Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Les administrateurs informatiques peuvent sécuriser et gérer les ports sur Station d’accueil Surface 2 ou Surface Thunderbolt 4 Dock en configurant les paramètres UEFI dans un package de configuration Windows Installer (fichier .msi) déployé sur des appareils Surface compatibles dans un environnement d’entreprise.
Appareils pris en charge
La gestion de Station d’accueil Surface 2 ou Surface Thunderbolt 4 Dock avec SEMM est disponible pour les docks connectés à Surface Laptop Studio (toutes les générations), Surface Laptop 8e édition, processeur Snapdragon ; Surface Laptop 8e édition, processeur Intel ; Surface Laptop 7e édition, processeur Snapdragon ; Surface Laptop 7e édition, processeur Intel ; Surface Laptop 6, Surface Laptop 5, Surface Laptop 4, Surface Laptop 3, Surface Laptop Go (toutes les générations), Surface Pro 12e édition, processeur Snapdragon ; Surface Pro 12e édition, processeur Intel ; Surface Pro 11e édition, processeur Snapdragon ; Surface Pro 11e édition, processeur Intel ; Surface Pro 10, Surface Pro 10 avec 5G, Surface Pro 9, Surface Pro 9 avec 5G, Surface Pro 8, Surface Pro 7+, Surface Pro 7, Surface Pro X et Surface Book 3.
Astuce
Ces appareils Surface compatibles sont communément appelés appareils hôtes. Un package est appliqué aux périphériques hôtes selon qu’un périphérique hôte est authentifié ou non authentifié. Les paramètres configurés résident dans la couche UEFI sur les appareils hôtes, ce qui permet aux administrateurs informatiques de gérer les stations d’accueil Surface compatibles comme n’importe quel autre périphérique intégré, tel que la caméra.
Configurer et déployer les paramètres UEFI pour les stations d’accueil Surface
Cette section fournit des instructions détaillées pour les tâches suivantes :
- Installez Surface IT Toolkit.
- Créer ou obtenir des certificats de clé publique.
- Créez un package de configuration .msi. a. Ajoutez vos certificats. b. Entrez le numéro RN à 16 chiffres de vos appareils Station d’accueil Surface 2 ou Surface Thunderbolt 4 Dock. c. Configurez les paramètres UEFI pour les stratégies de composant : USB de données, Ethernet ou Audio.
- Créez et appliquez le package de configuration aux appareils Surface ciblés.
- Utilisez l’application Surface pour confirmer l’état de stratégie résultant de la station d’accueil Surface gérée.
Important
Le numéro aléatoire (RN) est un identifiant unique de code hexadécimal à 16 chiffres fourni à l’usine et imprimé en petits caractères sur la face inférieure du quai. Le RN diffère de la plupart des numéros de série car il ne peut pas être lu électroniquement. Cela garantit que la preuve de propriété n’est établie qu’en lisant l’infirmière autorisée lors de l’accès physique à l’appareil. Le RN peut également être obtenu lors de la transaction d’achat et est enregistré dans les systèmes d’inventaire Microsoft.
Créer des certificats de clé publique
Cette section fournit les spécifications pour la création des certificats nécessaires à la gestion des ports de Station d’accueil Surface 2 ou Surface Thunderbolt 4 Dock.
Conditions préalables
Cet article suppose que vous obtenez des certificats auprès d’un fournisseur tiers ou que vous avez déjà une expertise dans les services de certificats PKI et que vous savez comment créer les vôtres. Vous devez connaître et suivre les recommandations générales relatives à la création de certificats, telles que décrites dans la documentation Prise en main de Surface Enterprise Management Mode (SEMM), à une exception près. Les certificats requis pour configurer les stations d’accueil Surface avec SEMM nécessitent des délais d’expiration de 30 ans pour l’autorité de certification de station d’accueil et de 20 ans pour le certificat d’authentification hôte.
Si vous disposez déjà des certificats appropriés, passez à la section suivante. Pour le reste, examinez attentivement les instructions de l’annexe : Exigences relatives aux certificats racines et hôtes.
