Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Los administradores de TI pueden proteger y administrar los puertos de Surface Dock 2 o Surface Thunderbolt 4 Dock mediante la configuración de las opciones de UEFI en un paquete de configuración de Windows Installer (archivo .msi) implementado en dispositivos Surface compatibles en un entorno corporativo.
Dispositivos compatibles
Administración de Surface Dock 2 o Surface Thunderbolt 4 Dock con SEMM está disponible para bases conectadas a Surface Laptop Studio (todas las generaciones), Surface Laptop 8.ª edición, procesador Snapdragon; Surface Laptop 8.ª edición, procesador Intel; Surface Laptop 7.ª edición, procesador Snapdragon; Surface Laptop 7.ª edición, procesador Intel; Surface Laptop 6, Surface Laptop 5, Surface Laptop 4, Surface Laptop 3, Surface Laptop Go (todas las generaciones), Surface Pro 12.ª edición, procesador Snapdragon; Surface Pro 12.ª edición, procesador Intel; Surface Pro 11.ª edición, procesador Snapdragon; Surface Pro 11.ª edición, procesador Intel; Surface Pro 10, Surface Pro 10 con 5G, Surface Pro 9, Surface Pro 9 con 5G, Surface Pro 8, Surface Pro 7+, Surface Pro 7, Surface Pro X y Surface Book 3.
Sugerencia
Estos dispositivos Surface compatibles se conocen comúnmente como dispositivos host. Un paquete se aplica a los dispositivos host en función de si un dispositivo host está autenticado o no. Las opciones configuradas residen en la capa UEFI en los dispositivos host, lo que permite a los administradores de TI administrar Surface Docks compatibles como cualquier otro periférico integrado, como la cámara.
Configurar e implementar la configuración de UEFI para Surface Docks
En esta sección se proporcionan instrucciones paso a paso para las siguientes tareas:
- Instala el Kit de herramientas de TI de Surface.
- Cree u obtenga certificados de clave pública.
- Cree un paquete de configuración .msi. a. Agregue sus certificados. b. Escribe el número RN de 16 dígitos de tus dispositivos Surface Dock 2 o Surface Thunderbolt 4 Dock. c. Configure las opciones de UEFI para las directivas de componentes: USB de datos, Ethernet o audio.
- Cree y aplique el paquete de configuración a los dispositivos Surface de destino.
- Usa la aplicación Surface para confirmar el estado de directiva resultante de la base Surface Dock administrada.
Importante
El número aleatorio (RN) es un identificador único de código hexadecimal de 16 dígitos que se aprovisiona de fábrica y se imprime en letra pequeña en la parte inferior de la base. El RN difiere de la mayoría de los números de serie porque no se puede leer electrónicamente. Esto garantiza que la prueba de propiedad se establezca solo mediante la lectura del RN cuando se accede físicamente al dispositivo. El RN también se puede obtener durante la transacción de compra y se registra en los sistemas de inventario de Microsoft.
Creación de certificados de clave pública
En esta sección se proporcionan las especificaciones para crear los certificados necesarios para administrar los puertos de Surface Dock 2 o Surface Thunderbolt 4 Dock.
Requisitos previos
En este artículo se supone que obtiene certificados de un proveedor externo o que ya tiene experiencia en servicios de certificados PKI y sabe cómo crear los suyos propios. Debe conocer y seguir las recomendaciones generales para crear certificados como se describe en la documentación de introducción al Modo de administración empresarial (SEMM) de Surface , con una excepción. Los certificados necesarios para configurar Surface Dock con SEMM requieren plazos de expiración de 30 años para la entidad de certificación de la base y de 20 años para el certificado de autenticación de host.
Si ya tiene los certificados adecuados, continúe con la sección siguiente. De lo contrario, revise cuidadosamente las instrucciones del Apéndice: Requisitos de certificados raíz y host.
Crear un paquete de aprovisionamiento de base
Cuando hayas obtenido o creado los certificados, podrás compilar el paquete de aprovisionamiento .msi que se aplicará a los dispositivos de destino.
Abre Surface IT Toolkit y selecciona Configurar Surface Dock.
Elija el tipo de acoplamiento y seleccione un método de aprovisionamiento.
- Unidad organizativa, diseñada para uso en toda la empresa.
- Unidad Departamental, diseñada para una configuración más granular; Por ejemplo, un departamento que maneja información altamente confidencial.
Importe la entidad de certificación y los archivos de certificado, y escriba la contraseña de cada archivo. Selecciona Siguiente. En este ejemplo se muestra el aprovisionamiento de la organización.
Agrega los números de id. de Surface Dock asociados a las bases que quieres administrar. Para varios docks, escriba los números en un archivo .csv sin encabezado, lo que significa que la primera línea del archivo no debe contener nombres de columna ni descripciones.
