Guía paso a paso para controlar la instalación de dispositivos mediante directiva de grupo

Artículo
05/11/2010

Dave Bishop

Actualizado junio de 2007

Resumen: Mediante el uso de los sistemas operativos Windows Server 2008 y Windows Vista, los administradores pueden determinar qué dispositivos se pueden instalar en los equipos que administran. En la guía se resume el proceso de instalación de dispositivos y se muestran varias técnicas para controlar la instalación de dispositivos. (34 páginas impresas).

Contenido

Introducción
   ¿Quién debe usar esta guía?
   Ventajas de controlar la instalación de dispositivos mediante directiva de grupo
Información general del escenario
Revisión de tecnología
   Instalación de dispositivos en Windows
   configuración de directiva de grupo para la instalación de dispositivos
   directiva de grupo configuración de acceso de almacenamiento extraíble
Requisitos para completar los escenarios
   Procedimientos previos
Impedir la instalación de todos los dispositivos
   Requisitos previos para evitar la instalación de todos los dispositivos
   Pasos para impedir la instalación de todos los dispositivos
Permitir que los usuarios instalen solo dispositivos autorizados
   Requisitos previos para permitir que los usuarios instalen solo dispositivos autorizados
   Pasos para permitir que los usuarios instalen solo dispositivos autorizados
Impedir la instalación de dispositivos prohibidos
   Requisitos previos para impedir la instalación de dispositivos prohibidos
   Pasos para evitar la instalación de dispositivos prohibidos
Control de permisos de lectura y escritura en medios extraíbles
   Requisitos previos para controlar los permisos de lectura y escritura en medios extraíbles
   Pasos para controlar los permisos de lectura y escritura en medios extraíbles
Conclusión
Recursos adicionales
Registro de errores y comentarios

Introducción

En esta guía paso a paso se describe cómo controlar la instalación de dispositivos en los equipos que administra, incluida la designación de los dispositivos que los usuarios pueden instalar y no pueden instalar. En concreto, en Windows Server 2008 y Windows Vista puede aplicar la directiva de equipo a:

Impedir que los usuarios instalen cualquier dispositivo.
Permitir que los usuarios instalen solo los dispositivos que están en una lista de permitidos. Si un dispositivo no está en la lista, el usuario no puede instalarlo.
Impedir que los usuarios instalen dispositivos que están en una lista de no permitidos. Si un dispositivo no está en la lista, el usuario puede instalarlo.
Denegar el acceso de lectura o escritura a los usuarios para dispositivos que se pueden mover por sí mismos o que usan medios extraíbles, como los quemadores de CD y DVD, las unidades de disco disquete, las unidades de disco duro externas y los dispositivos portátiles, como reproductores multimedia, teléfonos inteligentes o dispositivos Pocket PC.

En esta guía se describe el proceso de instalación de dispositivos y se presentan las cadenas de identificación que Windows usa para hacer coincidir un dispositivo con los paquetes de controladores de dispositivo disponibles en un equipo. En la guía también se muestran tres métodos para controlar la instalación de dispositivos. Cada escenario muestra, paso a paso, un método que puede usar para permitir o impedir la instalación de un dispositivo específico o una clase de dispositivos. En el cuarto escenario se muestra cómo denegar el acceso de lectura o escritura a los usuarios para dispositivos extraíbles o que usan medios extraíbles.

El dispositivo de ejemplo que se usa en los escenarios es un dispositivo de almacenamiento USB. Puede realizar los pasos de esta guía mediante un dispositivo diferente. Sin embargo, si usa un dispositivo diferente, las instrucciones de la guía no coincidirán exactamente con la interfaz de usuario que aparece en el equipo.

Importante Los pasos proporcionados en esta guía están diseñados para su uso en un entorno de laboratorio de pruebas. Esta guía paso a paso no está pensada para usarse para implementar características de Windows Server sin documentación complementaria y debe usarse con discreción como documento independiente.

¿Quién debe usar esta guía?

Esta guía está pensada para los siguientes destinatarios:

Planificadores y analistas de tecnologías de la información que están evaluando Windows Vista y Windows Server 2008
Diseñadores y planificadores de tecnología de la información empresarial
Arquitectos de seguridad responsables de implementar la informática de confianza en su organización
Administradores que quieren familiarizarse con la tecnología

Ventajas de controlar la instalación de dispositivos mediante directiva de grupo

La restricción de los dispositivos que los usuarios pueden instalar proporciona las siguientes ventajas:

Reducir el riesgo de robo de datos

Es más difícil que los usuarios realicen copias no autorizadas de los datos de la empresa si los equipos de los usuarios no pueden instalar dispositivos no aprobados que admiten medios extraíbles. Por ejemplo, si los usuarios no pueden instalar un dispositivo CD-R, no pueden grabar copias de los datos de la empresa en un CD grabable. Esta ventaja no puede eliminar el robo de datos, pero crea otra barrera para la eliminación no autorizada de datos. También puede reducir el riesgo de robo de datos mediante directiva de grupo para denegar el acceso de escritura a los usuarios para dispositivos extraíbles o que usan medios extraíbles. Puede conceder acceso por grupo cuando use directiva de grupo.

Reducción de los costos de soporte técnico

Puede asegurarse de que los usuarios instalen solo los dispositivos que el departamento de soporte técnico esté entrenado y equipado para admitir. Esta ventaja reduce los costos de soporte técnico y la confusión del usuario.

Información general del escenario

Los escenarios presentados en esta guía muestran cómo controlar la instalación y el uso de dispositivos en los equipos que administra. Los escenarios usan directiva de grupo en un equipo local para simplificar el uso de los procedimientos de un entorno de laboratorio. En un entorno en el que administra varios equipos cliente, debe aplicar esta configuración mediante directiva de grupo implementada por Active Directory. Con directiva de grupo implementado por Active Directory, puede aplicar la configuración a todos los equipos que son miembros de un dominio o una unidad organizativa de un dominio. Para obtener más información sobre cómo usar directiva de grupo para administrar los equipos cliente, consulte directiva de grupo en el sitio web de Microsoft.

A continuación se describen los escenarios presentados en esta guía:

Impedir la instalación de todos los dispositivos

En este escenario, el administrador quiere impedir que los usuarios estándar instalen cualquier dispositivo, pero permiten a los administradores instalar o actualizar dispositivos. Para completar este escenario, configure dos directivas de equipo. La primera directiva de equipo impide que todos los usuarios instalen dispositivos y la segunda directiva exime a los administradores de las restricciones.
Permitir que los usuarios instalen solo dispositivos autorizados

En este escenario, el administrador quiere permitir a los usuarios instalar solo los dispositivos incluidos en una lista de dispositivos autorizados. Este escenario se basa en el primer escenario y, por tanto, debe completar el primer escenario antes de intentar este escenario. Para completar este escenario, creará una lista de dispositivos autorizados para que los usuarios puedan instalar solo los dispositivos que especifique.
Impedir la instalación de solo dispositivos prohibidos

En este escenario, el administrador quiere permitir a los usuarios estándar instalar la mayoría de los dispositivos, pero evitar que instalen dispositivos incluidos en una lista de dispositivos prohibidos. Para completar este escenario, debe quitar las directivas que creó en los dos primeros escenarios. Después de quitar esas directivas, creará una lista de dispositivos prohibidos para que los usuarios puedan instalar cualquier dispositivo excepto los que especifique.
Controlar el uso de dispositivos de almacenamiento multimedia extraíbles

En este escenario, el administrador quiere impedir que los usuarios estándar escriban datos en dispositivos de almacenamiento extraíbles o dispositivos con medios extraíbles, como una unidad de memoria USB o un quemador de CD o DVD. Para completar este escenario, configure una directiva de equipo para permitir el acceso de lectura, pero deniegue el acceso de escritura al dispositivo de ejemplo y a cualquier dispositivo quemador de CD o DVD del equipo.

