防止資料外洩，Win7 可透過群組原則禁止所有 USB 大容量儲存裝置，**僅允許已登錄硬體 ID 的可信 U 盤**使用。

實作步驟

1. 插入可信 U 盤，開啟「裝置管理員」→「可攜式裝置」/「磁碟機」找到該裝置。
2. 右鍵「內容」→「詳細資料」→ 屬性選「硬體 ID」→ 複製值（如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...）。
3. 同樣在「通用序列匯流排控制器」→「USB 大容量儲存裝置」複製其硬體 ID。
4. Win+R 輸入 gpedit.msc 開啟群組原則編輯器。
5. 依序展開：
   電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制
6. 雙擊「禁止安裝未由其他原則設定描述的裝置」→「已啟用」→ 確定（封鎖所有未白名單裝置）。
7. 雙擊「允許安裝符合下列裝置 ID 的裝置」→「已啟用」→「顯示」→ 將步驟 2、3 複製的硬體 ID 逐行貼上 → 確定。

後續管理

• 新增可信裝置：將「禁止安裝...」暫設「未設定/已停用」→ 插入新裝置 → 取得硬體 ID 加入白名單 → 重新啟用「禁止安裝...」。
• 此設定需**重新開機或重新插拔裝置**生效。