Puede especificar la configuración de directiva para los puertos de datos USB, Ethernet y audio. El configurador de UEFI le permite configurar las opciones de directiva para usuarios autenticados (directiva autenticada) y usuarios no autenticados (directiva no autenticada).
- La directiva autenticada hace referencia a un dispositivo Surface con los certificados adecuados instalados, tal como se configuran en el paquete de configuración de .msi que aplicó a los dispositivos de destino.
- La directiva no autenticada se refiere a cualquier otro dispositivo.
Elige los componentes que quieres activar o desactivar y selecciona Siguiente. En la siguiente figura se muestra el acceso al puerto activado para los dispositivos autenticados y desactivado para los no autenticados.
Si tienes dispositivos que quieres configurar para la deshabilitación dinámica de USB-C, activa la casilla tal y como se muestra en la figura siguiente. Agregue el certificado necesario y seleccione Siguiente. Para obtener más información, consulta Escenarios para proteger puertos de Surface Dock en esta página.
Complete una revisión final de las opciones configuradas, elija una carpeta para guardar el paquete y seleccione Crear.
Aplicar el paquete de aprovisionamiento a una base Surface Dock
- Toma el archivo .msi que generó el configurador de UEFI de Surface e instálalo en un dispositivo host de Surface, como Surface Laptop 6 o Surface Pro 10.
- Conecte el dispositivo host a Surface Dock 2 o Surface Thunderbolt 4 Dock. Cuando conectas el dock, se aplica la configuración de directiva UEFI.
Escenarios para proteger puertos de Surface Dock
Restringir Surface Dock 2 o Surface Thunderbolt 4 Dock a personas autorizadas que hayan iniciado sesión en un dispositivo host corporativo proporciona otra capa de protección de datos. Esta capacidad de bloquear Surface Dock es fundamental para clientes específicos en entornos de alta seguridad que desean las ventajas de funcionalidad y productividad de la base mientras se mantiene el cumplimiento de estrictos protocolos de seguridad. El SEMM usado con Surface Dock 2 o Surface Thunderbolt 4 Dock es útil en oficinas abiertas y espacios compartidos, especialmente para los clientes que quieren bloquear los puertos USB por motivos de seguridad.
Deshabilitación granular de USB-C. La administración de puertos USB-C con su compatibilidad con DisplayPort y USB Power Delivery ofrece más opciones más allá de desactivar todas las funciones. Por ejemplo, puedes impedir la conectividad de datos para impedir que los usuarios copien datos del almacenamiento USB, pero conservar la capacidad de ampliar las pantallas y cargar el dispositivo a través de una base USB-C. Estas opciones ahora están disponibles a través de los scripts de PowerShell SEMM a partir de Surface Pro 8, Surface Laptop Studio y Surface Go 3.
Deshabilitación dinámica de USB-C. La deshabilitación dinámica de USB-C permite a los clientes que operan en entornos de trabajo altamente seguros evitar el robo de datos confidenciales por USB y proporcionar más control a las organizaciones. Cuando se empareja con la base Surface Thunderbolt 4, los administradores de TI pueden bloquear los puertos USB-C siempre que un dispositivo Surface apto se desacople o se conecte a una base no autorizada.
Sugerencia
Esta característica está disponible en Surface Pro 12.ª edición, procesador Intel; Surface Pro 12.ª edición, procesador Snapdragon; Surface Laptop 8.ª edición, procesador Intel; Surface Laptop 8.ª edición, procesador Snapdragon; Surface Laptop 7.ª edición, procesador Intel, Surface Laptop 6; Surface Pro 11.ª edición, procesador Intel; Surface Pro 10, Surface Pro 10 con 5G y Surface Laptop Studio 2.
Con la deshabilitación dinámica de USB-C, cuando los usuarios están conectados a un dock autorizado en la oficina, los puertos USB-C tendrán funcionalidad completa en sus dispositivos. Sin embargo, cuando salen del sitio, aún pueden conectarse a una base para usar accesorios o un monitor, pero no pueden usar los puertos USB para transferir datos.
La administración de puertos USB-C para estos escenarios implica las siguientes tareas:
- Aprovisiona los dispositivos host, como Surface Pro 10 o Surface Laptop 6, y aprovisiona Surface Dock en SEMM a través de un paquete .msi generado por UEFI Configurator, como se ha descrito anteriormente en esta página.
- Crea un paquete de .msi independiente que contenga la configuración de directiva UEFI para dispositivos "autenticados" y "no autenticados".
- Configurar la deshabilitación granular de USB-C o la deshabilitación dinámica de USB-C.
Para obtener más información, consulta Administrar puertos USB en dispositivos Surface.
Comprobar el estado administrado con la aplicación Surface
Una vez que haya aplicado el paquete de configuración, puede comprobar rápidamente el estado de directiva resultante de la base directamente desde la aplicación Surface, instalada de forma predeterminada en todos los dispositivos Surface. Si la aplicación Surface no está en el dispositivo, puedes descargarla e instalarla desde Microsoft Store.