Revisión de tecnología

En las secciones siguientes se proporciona una breve descripción de las tecnologías principales que se describen en esta guía.

Instalación de dispositivos en Windows

Un dispositivo es un elemento de hardware con el que Windows interactúa para realizar alguna función. Windows solo puede comunicarse con un dispositivo a través de un fragmento de software denominado controlador de dispositivo. Para instalar un controlador de dispositivo, Windows detecta el dispositivo, reconoce su tipo y, a continuación, busca el controlador de dispositivo que coincide con ese tipo.

Windows usa dos tipos de identificadores para controlar la instalación y configuración del dispositivo. Puedes usar la configuración de directiva de grupo en Windows Vista y Windows Server 2008 para especificar cuáles de estos identificadores permiten o bloquean.

Los dos tipos de identificadores son:

Cadenas de identificación de dispositivos
Clases de configuración de dispositivos

Cadenas de identificación de dispositivos

Cuando Windows detecta un dispositivo que nunca se ha instalado en el equipo, el sistema operativo consulta al dispositivo para recuperar su lista de cadenas de identificación del dispositivo. Normalmente, un dispositivo tiene varias cadenas de identificación de dispositivo, que el fabricante del dispositivo asigna. Las mismas cadenas de identificación de dispositivo se incluyen en el archivo .inf que forma parte del paquete de controladores de dispositivo. Windows elige qué paquete de controladores de dispositivo se va a instalar mediante la coincidencia de las cadenas de identificación del dispositivo recuperadas del dispositivo a las incluidas con los paquetes de controladores.

Windows puede usar cada cadena para que coincida con un dispositivo con un paquete de controladores. Las cadenas van desde la muy específica, que coincide con una sola marca y modelo de un dispositivo, hasta el muy general, posiblemente aplicando a toda una clase de dispositivos. Hay dos tipos de cadenas de identificación de dispositivo: id. de hardware e id. compatibles.

Identificadores de hardware

Los identificadores de hardware son los identificadores que proporcionan la coincidencia más exacta entre un dispositivo y un paquete de controladores. La primera cadena de la lista de identificadores de hardware se conoce como identificador de dispositivo, ya que coincide con la marca exacta, el modelo y la revisión del dispositivo. Los demás identificadores de hardware de la lista coinciden exactamente con los detalles del dispositivo. Por ejemplo, un identificador de hardware podría identificar la marca y el modelo del dispositivo, pero no la revisión específica. Este esquema permite a Windows usar un controlador para una revisión diferente del dispositivo, si el controlador para la revisión correcta no está disponible.

Identificadores compatibles

Windows usa estos identificadores para seleccionar un controlador de dispositivo si el sistema operativo no encuentra una coincidencia con el identificador de dispositivo o con ninguno de los demás identificadores de hardware. Los identificadores compatibles se enumeran en el orden de disminución de la idoneidad. Estas cadenas son opcionales y, cuando se proporcionan, son muy genéricas, como Disk. Cuando se realiza una coincidencia con un identificador compatible, normalmente solo se pueden usar las funciones más básicas del dispositivo.

Al instalar un dispositivo, como una impresora, un dispositivo de almacenamiento USB o un teclado, Windows busca paquetes de controladores que coincidan con el dispositivo que está intentando instalar. Durante esta búsqueda, Windows asigna una "clasificación" a cada paquete de controladores que detecta con al menos una coincidencia con un identificador de hardware o compatible. La clasificación indica qué tan bien coincide el controlador con el dispositivo. Los números de clasificación inferiores indican mejores coincidencias entre el controlador y el dispositivo. Una clasificación de cero representa la mejor coincidencia posible. Una coincidencia con el identificador de dispositivo en uno del paquete de controladores da como resultado una clasificación inferior (mejor) que una coincidencia con uno de los otros identificadores de hardware. De forma similar, una coincidencia con un identificador de hardware da como resultado una clasificación mejor que una coincidencia con cualquiera de los identificadores compatibles. Después de que Windows clasifica todos los paquetes de controladores, instala el que tiene la clasificación general más baja. Para obtener más información sobre el proceso de clasificación y selección de paquetes de controladores, vea Cómo el programa de instalación selecciona controladores en MSDN Library.

Nota Para obtener más información sobre el proceso de instalación del controlador de dispositivo, consulte la sección "Revisión de la tecnología" de la Guía paso a paso para la firma y el almacenamiento provisional de controladores de dispositivo.

Algunos dispositivos físicos crean uno o varios dispositivos lógicos cuando se instalan. Cada dispositivo lógico puede controlar parte de la funcionalidad del dispositivo físico. Por ejemplo, un dispositivo de varias funciones, como un escáner, fax o impresora todo en uno, podría tener una cadena de identificación de dispositivo diferente para cada función.

Cuando se usa DMI para permitir o evitar la instalación de un dispositivo que usa dispositivos lógicos, debe permitir o impedir todas las cadenas de identificación del dispositivo para ese dispositivo. Por ejemplo, si un usuario intenta instalar un dispositivo multifunción y no ha permitido o evitado todas las cadenas de identificación para dispositivos físicos y lógicos, podría obtener resultados inesperados del intento de instalación. Para obtener información más detallada sobre los identificadores de hardware, vea Cadenas de identificación de dispositivos en MSDN Library.

Clases de configuración de dispositivos

Las clases de configuración de dispositivos son otro tipo de cadena de identificación. El fabricante asigna la clase de configuración de dispositivos a un dispositivo en el paquete de controladores de dispositivo. La clase de instalación de dispositivos agrupa los dispositivos que están instalados y configurados de la misma manera. Por ejemplo, todas las unidades de CD pertenecen a la clase de instalación del dispositivo CDROM y usan el mismo coinstaladores cuando se instalan. Un número largo denominado identificador único global (GUID) representa cada clase de configuración de dispositivo. Cuando Se inicia Windows, crea una estructura de árbol en memoria con los GUID para todos los dispositivos detectados. Junto con el GUID de la clase de configuración de dispositivo del propio dispositivo, Windows puede que tenga que insertar en el árbol el GUID de la clase de configuración del dispositivo del bus al que está conectado el dispositivo.

Cuando usa clases de configuración de dispositivos para permitir o impedir que los usuarios instalen controladores de dispositivo, debe especificar los GUID para todas las clases de configuración de dispositivos del dispositivo, o es posible que no logre los resultados que desee. Es posible que se produzca un error en la instalación (si quiere que se realice correctamente) o que se realice correctamente (si quiere que se produzca un error).

Por ejemplo, un dispositivo de varias funciones, como un escáner, fax o impresora todo en uno, tiene un GUID para un dispositivo genérico de varias funciones, un GUID para la función de impresora, un GUID para la función del analizador, etc. Los GUID de las funciones individuales son "nodos secundarios" en el GUID del dispositivo de varias funciones. Para instalar un nodo secundario, Windows también debe poder instalar el nodo primario. Debe permitir la instalación de la clase de configuración de dispositivo del GUID primario para el dispositivo de varias funciones, además de cualquier GUID secundario para las funciones de impresora y escáner.

Para obtener más información, vea Clases de instalación de dispositivos en MSDN Library.

En esta guía no se muestran escenarios que usan clases de configuración de dispositivos. Sin embargo, los principios básicos que se muestran con las cadenas de identificación de dispositivos de esta guía también se aplican a las clases de configuración de dispositivos. Después de detectar la clase de configuración de dispositivos para un dispositivo específico, puede usarla en una directiva para permitir o impedir la instalación de controladores de dispositivos para esa clase de dispositivos.

configuración de directiva de grupo para la instalación de dispositivos

Para habilitar el control sobre la instalación de dispositivos, Windows Vista y Windows Server 2008 presentan varias configuraciones de directiva. Puede configurar estas opciones de directiva individualmente en un solo equipo o puede aplicarlas a un gran número de equipos mediante el uso de directiva de grupo en un dominio de Active Directory. Para obtener más información sobre cómo usar directiva de grupo para administrar los equipos cliente, consulte directiva de grupo.