Créer un package d’approvisionnement de station d’accueil
Une fois que vous avez obtenu ou créé les certificats, vous pouvez créer le package de configuration .msi qui sera appliqué aux appareils cibles.
Ouvrez Surface IT Toolkit et sélectionnez Configurer la station d’accueil Surface.
Choisissez Type de station d’accueil et sélectionnez une méthode d’approvisionnement.
- Unité d’organisation, conçue pour une utilisation à l’échelle de l’entreprise.
- Unité départementale, conçue pour une configuration plus granulaire des paramètres ; par exemple, un service traitant des informations très sensibles.
Importez votre autorité de certification et vos fichiers de certificat et entrez le mot de passe pour chaque fichier. Sélectionnez Suivant. Cet exemple illustre l’approvisionnement organisationnel.
Ajoutez les numéros d’identification de station Surface associés aux stations d’accueil que vous souhaitez gérer. Pour plusieurs docks, entrez les numéros d’un fichier .csv sans en-tête, ce qui signifie que la première ligne du fichier ne doit pas contenir de noms de colonnes ou de descriptions.
Vous pouvez spécifier des paramètres de stratégie pour les ports USB, Ethernet et audio. Le configurateur UEFI vous permet de configurer des paramètres de stratégie pour les utilisateurs authentifiés (stratégie authentifiée) et les utilisateurs non authentifiés (stratégie non authentifiée).
- La stratégie authentifiée fait référence à un appareil Surface avec les certificats appropriés installés, tel que configuré dans le package de configuration .msi que vous avez appliqué aux périphériques cibles.
- La stratégie non authentifiée fait référence à tout autre appareil.
Choisissez les composants que vous souhaitez activer ou désactiver et sélectionnez Suivant. La figure suivante montre l’accès au port activé pour les appareils authentifiés et désactivé pour les appareils non authentifiés.
Si vous avez des appareils que vous souhaitez configurer pour la désactivation dynamique de l’USB-C, cochez la case comme indiqué dans la figure suivante. Ajoutez le certificat requis, puis sélectionnez Suivant. Pour plus d’informations, voir Scénarios de sécurisation des ports de station Surface sur cette page.
Effectuez un dernier examen de vos paramètres configurés, choisissez un dossier pour enregistrer le package, puis sélectionnez Créer.
Appliquer le package d’approvisionnement à une station d’accueil Surface
- Prenez le fichier .msi généré par le configurateur UEFI Surface et installez-le sur un appareil hôte Surface, tel que Surface Laptop 6 ou Surface Pro 10.
- Connectez l’appareil hôte à la station d’accueil Station d’accueil Surface 2 ou Surface Thunderbolt 4. Lorsque vous connectez la station d’accueil, les paramètres de stratégie UEFI sont appliqués.
Scénarios de sécurisation des ports de la station Surface
Restreindre Station d’accueil Surface 2 ou Surface Thunderbolt 4 Dock aux personnes autorisées connectées à un appareil hôte d’entreprise fournit une couche supplémentaire de protection des données. Cette possibilité de verrouiller les stations d’accueil Surface est essentielle pour les clients spécifiques dans des environnements hautement sécurisés qui souhaitent bénéficier des avantages de fonctionnalité et de productivité de la station d’accueil tout en maintenant la conformité à des protocoles de sécurité stricts. SEMM utilisé avec Station d’accueil Surface 2 ou Surface Thunderbolt 4 Dock est utile dans les bureaux ouverts et les espaces partagés, en particulier pour les clients qui souhaitent verrouiller les ports USB pour des raisons de sécurité.
Désactivation USB-C granulaire. La gestion des ports USB-C avec leur prise en charge de DisplayPort et USB Power Delivery offre plus d’options que la désactivation de toutes les fonctionnalités. Par exemple, vous pouvez empêcher la connectivité des données afin d’empêcher les utilisateurs de copier des données à partir d’un stockage USB, tout en conservant la possibilité d’étendre les affichages et de charger l’appareil via une station d’accueil USB-C. À partir de Surface Pro 8, Surface Laptop Studio et Surface Go 3, ces options sont désormais disponibles via les scripts SEMM PowerShell.