Escenario de prueba
Objetivo: Configurar las opciones de directiva para permitir el acceso al puerto solo por usuarios autenticados.
Como se ha descrito anteriormente, active todos los puertos para los usuarios autenticados y desactívelos para los usuarios no autenticados.
Aplica el paquete de configuración al dispositivo de destino y conecta la base de acoplamiento.
Abre la aplicación Surface y selecciona Surface Dock para ver el estado de la directiva resultante de tu Surface Dock. Si se aplica la configuración de directiva, la aplicación de Surface (que se muestra aquí para Surface Thunderbolt 4 Dock y Surface Dock 2) indica que hay puertos disponibles.
Ahora, debe comprobar que la configuración de directiva ha desactivado correctamente todos los puertos para los usuarios no autenticados. Conecte Surface Dock 2 o Surface Thunderbolt 4 Dock a un dispositivo no administrado, por ejemplo, cualquier dispositivo Surface fuera del ámbito de administración del paquete de configuración que ha creado.
Abre la aplicación Surface y selecciona Surface Dock. El estado de directiva resultante (que se muestra aquí para Surface Thunderbolt 4 Dock y Surface Dock 2) indica que los puertos están desactivados.
Sugerencia
Si desea mantener la propiedad del dispositivo pero permitir acceso completo a todos los usuarios, puede crear un nuevo paquete con todo activado. Si quieres quitar por completo las restricciones y la propiedad del dispositivo (hacer que no esté administrado), selecciona Restablecer en el configurador de UEFI de Surface para crear un paquete que se aplicará a los dispositivos de destino.
¡Enhorabuena! Ha administrado correctamente los puertos de Surface Dock en los dispositivos host de destino.
Apéndice: Requisitos de certificados raíz y de host
Antes de crear el paquete de configuración, debe preparar certificados de clave pública que autentiquen la propiedad de Surface Dock 2 o Surface Thunderbolt 4 Dock y faciliten cualquier cambio posterior de propiedad durante el ciclo de vida del dispositivo. Los certificados de host y aprovisionamiento requieren escribir identificadores de objetos EKU, también conocidos como identificadores de objetos (OID) de uso mejorado de clave de autenticación de cliente (EKU).
Los valores EKU requeridos se enumeran en la Tabla 1 y la Tabla 2.
Precaución
Guarde los certificados en un lugar seguro y asegúrese de que se realice una copia de seguridad adecuada. Sin ellos, es imposible restablecer la UEFI de Surface, cambiar la configuración administrada de la UEFI de Surface o quitar SEMM de un dispositivo Surface inscrito.
Tabla 1. Requisitos del certificado raíz y de acoplamiento
| Certificado | Algoritmo | Descripción | Expiración | EKU OID |
|---|---|---|---|---|
| Entidad de certificación raíz | ECDSA_P384 | - Certificado raíz con algoritmo de firma digital de curva elíptica prime de 384 bits (ECDSA) - Uso de claves del algoritmo hash seguro (SHA) 256: CERT_DIGITAL_SIGNATURE_KEY_USAGE - CERT_KEY_CERT_SIGN_KEY_USAGE CERT_CRL_SIGN_KEY_USAGE |
30 años | N/D |
| Entidad de certificación de Dock | Curva ECC P256 | - Certificado de host con criptografía de curva elíptica (ECC) de 256 bits - SHA 256 Uso de la llave: CERT_KEY_CERT_SIGN_KEY_USAGE - Restricción de longitud de ruta = 0 |
20 años | 1.3.6.1.4.1.311.76.9.21.2 1.3.6.1.4.1.311.76.9.21.3 |
Nota
La CA de acoplamiento se debe exportar como un archivo .p7b.
Requisitos del certificado de administración de aprovisionamiento
Cada dispositivo host debe tener la CA doc y dos certificados, como se muestra en la Tabla 2.
Tabla 2. Requisitos del certificado de administración de aprovisionamiento
| Certificado | Algoritmo | Descripción | EKU OID |
|---|---|---|---|
| Certificado de autenticación de host | ECC P256 SHA 256 |
Demuestra la identidad del dispositivo host. | 1.3.6.1.4.1.311.76.9.21.2 |
| Certificado de administración de aprovisionamiento | ECC P256 SHA256 |
Le permite cambiar la propiedad del dock o la configuración de directivas, ya que le permite reemplazar la CA actual instalada en el dock. | 1.3.6.1.4.1.311.76.9.21.3 1.3.6.1.4.1.311.76.9.21.4 |
Nota
Los certificados de autenticación y aprovisionamiento del host se deben exportar como archivos .pfx.
Para obtener más información, consulte la documentación de arquitectura de Servicios de Certificate Server y revise los capítulos correspondientes de Windows Server 2019 Inside Out o Windows Server 2008 PKI and Certificate Security disponible en Microsoft Press.