Gerenciar Instalação de Dispositivos com Política de Grupo

Usando sistemas operacionais Windows, os administradores podem determinar quais dispositivos podem ser instalados nos computadores que gerenciam. Este guia resume o processo de instalação do dispositivo e demonstra várias técnicas para controlar a instalação do dispositivo usando a Política de Grupo.

Introdução

Geral

Este guia passo a passo descreve como você pode controlar a instalação de dispositivos nos computadores que gerencia, incluindo a designação de quais dispositivos os usuários podem e não podem instalar. Este guia se aplica a todas as versões do Windows a partir do Windows 10, versão 1809. O guia inclui os seguintes cenários:

• Impedir que os usuários instalem dispositivos que estejam em uma lista de "proibidos". Se um dispositivo não estiver na lista, o usuário poderá instalá-lo.
• Permitir que os usuários instalem apenas dispositivos que estejam em uma lista de "aprovados". Se um dispositivo não estiver na lista, o usuário não poderá instalá-lo.

Este guia descreve o processo de instalação do dispositivo e apresenta as cadeias de caracteres de identificação do dispositivo que o Windows usa para corresponder um dispositivo com os pacotes de driver de dispositivo disponíveis em um computador. O guia também ilustra dois métodos de controle de instalação do dispositivo. Cada cenário mostra, passo a passo, um método que você pode usar para permitir ou impedir a instalação de um dispositivo específico ou de uma classe de dispositivos.

O dispositivo de exemplo usado nos cenários é um dispositivo de armazenamento USB. Você pode executar as etapas neste guia usando um dispositivo diferente. No entanto, se você usar um dispositivo diferente, as instruções no painel não corresponderão exatamente à interface do usuário exibida no computador.

É importante entender que as Políticas de Grupo apresentadas neste guia são aplicadas somente a computadores/grupos de computadores, não a usuários/grupos de usuários.

Quem deve usar este guia?

Este guia destina-se aos seguintes públicos-alvo:

• Planejadores e analistas de tecnologia da informação que estão avaliando o Windows 10, o Windows 11 ou o Windows Server 2022
• Planejadores e designers de tecnologia da informação empresarial
• Arquitetos de segurança responsáveis por implementar uma computação confiável em sua organização
• Administradores que desejam se familiarizar com a tecnologia

Benefícios de controlar a instalação do dispositivo usando a Política de Grupo

Restringir os dispositivos que os usuários podem instalar reduz o risco de roubo de dados e reduz o custo de suporte.

Reduzir o risco de roubo de dados

É mais difícil para os usuários fazer cópias não autorizadas dos dados da empresa se os computadores dos usuários não puderem instalar dispositivos não aprovados que ofereçam suporte a mídia removível. Por exemplo, se os usuários não puderem instalar um dispositivo de pen drive USB, não poderão baixar cópias dos dados da empresa em um armazenamento removível. Esse benefício não pode eliminar o roubo de dados, mas cria outra barreira para a remoção não autorizada de dados.

Reduzir os custos de suporte

Você pode garantir que os usuários instalem apenas os dispositivos aos quais sua equipe de suporte técnico está treinada e equipada para dar suporte. Esse benefício reduz os custos de suporte e a confusão do usuário.

Visão geral do cenário

Os cenários apresentados neste guia ilustram como você pode controlar a instalação e o uso do dispositivo nos computadores que gerencia. Os cenários usam a Política de Grupo em um computador local para simplificar o uso dos procedimentos em um ambiente de laboratório. Em um ambiente em que você gerencia vários computadores cliente, deve aplicar essas configurações usando a Política de Grupo. Com a Política de Grupo implantada pelo Active Directory, é possível aplicar configurações a todos os computadores que são membros de um domínio ou de uma unidade organizacional em um domínio. Para obter mais informações sobre como criar um objeto de Política de Grupo para gerenciar seus computadores cliente, consulte Criar um Objeto de Política de Grupo.

Revisão de tecnologia

As seções a seguir fornecem uma breve visão geral das principais tecnologias discutidas neste guia e fornecem informações básicas necessárias para entender os cenários.

Instalação de dispositivo no Windows

Um dispositivo é uma peça de hardware com a qual o Windows interage para executar alguma função ou, em uma definição mais técnica, é uma única instância de um componente de hardware com uma representação exclusiva no subsistema Windows Plug and Play. O Windows só pode se comunicar com um dispositivo por meio de um software chamado driver de dispositivo (também conhecido como driver). Para instalar um driver, o Windows detecta o dispositivo, reconhece seu tipo e localiza o driver que corresponde a esse tipo.

Quando o Windows detecta um dispositivo que nunca foi instalado no computador, o sistema operacional consulta o dispositivo para recuperar sua lista de cadeias de caracteres de identificação do dispositivo. Um dispositivo geralmente tem várias cadeias de caracteres de identificação de dispositivo, atribuídas pelo fabricante do dispositivo. As mesmas cadeias de caracteres de identificação de dispositivo são incluídas no arquivo .inf (também conhecido como INF) que faz parte do pacote de driver. O Windows escolhe qual pacote de driver instalar combinando as cadeias de caracteres de identificação do dispositivo recuperadas do dispositivo com as cadeias de caracteres incluídas nos pacotes de driver.

O Windows usa quatro tipos de identificadores para controlar a instalação e a configuração do dispositivo. Você pode usar as configurações da Política de Grupo no Windows para especificar quais desses identificadores permitir ou bloquear.

Os quatro tipos de identificadores são:

• ID da instância do dispositivo
• ID do dispositivo
• Classes de instalação de dispositivo
• Tipo de dispositivo 'Dispositivos removíveis'

ID da instância do dispositivo

Uma ID de instância de dispositivo é uma cadeia de caracteres de identificação de dispositivo fornecida pelo sistema que identifica exclusivamente um dispositivo no sistema. O gerenciador de Plug and Play (PnP) atribui uma ID de instância de dispositivo a cada nó de dispositivo (devnode) na árvore de dispositivos de um sistema.

ID do dispositivo

O Windows pode usar cada cadeia de caracteres para corresponder um dispositivo a um pacote de driver. As cadeias de caracteres variam do específico, correspondendo a uma única marca e modelo de um dispositivo, ao geral, possivelmente aplicável a toda uma classe de dispositivos. Há dois tipos de cadeias de caracteres de identificação de dispositivo: IDs de hardware e IDs compatíveis.

