USB-apparaten beperken en specifieke USB-apparaten toestaan met behulp van de instellingencatalogus in Microsoft Intune

Veel organisaties willen specifieke typen USB-apparaten, zoals USB-flashstations of camera's, blokkeren. U kunt ook specifieke USB-apparaten, zoals een toetsenbord of muis, toestaan.

Gebruik de instellingencatalogus in Microsoft Intune om deze instellingen te configureren in een beleid en implementeer dit beleid vervolgens op uw Windows-apparaten. Zie De instellingencatalogus gebruiken om apparaatinstellingen in Microsoft Intune te configureren voor meer informatie over de instellingencatalogus.

In dit artikel wordt het volgende beschreven:

  • How to create a settings catalog policy with USB settings in the Intune admin center
  • Een logboekbestand gebruiken om problemen op te lossen met apparaten die niet mogen worden geblokkeerd

Dit artikel is van toepassing op:

  • Windows

Vereisten

Rolvereisten

Als u het catalogusbeleid voor instellingen wilt configureren, meldt u zich ten minste aan bij het Intune-beheercentrum met de rol Beleids- en profielbeheerder. Zie Toegangsbeheer op basis van rollen met Microsoft Intune voor meer informatie over de ingebouwde rollen in Intune.

Het profiel maken

Dit beleid bevat een voorbeeld van de manier waarop u functies die van invloed zijn op USB-apparaten, kunt blokkeren (of toestaan). Gebruik dit beleid als uitgangspunt en voeg vervolgens naar wens instellingen toe of verwijder deze voor uw organisatie.

  1. Meld je aan bij het Microsoft Intune-beheercentrum.

  2. Selecteer Apparaten>Apparaten beheren>Configuratie>Maken>Nieuw beleid.

  3. Geef de volgende eigenschappen op:

    • Platform: selecteer Windows 10 en hoger.
    • Profieltype: selecteer Instellingencatalogus.

  4. Selecteer Maken.

  5. Voer in Basisinformatie de volgende eigenschappen in:

    • Naam: een unieke beschrijvende naam voor het beleid. Voer bijvoorbeeld USB-apparaten beperken in.
    • Beschrijving: voer een beschrijving in voor het profiel. Deze instelling is optioneel, maar wordt aanbevolen.

  6. Selecteer Volgende.

  7. Selecteer Instellingen toevoegen in Configuratie-instellingen. Ga in de instellingenkiezer naar Beheersjablonen>,Systeeminstallatie,>Installatiebeperkingen>voor apparaten. Selecteer de volgende instellingen:

    • Sta de installatie toe van apparaten die overeenkomen met een van deze apparaat-id's
    • Installatie van apparaten toestaan met stuurprogramma's die overeenkomen met deze apparaatinstallatieklassen
    • Voorkomen dat apparaten worden geïnstalleerd die niet worden beschreven door andere beleidsinstellingen

    Schermafbeelding van de instellingen voor beperkingen apparaatinstallatie in de instellingencatalogus in Microsoft Intune.

  8. Sluit de instellingenkiezer. Configureer de instellingen die u hebt geselecteerd:

    Wanneer u deze instellingen inschakelt en configureert, ziet uw beleid er ongeveer uit als de volgende beleidsinstellingen:

    Schermafbeelding van de beperkte USB-instellingen die zijn geconfigureerd in de instellingencatalogus in Microsoft Intune.

  9. Selecteer Volgende.

  10. Wijs in Bereiktags (optioneel) een tag toe om het profiel te filteren op specifieke IT-groepen, zoals US-NC IT Team of JohnGlenn_ITDepartment. Zie Op rollen gebaseerd toegangsbeheer (RBAC) en bereiktags gebruiken voor gedistribueerde ITvoor meer informatie over bereiktags.

    Selecteer Volgende.

  11. Selecteer in Opdrachten de apparaatgroepen die het profiel ontvangen. Selecteer Volgende.

  12. Controleer uw instellingen in Controleren en maken. Wanneer je Maken selecteert, worden je wijzigingen opgeslagen en het profiel toegewezen.

USB-apparaatbeperkingen controleren op Windows-apparaten

Nadat u het apparaatconfiguratieprofiel hebt geïmplementeerd op de beoogde apparaten, controleert u of het correct werkt.

Als een USB-apparaat wordt geblokkeerd en niet kan worden geïnstalleerd, ziet u een bericht dat lijkt op het volgende bericht:

The installation of this device is forbidden by system policy. Contact your system administrator.

In het volgende voorbeeld is de iPad geblokkeerd omdat de apparaat-id niet in de lijst met toegestane apparaat-id's staat:

Schermafbeelding van een apparaat dat is geblokkeerd door een Intune-beleid.

Een apparaat is geblokkeerd, maar zou moeten zijn toegestaan

Sommige USB-apparaten hebben meerdere GUID's en het komt vaak voor dat sommige GUID's in uw beleidsinstellingen ontbreken. Als gevolg hiervan kan een USB-apparaat dat u in uw instellingen toestaat, worden geblokkeerd op het apparaat.

In het volgende voorbeeld wordt in de instelling Installatie van apparaten toestaan met stuurprogramma's die overeenkomen met deze apparaatinstallatieklassen , de klasse-GUID Multimedia ingevoerd en wordt de camera geblokkeerd:

Schermafbeelding van het bericht dat Windows uw camera niet kan vinden op een Windows-apparaat.

