Bloqueio de configuração do PC de núcleo seguro
Numa organização empresarial, os administradores de TI impõem políticas nos respetivos dispositivos empresariais para manter os dispositivos em conformidade e proteger o SO ao impedir que os utilizadores alterem as configurações e criem um desfasamento de configuração. O desfasamento de configuração ocorre quando os utilizadores com direitos de administrador local alteram as definições e colocam o dispositivo dessincronizado com as políticas de segurança. Os dispositivos num estado não conforme podem ficar vulneráveis até à próxima sincronização e reposição da configuração com a MDM. O Windows 11 com bloqueio de configuração permite que os administradores de TI impeçam o desfasamento de configuração e mantenham a configuração do SO no estado pretendido. Com o bloqueio de configuração, o sistema operacional monitora as chaves do registro que configuram cada recurso e, quando detecta um desvio, reverte para o estado desejado pela TI em segundos.
O bloqueio de configuração de núcleo seguro (bloqueio de configuração) é uma nova funcionalidade de PC de núcleo seguro (SCPC) que impede o desvio da configuração das funcionalidades de PC de núcleo seguro causadas por uma configuração incorreta não intencional. Em suma, garante que um dispositivo destinado a ser um PC de núcleo seguro continua a ser um PC de núcleo seguro.
Para resumir, bloqueie a configuração:
- Permite que as TI "bloqueiem" as funcionalidades do PC de núcleo protegido quando são geridas através da MDM
- Deteta remediações de desvio em segundos
- Não impede ataques maliciosos
Edição do Windows e requisitos de licenciamento
A tabela seguinte lista as edições do Windows que suportam o bloqueio de configuração De núcleo seguro:
| Windows Pro | Windows Enterprise | Windows Pro Education/SE | Windows Education |
|---|---|---|---|
| Sim | Sim | Sim | Sim |
Os direitos de licença de bloqueio de configuração de núcleo protegido são concedidos pelas seguintes licenças:
| Windows Pro/Pro Education/SE | Windows Enterprise E3 | Windows Enterprise E5 | Windows Education A3 | Windows Education A5 |
|---|---|---|---|---|
| Sim | Sim | Sim | Sim | Sim |
Para obter mais informações sobre o licenciamento do Windows, consulte Visão geral do licenciamento do Windows.
Fluxo de Configuração
Depois de os PCs de núcleo seguro chegarem ao ambiente de trabalho, o bloqueio de configuração impedirá o desfasamento da configuração ao detetar se o dispositivo é ou não um PC de núcleo seguro. Quando o dispositivo não é um PC de núcleo seguro, o bloqueio não se aplica. Se o dispositivo for um PC de núcleo seguro, o bloqueio de configuração bloqueia as políticas listadas em Lista de políticas bloqueadas.
Ativar o bloqueio de configuração com o Microsoft Intune
O bloqueio de configuração não está ativado por predefinição ou ativado pelo SO durante o arranque. Em vez disso, tem de ativá-la.
Os passos para ativar o bloqueio de configuração com o Microsoft Intune são os seguintes:
Certifique-se de que o dispositivo para ativar o bloqueio de configuração está inscrito no Microsoft Intune.
No centro de administração do Intune, selecionePerfis de Configuração de Dispositivos>>Criar um perfil.
Selecione o seguinte e prima Criar:
-
Plataforma:
Windows 10 and later -
Tipo de perfil:
Templates - Nome do modelo: Personalizado
-
Plataforma:
Dê um nome ao seu perfil.
Quando chegar ao passo Definições de Configuração, selecione "Adicionar" e adicione as seguintes informações:
-
OMA-URI:
./Vendor/MSFT/DMClient/Provider/MS%20DM%20Server/ConfigLock/Lock -
Tipo de dados:
Integer -
Valor:
1
Para desativar o bloqueio de configuração, altere o valor para 0.
-
OMA-URI:
Selecione os dispositivos para ativar o bloqueio de configuração. Se estiver a utilizar um inquilino de teste, pode selecionar "+ Adicionar todos os dispositivos".
Não precisa de definir regras de aplicabilidade para fins de teste.
Reveja a Configuração e selecione "Criar" se tudo estiver correto.
Depois de o dispositivo ser sincronizado com o servidor do Microsoft Intune, pode confirmar se o bloqueio de configuração foi ativado com êxito.
Configurar funcionalidades de PC de núcleo seguro
O bloqueio de configuração foi concebido para garantir que um PC de núcleo seguro não está inadvertidamente configurado incorretamente. Mantém a capacidade de ativar ou desativar funcionalidades SCPC, por exemplo, proteção de firmware. Pode efetuar estas alterações com políticas de grupo ou serviços MDM, como o Microsoft Intune.
Perguntas frequentes
- Posso desativar o bloqueio de configuração? Sim. Pode utilizar a MDM para desativar completamente o bloqueio de configuração ou colocá-lo no modo de desbloqueio temporário para atividades de suporte técnico.
Lista de políticas bloqueadas
| CSPs |
|---|
| BitLocker |
| CSP PassportForWork |
| WindowsDefenderApplicationGuard |
| ApplicationControl |