Hardware IDs

As IDs de hardware são os identificadores que fornecem a correspondência exata entre um dispositivo e um pacote de driver. A primeira cadeia de caracteres na lista de IDs de hardware é chamada de ID do dispositivo, pois corresponde à marca, ao modelo e à revisão exatos do dispositivo. As outras IDs de hardware na lista correspondem menos exatamente aos detalhes do dispositivo. Por exemplo, uma ID de hardware pode identificar a marca e o modelo do dispositivo, mas não a revisão específica. Esse esquema permite que Windows use um driver para uma revisão diferente do dispositivo se o driver para a revisão correta não estiver disponível.

IDs compatíveis

O Windows usa esses identificadores para selecionar um driver se o sistema operacional não consegue encontrar uma correspondência com a ID do dispositivo ou qualquer uma das outras IDs de hardware. As IDs compatíveis são listadas em ordem decrescente de adequação. Essas cadeias de caracteres são opcionais e, quando fornecidas, são genéricas, como Disk. Quando uma correspondência é feita usando uma ID compatível, você normalmente pode usar apenas as funções mais básicas do dispositivo.

Quando você instala um dispositivo, como uma impressora, um dispositivo de armazenamento USB ou um teclado, o Windows procura pacotes de driver que correspondam ao dispositivo que você está tentando instalar. Durante essa pesquisa, o Windows atribui uma "classificação" a cada pacote de driver que descobre com pelo menos uma correspondência para um hardware ou ID compatível. A classificação indica o quão bem o driver corresponde ao dispositivo. Números de classificação mais baixos indicam melhores correspondências entre o driver e o dispositivo. Uma classificação igual a zero representa a melhor correspondência possível. Uma correspondência entre a ID do dispositivo e uma no pacote de driver resulta em uma classificação mais baixa (melhor) do que uma correspondência com uma das outras IDs de hardware. Da mesma forma, uma correspondência com uma ID de hardware resulta em uma classificação melhor do que uma correspondência com qualquer uma das IDs compatíveis. Depois que o Windows classifica todos os pacotes de driver, ele instala aquele com a classificação geral mais baixa. Para obter mais informações sobre o processo de classificação e seleção de pacotes de driver, consulte Como o Windows seleciona um pacote de driver para um dispositivo.

Alguns dispositivos físicos criam um ou mais dispositivos lógicos quando são instalados. Cada dispositivo lógico pode lidar com parte da funcionalidade do dispositivo físico. Por exemplo, um dispositivo multifuncional, como um scanner/fax/impressora multifuncional, pode ter uma cadeia de caracteres de identificação de dispositivo diferente para cada função.

Ao usar políticas de Instalação de Dispositivo para permitir ou impedir a instalação de um dispositivo que usa dispositivos lógicos, você deve permitir ou impedir todas as cadeias de caracteres de identificação de dispositivo para esse dispositivo. Por exemplo, se um usuário tentar instalar um dispositivo multifuncional e você não permitir ou impedir todas as cadeias de caracteres de identificação para dispositivos físicos e lógicos, poderá obter resultados inesperados da tentativa de instalação. Para obter informações mais detalhadas sobre IDs de hardware, consulte Cadeias de caracteres de identificação do dispositivo.

Classes de instalação de dispositivo

As classes de instalação de dispositivo (também conhecidas como Classe) são outro tipo de cadeia de caracteres de identificação. O fabricante atribui a classe a um dispositivo no pacote de driver. A classe agrupa dispositivos instalados e configurados da mesma maneira. Por exemplo, todos os dispositivos biométricos pertencem à classe biométrica (ClassGuid = {53D29EF7-377C-4D14-864B-EB3A85769359}) e usam o mesmo coinstalador quando instalados. Um número longo chamado GUID (identificador global exclusivo) representa cada classe de configuração de dispositivo. Quando o Windows é iniciado, ele cria uma estrutura de árvore na memória com os GUIDs para todos os dispositivos detectados. Juntamente com o GUID para a classe do próprio dispositivo, o Windows pode precisar inserir na árvore o GUID para a classe do barramento ao qual o dispositivo está conectado.

Ao usar classes de dispositivo para permitir ou impedir que os usuários instalem drivers, você deve especificar os GUIDs para todas as classes de configuração de dispositivo do dispositivo ou talvez não obtenha os resultados desejados. A instalação pode falhar (se você quiser que ela seja bem-sucedida) ou pode ser bem-sucedida (se você quiser que ela falhe).

Por exemplo, um dispositivo multifuncional, como um scanner/fax/impressora multifuncional, tem um GUID para um dispositivo multifuncional genérico, um GUID para a função de impressora, um GUID para a função de scanner e assim por diante. Os GUIDs para as funções individuais são "nós filho" no GUID do dispositivo multifuncional. Para instalar um nó filho, o Windows também deve ser capaz de instalar o nó pai. Você deve permitir a instalação da classe de configuração do dispositivo do GUID pai para o dispositivo multifuncional, além de quaisquer GUIDs filho para as funções de impressora e scanner.

Para obter mais informações, consulte Classes de instalação de dispositivos.

Este guia não descreve nenhum cenário que use classes de configuração de dispositivo. No entanto, os princípios básicos demonstrados com cadeias de caracteres de identificação de dispositivo neste guia também se aplicam a classes de configuração de dispositivo. Depois de descobrir a classe de instalação de dispositivo para um dispositivo específico, você poderá usá-la em uma política para permitir ou impedir a instalação de drivers para essa classe de dispositivos.

Os dois links a seguir fornecem a lista completa de Classes de Configuração de Dispositivo. As classes 'Uso do Sistema' são principalmente referidas a dispositivos que vêm com um computador/máquina da fábrica, enquanto as classes 'Fornecedor' são principalmente referidas a dispositivos que podem ser conectados a um computador/máquina existente:

• Classes de Configuração de Dispositivo Definido pelo Sistema Disponíveis para Fornecedores – Drivers do Windows
• Classes de Configuração de Dispositivo Definidas pelo Sistema Reservadas para Uso do Sistema – Drivers do Windows

Tipo de dispositivo "Removable Device"

Alguns dispositivos podem ser classificados como Dispositivo Removível. Um dispositivo é considerado removível quando o driver do dispositivo ao qual ele está conectado indica que o dispositivo é removível. Por exemplo, um dispositivo USB é relatado como removível pelos drivers do hub USB ao qual o dispositivo está conectado.

