Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Gli amministratori IT possono proteggere e gestire le porte su Surface Dock 2 o Surface Thunderbolt 4 Dock configurando le impostazioni UEFI in un pacchetto di configurazione di Windows Installer (file .msi) distribuito nei dispositivi Surface compatibili in un ambiente aziendale.
Dispositivi supportati
La gestione di Surface Dock 2 o Surface Thunderbolt 4 Dock con SEMM è disponibile per i dock connessi a Surface Laptop Studio (tutte le generazioni), Surface Laptop 8th Edition, processore Snapdragon; Surface Laptop 8a edizione, processore Intel; Surface Laptop 7th Edition, processore Snapdragon; Surface Laptop 7a edizione, processore Intel; Surface Laptop 6, Surface Laptop 5, Surface Laptop 4, Surface Laptop 3, Surface Laptop Go (tutte le generazioni), Surface Pro 12th Edition, processore Snapdragon; Surface Pro 12th Edition, processore Intel; Surface Pro 11th Edition, processore Snapdragon; Surface Pro 11th Edition, processore Intel; Surface Pro 10, Surface Pro 10 con 5G, Surface Pro 9, Surface Pro 9 con 5G, Surface Pro 8, Surface Pro 7+, Surface Pro 7, Surface Pro X e Surface Book 3.
Suggerimento
Questi dispositivi Surface compatibili sono in genere detti dispositivi host. Un pacchetto viene applicato ai dispositivi host a seconda che un dispositivo host sia autenticato o meno. Le impostazioni configurate risiedono nel livello UEFI nei dispositivi host, consentendo agli amministratori IT di gestire Surface Dock compatibili come qualsiasi altra periferica integrata, ad esempio la fotocamera.
Configurare e distribuire le impostazioni UEFI per Surface Dock
In questa sezione vengono fornite istruzioni dettagliate per le attività seguenti:
- Installa il Toolkit IT per Surface.
- Creare o ottenere certificati di chiave pubblica.
- Creare un pacchetto di configurazione .msi. a. Aggiungere i certificati. b. Immetti il numero RN di 16 cifre per i dispositivi Surface Dock 2 o Surface Thunderbolt 4 Dock. c. Configurare le impostazioni UEFI per i criteri dei componenti: dati USB, Ethernet o audio.
- Creare e applicare il pacchetto di configurazione ai dispositivi Surface di destinazione.
- Usa l'app Surface per confermare lo stato dei criteri risultante del Surface Dock gestito.
Importante
Il numero casuale (RN) è un identificatore univoco di codice esadecimale di 16 cifre fornito in fabbrica e stampato in caratteri piccoli sul lato inferiore del dock. L'RN differisce dalla maggior parte dei numeri di serie perché non può essere letto elettronicamente. Ciò garantisce che la prova della proprietà venga stabilita solo leggendo l'RN quando si accede fisicamente al dispositivo. L'RN può essere ottenuto anche durante la transazione di acquisto e viene registrato nei sistemi di inventario Microsoft.
Creare certificati di chiave pubblica
In questa sezione vengono fornite le specifiche per la creazione dei certificati necessari per gestire le porte per Surface Dock 2 o Surface Thunderbolt 4 Dock.
Prerequisiti
Questo articolo presuppone che si ottengano certificati da un provider di terze parti o che si abbia già esperienza nei servizi di certificazione PKI e si sappia come crearne di propri. È necessario conoscere e seguire le raccomandazioni generali per la creazione di certificati, come descritto nella documentazione Introduzione a Surface Enterprise Management Mode (SEMM), con un'eccezione. I certificati necessari per configurare Surface Dock con SEMM richiedono termini di scadenza di 30 anni per l'autorità di certificazione del dock e di 20 anni per il certificato di autenticazione dell'host.
Se si dispone già dei certificati appropriati, passare alla sezione successiva. In caso contrario, esaminare attentamente le indicazioni in Appendice: Requisiti dei certificati radice e host.
Creare un pacchetto di provisioning del dock
Dopo aver ottenuto o creato i certificati, è possibile creare il pacchetto di provisioning .msi che verrà applicato ai dispositivi di destinazione.
Apri Toolkit IT per Surface e seleziona Configura Surface Dock.
Scegliere Tipo di dock e selezionare un metodo di provisioning.
- Unità organizzativa, progettata per l'uso a livello aziendale.
- Unità Dipartimentale, progettata per una configurazione delle impostazioni più granulare; Ad esempio, un reparto che gestisce informazioni altamente sensibili.
Importare l'autorità di certificazione e i file di certificato e immettere la password per ogni file. Seleziona Avanti. Questo esempio mostra il provisioning dell'organizzazione.
Aggiungi i numeri ID di Surface Dock associati ai dock che intendi gestire. Per più dock, immettere i numeri in un file di .csv senza intestazione, ovvero la prima riga del file non deve contenere nomi di colonna o descrizioni.
