Restrinja los dispositivos USB y permita dispositivos USB específicos mediante el catálogo de configuración de Microsoft Intune

Muchas organizaciones desean bloquear tipos específicos de dispositivos USB, como unidades flash USB o cámaras. También es posible que quieras permitir dispositivos USB específicos, como un teclado o un mouse.

Use el catálogo de configuración de Microsoft Intune para configurar estas opciones en una directiva y, a continuación, implementar esta directiva en los dispositivos Windows. Para obtener más información sobre el catálogo de configuración, consulta Usar el catálogo de configuración para configurar las opciones del dispositivo en Microsoft Intune.

En este artículo se muestra lo siguiente:

  • Cómo crear una directiva de catálogo de configuraciones con la configuración USB en el centro de administración de Intune
  • Cómo utilizar un archivo de registro para solucionar problemas de dispositivos que no deben bloquearse

Este artículo se aplica a:

  • Windows

Requisitos previos

Requisitos de roles

Para configurar la directiva del catálogo de ajustes, como mínimo, inicie sesión en el centro de administración de Intune con el rol de administrador de perfiles y directivas. Para obtener más información acerca de los roles integrados en Intune, vea Control de acceso basado en roles (RBAC) con Microsoft Intune.

Creación del perfil

Esta directiva proporciona un ejemplo de cómo bloquear (o permitir) características que afectan a los dispositivos USB. Use esta directiva como punto de partida y, a continuación, agregue o elimine la configuración según sea necesario para su organización.

  1. Inicie sesión en el Centro de administración de Microsoft Intune.

  2. Seleccione Dispositivos>Administrar dispositivos>Configuración>Crear>Nueva directiva.

  3. Escriba las propiedades siguientes:

    • Plataforma: seleccione Windows 10 y posteriores.
    • Tipo de perfil: seleccione el catálogo de Configuración.

  4. Seleccione Crear.

  5. En Básico, escriba las propiedades siguientes:

    • Nombre: escriba un nombre descriptivo para el perfil. Por ejemplo, escriba Restringir dispositivos USB.
    • Descripción: escriba una descripción para el perfil. Esta configuración es opcional pero recomendada.

  6. Seleccione Siguiente.

  7. En Opciones de configuración, seleccione Agregar configuración. En el selector de configuración, ve a Plantillas> administrativasSistema Instalación>>de dispositivosRestricciones de instalación de dispositivos. Seleccione la siguiente configuración:

    • Permitir la instalación de dispositivos que coincidan con cualquiera de estos Id. de dispositivo
    • Permitir la instalación de dispositivos con controladores que coincidan con estas clases de instalación de dispositivos
    • Impedir la instalación de dispositivos no descritos por otras configuraciones de directiva

    Captura de pantalla de la configuración de Restricciones de instalación de dispositivos en el catálogo de configuración de Microsoft Intune.

  8. Cierre el selector de configuración. Configure las opciones seleccionadas:

    Al habilitar y configurar estas opciones, la directiva tiene un aspecto similar a la siguiente:

    Captura de pantalla de la restricción de la configuración de USB configurada en el catálogo de opciones de Microsoft Intune.

  9. Seleccione Siguiente.

  10. En Etiquetas de ámbito (opcional), asigne una etiqueta para filtrar el perfil por grupos de TI específicos, como US-NC IT Team o JohnGlenn_ITDepartment. Para más información sobre las etiquetas de ámbito, consulte Usar control de acceso basado en roles (RBAC) y etiquetas de ámbito para TI distribuida.

    Seleccione Siguiente.

  11. En Tareas, selecciona los grupos de dispositivos que reciben el perfil. Seleccione Siguiente.

  12. En Revisar y crear, revise la configuración. Si selecciona Crear, se guardan los cambios y se asigna el perfil.

Comprobar las restricciones del dispositivo USB en dispositivos Windows

Después de implementar el perfil de configuración del dispositivo en los dispositivos de destino, confirme que funciona correctamente.

Si no se puede instalar un dispositivo USB, verá un mensaje similar al siguiente:

The installation of this device is forbidden by system policy. Contact your system administrator.

En el siguiente ejemplo, el iPad se bloqueó porque su identificador de dispositivo no está en la lista de identificadores de dispositivo permitidos:

Captura de pantalla que muestra un dispositivo bloqueado por una directiva de Intune.

Un dispositivo está bloqueado pero debería permitirse

Algunos dispositivos USB tienen varios GUID y es común perder algunos GUID en la configuración de la directiva. Como resultado, un dispositivo USB que permita en la configuración podría estar bloqueado en el dispositivo.

En el siguiente ejemplo, en la configuración Permitir la instalación de dispositivos con controladores que coincidan con estas clases de configuración de dispositivo, se introduce el GUID de clase multimedia y se bloquea la cámara:

Captura de pantalla que muestra el mensaje Windows no puede encontrar la cámara en un dispositivo Windows.

Captura de pantalla que muestra que el mensaje de directiva de grupo bloqueó la cámara en un dispositivo Windows.

