應用場景

• 企業/學校電腦防止資料外洩、病毒傳播。
• 共用電腦限制僅能使用授權的 USB 金鑰、印表機、滑鼠鍵盤。
• 個人電腦防止他人插入不明 USB 設備。

核心原理

利用群組原則 「允許安裝符合下列裝置識別碼的裝置」 (白名單) 搭配 「防止安裝未由其他原則設定描述的裝置」 (預設拒絕)，實現「僅准許明確授權的裝置識別碼 (Hardware ID) 安裝」。

詳細操作步驟

第一階段：收集允許裝置的 Hardware ID

1. 將所有需允許的 USB 裝置 (滑鼠、鍵盤、授權隨身碟、印表機、加密狗...) 依序插入電腦，確保驅動正常安裝。
2. 開啟「裝置管理員」 (devmgmt.msc)。
3. 展開「通用序列匯流排控制器」或對應類別，右鍵裝置 → 「內容」→「詳細資料」索引標籤。
4. 屬性下拉選單選 「硬體識別碼」 (Hardware IDs)。
5. 複製最上方的一組值 (最精確)，格式如 USB\VID_0951&PID_1666&REV_0100。記錄到文字檔。
6. 對每個允許裝置重複上述步驟。

第二階段：設定群組原則白名單

1. 執行 gpedit.msc。
2. 依序展開：
   電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制
3. 雙擊 「允許安裝符合下列裝置識別碼的裝置」 → 選 「已啟用」 → 點擊「顯示」。
4. 在「值」欄逐行貼上先前收集的 Hardware ID (每行一組)，按「確定」→「確定」。

第三階段：啟用預設拒絕

1. 同一路徑下，雙擊 「防止安裝未由其他原則設定描述的裝置」。
2. 選 「已啟用」，按「確定」。
3. (可選) 同樣啟用 「防止安裝可移動裝置」 以雙重保險。

第四階段：套用與驗證

1. 執行 gpupdate /force 強制重新整理原則。
2. 插入未授權的 USB 隨身碟 → 應出現「裝置驅動程式未安裝」或裝置管理員顯示黃色驚嘆號且無法使用。
3. 插入授權裝置 → 正常運作。

注意事項與限制

• 僅限專業版/企業版/旗艦版 具備 gpedit.msc。家用版需用註冊表或第三方工具 (如 USBDeview、Group Policy Editor for Home)。
• Hardware ID 區分 VID/PID/REV，同型號不同批次 REV 可能不同，建議僅使用 USB\VID_XXXX&PID_XXXX 部分 (去掉 &REV_XXXX) 以涵蓋同型號不同版本。
• 已安裝的裝置不受原則影響，需在裝置管理員「解除安裝」後重新插入才會受控。
• PS/2、內建藍牙、內建觸控板等非 USB 介面裝置不受影響。
• 繞過手段：Linux Live USB、PE 系統、BIOS 級 USB 控制。需配合 BIOS 關閉 USB 埠、機箱物理鎖、端點防護軟體綜合防禦。