Configurações da Política de Grupo para instalação de dispositivo

A Política de Grupo é uma infraestrutura que permite especificar configurações gerenciadas para usuários e computadores por meio das configurações da Política de Grupo e das Preferências da Política de Grupo.

A seção Instalação de Dispositivo na Política de Grupo é um conjunto de políticas que controlam qual dispositivo pode ou não ser instalado em um computador. Se você deseja aplicar as configurações a um computador autônomo ou a muitos computadores em um domínio do Active Directory, use o Editor de Objetos de Política de Grupo para definir e aplicar as configurações de política. Para obter mais informações, consulte Editor de objetos da Política de Grupo.

As passagens a seguir são breves descrições das políticas de Instalação de Dispositivo usadas neste guia.

Permitir que os administradores substituam as políticas de Restrição de Instalação do Dispositivo

Essa configuração de política permite que membros do grupo local de Administradores instalem e atualizem os drivers para qualquer dispositivo, independentemente de outras configurações de política. Se você habilitar essa configuração de política, os administradores poderão usar o Assistente para Adicionar Hardware ou o Assistente para Atualização de Driver para instalar e atualizar os drivers para qualquer dispositivo. Se você desabilitar ou não definir essa configuração de política, os administradores estarão sujeitos a todas as configurações de política que restringem a instalação do dispositivo.

Permitir a instalação de dispositivos que correspondam a qualquer uma dessas IDs de dispositivo

Essa configuração de política especifica uma lista de IDs de hardware Plug and Play e IDs compatíveis que descrevem dispositivos que os usuários podem instalar. Essa configuração deve ser usada somente quando a configuração de política Impedir instalação de dispositivos não descritos por outras configurações de política está habilitada e não tem precedência sobre nenhuma configuração de política que impediria os usuários de instalar um dispositivo. Se você habilitar essa configuração de política, os usuários poderão instalar e atualizar qualquer dispositivo com uma ID de hardware ou ID compatível que corresponda a uma ID nesta lista se essa instalação não tiver sido impedida pela configuração de política Impedir instalação de dispositivos que correspondam a essas IDs de dispositivo, a configuração de política Impedir instalação de dispositivos para essas classes de dispositivo, ou a configuração de política Impedir instalação de dispositivos removíveis. Se outra configuração de política impedir que os usuários instalem um dispositivo, os usuários não poderão instalá-la, mesmo que o dispositivo também seja descrito por um valor nessa configuração de política. Se você desabilitar ou não definir essa configuração de política e nenhuma outra política descrever o dispositivo, a configuração de política Impedir instalação de dispositivos não descritos por outras configurações de política determinará se os usuários podem instalar o dispositivo.

Permitir a instalação de dispositivos que correspondam a qualquer uma dessas IDs de instância de dispositivo

Essa configuração de política permite que você especifique uma lista de IDs de instância de dispositivo Plug and Play para dispositivos que o Windows tem permissão para instalar. Use essa configuração de política somente quando a configuração de política "Impedir a instalação de dispositivos não descritos por outras configurações de política" estiver habilitada. Outras configurações de política que impedem a instalação do dispositivo têm precedência sobre esta. Se você habilitar essa configuração de política, o Windows terá permissão para instalar ou atualizar qualquer dispositivo cuja ID de instância de dispositivo Plug and Play apareça na lista que você criar, a menos que outra configuração de política impeça especificamente essa instalação (por exemplo, a configuração de política "Impedir a instalação de dispositivos que correspondam a qualquer uma dessas IDs de dispositivo", a configuração de política "Impedir a instalação de dispositivos para essas classes de dispositivo", a configuração de política "Impedir a instalação de dispositivos que correspondam a qualquer uma dessas IDs de instância de dispositivo" ou a configuração de política "Impedir a instalação de dispositivos removíveis"). Se você habilitar essa configuração de política em um servidor de área de trabalho remota, a configuração de política afetará o redirecionamento dos dispositivos especificados de um cliente de área de trabalho remota para o servidor de área de trabalho remota.

Permitir a instalação de dispositivos usando drivers que correspondam a essas classes de configuração de dispositivo

Essa configuração de política especifica uma lista de GUIDs de classe de configuração de dispositivo que descrevem dispositivos que os usuários podem instalar. Essa configuração deve ser usada somente quando a configuração de política Impedir instalação de dispositivos não descritos por outras configurações de política está habilitada e não tem precedência sobre nenhuma configuração de política que impediria os usuários de instalar um dispositivo. Se você habilitar essa configuração, os usuários poderão instalar e atualizar qualquer dispositivo com uma ID de hardware ou ID compatível que corresponda a uma das IDs nesta lista se essa instalação não tiver sido impedida pela configuração de política Impedir instalação de dispositivos que correspondam a essas IDs de dispositivo, a configuração de política Impedir instalação de dispositivos para essas classes de dispositivo, ou a configuração de política Impedir instalação de dispositivos removíveis. Se outra configuração de política impedir que os usuários instalem um dispositivo, os usuários não poderão instalá-la, mesmo que o dispositivo também seja descrito por um valor nessa configuração de política. Se você desabilitar ou não definir essa configuração de política e nenhuma outra configuração de política descrever o dispositivo, a configuração de política Impedir a instalação de dispositivos não descritos por outras configurações de política determinará se os usuários podem instalar o dispositivo.

Impedir a instalação de dispositivos que correspondam a essas IDs de dispositivo

Essa configuração de política especifica uma lista de IDs de hardware Plug and Play e IDs compatíveis para dispositivos que os usuários não podem instalar. Se você habilitar essa configuração de política, os usuários não poderão instalar ou atualizar o driver de um dispositivo se a ID de hardware ou a ID compatível corresponder a uma nesta lista. Se você desabilitar ou não definir essa configuração de política, os usuários poderão instalar dispositivos e atualizar seus drivers, conforme permitido por outras configurações de política para instalação de dispositivo. Observação: essa configuração de política tem precedência sobre qualquer outra configuração de política que permita aos usuários instalar um dispositivo. Essa configuração de política impede que os usuários instalem um dispositivo, mesmo que ele corresponda a outra configuração de política que permita a instalação desse dispositivo.