Désactivation dynamique de l’USB-C. La désactivation dynamique de l’USB-C permet aux clients travaillant dans des environnements de travail hautement sécurisés d’éviter le vol de données confidentielles par USB et d’offrir davantage de contrôle aux organisations. Lorsqu’il est couplé à la station d’accueil Surface Thunderbolt 4, les administrateurs informatiques peuvent verrouiller les ports USB-C chaque fois qu’un appareil Surface éligible n’est pas ancré ou connecté à une station d’accueil non autorisée.
Astuce
Cette fonctionnalité est disponible sur Surface Pro 12e édition, processeur Intel ; Surface Pro 12e édition, processeur Snapdragon ; Surface Laptop 8e édition, processeur Intel ; Surface Laptop 8e édition, processeur Snapdragon ; Surface Laptop 7e édition, processeur Intel, Surface Laptop 6 ; Surface Pro 11e édition, processeur Intel ; Surface Pro 10, Surface Pro 10 avec 5G et Surface Laptop Studio 2.
Avec la désactivation dynamique de l’USB-C lorsque les utilisateurs sont connectés à une station d’accueil autorisée au bureau, les ports USB-C disposent de toutes les fonctionnalités sur leurs appareils. Cependant, lorsqu’ils sortent du site, ils peuvent toujours se connecter à une station d’accueil pour utiliser des accessoires ou un moniteur, mais ne peuvent pas utiliser les ports USB pour transférer des données.
La gestion des ports USB-C pour ces scénarios implique les tâches suivantes :
- Provisionnez vos appareils hôtes, tels que Surface Pro 10 ou Surface Laptop 6, et provisionnez la station d’accueil Surface dans SEMM via un package .msi généré par le configurateur UEFI, comme décrit plus haut sur cette page.
- Créez un package .msi distinct contenant les paramètres de stratégie UEFI pour les appareils « authentifiés » et « non authentifiés ».
- Configurez la désactivation USB-C granulaire ou la désactivation USB-C dynamique.
Pour en savoir plus, consultez Gérer les ports USB sur les appareils Surface.
Vérifier l’état managé à l’aide de l’application Surface
Une fois que vous avez appliqué le package de configuration, vous pouvez rapidement vérifier l’état de stratégie résultant de la station d’accueil directement à partir de l’application Surface, installée par défaut sur tous les appareils Surface. Si l’application Surface ne se trouve pas sur l’appareil, vous pouvez la télécharger et l’installer à partir du Microsoft Store.
Scénario de test
Objectif : configurer les paramètres de stratégie pour autoriser l’accès au port uniquement par les utilisateurs authentifiés.
Comme décrit précédemment, activez tous les ports pour les utilisateurs authentifiés et désactivez-les pour les utilisateurs non authentifiés.
Appliquez le package de configuration à votre appareil cible et connectez la station d’accueil.
Ouvrez l’application Surface et sélectionnez Station Surface pour afficher l’état de stratégie résultant de votre station d’accueil Surface. Si les paramètres de stratégie sont appliqués, l’application Surface (illustrée ici pour les Surface Thunderbolt 4 Dock et Station d’accueil Surface 2) indique que les ports sont disponibles.
À présent, vous devez vérifier que les paramètres de stratégie ont bien désactivé tous les ports pour les utilisateurs non authentifiés. Connectez la station d’accueil Station d’accueil Surface 2 ou Surface Thunderbolt 4 à un appareil non géré, par exemple, tout appareil Surface en dehors de l’étendue de la gestion du package de configuration que vous avez créé.
Ouvrez l’application Surface , puis sélectionnez Station d’accueil Surface. L’état de stratégie résultant (illustré ici pour les Surface Thunderbolt 4 Dock et Station d’accueil Surface 2) indique que les ports sont désactivés.
