Konfigurieren der UEFI-Einstellungen für Surface Docks

IT-Administratoren können Ports auf Surface Dock 2 oder Surface Thunderbolt 4 Dock sichern und verwalten, indem sie die UEFI-Einstellungen in einem Windows Installer-Konfigurationspaket (.msi-Datei) konfigurieren, das auf kompatiblen Surface-Geräten in einer Unternehmensumgebung bereitgestellt wird.

Unterstützte Geräte

Das Verwalten von Surface Dock 2 oder Surface Thunderbolt 4 Dock mit SEMM ist für Docks verfügbar, die mit Surface Laptop Studio (alle Generationen), Surface Laptop 8th Edition, Snapdragon-Prozessor; Surface Laptop 8. Edition, Intel-Prozessor; Surface Laptop 7. Edition, Snapdragon-Prozessor; Surface Laptop 7. Edition, Intel-Prozessor; Surface Laptop 6, Surface Laptop 5, Surface Laptop 4, Surface Laptop 3, Surface Laptop Go (alle Generationen), Surface Pro 12th Edition, Snapdragon-Prozessor; Surface Pro 12th Edition, Intel-Prozessor; Surface Pro 11th Edition, Snapdragon-Prozessor; Surface Pro 11th Edition, Intel-Prozessor; Surface Pro 10, Surface Pro 10 mit 5G, Surface Pro 9, Surface Pro 9 mit 5G, Surface Pro 8, Surface Pro 7+, Surface Pro 7, Surface Pro X und Surface Book 3.

Konfigurieren und Bereitstellen von UEFI-Einstellungen für Surface Docks

Dieser Abschnitt enthält schrittweise Anleitungen für die folgenden Aufgaben:

1. Installieren Sie Surface IT Toolkit.
2. Erstellen oder Abrufen von Zertifikaten für öffentliche Schlüssel.
3. Erstellen Sie ein .msi Konfigurationspaket. a. Fügen Sie Ihre Zertifikate hinzu. b. Geben Sie die 16-stellige RN-Nummer für Ihre Surface Dock 2- oder Surface Thunderbolt 4 Dock-Geräte ein. c. Konfigurieren Sie die UEFI-Einstellungen für Komponentenrichtlinien: USB-Daten, Ethernet oder Audio.
4. Erstellen Sie das Konfigurationspaket, und wenden Sie es auf bestimmte Surface-Geräte an.
5. Verwenden Sie die Surface-App, um den resultierenden Richtlinienstatus des verwalteten Surface Docks zu bestätigen.

Erstellen von Zertifikaten mit öffentlichem Schlüssel

Dieser Abschnitt enthält Spezifikationen zum Erstellen der Zertifikate, die zum Verwalten der Ports für Surface Dock 2 oder Surface Thunderbolt 4 Dock erforderlich sind.

Voraussetzungen

In diesem Artikel wird davon ausgegangen, dass Sie Zertifikate entweder von einem Drittanbieter beziehen oder bereits über Erfahrung mit PKI-Zertifikatdiensten verfügen und wissen, wie Sie eigene Zertifikate erstellen. Sie sollten mit den allgemeinen Empfehlungen zum Erstellen von Zertifikaten vertraut sein und diese befolgen, wie in der Dokumentation Erste Schritte mit dem Surface Enterprise Management Mode (SEMM) beschrieben, mit einer Ausnahme. Die Zertifikate, die zum Konfigurieren von Surface Docks mit SEMM erforderlich sind, erfordern Ablauffristen von 30 Jahren für die Dock-Zertifizierungsstelle und 20 Jahren für das Host-Authentifizierungszertifikat.

Wenn Sie bereits über die entsprechenden Zertifikate verfügen, fahren Sie mit dem nächsten Abschnitt fort. Lesen Sie andernfalls die Anleitung in Anhang: Anforderungen an Stamm- und Hostzertifikate sorgfältig durch.

Erstellen eines Dock-Bereitstellungspakets

Wenn Sie die Zertifikate abgerufen oder erstellt haben, können Sie das .msi Bereitstellungspaket erstellen, das auf die Zielgeräte angewendet wird.

1. Öffnen Sie Surface IT Toolkit, und wählen Sie "Surface Dock konfigurieren" aus.

   

2. Wählen Sie den Andocktyp aus, und wählen Sie eine Bereitstellungsmethode aus.

• Organisationseinheit, konzipiert für den unternehmensweiten Einsatz.
• Abteilungseinheit, die für eine detailliertere Konfiguration der Einstellungen entwickelt wurde; Beispielsweise eine Abteilung, die mit hochsensiblen Informationen umgeht.

3. Importieren Sie Ihre Zertifizierungsstellen- und Zertifikatdateien, und geben Sie das Kennwort für jede Datei ein. Wählen Sie Weiter aus. Dieses Beispiel zeigt die Bereitstellung durch die Organisation.