Impedir a instalação de dispositivos que correspondam a qualquer uma dessas IDs de instância de dispositivo

Essa configuração de política permite que você especifique uma lista de IDs de instância de dispositivo Plug and Play para dispositivos que o Windows é impedido de instalar. Essa configuração de política tem precedência sobre qualquer outra configuração de política que permita ao Windows instalar um dispositivo. Se você habilitar essa configuração de política, o Windows será impedido de instalar um dispositivo cuja ID de instância de dispositivo apareça na lista que você criar. Se você habilitar essa configuração de política em um servidor de área de trabalho remota, a configuração de política afetará o redirecionamento dos dispositivos especificados de um cliente de área de trabalho remota para o servidor de área de trabalho remota. Se você desabilitar ou não definir essa configuração de política, os dispositivos poderão ser instalados e atualizados conforme permitido ou impedido por outras configurações de política.

Impedir a instalação de dispositivos usando drivers que correspondam a essas classes de configuração de dispositivo

Essa configuração de política especifica uma lista de GUIDs de classe de configuração de dispositivo Plug and Play para dispositivos que os usuários não podem instalar. Se você habilitar essa configuração de política, os usuários não poderão instalar ou atualizar dispositivos que pertençam a nenhuma das classes de configuração de dispositivo listadas. Se você desabilitar ou não definir essa configuração de política, os usuários poderão instalar e atualizar dispositivos conforme permitido por outras configurações de política para instalação de dispositivo. Observação: essa configuração de política tem precedência sobre qualquer outra configuração de política que permita aos usuários instalar um dispositivo. Essa configuração de política impede que os usuários instalem um dispositivo, mesmo que corresponda a outra configuração de política que permita a instalação desse dispositivo.

Aplicar a ordem em camadas de avaliação para políticas de Permitir e Impedir a instalação de dispositivos em todos os critérios de correspondência de dispositivo

Essa configuração de política altera a ordem de avaliação na qual as configurações de política Permitir e Impedir são aplicadas quando mais de uma configuração de política de instalação é aplicável a um determinado dispositivo. Habilite essa configuração de política para garantir que os critérios de correspondência de dispositivo sobrepostos sejam aplicados com base em uma hierarquia estabelecida em que critérios de correspondência mais específicos substituem critérios de correspondência menos específicos. A ordem hierárquica de avaliação para configurações de política que especificam critérios de correspondência de dispositivo é a seguinte:

IDs de instância de> dispositivoIDs de dispositivo>Classe de instalação de> dispositivoDispositivos removíveis

Algumas dessas políticas têm precedência sobre outras políticas. O fluxograma a seguir ilustra como o Windows os processa para determinar se um usuário pode instalar um dispositivo ou não.

Fluxograma de políticas de instalação de dispositivos

Requisitos para completar os cenários

Geral

Para concluir cada um dos cenários, verifique se você tem:

• Um computador cliente executando o Windows.
• Uma pen drive USB. Os cenários descritos neste guia usam um pen drive USB como o dispositivo de exemplo (também conhecido como "unidade de disco removível", "unidade de memória", "unidade flash" ou "unidade de chaveiro"). A maioria dos pen drives USB não requer nenhum driver fornecido pelo fabricante e esses dispositivos funcionam com os drivers da caixa de entrada fornecidos com o build do Windows.
• Uma impressora USB/de rede pré-instalada no computador.
• Acesso à conta do administrador na máquina de teste. Os procedimentos neste guia exigem privilégios de administrador para a maioria das etapas.

Entendendo as implicações da aplicação de políticas de 'Prevenir' retroativas

Todas as políticas 'Prevenir' podem aplicar a funcionalidade de bloqueio a dispositivos/dispositivos já instalados que foram instalados no computador antes da política entrar em vigor. O uso dessa opção é recomendado quando o administrador não tem certeza do histórico de instalação de dispositivos no computador e gostaria de verificar se a política se aplica a todos os dispositivos.

Por exemplo: uma impressora já está instalada no computador, impedir a instalação de todas as impressoras bloqueará a instalação de qualquer impressora futura, mantendo apenas a impressora instalada utilizável. Para aplicar o bloqueio retroativo, o administrador deve marcar a opção "aplicar essa política em dispositivos já instalados". Marcar esta opção impedirá o acesso a dispositivos já instalados, além de quaisquer dispositivos futuros.

Esta opção é uma ferramenta poderosa, mas como tal deve ser usada com cuidado.

Determinar cadeias de caracteres de identificação do dispositivo

Seguindo estas etapas, você pode determinar as cadeias de caracteres de identificação do dispositivo. Se as IDs de hardware e as IDs compatíveis do seu dispositivo não corresponderem às IDs mostradas neste guia, use as IDs apropriadas ao seu dispositivo (essa política se aplica a IDs e classes de instância, mas não vamos dar um exemplo para elas neste guia).

Você pode determinar as IDs de hardware e as IDs compatíveis para seu dispositivo de duas maneiras. Você pode usar o Gerenciador de Dispositivos, uma ferramenta gráfica incluída no sistema operacional, ou PnPUtil, uma ferramenta de linha de comando disponível para todas as versões do Windows. Use o procedimento a seguir para exibir as cadeias de caracteres de identificação do dispositivo para seu dispositivo.

Para localizar cadeias de caracteres de identificação de dispositivo usando o Gerenciador de Dispositivos

1. Verifique se a impressora está conectada e instalada.

2. Para abrir o Gerenciador de Dispositivos, selecione o botão Iniciar, digite mmc devmgmt.msc na caixa Iniciar Pesquisa e pressione ENTER; ou procure o Gerenciador de Dispositivos como aplicativo.

3. O Gerenciador de Dispositivos inicia e exibe uma árvore representando todos os dispositivos detectados em seu computador. Na parte superior da árvore há um nó com o nome do computador ao lado dele. Os nós inferiores representam as várias categorias de hardware nas quais os dispositivos dos computadores são agrupados.

