群組原則並非單純套用至「群組」，而是透過連結至 Active Directory 容器（OU、域、站點）對象，對個別用戶或電腦帳戶施策。雖透過群組原則限制可移動裝置非完美方案（已安裝驅動的裝置仍可使用），但 Windows Vista/Server 2008 提供基於裝置 ID 的精細管控能力，大幅提升 USB 安全管理彈性。

USB 存儲設備的安全風險

• 體積小、易隱藏，極易被忽視帶入帶出企業。
• 單一裝置可存儲數 GB 數據，輕易攜出機密文件或帶入惡意程式。
• 傳統做法（BIOS 禁用 USB、膠帶封口）屬「勞動密集型」，難大規模推行，且無法阻擋 FireWire、可移動光驅等替代介面。
• 永久禁用 USB 會影響合法業務（如掃描儀等周邊）。

Vista 群組原則配置步驟

1. 啟動 MMC（Win+R → mmc），「檔案」→「新增/移除嵌入式管理單元」→「群組原則物件」→「本機電腦原則」。
2. 導航至：電腦設定 → 管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
3. 關鍵設定項：

• 允許管理員覆蓋裝置安裝限制：必須啟用，否則連管理員也無法安裝新硬體。
• 防止安裝可移動裝置：啟用後用戶無法安裝新可移動裝置；已安裝的裝置仍可使用但無法更新驅動程式。

Windows Server 2008 釋出後，可將此類原則推廣至域、站點、OU 階層，實現集中化管理。

延伸應用

Vista 還提供更多硬體管控細節，建議管理員深入探索，構建更完善的終端安全基線。