   

4. Fügen Sie die Surface Dock-ID-Nummern hinzu, die den Docks zugeordnet sind, die Sie verwalten möchten. Geben Sie für mehrere Docks die Zahlen in eine .csv Datei ohne Kopfzeile ein, d. h., die erste Zeile der Datei sollte keine Spaltennamen oder Beschreibungen enthalten.

   

5. Sie können Richtlinieneinstellungen für USB-Daten-, Ethernet- und Audio-Ports festlegen. Mit UEFI Configurator können Sie Richtlinieneinstellungen für authentifizierte Benutzer (authentifizierte Richtlinie) und nicht authentifizierte Benutzer (Nicht authentifizierte Richtlinie) konfigurieren.

   • Authentifizierte Richtlinie bezieht sich auf ein Surface-Gerät mit den entsprechenden installierten Zertifikaten, wie im .msi Konfigurationspaket konfiguriert, das Sie auf Zielgeräte angewendet haben.
   • "Nicht authentifizierte Richtlinie " bezieht sich auf jedes andere Gerät.

6. Wählen Sie aus, welche Komponenten Sie aktivieren oder deaktivieren möchten, und klicken Sie auf Weiter. In der folgenden Abbildung ist dargestellt, dass der Portzugriff für authentifizierte Geräte aktiviert und für nicht authentifizierte Geräte deaktiviert ist.

   

7. Wenn Sie über Geräte verfügen, die Sie für die dynamische USB-C-Deaktivierung konfigurieren möchten, aktivieren Sie das Kontrollkästchen wie in der folgenden Abbildung dargestellt. Fügen Sie das erforderliche Zertifikat hinzu, und wählen Sie Weiter aus. Weitere Informationen finden Sie unter Szenarien zum Sichern von Surface Dock-Ports auf dieser Seite.

   

8. Führen Sie eine abschließende Überprüfung Ihrer konfigurierten Einstellungen durch, wählen Sie einen Ordner zum Speichern des Pakets und wählen Sie Erstellen aus.

   

Anwenden des Bereitstellungspakets auf ein Surface Dock

1. Installieren Sie die .msi Datei, die der Surface UEFI-Konfigurator generiert hat, auf einem Surface-Hostgerät wie Surface Laptop 6 oder Surface Pro 10.
2. Verbinden Sie das Hostgerät mit dem Surface Dock 2 oder Surface Thunderbolt 4 Dock. Wenn Sie das Dock anschließen, werden die UEFI-Richtlinieneinstellungen angewendet.

Szenarien zum Sichern von Surface Dock-Ports

Die Beschränkung von Surface Dock 2 oder Surface Thunderbolt 4 Dock auf autorisierte Personen, die bei einem Unternehmenshostgerät angemeldet sind, bietet eine weitere Datenschutzebene. Diese Möglichkeit, Surface Docks zu sperren, ist wichtig für bestimmte Kunden in hochsicheren Umgebungen, die die Funktionalität und Produktivitätsvorteile des Docks nutzen und gleichzeitig die Einhaltung strenger Sicherheitsprotokolle gewährleisten möchten. SEMM in Kombination mit Surface Dock 2 oder Surface Thunderbolt 4 Dock ist in Großraumbüros und Gemeinschaftsräumen hilfreich, insbesondere für Kunden, die USB-Anschlüsse aus Sicherheitsgründen sperren möchten.

• Granulare USB-C-Deaktivierung. Die Verwaltung der USB-C-Anschlüsse mit ihrer Unterstützung für DisplayPort und USB Power Delivery bietet mehr Optionen, als nur alle Funktionen zu deaktivieren. Sie können z. B. die Datenkonnektivität verhindern, um Benutzer am Kopieren von Daten aus dem USB-Speicher zu hindern, aber die Möglichkeit beibehalten, Anzeigegeräte zu erweitern und das Gerät über eine USB-C-Dockingstation aufzuladen. Beginnend mit Surface Pro 8, Surface Laptop Studio und Surface Go 3 sind diese Optionen jetzt über die SEMM PowerShell-Skripts verfügbar.

• Dynamische USB-C-Deaktivierung. Die dynamische USB-C-Deaktivierung ermöglicht es Kunden, die in hochsicheren Arbeitsumgebungen arbeiten, den USB-Diebstahl vertraulicher Daten zu verhindern und Unternehmen mehr Kontrolle zu bieten. In Verbindung mit dem Surface Thunderbolt 4 Dock können IT-Administratoren USB-C-Ports sperren, wenn ein berechtigtes Surface-Gerät ausgedockt oder mit einem nicht autorisierten Dock verbunden wird.

Wenn Benutzer mit einer dynamischen USB-C-Deaktivierung mit einem autorisierten Dock im Büro verbunden sind, haben die USB-C-Anschlüsse die volle Funktionalität über ihre Geräte. Wenn sie jedoch außerhalb des Standorts arbeiten, können sie immer noch eine Verbindung zu einer Dockingstation herstellen, um Zubehör oder einen Monitor zu verwenden, können jedoch die USB-Anschlüsse nicht zur Datenübertragung verwenden.