4. Encontre a seção "Impressoras" e encontre a impressora de destino

   
   Selecionando a impressora no Gerenciador de Dispositivos

5. Clique duas vezes na impressora e vá para a guia 'Detalhes'.

   
   Abra a guia 'Detalhes' para procurar os identificadores de dispositivo

6. Na janela 'Valor', copie a ID de hardware mais detalhada. Usaremos esse valor nas políticas.

   

   
   HWID e ID compatível

   Dica

   Você também pode determinar as cadeias de caracteres de identificação do dispositivo usando o utilitário de linha de comando PnPUtil. Para obter mais informações, consulte PnPUtil - Drivers do Windows.

Obtendo identificadores de dispositivo usando PnPUtil

pnputil /enum-devices /ids

Veja um exemplo de saída para um único dispositivo em um computador:

<snip>
Instance ID:                PCI\VEN_8086&DEV_2F34&SUBSYS_2F348086&REV_02\3&103a9d54&0&81
Device Description:         Intel(R) Xeon(R) E7 v3/Xeon(R) E5 v3/Core i7 PCIe Ring Interface - 2F34
Class Name:                 System
Class GUID:                 {4d36e97d-e325-11ce-bfc1-08002be10318}
Manufacturer Name:          INTEL
Status:                     Stopped
Driver Name:                oem6.inf
Hardware IDs:               PCI\VEN_8086&DEV_2F34&SUBSYS_2F348086&REV_02
                            PCI\VEN_8086&DEV_2F34&SUBSYS_2F348086
                            PCI\VEN_8086&DEV_2F34&CC_110100
                            PCI\VEN_8086&DEV_2F34&CC_1101
Compatible IDs:             PCI\VEN_8086&DEV_2F34&REV_02
                            PCI\VEN_8086&DEV_2F34
                            PCI\VEN_8086&CC_110100
                            PCI\VEN_8086&CC_1101
                            PCI\VEN_8086
                            PCI\CC_110100
                            PCI\CC_1101
<snip>

Cenário #1: Impedir a instalação de todas as impressoras

Neste cenário simples, você aprenderá como impedir a instalação de uma classe inteira de dispositivos.

Configurando o ambiente

Configurando o ambiente para o cenário com as seguintes etapas:

1. Abra o Editor de Política de Grupo e navegue até a seção Restrição de Instalação de Dispositivo.

2. Desabilite todas as políticas anteriores de instalação de dispositivo, exceto 'Aplicar ordem de avaliação em camadas' - embora a política esteja desabilitada no padrão, é recomendável que essa política seja habilitada na maioria dos aplicativos práticos.

3. Se houver políticas habilitadas, alterar seu status para 'desabilitado' limpará todos os parâmetros

4. Tenha uma impressora USB/de rede disponível para testar a política com

Etapas do cenário - Impedindo a instalação de dispositivos proibidos

Obter o identificador de dispositivo correto para impedir que ele seja instalado:

1. Se você tiver em seu sistema um dispositivo da classe que deseja bloquear, poderá seguir as etapas na seção anterior para localizar o identificador de classe de dispositivo por meio do Gerenciador de Dispositivos ou PnPUtil (GUID da classe).

2. Se você não tiver esse dispositivo instalado em seu sistema ou souber o nome da classe, poderá marcar os dois links a seguir:

   • Classes de Configuração de Dispositivo Definido pelo Sistema Disponíveis para Fornecedores – Drivers do Windows
   • Classes de Configuração de Dispositivo Definidas pelo Sistema Reservadas para Uso do Sistema – Drivers do Windows

3. Nosso cenário atual está focado em impedir que todas as impressoras sejam instaladas, portanto, aqui está o GUID da classe para a maioria das impressoras no mercado:

   Printers
   Class = Impressora
   ClassGuid = {4d36e979-e325-11ce-bfc1-08002be10318}
   Essa classe inclui impressoras.

   Observação

   Como mencionado anteriormente, impedir uma classe inteira pode impedi-lo de usar seu sistema completamente. Certifique-se de entender quais dispositivos serão bloqueados ao especificar uma Classe. Para nosso cenário, existem outras classes relacionadas a impressoras, mas antes de aplicá-las, verifique se elas não estão bloqueando nenhum outro dispositivo existente que seja crucial para o seu sistema.

Criar a política para impedir que todas as impressoras sejam instaladas:

1. Abra o Editor de Objeto de Política de Grupo - clique no botão Iniciar, digite mmc gpedit.msc na caixa Iniciar Pesquisa e pressione ENTER; ou digite na pesquisa do Windows "Editor de Política de Grupo" e abra a interface do usuário.

2. Navegue até a página Restrição de instalação do dispositivo:

   Configuração > do Computador Modelos > Administrativos Instalação de dispositivo do sistema > Restrições > de instalação do dispositivo

3. Certifique-se de que todas as políticas estão desabilitadas (é recomendável manter a política 'ordem de avaliação aplicada em camadas' habilitada).

4. Abra Impedir a instalação de dispositivos usando drivers que correspondam a essas políticas de classes de configuração de dispositivo e selecione o botão de opção 'Habilitar'.

5. No canto inferior esquerdo, na janela 'Opções', clique em 'Mostrar...' caixa. Essa opção leva você a uma tabela em que você pode inserir o identificador de classe a ser bloqueado.

6. Insira o GUID da classe de impressora que você encontrou com as chaves: {4d36e979-e325-11ce-bfc1-08002be10318}.

   
   Lista de GUIDs de classe de prevenção

7. Clique em 'OK'.

8. Clique em 'Aplicar' no canto inferior direito da janela da política - essa opção empurra a política e bloqueia todas as instalações futuras da impressora, mas não se aplica às instalações existentes.

9. Opcional, se você quiser aplicar a política a instalações existentes: Abra novamente a política Impedir instalação de dispositivos usando drivers que correspondam a essas classes de configuração de dispositivos ; na janela 'Opções' marque a caixa de seleção que diz 'também se aplica a dispositivos correspondentes que já estão instalados'

Cenário de teste 1

1. Se você não concluiu a etapa #9, siga estas etapas:

   1. Desinstale sua impressora: Gerenciador de Dispositivos > Impressoras > clique com o botão direito do mouse na impressora > Canon clique em "Desinstalar dispositivo".
   2. Para impressora USB, desconecte e conecte novamente o cabo; para dispositivo de rede, pesquise a impressora no aplicativo Configurações do Windows.
   3. Você não deve conseguir reinstalar a impressora.

