单位安装指纹人脸识别设备上班打卡的合法性，主要取决于是否遵循了相关的法律法规，并确保了员工的个人信息权益得到保护。以下是对此问题的详细解答：
一、法律法规依据
《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》：
- 指出处理自然人的人脸信息，必须征得自然人或者其监护人的单独同意。
- 对于违反双方约定或未采取应有技术措施确保人脸信息安全，导致信息泄露、篡改、丢失的，构成侵权。
《人脸识别技术应用安全管理办法》（由国家网信办和公安部发布）：
- 规范了人脸识别技术的应用，要求处理人脸信息活动应遵守法律法规，尊重社会公德和伦理，履行个人信息保护义务。
- 强调了处理人脸信息前需向个人告知相关信息，并取得个人在充分知情的前提下自愿、明确作出的单独同意。
二、单位安装指纹人脸识别设备上班打卡的合法性分析
征得员工同意：
- 单位在安装指纹人脸识别设备前，应明确告知员工相关信息，包括处理目的、方式、保存期限等，并取得员工的单独同意。
- 员工的同意可以是明示的，如签署同意书，也可以是默示的，如通过每天准时“刷脸”考勤来表达。
必要性评估：
- 单位应评估使用人脸识别技术的必要性，确保没有其他非人脸识别技术方式可以达到相同目的或业务要求。
- 如果存在其他方式，则不得将人脸识别技术作为唯一验证方式。
信息安全保护：
- 单位应采取严格的信息安全保护措施，确保人脸信息不被泄露、篡改或丢失。
- 这包括使用正规厂家生产的人脸识别设备、加强数据管理和安全防护、定期排查隐患等。
特殊群体的保护：
- 对于残疾人、老年人等特殊群体，单位应遵守国家有关无障碍环境建设的规定，确保他们的人脸信息得到妥善处理。
- 对于不满十四周岁的未成年人，应取得其父母或其他监护人的同意，并制定专门的处理规则。
三、结论
综上所述，单位安装指纹人脸识别设备上班打卡在遵循相关法律法规、征得员工同意、进行必要性评估、采取信息安全保护措施以及特殊群体保护的前提下是合法的。然而，单位也应时刻关注法律法规的更新和变化，确保其行为始终符合法律要求。同时，员工也应了解自己的权益，如不同意使用人脸识别技术考勤，有权要求单位提供其他合理的考勤方式。