Solución:

Para buscar el GUID del dispositivo, siga estos pasos:

  1. En el dispositivo, abra el archivo %windir%\inf\setupapi.dev.log.

  2. En el archivo:

    1. Busque Instalación restringida de dispositivos no descritos por la directiva.

    2. En esta sección, busque el texto Class GUID of device changed to: {GUID}. Agregue esto {GUID} a su póliza.

      En el siguiente ejemplo, verá el texto Class GUID of device changed to: {36fc9e60-c465-11cf-8056-444553540000}:

      >>>  [Device Install (Hardware initiated) - USB\VID_046D&PID_C534\5&bd89ed7&0&2]
>>>  Section start 2020/01/20 17:26:03.547
dvi: {Build Driver List} 17:26:03.597
…
dvi: {Build Driver List - exit(0x00000000)} 17:26:03.645
dvi: {DIF_SELECTBESTCOMPATDRV} 17:26:03.647
dvi:      Default installer: Enter 17:26:03.647
dvi:           {Select Best Driver}
dvi:                Class GUID of device changed to: {36fc9e60-c465-11cf-8056-444553540000}.
dvi:                Selected Driver:
dvi:                     Description - USB Composite Device
dvi:                     InfFile     - c:\windows\system32\driverstore\filerepository\usb.inf_amd64_9646056539e4be37\usb.inf
dvi:                     Section     - Composite.Dev
dvi:           {Select Best Driver - exit(0x00000000)}
dvi:      Default installer: Exit
dvi: {DIF_SELECTBESTCOMPATDRV - exit(0x00000000)} 17:26:03.664
dvi: {Core Device Install} 17:26:03.666
dvi:      {Install Device - USB\VID_046D&PID_C534\5&BD89ED7&0&2} 17:26:03.667
dvi:           Device Status: 0x01806400, Problem: 0x1 (0xc0000361)
dvi:           Parent device: USB\ROOT_HUB30\4&278ca476&0&0
!!! pol:           The device is explicitly restricted by the following policy settings:
!!! pol:           [-] Restricted installation of devices not described by policy
!!! pol:      {Device installation policy check [USB\VID_046D&PID_C534\5&BD89ED7&0&2] exit(0xe0000248)}
!!! dvi:      Installation of device is blocked by policy!
!   dvi:      Queueing up error report for device install failure.
dvi: {Install Device - exit(0xe0000248)} 17:26:03.692
dvi: {Core Device Install - exit(0xe0000248)} 17:26:03.694
<<<  Section end 2020/01/20 17:26:03.697
<<<  [Exit status: FAILURE(0xe0000248)]

  3. En el perfil de configuración del dispositivo, vaya a la configuración Permitir la instalación de dispositivos con controladores que coincidan con estas clases de configuración del dispositivo y agregue el GUID de clase desde el archivo de registro.

  4. Si el problema continúa, repita estos pasos para agregar los demás GUID de clase hasta que el dispositivo se instale correctamente.

    En nuestro ejemplo, se agregan los GUID de clase siguientes al perfil de dispositivo:

    • Dispositivos de bus USB (concentradores y controladores de host): {36fc9e60-c465-11cf-8056-444553540000}
    • Dispositivos de interfaz de usuario (HID): {745a17a0-74d3-11d0-b6fe-00a0c90f57da}
    • Dispositivos de cámara: {ca3e7ab9-b4c3-4ae6-8251-579ef933890f}
    • Dispositivo de imagen: {6bdd1fc6-810f-11d0-bec7-08002be2092f}

GUID de clase comunes para permitir dispositivos USB

  • Teclado y ratón: agregue los siguientes GUID al perfil del dispositivo:

    • Teclado: {4d36e96b-e325-11ce-bfc1-08002be10318}
    • Ratón: {4d36e96f-e325-11ce-bfc1-08002be10318}

  • Cámaras, auriculares y micrófonos: agregue los siguientes GUID al perfil del dispositivo:

    • Dispositivos de bus USB (concentradores y controladores de host): {36fc9e60-c465-11cf-8056-444553540000}
    • Dispositivos de interfaz de usuario (HID): {745a17a0-74d3-11d0-b6fe-00a0c90f57da}
    • Dispositivos multimedia: {4d36e96c-e325-11ce-bfc1-08002be10318}
    • Dispositivos de cámara: {ca3e7ab9-b4c3-4ae6-8251-579ef933890f}
    • Dispositivo de imagen: {6bdd1fc6-810f-11d0-bec7-08002be2092f}
    • Dispositivos del sistema: {4D36E97D-E325-11CE-BFC1-08002BE10318}
    • Dispositivos biométricos: {53d29ef7-377c-4d14-864b-eb3a85769359}
    • Dispositivos de software genéricos: {62f9c741-b25a-46ce-b54c-9bccce08b6f2}

  • Auriculares de 3,5 mm: agregue los siguientes GUID al perfil del dispositivo:

    • Dispositivos multimedia: {4d36e96c-e325-11ce-bfc1-08002be10318}
    • Punto de conexión de audio: {c166523c-fe0c-4a94-a586-f1a80cfbbf3e}

Nota:

Los GUID reales podrían ser diferentes para sus dispositivos específicos.

  • Last updated on