2. Se você concluiu a etapa #9 acima e reiniciou o computador, procure sua impressora no Gerenciador de Dispositivos ou no aplicativo Configurações do Windows e veja que ela não está mais disponível para uso.

Cenário #2: Impedir a instalação de uma impressora específica

Este cenário se baseia no cenário #1, Impedir a instalação de todas as impressoras. Nesse cenário, você direciona uma impressora específica para impedir a instalação no computador.

Configurando o ambiente

Configurando o ambiente para o cenário com as seguintes etapas:

1. Abra o Editor de Política de Grupo e navegue até a seção Restrição de Instalação de Dispositivo.

2. Verifique se todas as políticas de Instalação de Dispositivo anteriores estão desabilitadas, exceto 'Aplicar ordem de avaliação em camadas' (esse pré-requisito é opcional para ser Ativado/Desativado neste cenário). Embora a política esteja desabilitada por padrão, é recomendável que ela seja habilitada na maioria dos aplicativos práticos. Para o cenário #2, é opcional.

Etapas do cenário - impedindo a instalação de um dispositivo específico

Obter o identificador de dispositivo correto para impedir que ele seja instalado:

1. Obtenha a ID de hardware da impressora. Neste exemplo, usaremos o identificador que encontramos anteriormente.

   
   ID de hardware da impressora

2. Anote a ID do dispositivo (neste caso, a ID do hardware): WSDPRINT\CanonMX920_seriesC1A0;. Use o identificador mais específico para bloquear uma impressora específica e não uma família de impressoras

Criar a política para impedir que uma única impressora seja instalada:

1. Abra o Editor de objetos da Política de Grupo.

2. Navegue até a página Restrição de instalação do dispositivo:

   Configuração > do Computador Modelos > Administrativos Instalação de dispositivo do sistema > Restrições > de instalação do dispositivo

3. Abra Impedir a instalação de dispositivos que correspondam a qualquer uma dessas políticas de IDs de dispositivo e selecione o botão de opção 'Habilitar'.

4. No canto inferior esquerdo, na janela 'Opções', clique em 'Mostrar...' caixa. Essa opção o levará a uma tabela em que poderá inserir o identificador de dispositivo a ser bloqueado.

5. Digite a ID do dispositivo da impressora que você encontrou acima: WSDPRINT\CanonMX920_seriesC1A0.

   
   Impedir a lista de IDs do dispositivo

6. Clique em 'OK'.

7. Clique em 'Aplicar' no canto inferior direito da janela da política. Essa opção empurra a política e bloqueia a impressora de destino em instalações futuras, mas não se aplica a uma instalação existente.

8. Opcionalmente, se você quiser aplicar a política a uma instalação existente, abra novamente a opção Impedir instalação de dispositivos que correspondam a qualquer uma dessas políticas de IDs de dispositivo . Na janela 'Opções', marque a caixa de seleção que diz 'Também se aplica a dispositivos correspondentes que já estão instalados'.

Cenário de teste 2

Se você concluiu a etapa #8 acima e reiniciou o computador, procure sua impressora no Gerenciador de Dispositivos ou no aplicativo Configurações do Windows e veja que ela não está mais disponível para uso.

Se você não concluiu a etapa #8, siga estas etapas:

1. Desinstale sua impressora: Gerenciador de Dispositivos > Impressoras > clique com o botão direito do mouse na impressora > Canon clique em "Desinstalar dispositivo".

2. Para impressora USB, desconecte e conecte novamente o cabo; para o dispositivo de rede, pesquise a impressora no aplicativo Configurações do Windows.

3. Você não deve conseguir reinstalar a impressora.

Cenário #3: Impedir a instalação de todas as impressoras enquanto permite que uma impressora específica seja instalada

Agora, usando o conhecimento de ambos os cenários anteriores, você aprenderá como impedir a instalação de uma classe inteira de dispositivos e, ao mesmo tempo, permitir que uma única impressora seja instalada.

Configurando o ambiente

Configurando o ambiente para o cenário com as seguintes etapas:

1. Abra o Editor de Política de Grupo e navegue até a seção Restrição de Instalação de Dispositivo.

2. Desabilite todas as políticas anteriores de Instalação de Dispositivo e habilite 'Aplicar ordem de avaliação em camadas'.

3. Se houver políticas habilitadas, alterar seu status para 'desabilitado' limpará todos os parâmetros.

4. Tenha uma impressora USB/de rede disponível para testar a política.

Etapas do cenário - impedindo a instalação de uma classe inteira ao permitir uma impressora específica

Obtendo o identificador de dispositivo para a classe de impressora e uma impressora específica, seguindo as etapas no cenário #1 para localizar o identificador de classe e cenário #2 para localizar o identificador de dispositivo, você pode obter os identificadores necessários para este cenário:

• ClassGuid = {4d36e979-e325-11ce-bfc1-08002be10318}
• Hardware ID = WSDPRINT\CanonMX920_seriesC1A0

Primeiro, crie uma política de "Impedir Classe" e, em seguida, crie uma política de "Permitir Dispositivo":

1. Abra o Editor de Objeto de Política de Grupo - clique no botão Iniciar, digite mmc gpedit.msc na caixa Iniciar Pesquisa e pressione ENTER; ou digite na pesquisa do Windows "Editor de Política de Grupo" e abra a interface do usuário.

2. Navegue até a página Restrição de instalação do dispositivo:

   Configuração > do Computador Modelos > Administrativos Instalação de dispositivo do sistema > Restrições > de instalação do dispositivo

3. Certifique-se de que todas as políticas estão desabilitadas

4. Abra Impedir a instalação de dispositivos usando drivers que correspondam a essas políticas de classes de configuração de dispositivo e selecione o botão de opção 'Habilitar'.

5. No canto inferior esquerdo, na janela 'Opções', clique em 'Mostrar...' caixa. Essa opção o levará a uma tabela em que você poderá inserir o identificador de classe a ser bloqueado.

6. Insira o GUID da classe de impressora que você encontrou acima com as chaves (esse valor é importante! Caso contrário, não funcionará): {4d36e979-e325-11ce-bfc1-08002be10318}

   
   Lista de GUIDs de classe de prevenção

7. Clique em 'OK'.

8. Clique em 'Aplicar' no canto inferior direito da janela da política - essa opção empurra a política e bloqueia todas as instalações futuras da impressora, mas não se aplica às instalações existentes.

