# Stratégie d’accès USB

Canonical: https://www.nsecsoft.com/fr/docs/ping64-endpoint-management/uem/devices/device-control/usb-policy/

Language: fr-FR

Updated: 2026-11-15T03:27:15.3967Z

Le contrôle des périphériques gère leur accès aux postes au moyen de stratégies. Les paramètres comportent deux sections distinctes : **USB Admission**, qui permet des règles par type, modèle ou périphérique précis, et **Hardware Control**, qui propose des commutateurs par catégorie matérielle. Elles sont activées séparément ; configurer l'une ne signifie pas que l'autre s'applique de la même manière.

Cette page utilise des postes pilotes Windows pour expliquer la stratégie d'accès USB, les essais et la vérification des enregistrements. Le contrôle peut affecter les claviers, souris, connexions réseau et autres périphériques métier. Préparez une méthode de rétablissement opérationnelle avant toute modification. Ne déployez pas de règles de blocage sur tous les postes sans les avoir vérifiées.

Les noms des commandes ci-dessous correspondent à l'interface en anglais et peuvent différer dans une autre langue d'interface.

## Préparation

-   Utilisez un compte administrateur autorisé à gérer les stratégies de gestion unifiée des postes et à consulter le contrôle des périphériques. Vérifiez que le client géré est installé et connecté sur les postes pilotes, que ceux-ci disposent des droits requis et appartiennent au périmètre prévu.
-   Consignez les postes pilotes, leurs stratégies existantes et leurs périphériques de saisie, de réseau et métier. Prévoyez une intervention sur place et une méthode de rétablissement testée. Ne dépendez pas uniquement d'une connexion distante susceptible d'être affectée par la stratégie.
-   Préparez des périphériques de test approuvés et des données non sensibles. Prévoyez des périphériques distincts devant être autorisés et limités. Leur identification peut dépendre du matériel et de son mode de connexion : vérifiez-la lors de l'essai pilote.
-   Si vous utilisez aussi des fonctions de stockage amovible, contrôlez séparément leurs stratégies et leurs résultats. Le contrôle d'accès USB, l'inventaire du stockage amovible et le chiffrement sont des réglages différents. Un périphérique visible ne prouve pas que les conditions de lecture, d'écriture, de chiffrement ou d'envoi externe sont satisfaites.

## Configurer l'accès USB des postes pilotes

1.  Dans la gestion unifiée des postes, ouvrez **Policy** et créez ou modifiez une stratégie approuvée. Vérifiez son nom, le périmètre des postes et la période d'application. Avant de modifier une stratégie existante, évaluez les effets sur ses autres postes cibles. **Create Policy** crée directement une stratégie de terminaux : modifiez **Targets**, sélectionnez des terminaux pilotes disponibles et autorisés, puis confirmez. Le menu adjacent propose aussi des stratégies de groupe et d’étiquette ; ces dernières nécessitent un rôle administrateur approprié. Vérifiez les terminaux réellement concernés avant de choisir un groupe ou une étiquette afin de ne pas élargir le pilote par erreur. Pour un horaire personnalisé, sélectionnez au moins un créneau. Après confirmation des paramètres généraux, enregistrez toujours la stratégie entière.
2.  Dans les paramètres de stratégie, activez **Device Control** et choisissez **Settings**. Ouvrez **USB Admission** et vérifiez **Enable USB Admission**. Le commutateur principal et les sous-paramètres interagissent ; avant l'enregistrement, revérifiez séparément l'état de l'accès USB et du contrôle matériel.
3.  Réglez d'abord **Policy Mode** sur **Observe Mode**, puis examinez **Default Action** et **Offline Action** selon les règles de votre organisation. En mode observation, les règles USB n'appliquent pas le blocage comme en mode de blocage. L'action ou l'événement affiché ne remplace pas un essai réel. Les choix hors ligne incluent **Keep Authorized Devices Available** et **Block Unknown Devices**. Vérifiez leur effet selon le mode, le périphérique et son autorisation ; ne supposez pas que tous les périphériques seront autorisés ou bloqués.
4.  Examinez les exemptions intégrées pour les claviers, souris, pavés tactiles, bus internes et sous-interfaces HID fiables. Supprimer une exemption peut affecter la saisie ou un périphérique métier. Évaluez et testez d'abord les changements dans un environnement pilote récupérable ; ne supprimez pas toutes les exemptions pour simplifier la configuration.
5.  Sous **Device rules**, choisissez **Add rule**, saisissez un nom, puis sélectionnez **Device type**, **Device model** ou **Exact device** selon le besoin. Renseignez les critères demandés et l'action d'autorisation ou de blocage. Un périphérique précis est choisi parmi ceux déjà détectés. Vérifiez les critères de modèle et autres avec les informations d'identification réelles ; des périphériques de même nom n'ont pas nécessairement les mêmes identifiants.
6.  Vérifiez l'ordre des règles et déplacez-les si nécessaire. Elles sont comparées dans l'ordre de la liste ; l'action par défaut s'applique en l'absence de correspondance. Les exemptions intégrées et les périphériques autorisés peuvent également influencer le résultat. Ne déduisez pas tous les cas d'une seule règle.
7.  Confirmez et enregistrez séparément les règles, la fenêtre du contrôle des périphériques et la stratégie complète. Rouvrez les paramètres pour les vérifier. Attendez que les postes pilotes reçoivent la stratégie avant les essais suivants ; un enregistrement réussi dans la console ne signifie pas qu'elle est exécutée sur le poste.