Tanto si quiere aplicar la configuración a un equipo independiente como a muchos equipos de un dominio de Active Directory, use el editor de objetos de directiva de grupo para configurar y aplicar las opciones de directiva. Para obtener más información, vea directiva de grupo Referencia técnica del Editor de objetos.

A continuación se muestra una breve descripción de la configuración de directiva DMI que se usa en esta guía.

Nota Esta configuración de directiva afecta a todos los usuarios que inician sesión en el equipo donde se aplica la configuración de directiva. No se pueden aplicar estas directivas a usuarios o grupos específicos, excepto a la directiva Permitir que los administradores invaliden la directiva de instalación de dispositivos. Esta directiva exime a los miembros del grupo de administradores locales de cualquiera de las restricciones de instalación de dispositivos que aplique al equipo mediante la configuración de otras opciones de directiva, como se describe en esta sección.

Impedir la instalación de dispositivos no descritos por otras configuraciones de directiva.

Esta configuración de directiva controla la instalación de dispositivos que no se describen específicamente mediante ninguna otra configuración de directiva. Si habilita esta configuración de directiva, los usuarios no podrán instalar o actualizar el controlador para los dispositivos a menos que se describan mediante la configuración de directiva Permitir la instalación de dispositivos que coincidan con estos identificadores de dispositivo o la configuración de directiva Permitir la instalación de dispositivos para estas clases de dispositivo . Si deshabilita o no establece esta configuración de directiva, los usuarios pueden instalar y actualizar el controlador para cualquier dispositivo que no se describa mediante la configuración de directiva Impedir la instalación de dispositivos que coincidan con estos identificadores de dispositivo , la configuración de directiva Impedir la instalación de dispositivos para estas clases de dispositivo o la configuración de directiva Impedir la instalación de dispositivos extraíbles .
Permitir que los administradores invaliden la directiva de instalación de dispositivos.

Esta configuración de directiva permite a los miembros del grupo de administradores locales instalar y actualizar los controladores de cualquier dispositivo, independientemente de otras configuraciones de directiva. Si habilita esta configuración de directiva, los administradores pueden usar el Asistente para agregar hardware o el Asistente para actualizar controladores para instalar y actualizar los controladores de cualquier dispositivo. Si deshabilita o no establece esta configuración de directiva, los administradores estarán sujetos a todas las configuraciones de directiva que restrinjan la instalación del dispositivo.
Impedir la instalación de dispositivos que coincidan con estos identificadores de dispositivo.

Esta configuración de directiva especifica una lista de identificadores de hardware plug and play e identificadores compatibles para los dispositivos que los usuarios no pueden instalar. Si habilita esta configuración de directiva, los usuarios no podrán instalar ni actualizar el controlador de un dispositivo si su identificador de hardware o id. compatible coincide con uno de esta lista. Si deshabilita o no establece esta configuración de directiva, los usuarios pueden instalar dispositivos y actualizar sus controladores, según lo permita otra configuración de directiva para la instalación del dispositivo.

Nota Esta configuración de directiva tiene prioridad sobre cualquier otra configuración de directiva que permita a los usuarios instalar un dispositivo. Esta configuración de directiva impide que los usuarios instalen un dispositivo aunque coincida con otra configuración de directiva que permita la instalación de ese dispositivo.
Impedir la instalación de controladores que coincidan con estas clases de configuración de dispositivos.

Esta configuración de directiva especifica una lista de GUID de clase de configuración de dispositivos Plug and Play para dispositivos que los usuarios no pueden instalar. Si habilita esta configuración de directiva, los usuarios no podrán instalar ni actualizar dispositivos que pertenezcan a ninguna de las clases de configuración de dispositivos enumeradas. Si deshabilita o no establece esta configuración de directiva, los usuarios pueden instalar y actualizar dispositivos según lo permita otra configuración de directiva para la instalación de dispositivos.

Nota Esta configuración de directiva tiene prioridad sobre cualquier otra configuración de directiva que permita a los usuarios instalar un dispositivo. Esta configuración de directiva impide que los usuarios instalen un dispositivo incluso si coincide con otra configuración de directiva que permitiría la instalación de ese dispositivo.
Permitir la instalación de dispositivos que coincidan con cualquiera de estos identificadores de dispositivo.

Esta configuración de directiva especifica una lista de identificadores de hardware Plug and Play e identificadores compatibles que describen los dispositivos que los usuarios pueden instalar. Esta configuración está pensada para usarse solo cuando la opción Impedir la instalación de dispositivos no descrita por otra configuración de directiva está habilitada y no tiene prioridad sobre ninguna configuración de directiva que impida que los usuarios instalen un dispositivo. Si habilita esta configuración de directiva, los usuarios pueden instalar y actualizar cualquier dispositivo con un identificador de hardware o un identificador compatible que coincida con un identificador de esta lista si esa instalación no se ha impedido específicamente mediante la configuración de directiva Impedir la instalación de dispositivos que coincidan con estos identificadores de dispositivo , la configuración de directiva Impedir la instalación de dispositivos para estas clases de dispositivos , o la configuración de directiva Impedir la instalación de dispositivos extraíbles . Si otra configuración de directiva impide que los usuarios instalen un dispositivo, los usuarios no pueden instalarlo aunque el dispositivo también se describa mediante un valor en esta configuración de directiva. Si deshabilita o no establece esta configuración de directiva y ninguna otra directiva describe el dispositivo, la configuración de directiva Impedir la instalación de dispositivos no descrita por otra configuración de directiva determina si los usuarios pueden instalar el dispositivo.
Permitir la instalación de dispositivos mediante controladores para estas clases de dispositivo.

Esta configuración de directiva especifica una lista de GUID de clase de configuración de dispositivos que describen los dispositivos que los usuarios pueden instalar. Esta configuración está pensada para usarse solo cuando la opción Impedir la instalación de dispositivos no descrita por otra configuración de directiva está habilitada y no tiene prioridad sobre ninguna configuración de directiva que impida que los usuarios instalen un dispositivo. Si habilita esta configuración, los usuarios pueden instalar y actualizar cualquier dispositivo con un identificador de hardware o un identificador compatible que coincida con uno de los identificadores de esta lista si esa instalación no se ha impedido específicamente mediante la configuración de directiva Impedir la instalación de dispositivos que coincidan con estos identificadores de dispositivo , la configuración de directiva Impedir la instalación de dispositivos para estas clases de dispositivo , o la configuración de directiva Impedir la instalación de dispositivos extraíbles . Si otra configuración de directiva impide que los usuarios instalen un dispositivo, los usuarios no pueden instalarlo aunque el dispositivo también se describa mediante un valor en esta configuración de directiva. Si deshabilita o no establece esta configuración de directiva y ninguna otra configuración de directiva describe el dispositivo, la configuración de directiva Impedir la instalación de dispositivos no descrita por otra configuración de directiva determina si los usuarios pueden instalar el dispositivo.

Algunas de estas directivas tienen prioridad sobre otras directivas. El diagrama de flujo que se muestra a continuación muestra cómo Windows los procesa para determinar si un usuario puede instalar un dispositivo o no, como se muestra en la figura 1 (a continuación).

Bb530324.grouppolicydeviceinstall01(en-us,MSDN.10).gif

Figura 1. Cómo Windows procesa las directivas al determinar si un usuario puede instalar un dispositivo

directiva de grupo configuración de acceso de almacenamiento extraíble

En Windows Vista y Windows Server 2008, un administrador puede aplicar una directiva de equipo para controlar si los usuarios pueden leer o escribir en cualquier dispositivo con medios extraíbles. Estas directivas se pueden usar para evitar que se escriba material confidencial o confidencial en medios extraíbles o en un dispositivo extraíble que contenga almacenamiento y, a continuación, se lleve del entorno local.