Die Verwaltung der USB-C-Ports in diesen Szenarien umfasst die folgenden Aufgaben:

• Stellen Sie Ihre Hostgeräte bereit, z. B. Surface Pro 10 oder Surface Laptop 6, und stellen Sie Surface Dock über ein .msi Paket, das vom UEFI-Konfigurator generiert wird, in SEMM bereit, wie weiter oben auf dieser Seite beschrieben.
• Erstellen Sie ein separates .msi Paket, das die UEFI-Richtlinieneinstellungen für "authentifizierte" und "nicht authentifizierte" Geräte enthält.
• Konfigurieren Sie eine granulare USB-C-Deaktivierung oder dynamische USB-C-Deaktivierung.

Weitere Informationen finden Sie unter Verwalten von USB-Ports auf Surface-Geräten.

Überprüfen des verwalteten Zustands mithilfe der Surface-App

Nachdem Sie das Konfigurationspaket angewendet haben, können Sie den resultierenden Richtlinienstatus der Dockingstation direkt über die Surface-App überprüfen, die standardmäßig auf allen Surface-Geräten installiert ist. Wenn die Surface-App nicht auf dem Gerät installiert ist, können Sie sie aus dem Microsoft Store herunterladen und installieren.

Testszenario

Ziel: Konfigurieren Sie Richtlinieneinstellungen, um den Portzugriff nur durch authentifizierte Benutzer zu ermöglichen.

1. Wie zuvor beschrieben, aktivieren Sie alle Ports für authentifizierte Benutzer und deaktivieren Sie sie für nicht authentifizierte Benutzer.

   

2. Wenden Sie das Konfigurationspaket auf Ihr Zielgerät an, und schließen Sie die Docking-Station an.

3. Öffnen Sie die Surface App , und wählen Sie Surface Dock aus, um den resultierenden Richtlinienstatus Ihres Surface Docks anzuzeigen. Wenn die Richtlinieneinstellungen angewendet werden, zeigt die Surface-App (hier dargestellt für Surface Thunderbolt 4 Dock und Surface Dock 2) an, dass Ports verfügbar sind.

   

   

4. Nun müssen Sie überprüfen, ob die Richtlinieneinstellungen alle Ports für nicht authentifizierte Benutzer erfolgreich deaktiviert haben. Schließen Sie Surface Dock 2 oder Surface Thunderbolt 4 Dock an ein nicht verwaltetes Gerät an, z. B. ein beliebiges Surface-Gerät außerhalb des Verwaltungsbereichs für das von Ihnen erstellte Konfigurationspaket.

5. Öffnen Sie die Surface App , und wählen Sie Surface Dock aus. Der resultierende Richtlinienstatus (hier für Surface Thunderbolt 4 Dock und Surface Dock 2 dargestellt) gibt an, dass die Ports deaktiviert sind.

   

   

Herzlichen Glückwunsch. Sie haben Surface Dock-Ports auf bestimmten Hostgeräten erfolgreich verwaltet.

Anhang: Anforderungen an Stamm- und Hostzertifikate

Vor der Erstellung des Konfigurationspakets müssen Sie Zertifikate mit öffentlichem Schlüssel vorbereiten, die den Besitz von Surface Dock 2 oder Surface Thunderbolt 4 Dock authentifizieren und spätere Besitzänderungen während des Gerätelebenszyklus erleichtern. Für die Host- und Bereitstellungszertifikate ist die Eingabe von EKU-IDs erforderlich, die auch als Objektkennungen (Client Authentication Enhanced Key Usage, EKU) bezeichnet werden.

Die erforderlichen EKU-Werte sind in Tabelle 1 und Tabelle 2 aufgeführt.

Tabelle 1: Anforderungen an Stamm- und Dock-Zertifikate

Bereitstellung Verwaltung Zertifikatanforderungen

Jedes Hostgerät muss über die Doc-Zertifizierungsstelle und zwei Zertifikate verfügen, wie in Tabelle 2 dargestellt.

Tabelle 2 Anforderungen an das Verwaltungszertifikat für die Bereitstellung

Weitere Informationen finden Sie in der Dokumentation zur Zertifikatdienstearchitektur sowie in den entsprechenden Kapiteln unter Windows Server 2019 Inside Out oder Windows Server 2008 PKI und Zertifikatsicherheit, die bei Microsoft Press erhältlich sind.

Weitere Informationen

• Verwalten von USB-Ports auf Surface-Geräten
• Surface Enterprise Management Mode (SEMM)-Dokumentation
• Architektur der Zertifikatdienste
• Windows Server 2019 – Inside-Out
• Windows Server 2008 PKI- und Zertifikatssicherheit