Astuce
Si vous souhaitez conserver la propriété de l’appareil mais autoriser tous les utilisateurs à y accéder complètement, vous pouvez créer un nouveau package avec tous les paramètres activés. Si vous souhaitez supprimer complètement les restrictions et la propriété de l’appareil (le rendre non géré), sélectionnez Réinitialiser dans le configurateur Surface UEFI pour créer un package à appliquer aux appareils cibles.
Félicitations. Vous avez correctement géré les ports de la station d’accueil Surface sur les appareils hôtes ciblés.
Annexe : Exigences relatives aux certificats racine et hôte
Avant de créer le package de configuration, vous devez préparer des certificats de clé publique qui authentifient la propriété de la station d’accueil Station d’accueil Surface 2 ou Surface Thunderbolt 4 et facilitent tout changement ultérieur de propriétaire au cours du cycle de vie de l’appareil. Les certificats d’hôte et d’approvisionnement nécessitent la saisie d’ID EKU, également appelés identificateurs d’objets (OID) EKU (Enhanced Key Usage).
Les valeurs EKU requises sont énumérées dans le tableau 1 et le tableau 2.
Attention
Conservez les certificats dans un emplacement sûr et assurez-vous qu’ils sont correctement sauvegardés. Sans eux, il est impossible de réinitialiser l’UEFI Surface, de modifier les paramètres UEFI Surface gérés ou de supprimer SEMM d’un appareil Surface inscrit.
Tableau 1. Exigences relatives aux certificats racine et de quai
| Certificat | Algorithm | Description | Expiration | EKU OID |
|---|---|---|---|---|
| Autorité de certification racine | ECDSA_P384 | - Certificat racine avec algorithme de signature numérique à courbe elliptique (ECDSA) de qualité supérieure de 384 bits - Algorithme de hachage sécurisé (SHA) 256 Utilisation de la clé : CERT_DIGITAL_SIGNATURE_KEY_USAGE - CERT_KEY_CERT_SIGN_KEY_USAGE CERT_CRL_SIGN_KEY_USAGE |
30 ans | Non applicable |
| Autorité de certification Dock | Courbe ECC P256 | - Certificat d’hôte avec chiffrement à courbe elliptique (ECC) 256 bits - SHA 256 Utilisation de la clé : CERT_KEY_CERT_SIGN_KEY_USAGE - Contrainte de longueur de chemin = 0 |
20 ans | 1.3.6.1.4.1.311.76.9.21.2 1.3.6.1.4.1.311.76.9.21.3 |
Remarque
L’autorité de certification de la station d’accueil doit être exportée sous la forme d’un fichier .p7b.
Administration de l’approvisionnement Exigences en matière de certificats
Chaque appareil hôte doit avoir l’autorité de certification de document et deux certificats, comme indiqué dans le tableau 2.
Tableau 2. Exigences en matière de certificats d’administration d’approvisionnement
| Certificat | Algorithm | Description | EKU OID |
|---|---|---|---|
| Certificat d’authentification de l’hôte | ECC P256 SHA 256 |
Prouve l’identité de l’appareil hôte. | 1.3.6.1.4.1.311.76.9.21.2 |
| Certificat d’administration d’approvisionnement | ECC P256 SHA256 |
Vous permet de modifier la propriété de la station d’accueil ou les paramètres de stratégie en vous permettant de remplacer l’autorité de certification actuelle installée sur la station d’accueil. | 1.3.6.1.4.1.311.76.9.21.3 1.3.6.1.4.1.311.76.9.21.4 |
Remarque
Les certificats d’authentification et d’approvisionnement de l’hôte doivent être exportés en tant que fichiers .pfx.
Pour plus d’informations, consultez la documentation sur l’architecture des services de certificats et consultez les chapitres appropriés dans Windows Server 2019 Inside Out ou Windows Server 2008 PKI and Certificate Security disponible auprès de Microsoft Press.