IT 管理者は、企業環境全体で互換性のある Surface デバイスに展開された Windows インストーラー構成パッケージ (.msi ファイル) で UEFI 設定を構成することで、Surfaceドック 2 または Surface Thunderbolt 4 ドック 上のポートをセキュリティで保護および管理できます。
サポートされるデバイス
SEMM を使用した Surfaceドック 2 または Surface Thunderbolt 4 ドックの管理は、Surface Laptop Studio (すべての世代)、Surface Laptop 8th Edition、Snapdragon プロセッサに接続されたドックで使用できます。Surface Laptop 第 8 版、Intel プロセッサ;Surface Laptop 第 7 版、Snapdragon プロセッサ。Surface Laptop 第 7 版、Intel プロセッサ;Surface Laptop 6、Surface Laptop 5、Surface Laptop 4、Surface Laptop 3、Surface Laptop Go (すべての世代)、Surface Pro 12th Edition、Snapdragon プロセッサ。Surface Pro 12th Edition、Intel プロセッサ;Surface Pro 11th Edition、Snapdragon プロセッサ。Surface Pro 11th Edition、Intel プロセッサ。Surface Pro 10、Surface Pro 10 with 5G、Surface Pro 9、Surface Pro 9 with 5G、Surface Pro 8、Surface Pro 7+、Surface Pro 7、Surface Pro X、およびSurface Book 3。
ヒント
これらの互換性のある Surface デバイスは、一般に ホスト デバイスと呼ばれます。 パッケージは、ホスト デバイスが 認証済み か未認証かに基づいてホスト デバイスに適用 されます。 構成済みの設定はホスト デバイスの UEFI レイヤーに存在し、IT 管理者はカメラなどの他の組み込み周辺機器と同様に互換性のある Surface Dock を管理できるようにします。
Surface Dock の UEFI 設定の構成と展開
このセクションでは、次のタスクの詳細なガイダンスを提供します。
- Surface IT ツールキットをインストールします。
- 公開キー証明書を作成または取得します。
- .msi 構成パッケージを作成します。 a. 証明書を追加します。 b. Surfaceドック 2 または Surface Thunderbolt 4 ドック デバイスの 16 桁の RN 番号を入力します。 c. コンポーネント ポリシー (USB データ、イーサネット、またはオーディオ) の UEFI 設定を構成します。
- 構成パッケージを作成して、対象の Surface デバイスに適用します。
- Surface アプリを使用して、管理された Surface ドック の結果のポリシー状態を確認します。
重要
乱数(RN)は、工場でプロビジョニングされ、ドックの下側に小さな活字で印刷された一意の16桁の16進コード識別子です。 RN は、電子的に読み取ることができないため、ほとんどのシリアル番号とは異なります。 これにより、デバイスに物理的にアクセスするときに RN を読み取ることによってのみ所有権の証明が確立されます。 RN は購入トランザクション中に取得することもでき、Microsoft のインベントリ システムに記録されます。
公開キー証明書を作成する
このセクションでは、Surfaceドック 2 または Surface Thunderbolt 4 ドックのポートを管理するために必要な証明書を作成するための仕様について説明します。
前提条件
この記事は、サード パーティのプロバイダーから証明書を取得するか、既に PKI 証明書サービスの専門知識があり、独自の証明書を作成する方法を知っていることを前提としています。 Surface Enterprise Management Mode (SEMM) の開始に関するドキュメントに記載されている証明書作成に関する一般的な推奨事項を理解しておく必要があります。ただし、1 つの例外があります。 SEMM を使用して Surface Dock を構成するために必要な証明書の有効期限は、 Dock 証明機関 に 30 年、 ホスト認証証明書に 20 年が必要です。
適切な証明書が既にある場合は、次のセクションに進みます。 それ以外の場合は、「 付録: ルート証明書とホスト証明書の要件」のガイダンスを注意深く確認してください。
ドック プロビジョニング パッケージを作成する
証明書を取得または作成したら、ターゲット デバイスに適用される .msi プロビジョニング パッケージをビルドできます。
Surface IT ツールキットを開き、[ Surface ドックの構成] を選択します。
[ドックの種類] を選択し、プロビジョニング方法を選択します。
- 組織単位: 全社的な使用を目的として設計されています。
- より詳細な設定構成用に設計された部門単位。たとえば、機密性の高い情報を扱う部署などです。
証明機関と証明書ファイルをインポートし、各ファイルのパスワードを入力します。 [次へ] を選択します。 この例では、組織のプロビジョニングを示しています。
管理するドックに関連付けられている Surface ドック ID 番号を追加します。 複数のドックの場合は、ヘッダーなしで .csv ファイルに番号を入力します。つまり、ファイルの最初の行に列名または説明を含めることはできません。
