Windows 7 透過群組原則限制僅允許特定 USB 裝置 (白名單機制)

應用場景

企業/學校/公用電腦需防止未授權 USB 隨身碟、外接硬碟存取資料或帶入病毒，僅允許登記過的特定裝置 (如公司核發 USB Key、授權備份硬碟)。

實作步驟

1. 取得允許裝置的硬體 ID：
    • 插入允許的 USB 裝置 → 「裝置管理員」→「通用序列匯流排控制器」→ 對應裝置右鍵「內容」→「詳細資料」→ 屬性選「硬體識別碼」→ 複製完整 ID 字串 (如 USB\VID_1234&PID_5678&REV_0100)。
    • 重複取得所有授權裝置 ID，存成文字檔備份。
2. 設定群組原則白名單：
    • Win+R gpedit.msc → 電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
    • 雙擊 「允許安裝符合下列裝置執行個體 ID 的裝置」 → 「已啟用」 → 「顯示」→ 逐行貼上授權裝置 ID。
    • 雙擊 「防止安裝未由其他原則設定描述的裝置」 → 「已啟用」 → 確定。
3. 套用生效：
    • Win+R gpupdate /force 或重新開機。
    • 測試：插入未授權 USB → 裝置管理員顯示錯誤碼 28/驅動程式未安裝，無法存取檔案。

注意事項

• 此原則僅阻擋「裝置驅動程式安裝」，已安裝驅動的裝置若在原則生效前已插入，可能仍可運作。建議先移除所有 USB 裝置再套用原則。
• 若需允許整類裝置 (如所有同廠牌 USB 隨身碉)，可只輸入 VID_XXXX 部分，但精確度較低。
• 家庭版/家庭進階版無 gpedit.msc，可用登錄檔對應機碼：
  HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions\AllowDeviceIDs (多字串值)
  HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions\DenyUnspecified = 1 (DWORD)

結語

群組原則 USB 白名單提供企業級裝置管控，配合 BitLocker To Go (加密 USB)、軟體限制原則 (AppLocker) 可構建完整資料防護體系。