Windows 10/11 預設會透過 Windows Update 自動下載安裝硬體驅動程式，雖方便但常因驅動版本過新/不相容導致藍屏、裝置失效、效能下降。本文教學透過本機群組策略徹底禁止未經核准的驅動自動安裝，掌握驅動更新主動權。

適用場景

• 穩定性優先的生產/工作站/伺服器環境。
• 特定硬體（顯卡、聲卡、RAID 卡、專業擴充卡）需鎖定經驗證版本。
• 防止 Windows Update 強制覆蓋廠商官網提供的優化驅動。
• 統一企業環境驅動版本，減少相容性測試成本。

操作步驟（Windows 專業版/企業版/教育版）

1. 按 Win+R → 輸入 gpedit.msc → Enter，開啟「本機群組策略編輯器」。
2. 依序展開：
   電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制
3. 右側雙擊 「禁止安裝未由其他原則設定描述的裝置」。
4. 選擇 「已啟用」 → 「確定」/「套用」。
5. 執行 gpupdate /force 或重開機生效。

策略生效後的行為

• Windows Update **不再自動**下載/安裝任何未明確允許的裝置驅動程式。
• 「裝置管理員」中新裝置會顯示「未知裝置」或黃色驚嘆號，需手動指定驅動安裝。
• 已安裝的驅動不受影響，但後續更新會被攔截。

進階：建立「允許安裝」白名單（精準放行）

同目錄下配置以下策略，構建「預設拒絕、白名單放行」模型：

1. 「允許安裝符合這些裝置安裝類別的裝置」：啟用 → 顯示 → 新增裝置安裝類別 GUID（如 {4d36e968-e325-11ce-bfc1-08002be10318} 為顯示卡）。微軟官方類別 GUID 完整表。
2. 「允許安裝符合這些裝置 ID 的裝置」：啟用 → 顯示 → 新增硬體 ID (HWID)，如 PCI\VEN_10DE&DEV_1C82 (特定 NVIDIA 顯卡)。
3. 「允許安裝符合這些裝置實例 ID 的裝置」：最精確，鎖定特定物理裝置實例。

查詢 HWID/實例 ID：裝置管理員 → 該裝置右鍵 → 內容 → 詳細資料 → 屬性選「硬體 ID」或「裝置執行個體路徑」。

家用版 (Home) 無 gpedit.msc 怎麼辦？

1. 註冊表直改：
   路徑：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions
   新建 DWORD：DenyUnspecified = 1 (啟用禁止未指定裝置安裝)。
   白名單對應值：AllowDeviceClasses (Multi-String)、AllowDeviceIDs (Multi-String)、AllowInstanceIDs (Multi-String)。
2. 啟用 gpedit.msc 批次檔（網路通用，管理員執行）：
   @echo off & pushd "%~dp0" & dir /b %SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientExtensions-Package~3*.mum >List.txt & dir /b %SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientTools-Package~3*.mum >>List.txt & for /f %%i in ('findstr /i . List.txt 2^>nul') do dism /online /norestart /add-package:"%SystemRoot%\servicing\Packages\%%i" & pause
3. 第三方工具：Policy Plus (開源、支援 Home、介面同 gpedit)、Windows Update MiniTool (可選擇性隱藏驅動更新)。

替代方案：僅隱藏驅動更新（保留安全/品質更新）

• 「顯示/隱藏更新」疑難排解套件：微軟官方工具 wushowhide.diagcab，掃描可用更新後可單獨「隱藏」特定驅動更新，下次 Windows Update 即跳過。
• Windows Update 設定 → 進階選項 → 選擇性更新：驅動更新歸類於「選擇性更新」，**不勾選即不安裝**（Win10 2004+ / Win11 預設行為）。
• 註冊表禁用驅動更新：HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\ExcludeWUDriversInQualityUpdate = 1 (Win10 1909+)。

驅動管理最佳實踐建議

1. 建立標準驅動基線：每款機型/配置驗證穩定的驅動版本清單（版本號、日期、來源連結）。
2. 集中部署：SCCM/Intune/PDQ Deploy/群組策略腳本統一下發驅動包（.inf + 目錄檔）。
3. 定期審核：每季檢查關鍵裝置（顯卡、網卡、存儲控制器）是否有安全性更新需納入基線。
4. 回滾機制：裝置管理員 → 內容 → 驅動程式 → 「回復驅動程式」，或保留驅動安裝包離線備份。

結語

「禁止安裝未受管理裝置」策略是企業級驅動管控的基石。配合白名單精準放行、家用版註冊表/工具替代、選擇性更新隱藏，即可構建「可控、可審、可回滾」的驅動管理體系，徹底告別「更新驅動後藍屏/花屏/斷網」的噩夢。