# Chính sách kết nối USB

Canonical: https://www.nsecsoft.com/vi/docs/ping64-endpoint-management/uem/devices/device-control/usb-policy/

Language: vi-VN

Updated: 2026-11-15T03:41:26.226534Z

Kiểm soát thiết bị quản lý việc kết nối thiết bị với thiết bị đầu cuối theo chính sách. Phần cài đặt gồm hai mục riêng: **USB Admission** hỗ trợ quy tắc theo loại, mẫu hoặc thiết bị cụ thể; **Hardware Control** cung cấp công tắc theo nhóm phần cứng. Hai mục được bật và kiểm tra riêng; cấu hình một mục không có nghĩa mục còn lại hoạt động theo cùng cách.

Trang này dùng thiết bị đầu cuối Windows thử nghiệm để giải thích chính sách USB, kiểm thử và đối chiếu bản ghi. Việc kiểm soát có thể ảnh hưởng bàn phím, chuột, kết nối mạng và các thiết bị ngoại vi phục vụ công việc. Cần chuẩn bị cách khôi phục có thể sử dụng trước khi thay đổi. Không triển khai quy tắc chặn cho mọi thiết bị đầu cuối khi chưa kiểm chứng.

Tên các mục thao tác dưới đây dựa trên giao diện tiếng Anh; tên hiển thị có thể khác khi dùng ngôn ngữ giao diện khác.

## Chuẩn bị

-   Dùng tài khoản quản trị có quyền quản lý chính sách quản lý thiết bị đầu cuối thống nhất và xem kiểm soát thiết bị. Xác nhận thiết bị thử nghiệm đã cài và kết nối ứng dụng khách được quản lý, có quyền cần thiết và nằm trong phạm vi chính sách dự kiến.
-   Ghi lại thiết bị đầu cuối thử nghiệm, chính sách hiện có, thiết bị nhập liệu, mạng và ngoại vi nghiệp vụ. Chuẩn bị người hỗ trợ tại chỗ và phương án khôi phục đã kiểm tra. Không chỉ dựa vào kết nối từ xa có thể bị chính sách làm gián đoạn.
-   Chuẩn bị thiết bị thử nghiệm được phê duyệt và nội dung không nhạy cảm. Chuẩn bị riêng thiết bị cần cho phép và cần hạn chế, bảo đảm có thể phân biệt. Việc nhận dạng USB có thể phụ thuộc thiết bị và cách kết nối; cần kiểm tra trong môi trường thử nghiệm.
-   Nếu cũng dùng chức năng lưu trữ di động, kiểm tra riêng chính sách và kết quả thực tế. Kiểm soát kết nối USB, quản lý tài sản lưu trữ di động và mã hóa là các cài đặt khác nhau. Nhìn thấy thiết bị không chứng minh các điều kiện đọc, ghi, mã hóa hoặc gửi ra ngoài đã được đáp ứng.

