Gerenciar portas USB em dispositivos Surface

Com a funcionalidade de porta USB habilitada por padrão em dispositivos Surface, muitos dispositivos com UEFI do Surface permitem que os administradores desativem a conectividade com as portas USB. Por exemplo, talvez você queira impedir que os usuários copiem dados de pen drives USB ou discos rígidos externos.

Pré-requisitos

Antes de iniciar o processo descrito neste artigo, familiarize-se com as seguintes tecnologias e ferramentas:

• O Surface IT Toolkit está disponível para download em Ferramentas do Surface para TI.
• Surface UEFI
• Surface Enterprise Management Mode (SEMM)
• Scripts do PowerShell
• Implantar aplicativos com o Configuration Manager

Introdução

O processo consiste nas seguintes partes:

1. Inscrição: Registre dispositivos Surface e encaixes no SEMM usando o Configurador UEFI do Surface, conforme descrito em Portas do Secure Surface Dock com SEMM. Os encaixes com suporte incluem o Surface Dock 2 e o Surface Thunderbolt 4 Dock. A chave para esse fluxo de trabalho é a capacidade de desligar os dados USB-C, os dados Ethernet e o áudio USB-C sempre que os dispositivos forem desconectados de um Surface Dock autorizado localizado, por exemplo, em um ambiente de trabalho que manipula informações altamente confidenciais.

2. Configuração do cliente: Instale o UEFI Manager, disponível na Biblioteca do Surface IT Toolkit, em todos os dispositivos Surface direcionados para gerenciamento.

3. Scripts do PowerShell:Acesse o Surface IT Toolkit para baixar e modificar os scripts do PowerShell conforme apropriado para seu ambiente. Use o Microsoft Configuration Manager para implantar os scripts (como aplicativos) em dispositivos de destino, seguindo as instruções em Use o Microsoft Configuration Manager para gerenciar dispositivos com SEMM.

Consulte os comentários inseridos para obter diretrizes de uso. Consulte o Apêndice: Referência técnica de scripts do SEMM PowerShell para obter definições e pré-requisitos.

Gerenciar portas USB-A

Para portas USB-A compatíveis com USB-2 e USB-3, você pode desativar o protocolo de dados USB do controle USB para impedir todas as funcionalidades.

Desabilitação granular de USB-C

O gerenciamento de portas USB-C com suporte para DisplayPort e USB Power Delivery oferece mais opções além de desativar todas as funcionalidades. Por exemplo, você pode impedir a conectividade de dados para impedir que os usuários copiem dados do armazenamento USB, mas manter a capacidade de estender as telas e carregar o dispositivo por meio de um encaixe USB-C.

A partir do Surface Pro 8, Surface Laptop Studio e Surface Go 3, opções granulares de gerenciamento USB-C estão disponíveis por meio dos scripts do SEMM PowerShell.

1. Acesse Ferramentas do Surface para TI e baixe SEMM_PowerShell.zip.

2. Se você ainda não tiver seus próprios certificados, poderá obtê-los por meio do script de exemplo apropriado, conforme documentado no Apêndice desta página.

Desabilitação Dinâmica de USB-C

A Desativação Dinâmica de USB-C permite que os clientes que operam em ambientes altamente seguros evitem a transferência não autorizada de dados via USB, oferecendo assim mais controle às organizações. Quando emparelhado com o Surface Thunderbolt 4 Dock, os administradores de TI podem bloquear portas USB-C sempre que dispositivos Surface qualificados estiverem desencaixados ou conectados a um encaixe não autorizado.

Nesse cenário, quando os usuários estiverem conectados a uma dock station autorizada no escritório, as portas USB-C terão funcionalidade total em seus dispositivos. No entanto, quando eles saem do local, eles ainda podem se conectar a um dock para usar acessórios ou monitores, mas não podem usar as portas USB para transferir dados.

A Desativação Dinâmica de USB-C fornece aos administradores de TI maior flexibilidade para gerenciar dispositivos com um novo "Modo 3", além dos modos operacionais existentes:

• Modo 0 (modo padrão): O modo padrão quando o SEMM não está configurado.

• Modo 1 (dados desabilitados): Os dados USB-C e Ethernet estão desabilitados. O áudio via USB-C também está desabilitado. A funcionalidade de exibição e energia está habilitada.

• Modo 2 (totalmente desabilitado): Os dados USB-C e Ethernet estão desabilitados. O áudio via USB-C também está desabilitado. A funcionalidade de exibição e energia está desabilitada.

• Modo 3 (Porta USB autenticado), também conhecido como Desativação Dinâmica de USB-C. Dados USB-C, dados Ethernet, áudio USB-C, saída de vídeo e funções de energia somente quando o dispositivo estiver conectado a um Surface Thunderbolt 4 Dock autorizado. Se conectado a um encaixe não autorizado, somente as funções exibir e energia funcionarão.

Gerenciar portas USB-C com o Surface IT Toolkit

Agora você pode gerenciar portas USB-C em todos os modos por meio de um dos seguintes métodos:

• O novo Configurador UEFI incluído no Kit de Ferramentas de TI do Surface fornece suporte à interface do usuário para configurar portas sem usar scripts do PowerShell.
• scripts do PowerShell, conforme descrito neste artigo.

Comportamentos de destino

Provisionamento de Docas do Surface

1. Use o script de provisionamento apropriado, conforme documentado no Apêndice desta página.

   • ConfigureSEMM - Dock2.ps1
   • ConfigureSEMM - Thunderbolt(TM)4Provisionamento de encaixe

2. Abra ConfigureSEMM.ps1 e modifique conforme apropriado. Por exemplo, para desabilitar portas USB-C, habilite a seguinte configuração: UsbPortHwDisabled. Consulte a tabela a seguir para ver todas as opções disponíveis.

Tabela 1. Opções de gerenciamento de porta USB para dispositivos Surface

Provisionamento departamental vs. organizacional

A Desabilitação Dinâmica de USB-C permite uma relação de muitos para muitos entre o host e o encaixe. Isso permite que os clientes tenham hosts e docks configurados para funcionar com todos os hosts/docks ou torná-los específicos do departamento para ajudar no gerenciamento de ativos.

Tabela 2. Relações de exemplo: Dispositivo host com o Surface Thunderbolt 4 Dock

Apêndice: Referência técnica dos Scripts do SEMM PowerShell

Saiba mais

• Configurar dispositivos Surface com o PowerShell
• Configurar o Surface Docks