È possibile specificare le impostazioni dei criteri per le porte dati USB, Ethernet e audio. UEFI Configurator consente di configurare le impostazioni dei criteri per gli utenti autenticati (criteri autenticati) e gli utenti non autenticati (criteri non autenticati).
- I criteri autenticati si riferiscono a un dispositivo Surface con i certificati appropriati installati, come configurato nel pacchetto di configurazione .msi applicato ai dispositivi di destinazione.
- I criteri non autenticati si riferiscono a qualsiasi altro dispositivo.
Scegli i componenti da attivare o disattivare e seleziona Avanti. La figura seguente mostra l'accesso alle porte attivato per i dispositivi autenticati e disattivato per i dispositivi non autenticati.
Se si dispone di dispositivi da configurare per la disabilitazione USB-C dinamica, selezionare la casella di controllo come mostrato nella figura seguente. Aggiungere il certificato richiesto e selezionare Avanti. Per altre informazioni, vedi Scenari per proteggere le porte di Surface Dock in questa pagina.
Completa una revisione finale delle impostazioni configurate, scegli una cartella per salvare il pacchetto e seleziona Crea.
Applicare il pacchetto di provisioning a un Surface Dock
- Prendi il file .msi generato da Surface UEFI Configurator e installalo in un dispositivo host di Surface, ad esempio Surface Laptop 6 o Surface Pro 10.
- Connettere il dispositivo host a Surface Dock 2 o Surface Thunderbolt 4 Dock. Quando si connette il dock, vengono applicate le impostazioni dei criteri UEFI.
Scenari per la protezione delle porte di Surface Dock
La limitazione di Surface Dock 2 o Surface Thunderbolt 4 Dock alle persone autorizzate che hanno eseguito l'accesso a un dispositivo host aziendale offre un ulteriore livello di protezione dei dati. Questa possibilità di bloccare i Surface Dock è fondamentale per clienti specifici in ambienti altamente sicuri che desiderano i vantaggi in termini di funzionalità e produttività del dock, mantenendo al tempo stesso la conformità a rigorosi protocolli di sicurezza. SEMM usato con Surface Dock 2 o Surface Thunderbolt 4 Dock è utile negli uffici aperti e negli spazi condivisi, soprattutto per i clienti che vogliono bloccare le porte USB per motivi di sicurezza.
Disabilitazione USB-C granulare. La gestione delle porte USB-C con il relativo supporto per DisplayPort e USB Power Delivery offre altre opzioni oltre alla disattivazione di tutte le funzionalità. Ad esempio, puoi impedire la connettività dati per impedire agli utenti di copiare i dati dall'archivio USB, mantenendo però la possibilità di estendere gli schermi e caricare il dispositivo tramite un dock USB-C. A partire da Surface Pro 8, Surface Laptop Studio e Surface Go 3, queste opzioni sono ora disponibili tramite gli script di PowerShell SEMM.
Disabilitazione USB-C dinamica. La disabilitazione USB-C dinamica consente ai clienti che operano in ambienti di lavoro altamente sicuri di prevenire il furto USB di dati riservati e fornire un maggiore controllo alle organizzazioni. Se associato a Surface Thunderbolt 4 Dock, gli amministratori IT possono bloccare le porte USB-C ogni volta che un dispositivo Surface idoneo viene disancorato o connesso a un dock non autorizzato.
Suggerimento
Questa funzionalità è disponibile su Surface Pro 12th Edition, processore Intel; Surface Pro 12th Edition, processore Snapdragon; Surface Laptop 8a edizione, processore Intel; Surface Laptop 8th Edition, processore Snapdragon; Surface Laptop 7a edizione, processore Intel, Surface Laptop 6; Surface Pro 11th Edition, processore Intel; Surface Pro 10, Surface Pro 10 con 5G e Surface Laptop Studio 2.
Con la disabilitazione USB-C dinamica Quando gli utenti sono connessi a un dock autorizzato in ufficio, le porte USB-C avranno tutte le funzionalità sui loro dispositivi. Tuttavia, quando vanno fuori sede, possono comunque connettersi a un dock per utilizzare accessori o un monitor, ma non possono utilizzare le porte USB per trasferire i dati.
La gestione delle porte USB-C per questi scenari comporta le attività seguenti:
- Effettuare il provisioning dei dispositivi host, ad esempio Surface Pro 10 o Surface Laptop 6, ed effettuare il provisioning di Surface Dock in SEMM con un pacchetto .msi generato da UEFI Configurator, come descritto in precedenza in questa pagina.
- Creare un pacchetto di .msi separato contenente le impostazioni dei criteri UEFI per i dispositivi "autenticati" e "non autenticati".
- Configura la disabilitazione USB-C granulare o la disabilitazione USB-C dinamica.
Per altre informazioni, vedi Gestire le porte USB nei dispositivi Surface.
Verificare lo stato gestito con l'app Surface
Dopo aver applicato il pacchetto di configurazione, è possibile verificare rapidamente lo stato dei criteri risultante del dock direttamente dall'app Surface, installata per impostazione predefinita in tutti i dispositivi Surface. Se l'app Surface non è presente nel dispositivo, puoi scaricarla e installarla da Microsoft Store.
