVインポートではなく、DFCIの外部構成証明要件を満たす登録方式とすること。

端末を購入した後で登録方式の問題が判明すると、DFCIを前提としたセキュリティ設計を実現できない可能性があります。機種選定時ではなく、見積もり依頼の段階で登録経路を確認することが重要です。

Microsoft Intuneで管理する必要がある

DFCIはMicrosoft Intuneの構成プロファイルとして作成します。基本的な構成は次の4段階です。

Windows Autopilot展開プロファイルを作成する
登録状態ページのプロファイルを作成する
DFCIプロファイルを作成する
対象となるMicrosoft Entraセキュリティグループへ割り当てる

登録状態ページは、Windowsの初期セットアップ中に端末がDFCI対応であることを確認し、必要なプロファイルが適用されるまで端末の使用を制御するために利用されます。(GitHub)

ハードウェア単位で設定を管理する場合は、ユーザーグループよりもデバイスグループを利用した方が対象を把握しやすくなります。たとえば、「最新Surface検証用」「機密区域用Surface」「窓口端末用」といったデバイスグループに分ける方法が実務的です。

Microsoft IntuneでDFCIを導入する手順

いきなり全端末へ展開せず、少数の検証端末から進めます。

手順	実施内容	完了の判断基準
対象端末を整理	モデル、SKU、CPU、OS、シリアル番号を確認	公式対象表と一致している
登録経路を確認	OEMまたはCSPのAutopilot登録を確認	IntuneのAutopilot端末一覧に表示される
検証グループを作成	数台の端末だけを専用グループへ追加	本番端末が含まれていない
Autopilotと登録状態ページを設定	初期展開用プロファイルを割り当て	OOBEで正常にプロファイルを取得する
DFCIプロファイルを作成	必要最小限のUEFI設定を構成	設定値と影響範囲をレビュー済み
プロファイルを割り当て	検証グループだけに割り当て	Intuneで割り当て状態を確認できる
同期と再起動を実施	Intune同期後に端末を再起動	UEFIへ設定が反映される
端末上で確認	Surface UEFIとWindows上の動作を確認	設定が変更不可または機器が無効化されている
本番展開	部門や用途ごとに段階展開	問い合わせ・障害件数を監視できる

DFCIプロファイルは、Intune管理センターの［デバイス］から構成ポリシーを作成し、プラットフォームに［Windows 10以降］、プロファイルの種類に［テンプレート］、テンプレートに［Device Firmware Configuration Interface］を選択します。管理センターの更新によりメニュー名や階層が変わる場合があります。(GitHub)

AutopilotのOOBE中には、UEFIをIntuneへ登録するための再起動が発生することがあります。その後、Intuneとの同期でDFCI設定を受信し、UEFIへ反映するために再度の再起動が必要です。プロファイルの割り当てが正常でも、再起動前は設定が反映されていない場合があります。(GitHub)

大規模環境では、Microsoft Graphの次のプロパティを利用して、端末がDFCI管理状態か確認できます。

managedDevice/deviceFirmwareConfigurationInterfaceManaged

(Microsoft Learn)

最初に設定するDFCIポリシーの考え方

DFCIは強力ですが、最初から多くの項目を無効化すると、障害時の復旧や利用者の業務に影響します。初回展開では、目的が明確な設定だけを構成します。

設定	主な目的	導入時の注意点
ローカルユーザーによるUEFI変更を許可しない	利用者による設定変更を防止	管理解除・廃棄手順を先に作成する
外部メディアからの起動を無効化	USBからの別OS起動を防止	障害復旧用の起動手段を確認する
内蔵カメラを無効化	機密区域での撮影防止	USB接続の外付けカメラは対象外
内蔵マイクを無効化	会話や機密情報の録音防止	会議や音声入力への影響を確認する
Wi-FiやBluetoothを無効化	無線通信を制限	有線接続で管理を継続できることを確認する
USB-Aを無効化	USB機器や記憶媒体の利用制限	外部起動禁止との併用は復旧リスクが高い

Microsoftは、ローカルユーザーによるUEFI設定変更を禁止したい場合、［Allow local user to change UEFI settings］を［None］にすることを推奨しています。設定しなかった項目についても利用者による変更を禁止できるため、管理の一貫性を保ちやすくなります。(Microsoft Learn)