USB データ、イーサネット、およびオーディオ ポートのポリシー設定を指定できます。 UEFI コンフィギュレーターを使用すると、認証されたユーザー (認証済みポリシー) と認証されていないユーザー (認証されていないポリシー) のポリシー設定を構成できます。
- 認証されたポリシー とは、ターゲット デバイスに適用した .msi 構成パッケージで構成された適切な証明書がインストールされている Surface デバイスを指します。
- 認証されていないポリシーは、他のデバイスを参照します。
アクティブ化または非アクティブ化するコンポーネントを選択し、[ 次へ] を選択します。 次の図は、認証されたデバイスで有効になっているポート アクセスと、認証されていないデバイスで無効になっているポート アクセスを示しています。
USB-C の動的無効化を構成するデバイスがある場合は、次の図に示すようにチェック ボックスをオンにします。 必要な証明書を追加し、[ 次へ] を選択します。 詳細については、このページの 「Surface ドック ポートをセキュリティで保護するためのシナリオ 」を参照してください。
構成した設定の最終レビューを完了し、パッケージを保存するフォルダーを選択して、[ 作成] を選択します。
プロビジョニング パッケージを Surface ドックに適用する
- Surface UEFI コンフィギュレーターで生成された .msi ファイルを取得し、Surface Laptop 6 や Surface Pro 10 などの Surface ホスト デバイスにインストールします。
- ホスト デバイスを Surfaceドック 2 または Surface Thunderbolt 4 ドックに接続します。 ドックを接続すると、UEFI ポリシー設定が適用されます。
Surface ドック ポートをセキュリティで保護するシナリオ
企業のホスト デバイスにサインインしている承認されたユーザーに Surfaceドック 2 または Surface Thunderbolt 4 ドックを制限すると、別のデータ保護レイヤーが提供されます。 Surface Docks をロックダウンするこの機能は、厳格なセキュリティ プロトコルへの準拠を維持しながら、Dock の機能性と生産性のメリットを求める、安全性の高い環境の特定のお客様にとって重要です。 Surfaceドック 2 または Surface Thunderbolt 4 ドックと併用する SEMM は、オープンなオフィスや共有スペースで、特にセキュリティ上の理由で USB ポートをロックしたいお客様に役立ちます。
詳細な USB-C の無効化。 DisplayPort と USB Power Delivery をサポートして USB-C ポートを管理すると、すべての機能をオフにする以外にも多くのオプションが提供されます。 たとえば、データ接続を禁止してユーザーが USB ストレージからデータをコピーできないようにしますが、ディスプレイを拡張し、USB-C ドックを介してデバイスを充電する機能は維持できます。 Surface Pro 8、Surface Laptop Studio、Surface Go 3 以降、これらのオプションは SEMM PowerShell スクリプトを介して使用できるようになりました。
USB-C の動的無効化。 動的 USB-C 無効化により、安全性の高い作業環境で運用しているお客様は、機密データの USB 盗難を防ぎ、組織により多くの制御を提供できます。 Surface Thunderbolt 4 ドックと組み合わせると、IT 管理者は、対象の Surface デバイスがドッキング解除されるか、承認されていないドックに接続されるたびに、USB-C ポートをロックダウンできます。
ヒント
この機能は、Surface Pro 12th Edition、Intel プロセッサで使用できます。Surface Pro 12th Edition、Snapdragon プロセッサ。Surface Laptop 第 8 版、Intel プロセッサ;Surface Laptop 第 8 版、Snapdragon プロセッサ。Surface Laptop 第 7 版、Intel プロセッサ、Surface Laptop 6;Surface Pro 11th Edition、Intel プロセッサ。Surface Pro 10、5G 対応の Surface Pro 10、Surface Laptop Studio 2。
動的 USB-C 無効化では、ユーザーがオフィスの承認済みドックに接続しているときに USB-C ポートがデバイスで完全に機能します。 ただし、オフサイトに移動しても、ドックに接続してアクセサリやモニターを使用することはできますが、USB ポートを使用してデータを転送することはできません。
これらのシナリオで USB-C ポートを管理するには、次のタスクが必要です。
- このページで前述したように、Surface Pro 10 や Surface Laptop 6 などのホスト デバイスをプロビジョニングし、UEFI コンフィギュレータによって生成された .msi パッケージを介して Surface dock を SEMM にプロビジョニングします。
- "認証済み" デバイスと "認証されていない" デバイスの UEFI ポリシー設定を含む別の .msi パッケージを作成します。
- 詳細な USB-C 無効化または動的な USB-C 無効化を構成します。
詳細については、「 Surface デバイスの USB ポートを管理する」を参照してください。
Surface アプリを使用して管理状態を確認する