Puede aplicar esta configuración de directiva en el nivel de equipo para que afecten a todos los usuarios que inicien sesión en el equipo. También puede aplicarlas en el nivel de usuario y limitar la aplicación a una cuenta de usuario específica. Si usa directiva de grupo en un entorno de Active Directory, puede aplicar la configuración de directiva a los grupos de usuarios además de las cuentas de usuario únicas. directiva de grupo también permite aplicar estas directivas de forma eficaz a un gran número de equipos. Para obtener más información sobre cómo usar directiva de grupo para administrar los equipos cliente, consulte directiva de grupo.

La configuración de la directiva acceso de almacenamiento extraíble también incluye una configuración para permitir que un administrador fuerce un reinicio. Si un dispositivo está en uso cuando se aplica una directiva de restricción, es posible que la directiva no se aplique hasta que se reinicie el equipo.

La configuración de directiva se puede encontrar en dos ubicaciones. La configuración de directiva que se encuentra en Configuración del equipo\Plantillas administrativas\Sistema\Acceso de almacenamiento extraíble afecta a un equipo y a todos los usuarios que inician sesión en él. La configuración de directiva que se encuentra en Configuración de usuario\Plantillas administrativas\Sistema\Acceso de almacenamiento extraíble afecta solo a los usuarios a los que se aplica la configuración de directiva, incluidos los grupos si se aplica directiva de grupo mediante Active Directory.

A continuación se muestra una breve descripción de las directivas que permiten controlar el acceso de lectura o escritura a las unidades de almacenamiento extraíbles. Cada categoría de dispositivo admite dos directivas: una para denegar el acceso de lectura y otra para denegar el acceso de escritura:

Tiempo (en segundos) para forzar el reinicio

Establezca la cantidad de tiempo (en segundos) que el sistema esperará para reiniciarse con el fin de aplicar un cambio en los derechos de acceso a los dispositivos de almacenamiento extraíbles.

Nota Si no se fuerza ningún reinicio, el cambio no surtirá efecto hasta que se reinicie el sistema.
CD y DVD

Esta configuración de directiva le permite denegar el acceso de lectura o escritura a los dispositivos de la clase de almacenamiento extraíble CD y DVD, incluidos los dispositivos conectados USB.
Clases personalizadas

Esta configuración de directiva permite denegar el acceso de lectura o escritura a cualquier dispositivo cuyo GUID de clase de configuración de dispositivo se encuentre en las listas que proporcione.
Disqueteras

Esta configuración de directiva permite denegar el acceso de lectura o escritura a los dispositivos de la clase Disquete Drive, incluidos los dispositivos conectados USB.
Discos extraíbles

Esta configuración de directiva permite denegar el acceso de lectura o escritura a dispositivos extraíbles que son o emulan discos duros, como unidades de memoria USB o unidades de disco duro USB externas.
Unidades de cinta

Esta configuración de directiva le permite denegar el acceso de lectura o escritura a las unidades de cinta, incluidos los dispositivos conectados USB.
Dispositivos WPD

Esta configuración de directiva permite denegar el acceso de lectura o escritura a los dispositivos de la clase Dispositivo portátil de Windows. Estos dispositivos incluyen dispositivos "inteligentes", como reproductores multimedia, teléfonos móviles, Windows CE dispositivos, etc.
Todas las clases de almacenamiento extraíble: Denegar todo el acceso

Esta configuración de directiva tiene prioridad sobre cualquiera de las opciones de configuración de directiva de esta lista y, si está habilitada, deniega el acceso de lectura y escritura a cualquier dispositivo que se identifique como mediante el almacenamiento extraíble. Si deshabilita o no establece esta configuración de directiva, se permite el acceso de lectura y escritura a las clases de almacenamiento extraíbles, sujeto a las restricciones impuestas por la otra configuración de directiva de esta lista.

Requisitos para completar los escenarios

Para completar cada uno de los escenarios, debe tener:

Un equipo cliente que ejecuta Windows Vista. Esta guía hace referencia a este equipo como DMI-Client1.
Una unidad de memoria USB. Los escenarios descritos en esta guía usan una unidad de memoria USB como dispositivo de ejemplo. Este dispositivo actúa como una unidad de disco extraíble y también se conoce como "unidad thumb", una "unidad flash" o una "unidad de llave". La mayoría de las unidades de memoria USB no requieren controladores proporcionados por el fabricante y estos dispositivos funcionan con los controladores proporcionados con Windows Vista y Windows Server 2008.

Nota En las instrucciones se supone que el dispositivo no requiere controladores distintos de los controladores que se incluyen con Windows Vista y Windows Server 2008. Si el dispositivo requiere un controlador del fabricante, debe proporcionar el archivo de controlador cuando Windows le pida que lo haga. Este paso no se incluye en los escenarios.
(Opcional) Un grabador de CD o DVD. En el último escenario se muestra cómo hacer que los dispositivos con medios extraíbles sean de solo lectura. Puede establecer la directiva de equipo sin tener instalado realmente un cd o un quemador de DVD. Sin embargo, si desea comprobar que la directiva de equipo es eficaz, debe tener un dispositivo quemador de CD o DVD para usarlo.
Acceso a una cuenta de administrador protegida en DMI-Client1. Esta guía llama a esta cuenta TestAdmin. Los procedimientos de esta guía requieren privilegios de administrador para la mayoría de los pasos. Debe haber iniciado sesión en DMI-Client1 con esta cuenta de administrador al principio de cada procedimiento, a menos que se le indique lo contrario.

Nota Windows Vista y Windows Server 2008 presentan el concepto de una cuenta de administrador protegida. Esta cuenta es miembro del grupo Administradores, pero de forma predeterminada, ese privilegio de seguridad no se usa directamente. Cualquier intento de llevar a cabo una tarea que requiera los derechos elevados de un administrador genera un cuadro de diálogo que solicita permiso para realizar esa tarea. Este cuadro de diálogo se describe en la sección Respuesta a la página Control de cuentas de usuario. Microsoft recomienda usar una cuenta de administrador protegida, en lugar de la cuenta de administrador integrada siempre que sea posible.
Acceso a una cuenta de usuario estándar en DMI-Client1. Esta cuenta de usuario no tiene pertenencias especiales que conceden ningún tipo de permisos elevados. Esta guía llama a esta cuenta TestUser. Inicie sesión solo en el equipo con esta cuenta cuando se le indique que lo haga. Con una cuenta de usuario estándar, cualquier intento de llevar a cabo una tarea que requiera los derechos elevados de un administrador puede provocar un cuadro de diálogo que solicite las credenciales de una cuenta con privilegios de administrador. Este cuadro de diálogo se describe en la sección Respuesta a la página Control de cuentas de usuario.

Procedimientos previos

Para poder implementar cualquier directiva para permitir o impedir que los usuarios instalen un dispositivo, debe conocer las cadenas de identificación del dispositivo. También debe saber cómo desinstalar completamente la unidad de memoria USB y su controlador asociado. Los procedimientos siguientes configuran el equipo para ejecutar correctamente los escenarios de esta guía:

Respuesta a la página Control de cuentas de usuario
Determinación de las cadenas de identificación del dispositivo para la unidad de memoria USB
Desinstalación de la unidad de memoria USB

Respuesta a la página Control de cuentas de usuario

A lo largo de esta guía, se le pide que realice tareas que solo puede realizar un miembro del grupo Administradores. En Windows Vista y Windows Server 2008, cuando se intenta realizar una tarea que requiere derechos de administrador, se produce lo siguiente:

Si ha iniciado sesión como la cuenta de administrador integrada (no se recomienda), la operación simplemente continúa. La cuenta de administrador integrada está deshabilitada de forma predeterminada.
Si es miembro del grupo Administradores que no es la cuenta de administrador integrada, aparece un cuadro de diálogo Controlde cuentas de usuario que solicita permiso para continuar. Si hace clic en Continuar, la tarea continúa.
Si ha iniciado sesión como usuario estándar, podría impedirse realizar la tarea. En función de la tarea, se puede presentar una página control de cuentas de usuario para proporcionar el nombre de usuario y la contraseña de una cuenta de administrador. Si proporciona credenciales válidas, la tarea se ejecuta en el contexto de seguridad de la cuenta de administrador que proporcionó. Si no puede proporcionar esas credenciales, no podrá realizar la tarea.

