Limiter les périphériques USB et autoriser des périphériques USB spécifiques en utilisant le catalogue de paramètres dans Microsoft Intune

De nombreuses organisations souhaitent bloquer des types spécifiques de périphériques USB, tels que des disques mémoire flash USB ou des caméras USB. Vous pouvez également autoriser des périphériques USB spécifiques, tels qu’un clavier ou une souris.

Utilisez le catalogue de paramètres dans Microsoft Intune pour configurer ces paramètres dans une stratégie, puis déployez cette stratégie sur vos appareils Windows. Pour plus d’informations sur le catalogue de paramètres, consultez Utiliser le catalogue de paramètres pour configurer les paramètres de l’appareil dans Microsoft Intune.

Cet article vous montre :

  • Comment créer une stratégie de catalogue de paramètres avec les paramètres USB dans le Centre d’administration Intune
  • Comment utiliser un fichier journal pour dépanner les appareils qui ne doivent pas être bloqués

Cet article s’applique à :

  • Windows

Configuration requise

Exigences des rôles

Pour configurer la stratégie du catalogue de paramètres, connectez-vous au centre d’administration Intune au minimum avec le rôle Gestionnaire de stratégies et de profils. Pour plus d’informations sur les rôles intégrés dans Intune, voir Contrôle d’accès en fonction du rôle (RBAC) avec Microsoft Intune.

Créer le profil

Cette stratégie fournit un exemple de blocage (ou d’autorisation) des fonctionnalités qui affectent les périphériques USB. Utilisez cette stratégie comme point de départ, puis ajoutez ou supprimez des paramètres en fonction de votre organisation.

  1. Connectez-vous au Centre d’administration Microsoft Intune.

  2. Sélectionnez Appareils>Gérer les appareils>Configuration>Créer une>stratégie.

  3. Entrez les propriétés suivantes :

    • Plateforme : sélectionnez Windows 10 et ultérieur.
    • Type de profil : Sélectionnez le catalogue Paramètres.

  4. Sélectionnez Créer.

  5. Dans Informations de base, entrez les propriétés suivantes :

    • Nom: Entrez un nom descriptif pour le profil. Par exemple, entrez Restreindre les périphériques USB.
    • Description : entrer une description pour le profil. Ce paramètre est facultatif, mais recommandé.

  6. Sélectionnez Suivant.

  7. Dans Paramètres de configuration, sélectionnez Ajouter des paramètres. Dansle sélecteur de paramètres, accédez à Modèles> d’administration Installation depériphériques> système >Restrictions d’installation de périphériques. Sélectionnez les paramètres suivants :

    • Autoriser l’installation d’appareils qui correspondent à l’un de ces ID d’appareil
    • Autoriser l’installation d’appareils à l’aide de pilotes qui correspondent à ces classes d’installation d’appareil
    • Empêcher l’installation d’appareils non décrits par d’autres paramètres de stratégie

    Capture d’écran des paramètres Restrictions d’installation de l’appareil dans le catalogue de paramètres de Microsoft Intune.

  8. Fermez la fenêtre Paramètres. Configurez les paramètres que vous avez sélectionnés :

    Lorsque vous activez et configurez ces paramètres, votre stratégie ressemble aux paramètres de stratégie suivants :

    Capture d’écran des paramètres de restriction USB configurés dans le catalogue de paramètres de Microsoft Intune.

  9. Sélectionnez Suivant.

  10. Dans Balises d’étendue (facultatif), affectez une balise pour filtrer le profil sur des groupes informatiques spécifiques, par exemple US-NC IT Team ou JohnGlenn_ITDepartment. Pour plus d’informations sur les balises d’étendue, voir Utiliser le contrôle d’accès en fonction du rôle (RBAC) et les balises d’étendue pour l’informatique distribuée.

    Sélectionnez Suivant.

  11. Dans Devoirs, sélectionnez les groupes d’appareils qui reçoivent le profil. Sélectionnez Suivant.

  12. Dans Vérifier + créer, passez en revue vos paramètres. Quand vous sélectionnez Créer, vos modifications sont enregistrées et le profil est affecté.

Vérifier les restrictions des périphériques USB sur les périphériques Windows

Après avoir déployé le profil de configuration de périphérique sur vos périphériques ciblés, vérifiez qu’il fonctionne correctement.

Si l’installation d’un périphérique USB est bloquée, un message semblable à celui-ci s’affiche :

The installation of this device is forbidden by system policy. Contact your system administrator.

Dans l’exemple suivant, le iPad est bloqué car son ID d’appareil ne figure pas dans la liste des ID d’appareil autorisés :

Capture d’écran montrant un appareil bloqué par une stratégie Intune.

Un appareil est bloqué, mais doit être autorisé

Certains périphériques USB ont plusieurs GUID et il est courant d’en manquer dans vos paramètres de stratégie. Par conséquent, un périphérique USB que vous autorisez dans vos paramètres peut être bloqué sur l’appareil.

Dans l’exemple suivant, dans le paramètre Autoriser l’installation d’appareils à l’aide de pilotes qui correspondent à ces classes d’installation d’appareil, le GUID de classe multimédia est entré et l’appareil photo est bloqué :

Capture d’écran montrant le message Windows ne trouve pas votre caméra sur un appareil Windows.

Capture d’écran montrant le message de stratégie de groupe de la caméra bloquée sur un appareil Windows.