一方、無線機能をまとめて無効化する設定は、有線イーサネット接続を確保できる端末でのみ使用すべきとされています。Wi-Fiを無効化した結果、Intuneとの通信手段まで失わないようにしてください。(Microsoft Learn)

また、対応機種で外部メディアからの起動とUSB-Aを両方無効化すると、Windowsが起動不能になった際に通常の外部メディアやネットワーク経由で回復できなくなる可能性があります。Microsoftは、状況によってはSSD交換なしで復旧できなくなると警告しています。(Microsoft Learn)

導入時に失敗しやすいポイント

対象機種ならどの購入経路でも使えると思い込む

DFCIの利用可否は、モデル名だけでは決まりません。商用SKUであることに加え、OEMまたはCSPによるAutopilot登録が必要です。

量販店で購入した端末を後からCSV登録する運用では、DFCI要件を満たせない可能性があります。

カテゴリ設定と個別設定を同時に構成する

DFCIには「無線機能全体」と「Wi-Fi」「Bluetooth」のように、カテゴリ設定と個別設定が併存する項目があります。

両方に矛盾する値を指定すると、Intuneとの同期ごとに一方が非準拠となり、設定が交互に適用されるループが発生します。カテゴリ設定を使うか、個別設定を使うかを決めてください。(GitHub)

プロファイルを削除すれば設定が元に戻ると思う

DFCIプロファイルを削除したり、端末を割り当てグループから外したりしても、UEFI設定は自動的には解除されません。

運用を終了するときは、既存のDFCIプロファイルでUEFI設定を解除可能な状態に変更し、端末へ同期させてからワイプやAutopilot登録の削除を行います。先にAutopilot登録を削除すると、Intuneから解除設定を送信できず、UEFIメニューがロックされたままになる場合があります。(GitHub)

再起動せずに適用結果を判断する

DFCIの設定変更は、Intuneへのチェックインだけで完了するとは限りません。同期後に端末を再起動し、UEFIへ設定を反映させる必要があります。

「Intuneでは成功になっているが、端末では設定が変わらない」という場合は、割り当て、同期、再起動の順序を確認します。(GitHub)

全端末へ一括で適用する

DFCIはOSより下のハードウェア設定を変更します。設定内容によっては、OSの再イメージだけでは復旧できません。

Microsoftも、DFCIプロファイルの構成と割り当てによって端末を修復困難な状態にする可能性があると警告しています。必ず検証端末で、適用だけでなく解除、再利用、廃棄、ネットワーク回復まで確認してください。(GitHub)

導入前チェックリスト

最新SurfaceでDFCIを使う場合は、次の項目を確認します。

[ ] 正式なSurfaceモデル名とプロセッサーを確認した
[ ] 商用SKUであることを確認した
[ ] MicrosoftのDFCI対象機種表に掲載されている
[ ] 機種別の最小サポートOSを満たしている
[ ] 最新のSurfaceドライバーとファームウェアを適用できる
[ ] OEMまたはCSPによるAutopilot登録が行われる
[ ] CSVによる手動登録ではない
[ ] Intune用のデバイスグループを作成した
[ ] Autopilot展開プロファイルと登録状態ページを用意した
[ ] DFCI設定同士に競合がない
[ ] 有線接続や外部起動などの復旧手段を確認した
[ ] DFCIを解除して端末を廃棄・譲渡する手順を作成した
[ ] 少数の検証端末で適用と解除を試験した
[ ] 利用者への影響と問い合わせ対応を整理した

対応判断は調達・登録経路から始める

今回のSurface DFCI対象機種拡充により、2026年世代のSurface ProとSurface Laptopも、Microsoft Intuneを使ったファームウェア管理の候補にできます。

ただし、対象表にモデル名が載ったことだけで導入条件を満たすわけではありません。最初に確認すべきなのは、商用SKUか、対応OSか、OEMまたはCSPによるAutopilot登録が可能かの3点です。

最新Surfaceを導入予定の組織は、販売店へAutopilot登録方式を確認し、数台の検証グループでDFCIの適用、再起動、解除、障害復旧まで試験してください。最新モデルを導入せず、既存の対応Surfaceだけを継続利用する組織では、通常は緊急のプロファイル変更は不要です。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

Surface DFCI対象機種に最新Surface Pro・Laptop追加｜Intune導入条件と注意点