除 BitLocker 加密外，Windows 內建群組原則可將指定磁碟機設為「無法從『我的電腦/檔案總管』存取」，操作極簡單，適合對付一般用戶，但無法防禦具備技術能力的攻擊者。本文詳細操作步驟與安全性局限分析。

操作步驟 (Windows XP/7/8/10/11 通用)

1. 開啟群組原則編輯器：
   • Win7+：開始搜尋 gpedit.msc → Enter
   • XP：開始 → 執行 → gpedit.msc → Enter
2. 導航路徑：使用者設定 → 系統管理範本 → Windows 元件 → 檔案總管 (舊版為「Windows 資源管理員」)
3. 右側雙擊 「防止從『電腦』存取磁碟機」
4. 設定：「已啟用」 → 下拉選單選擇要限制的磁碟機 (如「僅限 D 槽」或「所有磁碟機」) → 確定

生效驗證

• 開啟「我的電腦」/「此電腦」
• 雙擊被限制磁碟機 → 彈出：「此作業因電腦限制而被取消。請連繫系統管理員。」

安全性局限：三大繞過途徑

繞過方式	原理	難度
命令列/執行對話框直接輸入路徑	cmd → D: / cd D:\path / start D:\file.exe	極低
應用程式開啟/儲存對話框	Word/記事本/總指揮官等程式的「開啟檔案」對話框可直接瀏覽該磁碟機	低
修改登錄檔/群組原則	具備管理員權限可直接關閉該原則或刪除登錄檔鍵值	中 (需管理員權限)

適用與不適用場景

場景	適用性	建議方案
防止兒童/長輩/一般同事誤刪/誤開隱私資料	✅ 適合	群組原則鎖定 + 隱藏磁碟機代號 (diskpart remove letter)
防止技術人員/駭客/內部威脅主動竊取	❌ 不適合	BitLocker 加密 + EFS 檔案級加密 + 權限最小化
防止病毒/勒索軟體加密該磁碟資料	❌ 無效	離線備份 + 應用程式白名單 + EDR 防護

---

進階組合拳：

1. diskpart 移除磁碟代號： diskpart → list volume → select volume X → remove letter=D (連總管都看不見)
2. 群組原則禁用「儲存裝置」類別： 電腦設定 → 系統管理範本 → 系統 → 可移動儲存體存取 → 啟用「所有可移動儲存體: 拒絕執行/讀取/寫入」
3. BitLocker 加密系統盤/資料盤： 實際加密資料，無金鑰無法讀取

群組原則鎖定磁碟機是「紳士協定」層級的防護，適合防君子不防小人。真正的資料機密性保護，必須依賴加密技術。