Surface Dock에 대한 UEFI 설정 구성

아티클
10/15/2024
적용 대상:

Windows 10, Windows 11

IT 관리자는 회사 환경에서 호환되는 Surface 디바이스에 배포된 Windows Installer 구성 패키지(.msi 파일)에서 UEFI 설정을 구성하여 Surface Dock 2 또는 Surface Thunderbolt 4 Dock의 포트를 보호하고 관리할 수 있습니다.

지원되는 디바이스

SEMM으로 Surface Dock 2 또는 Surface Thunderbolt 4 Dock 관리는 Surface Laptop Studio(모든 세대), Surface Laptop(7번째 버전), Surface Laptop 6, Surface Laptop 5, Surface Laptop 4, Surface Laptop 3, Surface Laptop Go(모든 세대), Surface Pro(11번째 버전), Surface Pro 10, Surface Pro 9에 연결된 도크에서 사용할 수 있습니다. 5G, Surface Pro 8, Surface Pro 7 이상, Surface Pro 7, Surface Pro X 및 Surface Book 3을 사용하여 9를 Surface Pro.

팁

이러한 호환되는 Surface 디바이스를 일반적으로 호스트 디바이스라고 합니다. 패키지는 호스트 디바이스가 인증 되었는지 아니면 인증 되지 않은지에 따라 호스트 디바이스에 적용됩니다. 구성된 설정은 호스트 디바이스의 UEFI 계층에 상주하므로 IT 관리자는 카메라와 같은 다른 기본 제공 주변 장치와 마찬가지로 호환되는 Surface Dock을 관리할 수 있습니다.

Surface Dock에 대한 UEFI 설정 구성 및 배포

이 섹션에서는 다음 작업에 대한 단계별 지침을 제공합니다.

Surface IT 도구 키트를 설치합니다.
공개 키 인증서를 만들거나 가져옵니다.
.msi 구성 패키지를 만듭니다. a. 인증서를 추가합니다. b. Surface Dock 2 또는 Surface Thunderbolt 4 Dock 장치의 16자리 RN 번호를 입력합니다. c. 구성 요소 정책(USB 데이터, 이더넷 또는 오디오)에 대한 UEFI 설정을 구성합니다.
구성 패키지를 만들고 대상 Surface 디바이스에 적용합니다.
Surface 앱을 사용하여 관리되는 Surface Dock의 결과 정책 상태를 확인합니다.

중요

RN(난수)은 팩터리에서 프로비전되고 도크의 아래쪽에 작은 형식으로 인쇄되는 고유한 16자리 16자리 코드 식별자입니다. RN은 전자적으로 읽을 수 없기 때문에 대부분의 일련 번호와 다릅니다. 이렇게 하면 디바이스에 물리적으로 액세스할 때 RN을 읽는 경우에만 소유권 증명이 설정됩니다. 또한 구매 트랜잭션 중에 RN을 얻을 수 있으며 Microsoft 인벤토리 시스템에 기록됩니다.

공개 키 인증서 만들기

이 섹션에서는 Surface Dock 2 또는 Surface Thunderbolt 4 Dock의 포트를 관리하는 데 필요한 인증서를 만들기 위한 사양을 제공합니다.

필수 구성 요소

이 문서에서는 타사 공급자로부터 인증서를 얻거나 PKI 인증서 서비스에 대한 전문 지식을 이미 보유하고 있으며 사용자 고유의 인증서를 만드는 방법을 알고 있다고 가정합니다. 한 가지 예외를 제외하고 SEMM(Surface Enterprise Management Mode) 시작 설명서에 설명된 대로 인증서를 만들기 위한 일반적인 권장 사항을 잘 알고 따라야 합니다. SEMM을 사용하여 Surface Docks를 구성하는 데 필요한 인증서에는 Dock 인증 기관에서 는 30년, 호스트 인증 인증서의 경우 20년의 만료 기간이 필요합니다.