Schermafbeelding van de camera wordt geblokkeerd door een groepsbeleidbericht op een Windows-apparaat.

Oplossing:

Voer de volgende stappen uit om de GUID van uw apparaat te vinden:

  1. Open het %windir%\inf\setupapi.dev.log bestand op het apparaat.

  2. In het bestand:

    1. Zoek op Beperkte installatie van apparaten die niet worden beschreven door beleid.

    2. Zoek in deze sectie de Class GUID of device changed to: {GUID} tekst. Voeg dit {GUID} toe aan uw beleid.

      In het volgende voorbeeld ziet u de Class GUID of device changed to: {36fc9e60-c465-11cf-8056-444553540000} tekst:

      >>>  [Device Install (Hardware initiated) - USB\VID_046D&PID_C534\5&bd89ed7&0&2]
>>>  Section start 2020/01/20 17:26:03.547
dvi: {Build Driver List} 17:26:03.597
…
dvi: {Build Driver List - exit(0x00000000)} 17:26:03.645
dvi: {DIF_SELECTBESTCOMPATDRV} 17:26:03.647
dvi:      Default installer: Enter 17:26:03.647
dvi:           {Select Best Driver}
dvi:                Class GUID of device changed to: {36fc9e60-c465-11cf-8056-444553540000}.
dvi:                Selected Driver:
dvi:                     Description - USB Composite Device
dvi:                     InfFile     - c:\windows\system32\driverstore\filerepository\usb.inf_amd64_9646056539e4be37\usb.inf
dvi:                     Section     - Composite.Dev
dvi:           {Select Best Driver - exit(0x00000000)}
dvi:      Default installer: Exit
dvi: {DIF_SELECTBESTCOMPATDRV - exit(0x00000000)} 17:26:03.664
dvi: {Core Device Install} 17:26:03.666
dvi:      {Install Device - USB\VID_046D&PID_C534\5&BD89ED7&0&2} 17:26:03.667
dvi:           Device Status: 0x01806400, Problem: 0x1 (0xc0000361)
dvi:           Parent device: USB\ROOT_HUB30\4&278ca476&0&0
!!! pol:           The device is explicitly restricted by the following policy settings:
!!! pol:           [-] Restricted installation of devices not described by policy
!!! pol:      {Device installation policy check [USB\VID_046D&PID_C534\5&BD89ED7&0&2] exit(0xe0000248)}
!!! dvi:      Installation of device is blocked by policy!
!   dvi:      Queueing up error report for device install failure.
dvi: {Install Device - exit(0xe0000248)} 17:26:03.692
dvi: {Core Device Install - exit(0xe0000248)} 17:26:03.694
<<<  Section end 2020/01/20 17:26:03.697
<<<  [Exit status: FAILURE(0xe0000248)]

  3. Ga in het apparaatconfiguratieprofiel naar Installatie van apparaten toestaan met stuurprogramma's die overeenkomen met deze instelling voor apparaatinstallatieklassen en voeg de klasse-GUID uit het logboekbestand toe.

  4. Als het probleem zich blijft voordoen, herhaalt u deze stappen om de andere klasse-GUID's toe te voegen totdat het apparaat is geïnstalleerd.

    In ons voorbeeld worden de volgende klasse-GUID's toegevoegd aan het apparaatprofiel:

    • USB-busapparaten (hubs en hostcontrollers): {36fc9e60-c465-11cf-8056-444553540000}
    • Human Interface Devices (HID): {745a17a0-74d3-11d0-b6fe-00a0c90f57da}
    • Camera-apparaten: {ca3e7ab9-b4c3-4ae6-8251-579ef933890f}
    • Beeldapparatuur: {6bdd1fc6-810f-11d0-bec7-08002be2092f}

Gemeenschappelijke klasse-GUID's om USB-apparaten toe te staan

  • Toetsenbord en muis: voeg de volgende GUID's toe aan het apparaatprofiel:

    • Toetsenbord: {4d36e96b-e325-11ce-bfc1-08002be10318}
    • Muis: {4d36e96f-e325-11ce-bfc1-08002be10318}

  • Camera's, hoofdtelefoons en microfoons: voeg de volgende GUID's toe aan het apparaatprofiel:

    • USB-busapparaten (hubs en hostcontrollers): {36fc9e60-c465-11cf-8056-444553540000}
    • Human Interface Devices (HID): {745a17a0-74d3-11d0-b6fe-00a0c90f57da}
    • Multimedia-apparaten: {4d36e96c-e325-11ce-bfc1-08002be10318}
    • Camera-apparaten: {ca3e7ab9-b4c3-4ae6-8251-579ef933890f}
    • Beeldapparatuur: {6bdd1fc6-810f-11d0-bec7-08002be2092f}
    • Systeemapparaten: {4D36E97D-E325-11CE-BFC1-08002BE10318}
    • Biometrische hulpmiddelen: {53d29ef7-377c-4d14-864b-eb3a85769359}
    • Algemene softwareapparaten: {62f9c741-b25a-46ce-b54c-9bccce08b6f2}

  • 3,5-mm hoofdtelefoon: voeg de volgende GUID's toe aan het apparaatprofiel:

    • Multimedia-apparaten: {4d36e96c-e325-11ce-bfc1-08002be10318}
    • Audio-eindpunt: {c166523c-fe0c-4a94-a586-f1a80cfbbf3e}

Opmerking

De werkelijke GUID's kunnen afwijken voor uw specifieke apparaten.

  • Last updated on