Importante: Antes de proporcionar credenciales o permisos para ejecutar cualquier tarea administrativa, asegúrese de que la página Control de cuentas de usuario se muestra en respuesta a una tarea que inició. Si la página aparece inesperadamente, haga clic en el botón Detalles y asegúrese de que la tarea que desea permitir es la que desea permitir.

Esta guía no documenta todas las apariciones del cuadro de diálogo Control de cuentas de usuario que encontrará en la realización de estos procedimientos. Cuando se requieren pasos especiales para ejecutar tareas específicas como administrador, estos pasos se documentan en la guía.

Determinación de las cadenas de identificación del dispositivo para la unidad de memoria USB

Si sigue estos pasos, puede determinar las cadenas de identificación del dispositivo. Si los identificadores de hardware y los identificadores compatibles del dispositivo no coinciden con los que se muestran en esta guía, use los identificadores adecuados para el dispositivo.

Nota En los escenarios siguientes, debe instalar y, a continuación, desinstalar la unidad de memoria USB. En las instrucciones se supone que el dispositivo no requiere controladores distintos de los controladores que se incluyen con Windows Vista y Windows Server 2008. Si el dispositivo requiere un controlador del fabricante, debe proporcionar el archivo de controlador cuando Windows le pida que lo haga. Este paso no se incluye en los escenarios.

Puede determinar los identificadores de hardware y los identificadores compatibles para el dispositivo de dos maneras. Puede usar Administrador de dispositivos, una herramienta gráfica incluida con el sistema operativo o DevCon, una herramienta de línea de comandos disponible para su descarga como parte del Kit de desarrollo de controladores (DDK). Use el procedimiento siguiente para ver las cadenas de identificación del dispositivo para la unidad de memoria USB.

Importante Estos procedimientos son específicos de una unidad de memoria USB. Si usa un tipo diferente de dispositivo, debe ajustar los pasos según corresponda. La diferencia significativa será la ubicación del dispositivo en la jerarquía de Administrador de dispositivos. En lugar de ubicarse en el nodo Unidades de disco , debe buscar el dispositivo en el nodo adecuado.

Para buscar cadenas de identificación de dispositivos mediante Administrador de dispositivos

Inicie sesión en el equipo como DMI-Client1\TestAdmin.
Conecte la unidad de memoria USB y, a continuación, permita que se complete la instalación.
Para abrir Administrador de dispositivos, haga clic en el botón Inicio, escriba mmc devmgmt.msc en el cuadro Iniciar búsqueda y presione ENTRAR.
Si aparece el cuadro de diálogo Control de cuentas de usuario, confirme que la acción que muestra es la que desea y, a continuación, haga clic en Continuar.

Administrador de dispositivos inicia y muestra un árbol que representa todos los dispositivos detectados en el equipo. En la parte superior del árbol hay un nodo con el nombre de los equipos junto a él. Los nodos inferiores representan las distintas categorías de hardware en las que se agrupan los dispositivos de los equipos.
Haga doble clic en Unidades de disco para abrir la lista.

Ilustración 2. Abra la unidad de disco USB haciendo doble clic en
Haga clic con el botón derecho en la entrada de la unidad de memoria USB y, a continuación, haga clic en Propiedades. Aparece el cuadro de diálogo Propiedades del dispositivo .

Figura 3. Aparecerá el cuadro de diálogo Propiedades del dispositivo para la unidad USB.
Haga clic en la pestaña Detalles.
En la lista Propiedad , haga clic en Identificadores de hardware.
En Valor, anote las cadenas mostradas.

Figura 4. Recuerde las cadenas mostradas en Valor en el cuadro de diálogo Propiedades de la unidad USB.

Nota: Puede copiar las cadenas en el Portapapeles resaltando el texto y presionando CTRL-C. Dado que muchos identificadores de hardware tienen varios caracteres de subrayado, resulta útil copiarlos en un archivo de texto desde el que se puede pegar cuando se debe especificar un identificador. Este enfoque reduce considerablemente la posibilidad de que se produzca un error cuando se debe agregar un identificador específico a una lista de dispositivos aprobados o prohibidos.
En la lista Propiedad , haga clic en Ids compatibles.
En Valor, anote las cadenas mostradas.

Figura 5. Recuerde las cadenas mostradas en Valor en el cuadro de diálogo Propiedades de la unidad USB.

Nota También puede determinar las cadenas de identificación del dispositivo mediante la utilidad de línea de comandos DevCon. Puede descargar DevCon desde el sitio de ayuda y soporte técnico de Microsoft. Para obtener más información, vea La utilidad de línea de comandos de DevCon como alternativa a Administrador de dispositivos.

Devcon

DevCon HwID

Desinstalación de la unidad de memoria USB

En el uso diario normal de una unidad de memoria USB, normalmente es posible que simplemente extraiga la unidad del puerto USB. Sin embargo, para esta guía, también debe desinstalar el controlador de dispositivo para asegurarse de que cada escenario se inicia con el equipo en un estado adecuado. Si no puede desinstalar y quitar el dispositivo cuando se indique, las directivas probadas en los escenarios siguientes no tendrán ningún efecto y no verá los resultados esperados. Siga estos mismos pasos en esta guía cuando se le indique que desinstale y quite el dispositivo.

Importante No desconecte físicamente el dispositivo del puerto USB hasta que llegue al último paso.

Para desinstalar la unidad de memoria USB

Inicie sesión en el equipo DMI-Client1\TestAdmin.
Para abrir Administrador de dispositivos, haga clic en el botón Inicio, escriba mmc devmgmt.msc en el cuadro Iniciar búsqueda y presione ENTRAR.
Si aparece el cuadro de diálogo Control de cuentas de usuario, confirme que la acción que muestra es lo que desea y, a continuación, haga clic en Continuar.
Haga clic con el botón derecho en la entrada de la unidad de memoria USB y, a continuación, haga clic en Desinstalar.

Figura 6. Haga clic con el botón derecho para desinstalar la unidad de memoria USB.
En el cuadro de diálogo Confirmar eliminación de dispositivos, haga clic en Aceptar para permitir que se complete el proceso de desinstalación.
Cuando Windows completa el proceso de desinstalación, quita la entrada del dispositivo del árbol de Administrador de dispositivos.
Desconecte la unidad de memoria USB del puerto USB.

Impedir la instalación de todos los dispositivos

En este escenario se documentan los pasos típicos necesarios para implementar la configuración más restrictiva, donde se impiden todas las instalaciones de dispositivos y los dispositivos existentes no se pueden actualizar con nuevos controladores de dispositivo. Los usuarios no podrán instalar un dispositivo y usarlo sin intervención de un administrador. Los administradores todavía pueden instalar o actualizar cualquier dispositivo según sea necesario.

Requisitos previos para evitar la instalación de todos los dispositivos

Para completar los procedimientos de este escenario, debe desinstalar la unidad de memoria USB como se describe en la sección Desinstalación de la unidad de memoria USB anteriormente en este documento.

