USB 隨身碟雖方便，卻是資料外洩與惡意程式傳播的最大管道。Windows Vista 引入裝置安裝限制群組原則，可精細控制 USB 儲存裝置存取權限。本文詳解從本機原則到網域部署的完整設定流程。
為何不直接在 BIOS 關閉 USB 或貼膠帶？
- BIOS 關閉 USB 會連滑鼠、鍵盤、列印機一起失效，影響正常作業。
- 貼膠帶物理阻擋，管理成本高、易損壞連接埠、無法針對特定裝置放行。
- 群組原則可依「裝置識別碼」精準允許/封鎖特定 USB 裝置，兼顧安全與彈性。
前置條件
- Windows Vista / Windows Server 2008 或更新版本（XP 不支援裝置安裝限制原則）。
- 本機管理員權限；網域環境需網域管理員權限與 Windows Server 2008+ 網域控制站。
步驟一：開啟本機群組原則編輯器
- `Win+R` → `gpedit.msc` → 開啟「本機群組原則編輯器」。
- 依序展開：電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
步驟二：核心原則設定
| 原則名稱 | 建議設定 | 說明 |
|---|
| 允許系統管理員覆寫裝置安裝限制 | 已啟用 | 否則連管理員也無法安裝新硬體，維護極不便。 |
| 防止安裝可移動裝置 | 已啟用 | 封鎖所有新 USB 儲存裝置安裝驅動程式。已安裝裝置仍可使用，但無法更新驅動。 |
| 允許安裝符合這些裝置設定識別碼的裝置 | 已啟用 + 新增允許清單 | 輸入核准裝置的硬體 ID（如 `USBSTOR\Disk&Ven_Kingston&Prod_DataTraveler`），白名單機制。 |
| 防止安裝不符合這些裝置設定識別碼的裝置 | 已啟用 | 搭配上一項，實現「預設拒絕、白名單放行」。 |
步驟三：取得裝置硬體 ID（建立白名單關鍵）
- 插入核准的 USB 隨身碟。
- 「裝置管理員」→「磁碟機」→ 右鍵該裝置 → 「內容」→「詳細資料」→ 屬性選「硬體 ID」。
- 複製第一行值（如 `USBSTOR\Disk&Ven_Kingston&Prod_DataTraveler_3.0&Rev_1.00`）。
- 在原則「允許安裝符合這些裝置設定識別碼的裝置」中「顯示」→ 新增該 ID。
步驟四：網域環境部署（GPO）
- 開啟「群組原則管理」(`gpmc.msc`)。
- 建立/編輯連結至目標 OU 的 GPO。
- 同樣路徑設定上述原則，範圍自動套用至 OU 內所有電腦。
- 客戶端 `gpupdate /force` 或重開機生效。
驗證與例外處理
- 插入非白名單 USB：裝置管理員顯示「驅動程式未安裝」，磁碟機不出現在總管。
- 插入白名單 USB：正常掛載、可讀寫。
- 需臨時使用非白名單裝置：管理員以 `Run as administrator` 執行 `devmgmt.msc`，手動安裝驅動（受「允許系統管理員覆寫」原則保護）。
補充：Vista 之後的增強功能
- Windows 7/8/10/11：新增「可移動磁碟：拒絕寫入/讀取/執行」獨立原則（`電腦設定 → 系統管理範本 → 系統 → 可移動儲存體存取`），可更細粒度控制讀寫執行權限。
- BitLocker To Go：強制 USB 必須加密才能寫入，防止遺失資料外洩。
- AppLocker：限制 USB 上可執行檔執行，防止惡意程式直接從 USB 執行。
善用群組原則裝置安裝限制，配合白名單機制，即可在不犧牲正常 USB 周邊（滑鼠、鍵盤、列印機、核准隨身碟）使用的前提下，徹底封鎖未授權儲存裝置，構建資料防外洩第一道防線。