資安需求：電腦僅允許特定授權 USB 隨身碟讀寫，其餘 USB 大容量儲存裝置一律封鎖。Win7 透過群組原則「裝置安裝限制」搭配裝置硬體 ID 白名單實現精確管控。

實作步驟

1. 插入授權 USB 隨身碟，確認系統正常辨識。
2. 「電腦」右鍵 → 「管理」→「裝置管理員」→「通用序列匯流排控制器」→「USB 大容量儲存裝置」右鍵 → 「內容」→「詳細資料」→ 屬性選「硬體 ID」→ 複製第一組值 (如 USBSTOR\Disk&Ven_Kingston&Prod_DataTraveler_3.0&Rev_1.00)。
   
3. Win+R → mmc.exe 開啟管理主控台。
   
4. 「檔案」→「新增/移除嵌入式管理單元」→ 「群組原則物件編輯器」→「新增」→「完成」→「確定」。
5. 展開：
   「電腦設定」→「系統管理範本」→「系統」→「裝置安裝」→「裝置安裝限制」
6. 雙擊「禁止安裝未由其他原則設定描述的裝置」→「已啟用」→「確定」。
   (此為封鎖預設動作，需搭配允許清單)
7. 關鍵：建立允許清單 — 同目錄下啟用以下原則並填入硬體 ID：
   • 「允許安裝符合下列裝置安裝類別的裝置」 (GUID: {53f56307-b6bf-11d0-94f2-00a0c91efb8b} 為磁碟機)
   • 「允許安裝符合下列裝置執行個體 ID 的裝置」 — 填入步驟 2 複製的硬體 ID (支援多行，每行一個 ID)。
8. 執行 gpupdate /force 強制套用，或重新開機。

驗證測試

• 授權 USB 隨身碟：正常讀寫、指派磁碟代號。
• 非授權 USB 隨身碟/硬碟：裝置管理員顯示「裝置未啟動 (Code 28)」、磁碟管理不顯示、檔案總管無磁碟機。
• USB 滑鼠/鍵盤/印表機/手機 (MTP/PTP) 不受影響 (非大容量儲存類別)。

補充說明

• 硬體 ID 可用 DevCon (Windows Driver Kit) 指令批次查詢：devcon hwids *。
• 同樣原則可套用至網域群組原則 (GPO) 集中管理全企業電腦。
• 若需臨時允許特定裝置，可透過「裝置管理員」右鍵該裝置 → 「啟用裝置」 (需管理員權限) 覆寫原則。