## Cấu hình USB cho thiết bị đầu cuối thử nghiệm

1.  Trong quản lý thiết bị đầu cuối thống nhất, mở **Policy** và tạo hoặc sửa chính sách đã được phê duyệt. Kiểm tra tên, phạm vi thiết bị áp dụng và thời gian hiệu lực. Trước khi sửa chính sách hiện có, đánh giá ảnh hưởng tới các thiết bị mục tiêu khác. Chọn trực tiếp **Create Policy** sẽ tạo chính sách thiết bị đầu cuối: sửa **Targets**, chọn các thiết bị thử nghiệm khả dụng và được phép, rồi xác nhận. Menu bên cạnh còn có chính sách nhóm và thẻ; chính sách thẻ yêu cầu vai trò quản trị phù hợp. Kiểm tra các thiết bị thực sự thuộc nhóm hoặc thẻ trước khi chọn để tránh vô ý mở rộng phạm vi thử nghiệm. Với lịch hiệu lực tùy chỉnh, chọn ít nhất một khoảng thời gian. Sau khi xác nhận cài đặt chung, vẫn phải lưu toàn bộ chính sách.
2.  Trong cài đặt chính sách, bật **Device Control** rồi chọn **Settings**. Mở **USB Admission** và kiểm tra công tắc **Enable USB Admission**. Công tắc chính và các mục con có thể ảnh hưởng lẫn nhau; trước khi lưu, kiểm tra riêng trạng thái USB và kiểm soát phần cứng.
3.  Trước tiên đặt **Policy Mode** thành **Observe Mode**, rồi kiểm tra **Default Action** và **Offline Action** theo quy định tổ chức. Ở chế độ quan sát, quy tắc USB không thực thi chặn như chế độ chặn; hành động hoặc sự kiện hiển thị không thay thế kiểm thử thiết bị thực tế. Tùy chọn ngoại tuyến gồm **Keep Authorized Devices Available** và **Block Unknown Devices**. Kiểm tra theo chế độ, thiết bị và trạng thái cấp quyền thực tế; không mặc định mọi thiết bị đều được phép hoặc bị chặn.
4.  Kiểm tra các ngoại lệ tích hợp cho bàn phím, chuột, bàn di chuột, bus nội bộ và giao diện con HID tin cậy. Bỏ ngoại lệ có thể ảnh hưởng thiết bị nhập liệu hoặc nghiệp vụ. Đánh giá và kiểm tra trong môi trường thử nghiệm có thể khôi phục trước; không bỏ toàn bộ ngoại lệ chỉ để đơn giản hóa cài đặt.
5.  Trong **Device rules**, chọn **Add rule**, nhập tên, chọn **Device type**, **Device model** hoặc **Exact device** theo nhu cầu. Thiết lập điều kiện khớp bắt buộc và hành động cho phép hoặc chặn. Thiết bị cụ thể được chọn từ các thiết bị đã phát hiện. Đối chiếu mẫu và điều kiện khác với thông tin nhận dạng thực tế; không giả định mọi thiết bị cùng tên có cùng mã định danh.
6.  Kiểm tra thứ tự quy tắc và chuyển lên hoặc xuống nếu cần. Quy tắc được đối chiếu theo thứ tự danh sách; khi không khớp sẽ dùng hành động mặc định. Ngoại lệ tích hợp và thiết bị được cấp quyền cũng có thể ảnh hưởng kết quả. Không dự đoán mọi trường hợp chỉ từ một quy tắc.
7.  Xác nhận và lưu riêng quy tắc, cửa sổ kiểm soát thiết bị và toàn bộ chính sách. Mở lại để kiểm tra, chờ thiết bị thử nghiệm nhận chính sách rồi kiểm thử theo phần sau. Lưu thành công trên bảng điều khiển không có nghĩa thiết bị đã thực thi.

**Chế độ chính sách và hành động mặc định:** **Policy Mode** quyết định có thực thi chặn truy cập USB hay không. **Default Action** áp dụng khi thiết bị không được xử lý trước bởi ngoại lệ tích hợp hoặc ủy quyền và không khớp quy tắc thiết bị; các lựa chọn là **Allow**, **Block** và **Alert Only**. Trong **Observe Mode**, chính sách truy cập USB không thực thi chặn dù quy tắc hoặc hành động mặc định là Block. Alert Only chỉ là hành động mặc định, không thay thế việc kiểm tra chế độ chung và không đảm bảo có cảnh báo hiển thị. Với cấu hình mới, giá trị ban đầu trên giao diện là Observe Mode, mặc định Block và ngoại tuyến **Block Unknown Devices**; đây không phải khuyến nghị bảo mật hay cấu hình của chính sách hiện có. Trước khi chuyển sang **Enforce Mode**, kiểm tra hành động mặc định, quy tắc, ngoại lệ và hành động ngoại tuyến; thử thiết bị không khớp cùng phương án khôi phục. Khi ngoại tuyến, Block Unknown Devices có thể chặn thiết bị chưa được ủy quyền dù mặc định là Allow hoặc Alert Only; việc nhận diện và chế độ vẫn ảnh hưởng đến kết quả. **Keep Authorized Devices Available** không tự động cho phép mọi thiết bị khác; vẫn cần kiểm tra quy tắc và mặc định.

**Thay đổi loại khớp:** Trong cửa sổ sửa quy tắc thiết bị, chọn bất kỳ loại khớp nào sẽ xóa các điều kiện khớp thiết bị trong bản nháp hiện tại, kể cả khi chọn lại loại đang chọn. Trước khi thay đổi, ghi lại điều kiện cũ, nhập hoặc chọn lại và kiểm tra, rồi lưu quy tắc cùng toàn bộ chính sách. Không giả định điều kiện cũ tự khôi phục.