적절한 인증서가 이미 있는 경우 다음 섹션으로 진행합니다. 그렇지 않으면 부록: 루트 및 호스트 인증서 요구 사항의 지침을 주의 깊게 검토합니다.

Dock 프로비저닝 패키지 만들기

인증서를 가져오거나 만든 경우 대상 디바이스에 적용할 .msi 프로비저닝 패키지를 빌드할 수 있습니다.

Surface IT 도구 키트를 열고 Surface Dock 구성을 선택합니다.
도킹 유형을 선택하고 프로비저닝 방법을 선택합니다.

회사 전체에서 사용하도록 설계된 조직 구성 단위입니다.
부서 단위- 보다 세분화된 설정 구성을 위해 설계되었습니다. 예를 들어 매우 중요한 정보를 처리하는 부서입니다.

인증 기관 및 인증서 파일을 가져오고 각 파일에 대한 암호를 입력합니다. 다음을 선택합니다. 이 예제에서는 조직 프로비저닝을 보여줍니다.
관리하려는 도크와 연결된 Surface Dock ID 번호를 추가합니다. 여러 도킹의 경우 헤더 없이 .csv 파일에 숫자를 입력합니다. 즉, 파일의 첫 줄에 열 이름이나 설명이 포함되어서는 안 됩니다.
USB 데이터, 이더넷 및 오디오 포트에 대한 정책 설정을 지정할 수 있습니다. UEFI 구성기를 사용하면 인증된 사용자(인증된 정책) 및 인증되지 않은 사용자(인증되지 않은 정책)에 대한 정책 설정을 구성할 수 있습니다.
- 인증된 정책은 대상 디바이스에 적용한 .msi 구성 패키지에 구성된 대로 적절한 인증서가 설치된 Surface 디바이스를 나타냅니다.
- 인증되지 않은 정책은 다른 디바이스를 참조합니다.
활성화하거나 비활성화할 구성 요소를 선택하고 다음을 선택합니다. 다음 그림에서는 인증된 디바이스에 대해 포트 액세스가 켜져 있고 인증되지 않은 디바이스에 대해 꺼져 있는 것을 보여줍니다.
동적 USB-C 사용 안 함으로 구성하려는 디바이스가 있는 경우 다음 그림과 같이 확인란을 선택합니다. 필요한 인증서를 추가하고 다음을 선택합니다. 자세한 내용은 이 페이지의 Surface Dock 포트 보안을 위한 시나리오 를 참조하세요.
구성된 설정에 대한 최종 검토를 완료하고, 폴더를 선택하여 패키지를 저장하고 , 만들기를 선택합니다.

Surface Dock에 프로비전 패키지 적용

Surface UEFI 구성기가 생성한 .msi 파일을 가져와서 Surface Laptop 6 또는 Surface Pro 10과 같은 Surface 호스트 장치에 설치합니다.
호스트 디바이스를 Surface Dock 2 또는 Surface Thunderbolt 4 Dock에 연결합니다. 도크를 연결하면 UEFI 정책 설정이 적용됩니다.

Surface Dock 포트 보안 시나리오

Surface Dock 2 또는 Surface Thunderbolt 4 Dock을 회사 호스트 디바이스에 로그인한 권한이 있는 사람으로 제한하면 다른 데이터 보호 계층이 제공됩니다. Surface Dock을 잠그는 이 기능은 엄격한 보안 프로토콜 준수를 유지하면서 도크의 기능 및 생산성 이점을 원하는 매우 안전한 환경의 특정 고객에게 매우 중요합니다. Surface Dock 2 또는 Surface Thunderbolt 4 Dock과 함께 사용되는 SEMM은 특히 보안상의 이유로 USB 포트를 잠그려는 고객에게 개방형 사무실 및 공유 공간에 유용합니다.