9. Para concluir a cobertura de todas as impressoras futuras e existentes, abra novamente a política Impedir instalação de dispositivos usando drivers que correspondam a essas classes de configuração de dispositivo ; na janela 'Opções', marque a caixa de seleção que diz 'também se aplica a dispositivos correspondentes que já estão instalados' e clique em 'OK'

10. Abra a Aplicar ordem de avaliação em camadas para as políticas Permitir e Impedir a instalação de dispositivos em todas as políticas de critérios de correspondência de dispositivo e habilite-a - essa política permitirá que você substitua a ampla cobertura da política 'Prevenir' por um dispositivo específico.

    

    
    Aplicar ordem em camadas da política de avaliação

11. Agora abra Permita a instalação de dispositivos que correspondam a qualquer uma dessas políticas de IDs de dispositivo e selecione o botão de opção 'Habilitar'.

12. No canto inferior esquerdo, na janela 'Opções', clique em 'Mostrar...' caixa. Essa opção o levará a uma tabela em que poderá inserir o identificador de dispositivo a ser permitido.

13. Digite a ID do dispositivo da impressora encontrada acima: WSDPRINT\CanonMX920_seriesC1A0.

    
    Permitir ID de hardware da impressora

14. Clique em 'OK'.

15. Clique em 'Aplicar' no canto inferior direito da janela da política - essa opção empurra a política e permite que a impressora de destino seja instalada (ou permaneça instalada).

Cenário de teste 3

1. Procure sua impressora no Gerenciador de Dispositivos ou no aplicativo Configurações do Windows e veja se ela ainda está lá e acessível. Ou basta imprimir um documento de teste.

2. Volte para o Editor de Política de Grupo, desabilite Aplicar ordem de avaliação em camadas para permitir e impedir políticas de instalação de dispositivos em todas as políticas de critérios de correspondência de dispositivo e teste novamente sua impressora - você não deve imprimir nada ou conseguir acessar a impressora.

Cenário #4: Impedir a instalação de um dispositivo USB específico

O cenário baseia-se no conhecimento do cenário #2, Impedir a instalação de uma impressora específica. Nesse cenário, você entenderá como alguns dispositivos são integrados à árvore de dispositivos PnP (Plug and Play).

Configurando o ambiente

Configurando o ambiente para o cenário com as seguintes etapas:

1. Abra o Editor de Política de Grupo e navegue até a seção Restrição de Instalação do Dispositivo

2. Verifique se todas as políticas anteriores de instalação de dispositivo estão desabilitadas, exceto 'Aplicar ordem de avaliação em camadas'. Esse pré-requisito é opcional para ser ativado/desativado neste cenário. Embora a política esteja desabilitada por padrão, é recomendável que ela seja habilitada na maioria dos aplicativos práticos.

Etapas do cenário - impedindo a instalação de um dispositivo específico

Obtendo o identificador de dispositivo correto para impedir que ele seja instalado e sua localização na árvore PnP:

1. Conecte uma pen drive USB ao computador

2. Abrir o Gerenciador de Dispositivos

3. Localize o pen drive USB e selecione-o.

   
   Selecionando o pen drive USB no Gerenciador de Dispositivos

4. Altere o Modo de exibição (no menu superior) para 'Dispositivos por conexões'. Essa exibição representa a maneira como os dispositivos são instalados na árvore PnP.

   
   Alterando a exibição no Gerenciador de Dispositivos para ver a árvore de conexão PnP

   Observação

   Ao bloquear\Impedir um dispositivo que fica mais alto na árvore PnP, todos os dispositivos que ficam sob ele serão bloqueados. Por exemplo: Impedindo que um "Hub USB Genérico" seja instalado, todos os dispositivos que estiverem abaixo de um "Hub USB Genérico" serão bloqueados.

   
   Ao bloquear um dispositivo, todos os dispositivos aninhados abaixo dele também serão bloqueados

5. Clique duas vezes no pen drive USB e vá para a guia 'Detalhes'.

6. Na janela 'Valor', copie a ID de hardware mais detalhada. Usaremos esse valor nas políticas. Nesse caso, ID do dispositivo = USBSTOR\DiskGeneric_Flash_Disk______8.07

   
   IDs de hardware do dispositivo USB

Criar a política para impedir que um único pen drive USB seja instalado:

1. Abra o Editor de Objeto de Política de Grupo e clique no botão Iniciar, digite mmc gpedit.msc na caixa Iniciar Pesquisa e pressione ENTER; ou digite na pesquisa do Windows "Editor de Política de Grupo" e abra a interface do usuário.

2. Navegue até a página Restrição de instalação do dispositivo:

   Configuração > do Computador Modelos > Administrativos Instalação de dispositivo do sistema > Restrições > de instalação do dispositivo

3. Abra Impedir a instalação de dispositivos que correspondam a qualquer uma dessas políticas de IDs de dispositivo e selecione o botão de opção 'Habilitar'.

4. No lado inferior esquerdo, na janela 'Opções', clique na caixa 'Mostrar'. Essa opção o levará a uma tabela em que poderá inserir o identificador de dispositivo a ser bloqueado.

5. Insira a ID do dispositivo de pen drive USB encontrada acima.USBSTOR\DiskGeneric_Flash_Disk______8.07

   
   Impedir lista de IDs de dispositivos

6. Clique em 'OK'.

7. Clique em 'Aplicar' no canto inferior direito da janela da política. Essa opção impõe a política e bloqueia o pen drive USB de destino em instalações futuras, mas não se aplica a uma instalação existente.

8. Opcional - se você quiser aplicar a política a uma instalação existente, abra novamente a política Impedir instalação de dispositivos que correspondam a qualquer uma dessas políticas de IDs de dispositivo . Na janela 'Opções', marque a caixa de seleção que diz 'também se aplica a dispositivos correspondentes que já estão instalados'.

Cenário de teste 4

1. Se você não concluiu a etapa #8, siga estas etapas:

   • Desinstale o pen drive USB: Gerenciador de Dispositivos Unidades > de > disco clique com o botão direito do mouse no pen drive > USB de destino e clique em "Desinstalar dispositivo".
   • Você não deve ser capaz de reinstalar o dispositivo.