Scenario di test
Obiettivo: configurare le impostazioni dei criteri per consentire l'accesso alla porta solo agli utenti autenticati.
Come descritto in precedenza, attiva tutte le porte per gli utenti autenticati e disattivale per gli utenti non autenticati.
Applica il pacchetto di configurazione al dispositivo di destinazione e connetti il dock.
Apri l'app Surface e seleziona Surface Dock per visualizzare lo stato dei criteri risultante del tuo Surface Dock. Se vengono applicate le impostazioni dei criteri, l'app Surface (mostrata qui per Surface Thunderbolt 4 Dock e Surface Dock 2) indica che le porte sono disponibili.
A questo punto, è necessario verificare che le impostazioni dei criteri abbiano disattivato correttamente tutte le porte per gli utenti non autenticati. Connetti Surface Dock 2 o Surface Thunderbolt 4 Dock a un dispositivo non gestito, ad esempio qualsiasi dispositivo Surface esterno all'ambito di gestione per il pacchetto di configurazione creato.
Apri l'app Surface e seleziona Surface Dock. Lo stato del criterio risultante (mostrato qui per Surface Thunderbolt 4 Dock e Surface Dock 2) indica che le porte sono disattivate.
Suggerimento
Se vuoi mantenere la proprietà del dispositivo ma consentire a tutti gli utenti l'accesso completo, puoi creare un nuovo pacchetto con tutto attivato. Se desideri rimuovere completamente le restrizioni e la proprietà del dispositivo (renderlo non gestito), seleziona Reimposta in Strumento di configurazione UEFI di Surface per creare un pacchetto da applicare ai dispositivi di destinazione.
Congratulazioni. Le porte di Surface Dock sono state gestite correttamente nei dispositivi host di destinazione.
Appendice: Requisiti del certificato radice e dell'host
Prima di creare il pacchetto di configurazione, è necessario preparare certificati di chiave pubblica che autenticano la proprietà di Surface Dock 2 o Surface Thunderbolt 4 Dock e facilitano le eventuali modifiche successive alla proprietà durante il ciclo di vita del dispositivo. Per i certificati di host e provisioning è necessario immettere gli ID EKU, altrimenti noti come identificatori di oggetto EKU (Client Authentication Enhanced Key Usage).
I valori EKU necessari sono elencati nelle tabelle 1 e 2.
Attenzione
Conservare i certificati in un luogo sicuro e assicurarsi che il backup sia stato eseguito correttamente. Senza di essi è impossibile reimpostare la UEFI di Surface, modificare le impostazioni UEFI gestite di Surface o rimuovere SEMM da un dispositivo Surface registrato.
Tabella 1. Requisiti del certificato radice e dock
| Certificato | Algoritmo | Descrizione | Scadenza | EKU OID |
|---|---|---|---|---|
| Autorità di certificazione radice | ECDSA_P384 | - Certificato radice con algoritmo di firma digitale a curva ellittica primaria a 384 bit (ECDSA) - Algoritmo Secure Hash (SHA) 256 Utilizzo delle chiavi: CERT_DIGITAL_SIGNATURE_KEY_USAGE - CERT_KEY_CERT_SIGN_KEY_USAGE CERT_CRL_SIGN_KEY_USAGE |
30 anni | N/D |
| Autorità di certificazione del dock | Curva ECC P256 | - Certificato host con ECC (Elliptic Curve Cryptography) a 256 bit - Utilizzo dei tasti SHA 256: CERT_KEY_CERT_SIGN_KEY_USAGE - Vincolo di lunghezza del percorso = 0 |
20 anni | 1.3.6.1.4.1.311.76.9.21.2 1.3.6.1.4.1.311.76.9.21.3 |
Nota
La CA del dock deve essere esportata come file .p7b.
Amministrazione del provisioning Requisiti dei certificati
Ogni dispositivo host deve disporre della CA doc e di due certificati, come illustrato nella tabella 2.
Tabella 2. Requisiti del certificato di amministrazione del provisioning
| Certificato | Algoritmo | Descrizione | EKU OID |
|---|---|---|---|
| Certificato di autenticazione host | ECC P256 SHA 256 |
Dimostra l'identità del dispositivo host. | 1.3.6.1.4.1.311.76.9.21.2 |
| Certificato di amministrazione del provisioning | ECC P256 SHA256 |
Consente di modificare la proprietà del dock o le impostazioni dei criteri consentendo di sostituire la CA corrente installata nel dock. | 1.3.6.1.4.1.311.76.9.21.3 1.3.6.1.4.1.311.76.9.21.4 |
Nota
I certificati di provisioning e di autenticazione dell'host devono essere esportati come file pfx.
Per altre informazioni, vedere la documentazione sull'architettura di Servizi certificati e rivedere i capitoli appropriati in Windows Server 2019 Inside Out o Windows Server 2008 PKI and Certificate Security disponibili da Microsoft Press.