**Khớp mẫu thiết bị:** Trong chức năng kiểm soát kết nối USB trên Windows, nhiều điều kiện không phải ký tự đại diện được nhập trong một quy tắc mẫu thiết bị phải cùng khớp với thông tin thiết bị đã nhận diện. Ví dụ, nếu nhập cả nhà sản xuất, tên sản phẩm và số sê-ri, hãy kiểm tra từng mục. Trình chỉnh sửa có thể lưu quy tắc không có điều kiện khớp, nhưng quy tắc rỗng không khớp thiết bị nào. Hãy bổ sung điều kiện mục tiêu trước khi lưu toàn bộ chính sách và kiểm tra bằng thiết bị thử nghiệm.

**Phạm vi chọn thiết bị trong trình sửa quy tắc:** Khi mở cài đặt kiểm soát thiết bị, bộ chọn yêu cầu trang đầu của thiết bị đã phát hiện, tối đa 100 mục, đồng thời tải bổ sung tối đa 200 thiết bị liên quan đến các quy tắc thiết bị cụ thể hiện có. Tìm kiếm chỉ lọc các ứng viên đã tải, không tìm trong toàn bộ thiết bị lịch sử. Không thấy ứng viên không chứng minh thiết bị chưa từng được phát hiện. Kiểm tra báo cáo của thiết bị đầu cuối, quyền quản trị và trạng thái tải; liên hệ hỗ trợ nếu cần. Không nới lỏng quy tắc chỉ để chọn thiết bị khi chưa đánh giá tác động. Phạm vi này khác với 20 bản ghi mà mỗi danh sách sổ thiết bị, sự kiện và cảnh báo tải riêng; xem [Xác minh kết nối và kết quả](https://www.nsecsoft.com/vi/docs/ping64-endpoint-management/uem/devices/device-control/verify-and-events/). Bộ chọn cũng có thể trống nếu một trong các yêu cầu dữ liệu ứng viên thất bại.

## Kiểm thử quan sát và chặn

1.  Trong thời gian bảo trì, kết nối thiết bị thử vào thiết bị đầu cuối thử nghiệm. Ở chế độ quan sát, kiểm tra khả năng sử dụng thực tế và đối chiếu thiết bị, thiết bị đầu cuối, thời gian và thông tin khớp trong **Device Ledger** và **Events**. Việc hiển thị bản ghi có thể phụ thuộc dữ liệu báo lên và phạm vi nhìn thấy của quản trị viên.
2.  Điều chỉnh quy tắc, ngoại lệ và hành động mặc định khi cần; kiểm thử riêng thiết bị cần cho phép và cần hạn chế. Trước khi áp dụng hạn chế thực tế, xác nhận cách khôi phục, đổi **Policy Mode** của chính sách thử nghiệm sang **Enforce Mode**, lưu, xác nhận thiết bị đã nhận rồi kiểm tra lại.
3.  Kiểm tra đồng thời khả năng sử dụng thiết bị thực tế và sự kiện trên bảng điều khiển. Một số thiết bị không xác định được loại có thể bị bỏ qua thay vì bị chặn; không mặc định chế độ chặn bao phủ mọi thiết bị. Hành động dự kiến hoặc sự kiện chặn không tự chứng minh hệ điều hành đã hạn chế thành công. Nếu thực thi thất bại hoặc kết quả không khớp, dừng mở rộng triển khai và điều tra.
4.  Với các tình huống ngoại tuyến cần thiết, thử thiết bị được và chưa được cấp quyền trong điều kiện bảo trì an toàn, sau đó khôi phục mạng và kiểm tra trạng thái tiếp theo. Không áp dụng kết quả của một thiết bị, cách kết nối hoặc thiết bị đầu cuối cho mọi môi trường.
5.  Sau khi thử nghiệm đạt yêu cầu, mở rộng phạm vi từng bước theo quy trình thay đổi của tổ chức và duy trì cách điều chỉnh hoặc tắt chính sách kịp thời.