2. Se você concluiu a etapa #8 acima e reiniciou o computador, procure suas unidades de disco no Gerenciador de Dispositivos e veja que elas não estão mais disponíveis para uso.

Cenário #5: Impedir a instalação de todos os dispositivos USB, permitindo a instalação apenas de um pen drive USB autorizado

Agora, usando o conhecimento de todos os quatro cenários anteriores, você aprenderá como impedir a instalação de uma classe inteira de dispositivos, permitindo que um único pen drive USB autorizado seja instalado.

Configurando o ambiente

Configurando o ambiente para o cenário com as seguintes etapas:

1. Abra o Editor de Política de Grupo e navegue até a seção Restrição de Instalação de Dispositivo.

2. Desabilite todas as políticas anteriores de Instalação de Dispositivo e habilite 'Aplicar ordem de avaliação em camadas'.

3. Se houver políticas habilitadas, alterar seu status para 'desabilitado' limpará todos os parâmetros.

4. Tenha um pen drive USB disponível para testar a política.

Etapas do cenário - impedindo a instalação de todos os dispositivos USB, permitindo apenas um pen drive USB autorizado

Obtendo o identificador do dispositivo para as classes USB e um pen drive USB específico e seguindo as etapas no cenário #1 para localizar o identificador de classe e o cenário #4 para localizar o identificador do dispositivo, você pode obter os identificadores necessários para este cenário:

• Barramento USB Dispositivos (hubs e controladores de host)

  • Class = USB
  • ClassGuid = {36fc9e60-c465-11cf-8056-444553540000}
  • Essa classe inclui controladores de host USB e hubs USB, mas não periféricos USB. Os drivers desta classe são fornecidos pelo sistema.

• Dispositivo USB

  • Class = USBDevice
  • ClassGuid = {88BAE032-5A81-49f0-BC3D-A4FF138216D6}
  • O USBDevice inclui todos os dispositivos USB que não pertencem a outra classe. Essa classe não é usada para hubs e controladores de host USB.

• Hardware ID = USBSTOR\DiskGeneric_Flash_Disk______8.07

Conforme mencionado no cenário #4, não é suficiente habilitar apenas uma única ID de hardware para habilitar um único pen drive USB. O administrador de TI deve garantir que todos os dispositivos USB que precedem o de destino também não estejam bloqueados (permitidos). Em nosso caso, os seguintes dispositivos devem ser permitidos para que o pen drive USB de destino também possa ser permitido:

• "Intel(R) USB 3.0 eXtensible Host Controller - 1.0 (Microsoft)" -> PCI\CC_0C03
• "Hub Raiz USB (USB 3.0)" -> USB\ROOT_HUB30
• "Hub USB genérico" -> USB\USB20_HUB

Dispositivos USB aninhados uns sob os outros na árvore PnP

Esses dispositivos são dispositivos internos da máquina que definem a conexão da porta USB com o mundo exterior. Habilitá-los não deve permitir que nenhum dispositivo externo/periférico seja instalado no computador.

Primeiro, crie uma política de "Impedir Classe" e, em seguida, crie uma política de "Permitir Dispositivo":

1. Abra o Editor de objetos da Política de Grupo: clique no botão Iniciar, digite mmc gpedit.msc na caixa Iniciar Pesquisa e pressione ENTER; ou digite na pesquisa do Windows "Editor de Política de Grupo" e abra a interface do usuário.

2. Navegue até a página Restrição de instalação do dispositivo:

   Configuração > do Computador Modelos > Administrativos Instalação de dispositivo do sistema > Restrições > de instalação do dispositivo

3. Certifique-se de que todas as políticas estão desabilitadas

4. Abra Impedir a instalação de dispositivos usando drivers que correspondam a essas políticas de classes de configuração de dispositivo e selecione o botão de opção 'Habilitar'.

5. No canto inferior esquerdo, na janela 'Opções', clique em 'Mostrar...' caixa. Essa opção o levará a uma tabela em que você poderá inserir o identificador de classe a ser bloqueado.

6. Insira o GUID de ambas as classes USB encontradas acima com as chaves:

   {36fc9e60-c465-11cf-8056-444553540000}/ {88BAE032-5A81-49f0-BC3D-A4FF138216D6}

7. Clique em 'OK'.

8. Clique em 'Aplicar' no canto inferior direito da janela da política. Essa opção impõe a política e bloqueia todas as instalações futuras de dispositivos USB, mas não se aplica às instalações existentes.

   Importante

   A etapa anterior impede que todos os dispositivos USB futuros sejam instalados. Antes de passar para a próxima etapa, verifique se você tem uma lista o mais completa possível de todos os controladores de host USB, hubs raiz USB e hubs USB genéricos IDs de dispositivo disponíveis para impedir que você interaja com seu sistema por meio de teclados e mouses.

9. Abra a opção Aplicar ordem de avaliação em camadas para as políticas Permitir e Impedir instalação de dispositivos em todas as políticas de critérios de correspondência de dispositivos e habilite-a. Esta política permitirá que você substitua a ampla cobertura da política 'Impedir' por um dispositivo específico.

   
   Aplicar ordem em camadas da política de avaliação

10. Agora abra Permita a instalação de dispositivos que correspondam a qualquer uma dessas políticas de IDs de dispositivo e selecione o botão de opção 'Habilitar'.

11. No canto inferior esquerdo, na janela 'Opções', clique em 'Mostrar...' caixa. Essa opção o levará a uma tabela em que poderá inserir o identificador de dispositivo a ser permitido.

12. Insira a lista completa de IDs de dispositivos USB encontrados acima, incluindo o pen drive USB específico que você deseja autorizar para instalação.USBSTOR\DiskGeneric_Flash_Disk______8.07

    
    Lista de IDs de dispositivos USB permitidos

13. Clique em 'OK'.

14. Clique em 'Aplicar' no canto inferior direito da janela da política.

15. Para aplicar a cobertura 'Impedir' de todos os dispositivos USB instalados no momento, abra novamente a política Impedir instalação de dispositivos usando drivers que correspondam a essas classes de configuração de dispositivo ; na janela 'Opções', marque a caixa de seleção que diz 'também se aplica a dispositivos correspondentes que já estão instalados' e clique em 'OK'.

Cenário de teste 5

Você não deve ser capaz de instalar qualquer pen drive USB, exceto aquele que você autorizou para uso.