構成パッケージを適用すると、すべての Surface デバイスに既定でインストールされている Surface アプリから直接、ドックの結果のポリシー状態をすばやく確認できます。 デバイスに Surface アプリがない場合は、Microsoft Store からダウンロードしてインストールできます。
テスト シナリオ
目的: 認証されたユーザーのみによるポート アクセスを許可するようにポリシー設定を構成します。
前述のように、認証されたユーザーに対してすべてのポートを有効にし、認証されていないユーザーに対して無効にします。
構成パッケージをターゲット デバイスに適用し、Dock を接続します。
Surface アプリを開き、[Surface ドック] を選択して、結果として得られる Surface ドックのポリシー状態を表示します。 ポリシー設定が適用されている場合、Surface アプリ (ここに示されている Surface Thunderbolt 4 ドック と Surfaceドック 2) はポートが使用可能であることを示します。
ここで、ポリシー設定によって、認証されていないユーザーのすべてのポートが正常にオフになっていることを確認する必要があります。 Surfaceドック 2 または Surface Thunderbolt 4 ドックを管理対象外のデバイス (たとえば、作成した構成パッケージの管理範囲外の Surface デバイス) に接続します。
Surface アプリを開き、[Surface ドック] を選択します。 結果として得られるポリシーの状態 (ここに Surface Thunderbolt 4 ドック と Surfaceドック 2 の場合) は、ポートがオフになっていることを示します。
ヒント
デバイスの所有権を保持し、すべてのユーザーにフル アクセスを許可したい場合は、すべてをオンにした新しいパッケージを作成できます。 デバイスの制限と所有権を完全に削除する (管理不能にする) 場合は、Surface UEFI コンフィギュレータで [リセット ] を選択して、ターゲット デバイスに適用するパッケージを作成します。
お疲れさまでした。 ターゲット ホスト デバイス上の Surface ドック ポートを正常に管理しました。
付録: ルート証明書とホスト証明書の要件
構成パッケージを作成する前に、Surfaceドック 2 または Surface Thunderbolt 4 ドックの所有権を認証し、デバイスのライフサイクル中にその後所有権の変更を容易にする公開キー証明書を準備する必要があります。 ホスト証明書とプロビジョニング証明書では、EKU ID を入力する必要があります。これは 、クライアント認証拡張キー使用法 (EKU) オブジェクト識別子 (OID) とも呼ばれます。
必須の EKU 値を表 1 と表 2 に示します。
注意
証明書を安全な場所に保管し、適切にバックアップされていることを確認してください。 これらなしでは、Surface UEFI をリセットしたり、管理された Surface UEFI 設定を変更したり、登録済みの Surface デバイスから SEMM を削除したりすることはできません。
表 1. ルート証明書と Dock 証明書の要件
| 証明書 | アルゴリズム | 説明 | 有効期限 | EKU OID |
|---|---|---|---|---|
| ルート証明機関 | ECDSA_P384 | - 384 ビット素数楕円曲線デジタル署名アルゴリズム (ECDSA) を使用したルート証明書 - セキュア ハッシュ アルゴリズム (SHA) 256 キーの使用法: CERT_DIGITAL_SIGNATURE_KEY_USAGE - CERT_KEY_CERT_SIGN_KEY_USAGE CERT_CRL_SIGN_KEY_USAGE |
30 年 | 該当せず |
| Dock 証明機関 | ECC P256 曲線 | - 256ビット楕円曲線暗号化(ECC)によるホスト証明書 - SHA 256 キーの使用法: CERT_KEY_CERT_SIGN_KEY_USAGE - パスの長さの制約 = 0 |
20 年 | 1.3.6.1.4.1.311.76.9.21.2 1.3.6.1.4.1.311.76.9.21.3 |
注
ドック CA は .p7b ファイルとしてエクスポートする必要があります。
プロビジョニング管理証明書の要件
表 2 に示すように、各ホスト デバイスにはドキュメント CA と 2 つの証明書が必要です。
表 2. プロビジョニング管理証明書の要件
| 証明書 | アルゴリズム | 説明 | EKU OID |
|---|---|---|---|
| ホスト認証証明書 | ECC P256 SHA 256 |
ホスト デバイスの ID を証明します。 | 1.3.6.1.4.1.311.76.9.21.2 |
| プロビジョニング管理証明書 | ECC P256 SHA256 |
ドックにインストールされている現在の CA を置き換えることで、ドックの所有権またはポリシー設定を変更できるようにします。 | 1.3.6.1.4.1.311.76.9.21.3 1.3.6.1.4.1.311.76.9.21.4 |
注
ホスト認証証明書とプロビジョニング証明書は .pfx ファイルとしてエクスポートする必要があります。
詳細については、「証明書サービス アーキテクチャ」のドキュメントを参照し、Microsoft Press から入手できる「Windows Server 2019 の「インサイド アウト」または「Windows Server 2008 の PKI と証明書のセキュリティ」の該当する章を確認してください。