HOWTO: 通过 WSUS 推送 Surface 驱动程序
HOWTO: 通过 WSUS 推送 Surface 驱动程序
我们知道 Microsoft 为 Surface 设备提供了灵活的驱动部署支持，可以下载和安装标准的 MSI 驱动程序安装包，也可以将 MSI 展开导入到 WDS 或 MDT 做标准化部署使用。此外，还可以通过 Windows Update 来更新和安装驱动，默认情况下当在 Surface 上安装完系统后无线网卡是会被自动识别和驱动的，这样后续便可以通过 Windows Update 来更新和安装驱动。
如果企业 IT 人员需要对 Surface 设备进行统一的驱动程序管理，如审计推送 Surface 驱动程序，那么可以利用基于 Windows Server 2016 的 WSUS 来实现这一需求。只需要确保在“产品”和“分类”勾选相关的选项即可，如下图所示：
在产品列表中确认勾选：
- Windows 10 and later drivers
- Windows 10 and later upgrade & servicing drivers
其中后者表示用于动态更新的驱动，这在执行 Windows 10 升级时是十分必要的。
在分类列表中勾选：Drivers，这样才能使 WSUS 获取到驱动同步。之后我们便可以在 WSUS 中对 Surface 的驱动程序进行审批和推送管理。
如果希望查询或手动下载补丁，可通过 Microsoft Update Catalog: https://www.catalog.update.microsoft.com/Home.aspx
如果您所在的企业正在使用 SCCM，可以参考这篇知识文章：https://support.microsoft.com/en-us/help/4098906/manage-surface-driver-updates-in-configuration-manager
HOWTO: 使用 Intune 部署 Microsoft Edge
HOWTO: 使用 Intune 部署 Microsoft Edge
Microsoft Edge Beta 已经发布一段事件，除了微软以外，很多企业也都开始对这个全新的微软浏览器进行评估，如果您的企业正好在使用 Intune，并打算部署基于 Chromium 的 Microsoft Edge，那就不要错过 gOxiA 今天的分享。
Microsoft Edge 默认是基于云安装的，如果要在企业内部部署，则需要先获取到脱机安装包，为此我们可以访问如下网址下载适用于 Windows 的 64 位 MSI 安装包，此外还提供了 32 位 以及 macOS 的脱机安装包。
https://www.microsoftedgeinsider.com/zh-cn/enterprise
拿到 MSI 安装包后，便可以通过 Intune 进行部署，在“客户端应用 - 应用”下“添加”新应用。
在“应用类型”中选择“业务线应用”。
然后通过“应用包文件”选取刚才下载的 Microsoft Edge 的 MSI 安装包。
在“应用信息”配置中，输入必填的信息然后“确定”，待 MSI 安装包上传完毕后才能进行后续的配置，例如：分配应用。
分配应用则是指定该应用适用于哪些组，这里 gOxiA 将分配类型改为“必需”安装，并分配给了所有用户和设备。
接下来就等待同步生效了，当设备获取到 Intune 下发的应用时便会自动静默安装，如果用户安装有 Intune 的公司门户，也可以由此处选择安装。
参考资料：https://docs.microsoft.com/en-us/intune/apps/apps-win32-app-management
Microsoft Intune 公开预览 DFCI
Microsoft Intune 公开预览 DFCI
微软最近在 Microsoft Intune 上公开发布了 DFCI 预览，即提供了对 Device Firmware Configuration Interface（DFCI - 设备固件配置接口）的支持，也就是说企业 IT 人员可以通过 Intune 来管理设备的 UEFI（BIOS） 配置，既然能配置 UEFI 也就意味着可以设置设备端口的开启或关闭，例如 USB 端口，摄像头等等。
在过去如果我们要为用户设备配置 UEFI 必须接触到设备，或者使用厂商提供的脚本或工具，在为一些驻外的用户进行配置时多半还是要购买当地的上门服务进行设置，成本较高。
而现在通过 Intune 的价值则体现为零接触自动化为用户设备配置 UEFI，由于脱离了系统层，即使用户重装系统也仍会保留配置，使 DFCI 管理不会被覆盖。
DFCI 目前支持管理 Windows 10 RS5（1809）及以上版本的系统，设备制造商还必须在固件上提供 DHCI 的支持，目前已知微软最新发布的 Surface 均支持 DFCI，这些型号包含了：Surface Pro X，Surface Pro 7 以及 Surface Latop 3。
此外还有一些限制，设备必须由 CSP或 OEM 注册到 Windows Autopilot，如果您参考 gOxiA 之前发布的“HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune”来注册设备可能不受支持，因为 gOxiA 尚未拿到新款 Surface 暂无法进行验证。
DFCI 目前还处于预览版阶段，如果您在 Intune 的配置文件没有找到“设备固件配置接口”，那么还需要等待一段时间，DFCI 功能可能还没有在当前 Intune 所在区域生效。此外，DFCI 目前提供的可用配置也是有限的，具体如下：
- 允许本地用户更改UEFI设置
- CPU 和 IO 虚拟化
- 相机
- 麦克风和扬声器
- 无线电（蓝牙、Wi-Fi 和 NFC）
- 通过外部媒体（USB 和 SD）启动
- 通过网络适配器启动
长期从事企业 IT 桌面标准化管理的 ITer 会留意到，在上述的配置中缺少对端口的颗粒化配置管理，例如带有前后置摄像头的设备无法单独进行配置，也没有对多 USB 端口的单一配置支持，而无线电方面也仅仅是统一关闭或开启 Wi-Fi，蓝牙 和 NFC，也不支持单一配置，但这些需求却都是在企业实际环境中切切实实存在的，相信微软在微软会不断改进和完善 DFCI。
有关更加详细的资讯可参考 Microsoft Docs：https://docs.microsoft.com/zh-cn/intune/configuration/device-firmware-configuration-interface-windows/?WT.mc_id=M365-MVP-4000544
