企業或個人電腦常因隨身碟攜入病毒或竊取資料而受害。Win7 透過群組原則搭配裝置硬體 ID 白名單，可實現「僅允許特定隨身碟存取，其他全部拒絕」的強力管控。

操作流程

第一階段：取得授權隨身碟的硬體 ID

1. 將允許使用的隨身碟插入電腦，確認可正常讀寫。
2. 右鍵「電腦」→「管理」→「裝置管理員」→ 展開「通用序列匯流排控制器」→ 找到「USB 大量儲存裝置」→ 右鍵「內容」→ 「詳細資料」→ 屬性選「硬體 ID」→ 複製第一組數值（如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...）存檔備用。

第二階段：開啟 MMC 群組原則編輯器（非 gpedit.msc 直接開啟）

1. Win+R 輸入 mmc.exe → 「檔案」→「新增/移除管理單元」→ 「新增」→ 選「群組原則物件編輯器」→ 「新增」→ 「完成」→ 「確定」。

第三階段：設定裝置安裝限制原則

1. 依序展開：電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
2. 雙擊「禁止安裝未由其他原則設定描述的裝置」→ 「已啟用」→ 「確定」。
   此舉將封鎖所有非白名單的裝置安裝。

第四階段：加入白名單（允許特定隨身碟）

在同一「裝置安裝限制」資料夾下：

• 「允許安裝符合這些裝置執行個體 ID 的裝置」→ 「已啟用」→ 「顯示」→ 「新增」→ 貼上第一階段複製的硬體 ID → 確定層層套用。
• 或使用「允許安裝符合這些裝置安裝類別的裝置」加入整個類別（如 {53f56307-b6bf-11d0-94f2-00a0c91efb8b} 為磁碟機類別），但精確度較低。

驗證與恢復

• 插入非白名單隨身碟/行動硬碟 → 應無反應或顯示「裝置驅動程式未安裝」。
• 需解除限制時：將「禁止安裝未由其他原則設定描述的裝置」設回「未設定」即可。

注意事項

• 此設定對本機所有使用者生效（含 Administrator）。
• 若授權隨身碟遺失/損壞，管理員亦無法使用其他隨身碟，請妥善保管至少兩支授權隨身碟或保留解除原則的方法（如離線登錄檔編輯）。
• 家庭版無 gpedit.msc，需用 mmc.exe 加入群組原則物件編輯器操作，或直接修改對應登錄檔。