防止病毒透過隨身碟傳播？Win7 專業版/旗艦版 群組原則 可設定「僅允許特定硬體 ID 的 USB 裝置安裝」，拒絕所有其他 USB 大容量儲存裝置。

前置作業：取得自家 USB 裝置硬體 ID

1. 插入自用隨身碟/外接硬碟。
2. 右鍵「電腦」→ 管理 → 裝置管理員。
3. 展開 磁碟機 → 找到目標裝置 → 右鍵 內容 → 詳細資料 索引標籤。
4. 屬性選 硬體識別碼 → 複製第一組值 (如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...)。
5. 同樣操作：展開 通用序列匯流排控制器 → USB 大容量儲存裝置 → 複製硬體 ID。

群組原則設定

1. Win+R → gpedit.msc 開啟群組原則編輯器。
2. 電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
3. 啟用 「禁止安裝未由其他原則設定描述的裝置」。
4. 啟用 「允許安裝符合下列裝置 ID 的裝置」 → 顯示 → 將剛複製的兩組硬體 ID 貼上。

效果驗證

• 插入自用隨身碟 → 正常掛載、讀寫。
• 插入他人隨身碟 → 裝置管理員顯示錯誤圖示，磁碟管理不出現，資源管理器無磁碟機代號，完全無法存取。

注意事項

• 需 專業版/旗艦版/企業版 (家庭版無 gpedit.msc)。
• 設定生效後，新插入的允許裝置也需重新開機或重新掃描硬體變更。
• 滑鼠/鍵盤/印表機等非大容量儲存 USB 裝置不受影響。
• 若需臨時使用其他隨身碟，暫時停用「禁止安裝...」原則即可。

硬體 ID 白名單機制，從源頭封鎖不明 USB 儲存裝置，企業資安、個人隱私保護的利器。