Résolution :

Pour rechercher le GUID de votre appareil, utilisez procédez comme suit :

  1. Sur l’appareil, ouvrez le fichier %windir%\inf\setupapi.dev.log.

  2. Dans le fichier :

    1. Recherchez Installation restreinte d’appareils non décrits par la stratégie.

    2. Dans cette section, recherchez le texte Class GUID of device changed to: {GUID}. Ajoutez ceci {GUID} à votre stratégie.

      Dans l’exemple suivant, vous voyez le texte Class GUID of device changed to: {36fc9e60-c465-11cf-8056-444553540000} :

      >>>  [Device Install (Hardware initiated) - USB\VID_046D&PID_C534\5&bd89ed7&0&2]
>>>  Section start 2020/01/20 17:26:03.547
dvi: {Build Driver List} 17:26:03.597
…
dvi: {Build Driver List - exit(0x00000000)} 17:26:03.645
dvi: {DIF_SELECTBESTCOMPATDRV} 17:26:03.647
dvi:      Default installer: Enter 17:26:03.647
dvi:           {Select Best Driver}
dvi:                Class GUID of device changed to: {36fc9e60-c465-11cf-8056-444553540000}.
dvi:                Selected Driver:
dvi:                     Description - USB Composite Device
dvi:                     InfFile     - c:\windows\system32\driverstore\filerepository\usb.inf_amd64_9646056539e4be37\usb.inf
dvi:                     Section     - Composite.Dev
dvi:           {Select Best Driver - exit(0x00000000)}
dvi:      Default installer: Exit
dvi: {DIF_SELECTBESTCOMPATDRV - exit(0x00000000)} 17:26:03.664
dvi: {Core Device Install} 17:26:03.666
dvi:      {Install Device - USB\VID_046D&PID_C534\5&BD89ED7&0&2} 17:26:03.667
dvi:           Device Status: 0x01806400, Problem: 0x1 (0xc0000361)
dvi:           Parent device: USB\ROOT_HUB30\4&278ca476&0&0
!!! pol:           The device is explicitly restricted by the following policy settings:
!!! pol:           [-] Restricted installation of devices not described by policy
!!! pol:      {Device installation policy check [USB\VID_046D&PID_C534\5&BD89ED7&0&2] exit(0xe0000248)}
!!! dvi:      Installation of device is blocked by policy!
!   dvi:      Queueing up error report for device install failure.
dvi: {Install Device - exit(0xe0000248)} 17:26:03.692
dvi: {Core Device Install - exit(0xe0000248)} 17:26:03.694
<<<  Section end 2020/01/20 17:26:03.697
<<<  [Exit status: FAILURE(0xe0000248)]

  3. Dans le profil de configuration de l’appareil, accédez au paramètre Autoriser l’installation d’appareils à l’aide de pilotes qui correspondent à ces classes d’installation d’appareil, puis ajoutez le GUID de classe à partir du fichier journal.

  4. Si le problème persiste, répétez ces étapes pour ajouter les autres GUID de classe jusqu’à ce que l’appareil soit correctement installé.

    Dans notre exemple, les GUID de classe suivants sont ajoutés au profil d’appareil :

    • Périphériques de bus USB (hubs et contrôleurs hôtes) : {36fc9e60-c465-11cf-8056-444553540000}
    • Périphériques d’interface utilisateur (HID) : {745a17a0-74d3-11d0-b6fe-00a0c90f57da}
    • Périphériques de la caméra : {ca3e7ab9-b4c3-4ae6-8251-579ef933890f}
    • Périphérique d’acquisition d’images : {6bdd1fc6-810f-11d0-bec7-08002be2092f}

GUID de classe courants pour autoriser les périphériques USB

  • Clavier et souris : ajoutez les GUID suivants au profil d’appareil :

    • Clavier : {4d36e96b-e325-11ce-bfc1-08002be10318}
    • Souris : {4d36e96f-e325-11ce-bfc1-08002be10318}

  • Appareils photo, casques et microphones : ajoutez les GUID suivants au profil d’appareil :

    • Périphériques de bus USB (hubs et contrôleurs hôtes) : {36fc9e60-c465-11cf-8056-444553540000}
    • Périphériques d’interface utilisateur (HID) : {745a17a0-74d3-11d0-b6fe-00a0c90f57da}
    • Périphériques multimédia : {4d36e96c-e325-11ce-bfc1-08002be10318}
    • Périphériques de la caméra : {ca3e7ab9-b4c3-4ae6-8251-579ef933890f}
    • Périphérique d’acquisition d’images : {6bdd1fc6-810f-11d0-bec7-08002be2092f}
    • Périphériques système : {4D36E97D-E325-11CE-BFC1-08002BE10318}
    • Périphériques biométriques : {53d29ef7-377c-4d14-864b-eb3a85769359}
    • Périphériques logiciels génériques : {62f9c741-b25a-46ce-b54c-9bccce08b6f2}

  • Casque 3,5 mm : ajoutez les GUID suivants au profil d’appareil :

    • Périphériques multimédia : {4d36e96c-e325-11ce-bfc1-08002be10318}
    • Point de terminaison audio : {c166523c-fe0c-4a94-a586-f1a80cfbbf3e}

Remarque

Les GUID réels peuvent être différents pour vos appareils spécifiques.

  • Last updated on