**Mode de stratégie et action par défaut :** **Policy Mode** détermine si le blocage des accès USB est appliqué. **Default Action** s’applique lorsqu’un appareil n’a pas été traité en priorité par une exemption intégrée ou une autorisation et ne correspond à aucune règle ; les choix sont **Allow**, **Block** et **Alert Only**. En **Observe Mode**, le blocage USB n’est pas appliqué même si une règle ou l’action par défaut indique Block. Alert Only est une action par défaut : elle ne remplace pas la vérification du mode général et ne garantit pas une alerte visible. Pour une nouvelle configuration, les valeurs initiales de l’interface sont Observe Mode, Block par défaut et **Block Unknown Devices** hors ligne ; ce ne sont ni des recommandations ni les valeurs d’une stratégie existante. Avant **Enforce Mode**, vérifiez action par défaut, règles, exemptions et action hors ligne, puis testez les appareils sans correspondance et la restauration. Hors ligne, Block Unknown Devices peut bloquer un appareil non autorisé même si l’action par défaut est Allow ou Alert Only ; l’identification et le mode influent aussi sur le résultat. **Keep Authorized Devices Available** n’autorise pas automatiquement tous les autres appareils ; vérifiez les règles et l’action par défaut.

**Changer le type de correspondance :** dans l’éditeur de règle d’appareil, sélectionner un type efface les conditions de correspondance du brouillon en cours, même si le type déjà sélectionné est choisi à nouveau. Avant une modification, notez les conditions initiales, saisissez-les ou sélectionnez-les à nouveau et vérifiez-les, puis enregistrez la règle et toute la stratégie. Ne supposez pas que les conditions seront restaurées automatiquement.

**Correspondance du modèle :** dans le contrôle de l’accès USB sous Windows, plusieurs conditions renseignées sans caractère générique dans une règle de modèle doivent toutes correspondre aux informations identifiées du périphérique. Par exemple, si le fabricant, le nom du produit et le numéro de série sont renseignés, vérifiez chacun. L’éditeur peut enregistrer une règle sans condition, mais une règle vide ne correspond à aucun périphérique. Renseignez les conditions avant d’enregistrer toute la stratégie et vérifiez-les avec des périphériques pilotes.

**Choix des appareils dans l’éditeur de règles :** À l’ouverture des paramètres de contrôle, le sélecteur demande la première page d’appareils détectés, au plus 100, et charge en complément jusqu’à 200 appareils associés aux règles existantes visant un appareil précis. La recherche filtre uniquement les candidats chargés ; elle ne parcourt pas tous les appareils historiques. L’absence d’un candidat ne prouve pas qu’il n’a jamais été détecté. Vérifiez les remontées du terminal, les droits administrateur et le chargement, puis contactez le support si nécessaire. N’assouplissez pas une règle uniquement pour sélectionner un appareil sans évaluer l’impact. Ce périmètre diffère des 20 éléments chargés séparément par chaque liste d’inventaire, d’événements et d’alertes ; voir [Vérification et résultats des accès aux périphériques](https://www.nsecsoft.com/fr/docs/ping64-endpoint-management/uem/devices/device-control/verify-and-events/). Le sélecteur peut également être vide si l’une des requêtes de candidats échoue.

## Tester l'observation et le blocage

1.  Pendant une fenêtre de maintenance, connectez un périphérique de test à un poste pilote. En mode observation, vérifiez son utilisation réelle et contrôlez le périphérique, le poste, l'heure et les informations de correspondance dans **Device Ledger** et **Events**. La visibilité des enregistrements dépend notamment des remontées du poste et du périmètre de l'administrateur.
2.  Ajustez au besoin les règles, exemptions et action par défaut, puis testez séparément les périphériques à autoriser et à limiter. Avant une restriction effective, confirmez la méthode de rétablissement, passez **Policy Mode** de la stratégie pilote à **Enforce Mode**, enregistrez et confirmez sa réception sur le poste avant de retester.
3.  Vérifiez à la fois la disponibilité réelle du périphérique sur le poste et les événements de la console. Certains périphériques dont la catégorie ne peut être identifiée peuvent être ignorés au lieu d'être bloqués : ne supposez pas que le mode de blocage couvre tous les appareils. Une action prévue ou un événement de blocage ne prouve pas à lui seul que le système d'exploitation a effectivement limité le périphérique. En cas d'échec d'application ou d'écart, interrompez l'extension du déploiement et examinez le problème.
4.  Pour les scénarios hors ligne nécessaires, testez les périphériques autorisés et non autorisés dans des conditions de maintenance sûres, rétablissez ensuite le réseau et vérifiez l'état. Ne généralisez pas le résultat d'un seul périphérique, mode de connexion ou poste à tous les environnements.
5.  Après validation du pilote, élargissez progressivement le périmètre selon la procédure de changement et conservez un moyen d'ajuster ou de désactiver rapidement la stratégie.