Pasos para impedir la instalación de todos los dispositivos

Configuración de la directiva para evitar la instalación de cualquier dispositivo
Configuración de la directiva para permitir que los administradores invaliden las restricciones de instalación de dispositivos
Probar los efectos de la configuración de restricción como usuario

Configuración de la directiva para evitar la instalación de cualquier dispositivo

Para configurar la directiva que impide la instalación o actualización de cualquier dispositivo

Inicie sesión en el equipo como DMI-Client1\TestAdmin.
Para abrir directiva de grupo Editor de objetos, haga clic en el botón Inicio, escriba mmc gpedit.msc en el cuadro Iniciar búsqueda y presione ENTRAR.
Si aparece el cuadro de diálogo Control de cuentas de usuario, confirme que la acción que muestra es lo que desea y, a continuación, haga clic en Continuar.
En el panel de navegación directiva de grupo Editor de objetos, haga doble clic en Configuración del equipo para abrirlo. A continuación, abra Plantillas administrativas, sistema,instalación de dispositivos y restricciones de instalación de dispositivos.

Ilustración 7. panel de navegación del Editor de objetos de directiva de grupo
En el panel de detalles, haga clic con el botón derecho en Impedir la instalación de dispositivos no descritos por otras configuraciones de directiva y haga clic en Propiedades.
Aparece el cuadro de diálogo de directiva con la configuración actual.
En la pestaña Configuración , haga clic en Habilitado para activar la directiva.
Haga clic en Aceptar para guardar la configuración y volver a directiva de grupo Editor de objetos.

Configuración de la directiva para permitir que los administradores invaliden las restricciones de instalación de dispositivos

La siguiente directiva permite a los administradores invalidar las restricciones impuestas por la otra configuración de directiva de instalación de dispositivos, incluida la directiva que acaba de habilitar.

Para configurar la directiva para permitir a los administradores invalidar las restricciones de instalación de dispositivos

En el panel de detalles, haga clic con el botón derecho en Permitir que los administradores invaliden la directiva de instalación de dispositivos y, a continuación, haga clic en Propiedades.
Aparece el cuadro de diálogo de directiva con la configuración actual.
En la pestaña Configuración , haga clic en Habilitado para activar la configuración de directiva.
Haga clic en Aceptar para guardar la configuración y volver a directiva de grupo Editor de objetos.
Ambas directivas ahora muestran su estado como habilitado.

Figura 8. Ambas directivas mostrarán su estado como habilitado

Probar los efectos de la configuración de restricción como usuario

Con ambas directivas habilitadas, puede aplicarlas al equipo e intentar instalar el dispositivo para ver que las restricciones funcionan.

Para probar los efectos de la configuración de restricción como usuario

Si el dispositivo está instalado, desinstale y quítelo siguiendo los pasos descritos en la sección Desinstalación de la unidad de memoria USB anteriormente en este documento.
Haga clic en el botón Inicio , escriba gpupdate /force en el cuadro Iniciar búsqueda y presione ENTRAR.
Cuando finalice el comando GPUdate, cierre la sesión del equipo y, a continuación, inicie sesión como DMI-Client1\TestUser.
Para abrir Administrador de dispositivos, haga clic en el botón Inicio, escriba mmc devmgmt.msc en el cuadro Iniciar búsqueda y presione ENTRAR.
Aparece el mensaje siguiente, que indica que no tiene permisos para realizar ningún cambio en Administrador de dispositivos.

Figura 9. Aparecerá un mensaje para indicar que no tiene permisos.
Haga clic en Aceptar para confirmar el mensaje. (Administrador de dispositivos se iniciará y podrá ver los dispositivos en el equipo).
Conecte la unidad de memoria USB.
Hasta que la instalación se complete correctamente, el dispositivo aparece en Administrador de dispositivos en el nodo Otros dispositivos.

Figura 10. El dispositivo aparecerá en Otros dispositivos hasta que se complete la instalación.
Dado que ha iniciado sesión como usuario estándar sin derechos administrativos y la instalación del dispositivo ahora está restringida, aparece el siguiente cuadro de diálogo:

Figura 11. Cuadro de diálogo que aparece cuando ha iniciado sesión como usuario estándar sin derechos administrativos
Para simular una respuesta de usuario típica, haga clic en Buscar e instalar software de controlador (recomendado).
Aparece una variante del cuadro de diálogo Control de cuentas de usuario, pidiéndole un nombre de usuario y una contraseña para una cuenta que tenga derechos de administrador.
Dado que un usuario no tendría credenciales de administrador para proporcionar, haga clic en Cancelar para anular el intento como lo haría un usuario.
Se produce un error en la instalación del controlador de dispositivo y el dispositivo permanece bajo el nodo Otros dispositivos y no es funcional.

Ilustración 12. Se produce un error en la instalación del dispositivo y el dispositivo no es funcional

Permitir que los usuarios instalen solo dispositivos autorizados

Este escenario se basa en el primer escenario, Impedir la instalación de todos los dispositivos, donde se impedía la instalación de cualquier dispositivo. En este escenario, agregará una lista de dispositivos permitidos a la directiva e incluirá el identificador de hardware de la unidad de memoria USB.

Requisitos previos para permitir que los usuarios instalen solo dispositivos autorizados

Para completar esta tarea, primero debe completar todos los pasos del primer escenario, Impedir la instalación de todos los dispositivos.

Pasos para permitir que los usuarios instalen solo dispositivos autorizados

En esta sección, agregará los dispositivos permitidos a las restricciones impuestas en Impedir la instalación de todos los dispositivos mediante la creación de una lista de dispositivos autorizados.

Creación de una lista de dispositivos autorizados
Prueba de los efectos de los dispositivos autorizados

Creación de una lista de dispositivos autorizados

Para crear una lista de dispositivos aprobada

Inicie sesión en el equipo como DMI-Client1\TestAdmin.
Si el dispositivo está instalado actualmente, desinstale y quítelo siguiendo los pasos descritos en la sección Desinstalar la unidad de memoria USB anteriormente en este documento.
Para abrir directiva de grupo Editor de objetos, haga clic en el botón Inicio, escriba mmc gpedit.msc en el cuadro Iniciar búsqueda y presione ENTRAR.
En el panel de navegación directiva de grupo Editor de objetos, haga doble clic en Configuración del equipo para abrirlo. A continuación, abra Plantillas administrativas, abra Sistema, Instalación de dispositivos y, a continuación, abra Restricciones de instalación de dispositivos.
En el panel de detalles, haga clic con el botón derecho en Permitir la instalación de dispositivos que coincidan con cualquiera de estos identificadores de dispositivo y, a continuación, haga clic en Propiedades.
Aparece el cuadro de diálogo directiva con la configuración actual.
En la pestaña Configuración, haga clic en Habilitado para activar esta directiva.

Ilustración 13. Haga clic en Habilitado para activar la directiva.
Haga clic en Mostrar para ver la lista de dispositivos permitidos en el cuadro de diálogo Mostrar contenido. (De forma predeterminada, la lista está vacía).
Haga clic en Agregar para abrir el cuadro de diálogo Agregar elemento.
Escriba el identificador de dispositivo (el primer identificador de hardware) del dispositivo.

Figura 14. Escriba el identificador de dispositivo para el dispositivo USB.
Haga clic en Aceptar para volver al cuadro de diálogo Mostrar contenido. El dispositivo aparece ahora en la lista.

Figura 15. El dispositivo ya está aprobado para la instalación
Haga clic en Aceptar para volver al cuadro de diálogo de directiva y, a continuación, haga clic en Aceptar para guardar la nueva configuración de directiva.

Prueba de la lista de dispositivos autorizados

Con la configuración de directiva habilitada, puede aplicarla al equipo e intentar instalar el dispositivo.