세분화된 USB-C 사용 안 함. DisplayPort 및 USB Power Delivery를 지원하여 USB-C 포트를 관리하면 모든 기능을 끄는 것 외에 더 많은 옵션이 제공됩니다. 예를 들어 사용자가 USB 스토리지에서 데이터를 복사하지 못하도록 데이터 연결을 방지할 수 있지만 USB-C 도크를 통해 디스플레이를 확장하고 디바이스를 충전하는 기능을 유지할 수 있습니다. Surface Pro 8, Surface Laptop Studio 및 Surface Go 3부터 이러한 옵션은 이제 SEMM PowerShell 스크립트를 통해 사용할 수 있습니다.
동적 USB-C 사용 안 함. 동적 USB-C 사용 안 함을 사용하면 매우 안전한 작업 환경에서 작동하는 고객이 기밀 데이터의 USB 도난을 방지하고 조직에 더 많은 제어를 제공할 수 있습니다. Surface Thunderbolt 4 Dock과 페어링하면 적격 Surface 디바이스가 도킹 해제되거나 권한 없는 도크에 연결될 때마다 IT 관리자는 USB-C 포트를 잠글 수 있습니다.

팁

이 기능은 Surface Pro 10, Surface Laptop 6 및 Surface Laptop Studio 2에서 사용할 수 있습니다.

사용자가 사무실의 권한 있는 도크에 연결된 경우 동적 USB-C 사용 안 함으로 USB-C 포트는 디바이스에 대한 모든 기능을 갖습니다. 그러나 오프사이트로 이동하는 경우에도 액세서리 또는 모니터를 사용하기 위해 도크에 연결할 수 있지만 USB 포트를 사용하여 데이터를 전송할 수는 없습니다.

이러한 시나리오에 대한 USB-C 포트 관리에는 다음 작업이 포함됩니다.

이 페이지의 앞부분에서 설명한 대로 Surface Pro 10 또는 Surface Laptop 6과 같은 호스트 디바이스를 프로비전하고 UEFI Configurator에서 생성된 .msi 패키지를 통해 SeMM에 Surface Dock을 프로비전합니다.
"인증됨" 및 "인증되지 않은" 디바이스에 대한 UEFI 정책 설정을 포함하는 별도의 .msi 패키지를 만듭니다.
세분화된 USB-C 사용 안 함 또는 동적 USB-C 사용 안 함을 구성합니다.

자세한 내용은 Surface 디바이스에서 USB 포트 관리를 참조하세요.

Surface 앱을 사용하여 관리되는 상태 확인

구성 패키지를 적용한 후에는 모든 Surface 장치에 기본적으로 설치된 Surface 앱에서 직접 도킹의 결과 정책 상태를 빠르게 확인할 수 있습니다. Surface 앱이 장치에 없는 경우 Microsoft Store에서 다운로드하여 설치할 수 있습니다.

테스트 시나리오

목표: 인증된 사용자만 포트 액세스를 허용하도록 정책 설정을 구성합니다.

앞에서 설명한 대로 인증된 사용자의 모든 포트를 켜고 인증되지 않은 사용자에 대해 포트를 끕니다.
대상 디바이스에 구성 패키지를 적용하고 도크를 연결합니다.
Surface 앱을 열고 Surface Dock을 선택하여 Surface Dock의 결과 정책 상태를 확인합니다. 정책 설정이 적용되는 경우 Surface 앱(Surface Thunderbolt 4 Dock 및 Surface Dock 2의 경우 여기에 표시됨)은 포트를 사용할 수 있음을 나타냅니다.
이제 인증되지 않은 사용자에 대한 정책 설정이 모든 포트를 성공적으로 해제했는지 확인해야 합니다. Surface Dock 2 또는 Surface Thunderbolt 4 Dock을 관리되지 않는 디바이스(예: 사용자가 만든 구성 패키지에 대한 관리 scope 외부의 모든 Surface 디바이스)에 연결합니다.
Surface 앱을 열고 Surface Dock을 선택합니다. 결과 정책 상태(Surface Thunderbolt 4 Dock 및 Surface Dock 2의 경우 여기에 표시됨)는 포트가 꺼져 있음을 나타냅니다.

