防止資料外洩，Win7 可透過群組原則禁止所有 USB 儲存裝置，再以硬體 ID 白名單放行指定 U盤/行動硬碟。以下為完整部署流程。
第一階段：取得目標裝置硬體 ID
- 將授權的 U盤/行動硬碟** 插入電腦；
- 右鍵「電腦」→ 管理 → 裝置管理員**；
- 展開 可攜式裝置**，右鍵目標裝置 → 內容 → 詳細資料**；
- 屬性下拉選 硬體 ID**，複製第一組值（如
USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...）備存；
- 同樣展開 通用序列匯流排控制器 → USB 大容量儲存裝置**，複製其硬體 ID 備存。
第二階段：部署群組原則限制
- 按 Win+R 輸入
gpedit.msc 開啟本地群組原則編輯器；
- 依序展開：
電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制**；
- 雙擊 禁止安裝未由其他原則設定描述的裝置** → 選擇 已啟用** → 確定**；
- 同目錄下雙擊 允許安裝符合這些裝置安裝類別的裝置** → 已啟用** → 顯示** → 將上述複製的硬體 ID 逐行貼上 → 確定**；
- 執行
gpupdate /force 強制刷新原則，拔插測試：授權裝置可用，其餘 USB 儲存裝置被封鎖。
注意事項
- 原則僅影響 USB 大容量儲存裝置**（U盤、行動硬碟、讀卡器），不影響 USB 滑鼠/鍵盤/印表機；
- 若需允許特定品牌/型號，硬體 ID 可保留前段
USBSTOR\DISK&VEN_XXX&PROD_XXX 通配；
- 企業環境建議透過 網域群組原則 (GPO)** 下發，而非單機設定。