企業資安需求常要求在網域環境全面禁用 USB 大量儲存裝置，防止資料外洩。Windows 7 可透過群組原則 (GPO) 設定權限拒絕存取 usbstor.inf，並輔以註冊表修改 UsbStor 服務啟動類型為「停用」，達成雙重封鎖。

方法一：群組原則拒絕存取 usbstor.inf（適用未曾使用過 USB 的電腦）

1. 開啟「Active Directory 使用者與電腦」，右鍵目標 OU → 「建立並連結此處的 GPO」→ 命名為「禁用 USB」。
2. 右鍵該 GPO →「編輯」→ 依序展開：
   電腦設定 → Windows 設定 → 安全性設定 → 檔案系統
3. 右鍵「檔案系統」→「新增檔案」→ 資料夾輸入：%systemroot%\inf\usbstor.inf → 確定。
4. 在「資料庫安全性設定」：移除所有使用者/群組 → 新增 Everyone → 取消「讀取和執行」、「列出資料夾內容」、「讀取」允許 → 新增「完全控制」拒絕 → 套用/確定。
5. 同樣步驟對 %systemroot%\inf\usbstor.PNF 設定相同拒絕權限。
6. 關閉 GPO 編輯器，於用戶端執行 gpupdate /force 強制套用。

方法二：註冊表修改 UsbStor 服務啟動類型（適用已使用過 USB 的電腦，GPO 失效時）

1. Win + R → regedit
2. 定位：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor
3. 雙擊右側 Start DWORD 值，將數值從 3（手動）改為 4（停用）。
4. 重開機生效。若需透過 GPO 部署，可建立登入腳本執行此註冊表修改。

說明：Start 值對照：2=自動、3=手動、4=停用。雙重防護確保 USB 大量儲存裝置在網域環境完全無法掛載。