Para probar la lista de dispositivos autorizados

Haga clic en el botón Inicio , escriba gpupdate/force en el cuadro Iniciar búsqueda y presione ENTRAR.
Cuando finalice el comando gpudate, cierre la sesión del equipo y, a continuación, inicie sesión como DMI-Client1\TestUser.
Para abrir Administrador de dispositivos, haga clic en el botón Inicio, escriba mmc devmgmt.msc en el cuadro Iniciar búsqueda y presione ENTRAR.
Aparece el siguiente mensaje, que indica que no tiene permisos para realizar cambios en Administrador de dispositivos.

Figura 16. Aparecerá un mensaje para indicar que no tiene permisos.
Haga clic en Aceptar para cerrar el mensaje. Administrador de dispositivos se iniciará y podrá ver los dispositivos en el equipo.
Conecte la unidad de memoria USB.
El dispositivo aparece en Administrador de dispositivos en el nodo Otros dispositivos hasta que Windows complete la instalación.

Figura 17. El dispositivo aparecerá en Otros dispositivos hasta que se complete la instalación.
Una vez que Windows completa la instalación, el dispositivo se mueve al nodo Unidades de disco en Administrador de dispositivos y es totalmente funcional.

Figura 18. Una vez completada la instalación, el dispositivo será totalmente funcional.

Impedir la instalación de dispositivos prohibidos

Este escenario presenta una manera alternativa de controlar la instalación de dispositivos. En los dos primeros escenarios, impedía la instalación de todos los dispositivos excepto los permitidos por una lista de dispositivos autorizados. En este escenario, se permite la instalación de todos los dispositivos excepto los de una lista de dispositivos prohibidos. También quitará la excepción de los administradores que creó en el primer escenario para que incluso un administrador se vea afectado por la directiva.

Requisitos previos para impedir la instalación de dispositivos prohibidos

Si completó los pasos descritos en Impedir la instalación de todos los dispositivos y Permitir que los usuarios instalen solo dispositivos autorizados, debe deshabilitar esas directivas mediante los pasos siguientes:

Habilite la instalación de todos los dispositivos.
Quite la excepción de los miembros del grupo Administradores para permitir la instalación del dispositivo.
Quite el identificador de hardware de la lista de dispositivos aprobados.

Para habilitar la instalación de todos los dispositivos

Inicie sesión en el equipo como DMI-Client1\TestAdmin.
Para abrir directiva de grupo Editor de objetos, haga clic en el botón Inicio, escriba mmc gpedit.msc en el cuadro Iniciar búsqueda y presione ENTRAR.
En el panel de navegación directiva de grupo Editor de objetos, haga doble clic en Configuración del equipo para abrirlo. A continuación, abra Plantillas administrativas, abra Sistema, Instalación de dispositivos y, a continuación, abra Restricciones de instalación de dispositivos.
En el panel de detalles, haga clic con el botón derecho en el nodo Impedir la instalación de dispositivos no descritos por otras configuraciones de directiva y, a continuación, haga clic en Propiedades.
Aparece el cuadro de diálogo directiva con la configuración actual.
Haga clic en Deshabilitado para desactivar la configuración de directiva.
Haga clic en Aceptar para guardar la configuración y volver a directiva de grupo Editor de objetos.

El siguiente paso consiste en quitar la directiva que concedió una excepción a los miembros del grupo Administradores.

Para quitar la excepción para que los administradores directiva de grupo restricciones

En directiva de grupo Editor de objetos, haga clic con el botón derecho en Permitir a los administradores invalidar la directiva de instalación de dispositivos y, a continuación, haga clic en Propiedades.
Aparece el cuadro de diálogo directiva con la configuración actual.
En la pestaña Configuración, haga clic en Deshabilitado para desactivar la configuración de directiva.
Haga clic en Aceptar para guardar la configuración y volver a directiva de grupo Editor de objetos.

El siguiente paso consiste en quitar el identificador de hardware de la lista de dispositivos autorizados que creó en el segundo escenario.

Para quitar el identificador de hardware de la lista de dispositivos autorizados

En directiva de grupo Editor de objetos, haga clic con el botón derecho en Permitir la instalación de dispositivos que coincidan con cualquiera de estos identificadores de dispositivo y, a continuación, haga clic en Propiedades. Aparece el cuadro de diálogo de directiva con la configuración actual.
En la pestaña Configuración, haga clic en Mostrar para ver la lista de dispositivos autorizados.
En el cuadro de diálogo Mostrar contenido, seleccione el nombre de la unidad de memoria USB y, a continuación, haga clic en Quitar. Windows quita el dispositivo de la lista.
Haga clic en Aceptar para cerrar el cuadro de diálogo Mostrar contenido y volver al cuadro de diálogo de directiva.
Haga clic en Deshabilitado para desactivar la configuración de directiva.
Haga clic en Aceptar para guardar los cambios y volver a directiva de grupo Editor de objetos.

Pasos para evitar la instalación de dispositivos prohibidos

Para evitar que los usuarios instalen dispositivos específicos, cree una lista de dispositivos prohibidos. En esta sección:

Crear una lista de dispositivos prohibidos
Prueba de la lista de dispositivos prohibidos

Crear una lista de dispositivos prohibidos

Para crear una lista de dispositivos prohibidos

Si el dispositivo está instalado actualmente, desinstale y quítelo siguiendo los pasos descritos en la sección Desinstalación de la unidad de memoria USB anteriormente en este documento.
Inicie sesión en el equipo como DMI-Client1\TestAdmin.
Si aún no se está ejecutando, inicie directiva de grupo Editor de objetos. Para ello, haga clic en el botón Inicio, escriba mmc gpedit.msc en el cuadro Iniciar búsqueda y presione ENTRAR.
En el árbol, haga doble clic en Configuración del equipo para abrirlo. A continuación, abra Plantillas administrativas, sistema, instalación de dispositivos y restricciones de instalación de dispositivos.
En el panel de detalles, haga clic con el botón derecho en Impedir la instalación de dispositivos que coincidan con estos identificadores de dispositivo y, a continuación, haga clic en Propiedades. Aparece el cuadro de diálogo de directiva con la configuración actual.
En la pestaña Configuración, haga clic en Habilitado para activar esta directiva.

Figura 19. Haga clic en Habilitado para activar la directiva.
Haga clic en Mostrar para ver la lista de dispositivos prohibidos.
En el cuadro de diálogo Mostrar contenido , haga clic en Agregar.
En el cuadro de diálogo Agregar elemento , escriba el identificador de dispositivo (el primer identificador de hardware) que encontró para el dispositivo.
Haga clic en Aceptar para volver al cuadro de diálogo Mostrar contenido.
El dispositivo aparece ahora en la lista.

Figura 20. La instalación de este dispositivo ahora estará prohibida
Haga clic en Aceptar para volver al cuadro de diálogo de directiva y, a continuación, haga clic en Aceptar para guardar la nueva configuración de directiva.

Prueba de la lista de dispositivos prohibidos

Ahora puede intentar instalar el dispositivo. Puede instalar otros dispositivos porque la directiva ya no impide su instalación, pero no puede instalar este dispositivo específico, incluso cuando haya iniciado sesión como miembro del grupo Administradores.

Para probar la lista de dispositivos prohibidos

Haga clic en el botón Inicio , escriba gpupdate /force en el cuadro Iniciar búsqueda y presione ENTRAR.
Cuando finalice el comando gpudate, cierre el símbolo del sistema.
Para abrir Administrador de dispositivos, haga clic en el botón Inicio, escriba mmc devmgmt.msc en el cuadro Iniciar búsqueda y presione ENTRAR.
Conecte la unidad de memoria USB.
El dispositivo aparece en Administrador de dispositivos en el nodo Otros dispositivos.
La instalación no se completa y el dispositivo no funciona.