팁

디바이스의 소유권을 유지하지만 모든 사용자가 모든 권한을 허용하려면 모든 항목이 켜져 있는 새 패키지를 만들 수 있습니다. 디바이스의 제한 사항 및 소유권을 완전히 제거하려면(관리되지 않음) Surface UEFI 구성기에서 다시 설정을 선택하여 대상 디바이스에 적용할 패키지를 만듭니다.

축하합니다. 대상 호스트 디바이스에서 Surface Dock 포트를 성공적으로 관리했습니다.

부록: 루트 및 호스트 인증서 요구 사항

구성 패키지를 만들기 전에 Surface Dock 2 또는 Surface Thunderbolt 4 Dock의 소유권을 인증하고 디바이스 수명 주기 동안 소유권의 후속 변경을 용이하게 하는 공개 키 인증서를 준비해야 합니다. 호스트 및 프로비저닝 인증서에는 EKU ID를 입력해야 합니다. 그렇지 않으면 EKU(클라이언트 인증 EKU) 개체 식별자(OID)라고도 합니다.

필요한 EKU 값은 표 1 및 표 2에 나열됩니다.

주의

인증서를 안전한 위치에 유지하고 제대로 백업되었는지 확인합니다. Surface UEFI가 없으면 Surface UEFI를 다시 설정하거나, 관리되는 Surface UEFI 설정을 변경하거나, 등록된 Surface 장치에서 SEMM을 제거할 수 없습니다.

표 1. 루트 및 도킹 인증서 요구 사항

Certificate	알고리즘	설명	만료	EKU OID
루트 인증 기관	ECDSA_P384	- 384비트 소수 타원 곡선 디지털 서명 알고리즘(ECDSA)이 있는 루트 인증서 - SHA(보안 해시 알고리즘) 256 키 사용: CERT_DIGITAL_SIGNATURE_KEY_USAGE - CERT_KEY_CERT_SIGN_KEY_USAGE CERT_CRL_SIGN_KEY_USAGE	30년	해당 없음
도킹 인증 기관	ECC P256 곡선	- 256비트 ECC(타원 곡선 암호화)가 있는 호스트 인증서 - SHA 256 키 사용: CERT_KEY_CERT_SIGN_KEY_USAGE - 경로 길이 제약 조건 = 0	20년	1.3.6.1.4.1.311.76.9.21.2 1.3.6.1.4.1.311.76.9.21.3

참고

dock CA는 .p7b 파일로 내보내야 합니다.

프로비저닝 관리 인증서 요구 사항

각 호스트 디바이스에는 표 2와 같이 문서 CA와 두 개의 인증서가 있어야 합니다.

표 2. 관리 인증서 요구 사항 프로비전

Certificate	알고리즘	설명	EKU OID
호스트 인증 인증서	ECC P256 SHA 256	호스트 디바이스의 ID를 증명합니다.	1.3.6.1.4.1.311.76.9.21.2
관리 인증서 프로비전	ECC P256 SHA256	도크에 설치된 현재 CA를 바꿀 수 있도록 하여 도크 소유권 또는 정책 설정을 변경할 수 있습니다.	1.3.6.1.4.1.311.76.9.21.3 1.3.6.1.4.1.311.76.9.21.4

참고

호스트 인증 및 프로비저닝 인증서는 .pfx 파일로 내보내야 합니다.

자세한 내용은 인증서 서비스 아키텍처 설명서를 참조하고 Windows Server 2019 Inside Out 또는 Microsoft Press에서 사용할 수 있는 Windows Server 2008 PKI 및 인증서 보안 의 적절한 장을 검토하세요.

다음을 통해 공유