Figura 21. La instalación no se completará y el dispositivo no funcionará.
Windows muestra un mensaje en el área de notificación que indica el motivo por el que se produjo un error en la instalación:

Figura 22. Aparecerá un mensaje para indicar el motivo por el que se produjo un error en la instalación.
Puede intentar omitir las restricciones instalando manualmente el controlador para el dispositivo. Haga clic con el botón derecho en el dispositivo y, a continuación, haga clic en Actualizar software de controlador.
El sistema operativo le pide que proporcione el controlador de dispositivo para el dispositivo.

Figura 23. Aparecerá un mensaje para el controlador de dispositivo.
Para simular lo que un usuario podría intentar, haga clic en Buscar automáticamente el software del controlador actualizado.
Aparece un mensaje que indica que Windows encontró pero no pudo instalar el controlador. En el último párrafo se explica que se produjo un error en el intento de instalación porque está prohibido por la directiva que creó.

Figura 24. El cuadro de diálogo explicará por qué se produjo un error en la instalación

Control de permisos de lectura y escritura en medios extraíbles

En este escenario se muestra cómo puede controlar el acceso de lectura o escritura a dispositivos extraíbles o dispositivos que usan medios extraíbles, en equipos que ejecutan Windows Vista y Windows Server 2008. En este escenario, se establece la directiva de equipo para que la unidad de memoria USB sea de solo lectura. También establece la directiva de equipo para que cualquier cd o quemador de DVD conectado al equipo de solo lectura, deshabilite la característica de grabación.

Requisitos previos para controlar los permisos de lectura y escritura en medios extraíbles

Para poder probar los procedimientos de esta sección, debe deshabilitar la directiva que impide la instalación de unidades de memoria USB.

Para deshabilitar la directiva que impide la instalación de unidades de memoria USB

Si el dispositivo está instalado actualmente, desinstale y quítelo siguiendo los pasos descritos en la sección Desinstalación de la unidad de memoria USB anteriormente en este documento.
En el panel de detalles del editor de objetos de directiva de grupo, haga clic con el botón derecho en Impedir la instalación de dispositivos que coincidan con estos identificadores de dispositivo y, a continuación, haga clic en Propiedades.
El cuadro de diálogo directiva aparecerá con la configuración actual.
En la pestaña Configuración, haga clic en Mostrar para ver la lista de dispositivos prohibidos.
En el cuadro de diálogo Mostrar contenido, haga clic en la unidad de memoria USB, haga clic en Quitar y, a continuación, haga clic en Aceptar.
En la pestaña Configuración, haga clic en Deshabilitado para desactivar esta configuración de directiva.
Haga clic en Aceptar para guardar el cambio.

Pasos para controlar los permisos de lectura y escritura en medios extraíbles

Establecer la directiva de equipo para denegar el acceso de escritura a clases de dispositivo extraíbles específicas
Prueba de la configuración de la directiva de equipo

Establecer la directiva de equipo para denegar el acceso de escritura a clases de dispositivo extraíbles específicas

Las directivas establecidas en este procedimiento bloquearán el acceso de escritura a muchos dispositivos de almacenamiento extraíbles. Sin embargo, la directiva de equipo exacta que bloquea el acceso de escritura al dispositivo puede variar en función de la marca y el dispositivo de modelo específicos. También puede usar la directiva Clases personalizadas , pero requiere que identifique el GUID de clase de configuración del dispositivo para el dispositivo específico.

Para denegar el acceso de escritura a clases de dispositivo extraíbles específicas

En el panel de navegación directiva de grupo Editor de objetos, abra Configuración del equipo, plantillas administrativas, sistema y, a continuación, abra Acceso de almacenamiento extraíble.
Haga clic con el botón derecho en CD y DVD: denegar el acceso de escritura y, a continuación, haga clic en Propiedades.
En el cuadro de diálogo Propiedades , haga clic en Habilitado para activar la restricción y, a continuación, haga clic en Aceptar.
Repita los pasos 2 y 3 para las siguientes directivas de equipo:
- Discos extraíbles: denegar el acceso de escritura
- Unidades de disquete: Denegar el acceso de escritura
- Dispositivos WPD: Denegar el acceso de escritura
Cierre directiva de grupo Editor de objetos.

Prueba de la configuración de la directiva de equipo

Si un dispositivo está en uso, la directiva de restricción de acceso de escritura no se puede aplicar inmediatamente. Para aplicar la directiva de equipo, reinicie el equipo.

Para probar la configuración de la directiva de equipo

Haga clic en el botón Inicio , escriba gpupdate /force en el cuadro Iniciar búsqueda y presione ENTRAR.
Cuando finalice el comando gpudate, reinicie el equipo.
Inicie sesión en el equipo como DMI-Client1\TestAdmin.
Conecte la unidad de memoria USB y espere hasta que Windows le notifique que está operativo.
Haga clic en Inicio, en Equipo y, a continuación, haga doble clic en la unidad de memoria USB.
En el Explorador de Windows, haga clic con el botón derecho en un área abierta del panel de detalles, haga clic en Nuevo y, a continuación, haga clic en Carpeta.
Windows muestra un mensaje de error que explica por qué se produjo un error en el intento de crear una carpeta.

Figura 25. El mensaje de error explicará por qué se ha producido un error al intentar crear una carpeta.
Haga clic en Continuar para intentar solucionar la restricción.
Si aparece el cuadro de diálogo Control de cuentas de usuario, confirme que la acción que muestra es lo que desea y, a continuación, haga clic en Continuar.
Windows muestra un segundo mensaje que indica el motivo por el que no puede escribir en la carpeta.

Figura 26. Un segundo mensaje de error indicará el motivo por el que no se permiten los permisos de escritura.

Conclusión

En esta guía ha usado un dispositivo de ejemplo en un entorno de laboratorio para aprender a controlar si los usuarios pueden instalar un dispositivo o no. También ha aprendido a restringir el acceso a dispositivos de almacenamiento extraíbles o dispositivos que usan medios extraíbles. Controlar la instalación y el uso de dispositivos de esta manera mejora la seguridad y mejora la eficacia del departamento de soporte técnico limitando los dispositivos que los usuarios pueden instalar en esas organizaciones aprueban y admiten. Los escenarios que se usan para mostrar estas configuraciones incluyen:

Impedir la instalación de todos los dispositivos.

En este escenario, impedía que los usuarios estándar instalaran cualquier dispositivo, pero permitían a los administradores instalar o actualizar dispositivos.
Permitir que los usuarios instalen solo dispositivos autorizados.

En este escenario, permitió a los usuarios estándar instalar solo los dispositivos incluidos en una lista de dispositivos autorizados.
Impedir la instalación de solo dispositivos prohibidos.

En este escenario, permitió a los usuarios estándar instalar la mayoría de los dispositivos, pero les impedía instalar dispositivos incluidos en una lista de dispositivos prohibidos.
Controlar el uso de dispositivos de almacenamiento multimedia extraíbles.

En este escenario, ha impedido que los usuarios estándar escriban datos en dispositivos de almacenamiento extraíbles o dispositivos con medios extraíbles, como una unidad de memoria USB o un cd o un quemador de DVD.

Recursos adicionales

Para obtener más información sobre la instalación de dispositivos:

Para obtener más información sobre la herramienta DevCon:

Para obtener más información sobre el control de cuentas de usuario en Windows Vista:

Control de cuentas de usuario

Para obtener más información sobre directiva de grupo:

Directiva de grupo

Registro de errores y comentarios

Te agradecemos tus comentarios. Si los escenarios incluidos no funcionan como se describe o si no capturan la forma en que desea usar la tecnología, por favor díganoslo. Usaremos los comentarios que proporcione para mejorar la calidad de esta documentación. Envíe sus comentarios en esta documentación a Vista Feedback (vistafb@microsoft.com).

Para obtener comentarios sobre Windows Vista, use el vínculo "Póngase en contacto con nosotros" en la parte inferior de la página web de Windows Vista en https://www.microsoft.com/windowsvista.